در شبکه‌های اداری، یک رخداد سایبری ممکن است چند رایانه یا یک سرویس را برای مدتی از دسترس خارج کند. در یک پالایشگاه، نیروگاه، مجتمع پتروشیمی، کارخانه فولاد یا تأسیسات آب و فاضلاب، همان رخداد می‌تواند به توقف تولید، افت کیفیت محصول، آسیب به تجهیزات، تهدید ایمنی کارکنان و پیامدهای زیست‌محیطی منجر شود. اختلال در Engineering Workstation، HMI، SCADA Server یا PLC مستقیماً به فرایند فیزیکی گره می‌خورد. از همین رو، امنیت شبکه فناوری عملیاتی (OT) بخشی از ایمنی و استمرار عملیات صنعتی است.
چرا راهکارهای متداول IT برای OT به‌تنهایی کافی نیستند؟
در محیط IT، نصب Patch، راه‌اندازی دوباره سیستم یا جایگزینی Workstation معمولاً در برنامه نگهداشت انجام می‌شود. اما در OT ممکن است همان کار به تأیید سازنده، آزمون سازگاری، هماهنگی با بهره‌برداری و انتظار برای پنجره توقف تولید وابسته باشد. تجهیزات صنعتی نیز گاهی سال‌ها فعال می‌مانند، چون ارتقای آن‌ها به تغییر نرم‌افزارهای صنعتی، DCS یا بخشی از خط تولید نیاز دارد. بنابراین انتخاب هر کنترل امنیتی باید با پایداری فرایند و محدودیت تجهیزات سازگار باشد.
از سوی دیگر، اتصال بیشتر IT و OT مسیرهای تازه‌ای برای تهدید ایجاد کرده است. تبادل داده با ERP و Historian، دسترسی پیمانکار، نگهداشت از راه دور، لپ‌تاپ موقت و USB برای کار روزمره لازم‌اند، اما هرکدام می‌توانند نقطه ورود باشند. مهاجم ممکن است به‌جای هدف‌گرفتن مستقیم PLC، ابتدا از یک حساب معتبر، Engineering Workstation یا سرور متصل به OT استفاده کند.
KICS چگونه دید شبکه صنعتی را افزایش می‌دهد؟
Kaspersky Industrial Cybersecurity Platform یا KICS حفاظت از نقاط پایانی صنعتی را با دید و تحلیل شبکه همراه می‌کند. در این معماری، KICS for Networks دارایی‌ها و ارتباطات میان آن‌ها را شناسایی می‌کند تا تیم امنیت بداند هر تجهیز با کدام سیستم‌ها در تماس است، از چه پروتکل‌هایی استفاده می‌کند و در توپولوژی واقعی شبکه چه جایگاهی دارد.
این دید زمانی ارزشمند است که مستندات از وضعیت عملیاتی عقب مانده باشند: تجهیزی در توسعه خط اضافه شده، لپ‌تاپ نگهداشت پس از پایان کار متصل مانده یا مسیر دسترسی از راه دور ثبت نشده است. شناسایی این نقاط کور، ارزیابی ارتباطات غیرمجاز و هشدارها را دقیق‌تر می‌کند.
در پایش غیرفعال، نسخه‌ای از ترافیک به Sensor داده می‌شود و Sensor به‌صورت Inline در مسیر ارتباط PLC، HMI و SCADA Server قرار نمی‌گیرد. به این ترتیب، تحلیل ترافیک بدون تغییر مستقیم ارتباطات عملیاتی انجام می‌شود؛ موضوعی مهم برای حفظ پایداری فرایند.
از مشاهده ترافیک تا شناخت رفتار فرایند
ارتباطات صنعتی اغلب الگوی مشخصی دارند. برای نمونه، Engineering Workstation ممکن است فقط در زمان نگهداشت با PLCهای معین ارتباط بگیرد و HMI با مجموعه محدودی از Serverها و Controllerها کار کند. ارتباط با تجهیزی غیرمنتظره، پروتکل جدید یا فرمان خارج از روال می‌تواند نیازمند بررسی باشد.
KICS for Networks برای تحلیل این تغییرات از سازوکارهای مکمل استفاده می‌کند:
- Interaction Control ارتباطات مشاهده‌شده را با قواعد یا ارتباطات مجاز مقایسه می‌کند.
- Process Control مقادیر و پارامترهای فرایند را در برابر شرایط تعیین‌شده بررسی می‌کند.
- Intrusion Detection نشانه‌ها و الگوهای مرتبط با حمله را در ترافیک جست‌وجو می‌کند.
- Network Anomaly Detection انحراف از رفتار معمول شبکه را شناسایی می‌کند.
پس از یادگیری رفتار عادی و تنظیم قواعد، تیم بررسی می‌تواند هشدار را همراه با اطلاعات دارایی، پروتکل و وضعیت فرایند ببیند. ارتباط تازه Engineering Workstation با PLC دیگر صرفاً تبادل میان دو IP نیست: می‌توان نقش دو تجهیز، مجازبودن ارتباط و هم‌زمانی آن با فرمان یا تغییر فرایندی را بررسی کرد. این زمینه کمک می‌کند فعالیت مشکوک از نگهداشت برنامه‌ریزی‌شده، تغییر Firmware، راه‌اندازی تجهیز یا اصلاح پیکربندی تفکیک شود.
حفاظت از نقاط پایانی و کنترل رسانه‌های قابل حمل
تهدید همیشه از شبکه شروع نمی‌شود. USB آلوده می‌تواند روی Engineering Workstation فایل یا Script مخرب اجرا کند، پیش از آنکه ارتباط شبکه‌ای دیده شود. KICS for Nodes برای Workstationها و Serverهای صنعتی قابلیت‌هایی مانند Real-Time File Protection، Applications Launch Control، Device Control و System Integrity Monitoring ارائه می‌دهد.
Applications Launch Control اجرای فایل‌ها، Scriptها و بسته‌های نصب را به موارد تأییدشده محدود می‌کند. Device Control دسترسی به رسانه‌های قابل‌حمل را مدیریت و اسکن USB پیش از استفاده را ممکن می‌کند. این کنترل‌ها هنگام انتقال Firmware، فایل پروژه، نسخه پشتیبان و بسته به‌روزرسانی کاربرد دارند.
در بسیاری از سایت‌های صنعتی، حذف کامل USB یا دسترسی از راه دور عملی نیست. تعیین کاربران و تجهیزات مجاز، اسکن رسانه‌ها، Allowlisting برنامه‌ها و ثبت فعالیت‌ها، نگهداشت ضروری را کنترل‌پذیر و قابل‌ردیابی می‌کند.
بررسی یکپارچه رخداد و واکنش حساب‌شده
یک فایل مشکوک روی Endpoint، بدون دانستن رویدادهای قبل و بعد از اجرای آن، تصویر کاملی نمی‌دهد. ارتباط جدید شبکه نیز بدون شناخت Process، Application یا User ایجادکننده آن ممکن است برای تصمیم‌گیری کافی نباشد. یکپارچگی KICS for Networks با اجزای پشتیبانی‌شده حفاظت نقطه پایانی، داده‌های شبکه و Endpoint را کنار هم قرار می‌دهد و امکان بررسی رویدادهای مرتبط در قالب یک Incident را فراهم می‌کند.
قابلیت EDR در KICS for Networks به تحلیل رخداد و اجرای برخی اقدامات واکنشی روی نقاط پایانی کمک می‌کند؛ از جمله ایزوله‌کردن سیستم، جلوگیری از اجرای فایل، قرنطینه فایل یا توقف یک Process. در OT، اجرای این اقدامات باید مطابق رویه از پیش تعیین‌شده باشد. برای مثال، جداکردن Engineering Workstation فعال یا Server مرتبط با تولید ممکن است خود به عملیات آسیب بزند. سیاست پاسخ باید با توجه به اهمیت دارایی و با تأیید مشترک تیم‌های SOC، OT و بهره‌برداری تدوین شود.
کشف و مقابله با دستکاری تنظیمات
هر اختلال صنعتی حاصل بدافزار نیست. تغییر اشتباه یا غیرمجاز در تنظیمات Switch، Server، سیستم‌عامل یا PLC نیز می‌تواند اثر جدی داشته باشد. Configuration Control در KICS for Networks پیکربندی تجهیزات پشتیبانی‌شده را جمع‌آوری و نگهداری می‌کند و وضعیت فعلی را با نسخه پیشین یا Golden Configuration می‌سنجد تا تغییرات سریع‌تر آشکار شوند.
در KICS for Nodes، قابلیت PLC Project Integrity Check برای PLCهای پشتیبانی‌شده اطلاعات پروژه را با نسخه مرجع مقایسه می‌کند و عدم انطباق با وضعیت تأییدشده را نشان می‌دهد.
مدیریت آسیب‌پذیری با واقعیت‌های تولید
کشف آسیب‌پذیری در یک Server صنعتی الزاماً به معنی امکان نصب فوری Patch نیست. نقش تجهیز در فرایند، سازگاری Patch، تأیید سازنده و زمان مجاز نگهداشت باید هم‌زمان بررسی شوند. KICS for Networks ارزیابی آسیب‌پذیری و انطباق را در کنار اطلاعات دارایی و ارتباطات شبکه قرار می‌دهد تا اولویت اصلاح فقط به امتیاز CVE وابسته نباشد.
برای سیستم‌های قدیمی که ارتقا یا Patch سریع ندارند، کنترل‌های جبرانی اهمیت پیدا می‌کنند: Segmentation، Application Control، Device Control، محدودسازی ارتباطات، پایش غیرفعال، کنترل پیکربندی و نظارت بر دسترسی‌ها. ترکیب این اقدامات می‌تواند احتمال سوءاستفاده و دامنه اثر حادثه را کاهش دهد.
ارزیابی KICS در شبکه واقعی OT
KICS فراتر از یک آنتی‌ویروس صنعتی است. این پلتفرم شناسایی دارایی، پایش شبکه، تحلیل رفتار فرایند، حفاظت از Endpoint، کنترل تغییرات و پاسخ به رخداد را در معماری متناسب با OT گرد هم می‌آورد. KICS for Networks دید شبکه صنعتی را فراهم می‌کند و KICS for Nodes حفاظت و تله‌متری Workstationها و Serverهای صنعتی را تکمیل می‌کند.
شرکت ایمن آزما افزار با خدمات مشاوره تخصصی، طراحی و اجرای نصب آزمایشی و پیاده‌سازی Kaspersky Industrial Cybersecurity Platform، به صنایع در ارزیابی و ارتقای امنیت زیرساخت‌های OT کمک می‌کند.
برای مطالعه کامل مقاله امنیت سایبری صنعتی با KICS اینجا کلیک کنید.