اخبار و اطلاعیه‌های مهم را اول دریافت کن
امنیت اتوماسیون صنعتی به معنای حفاظت از سیستم های کنترل (نظیر PLC، SCADA و DCS) در برابر حملات سایبری، دسترسی های غیرمجاز و بدافزارها است. با اتصال شبکه های عملیاتی (OT) به اینترنت برای مقاصد مانیتورینگ، خطرات سایبری به شدت افزایش یافته است. پیاده سازی معماری دفاع در عمق، جداسازی شبکه ها (DMZ) و استفاده از سخت افزارهای اورجینال، از الزامات حیاتی برای جلوگیری از توقف خطوط تولید و حوادث فاجعه بار صنعتی به شمار می رود.
امنیت اتوماسیون صنعتی به مجموعه معماری ها، سیاست گذاری ها، نرم افزارها و سخت افزارهایی اطلاق می شود که برای محافظت از سیستم های کنترل صنعتی (ICS)، کنترل کننده های منطقی (PLC)، سیستم های اسکادا (SCADA) و شبکه های ارتباطی در برابر حملات سایبری طراحی شده اند. هدف اصلی این امنیت، تضمین پایداری، دسترس پذیری دائمی (Availability) و ایمنی فیزیکی ماشین آلات و پرسنل کارخانه است تا از هرگونه اخلال در فرآیند تولید، سرقت داده های محرمانه صنعتی و تغییرات غیرمجاز در پارامترهای حیاتی دستگاه ها جلوگیری به عمل آید.
طراحی معماری امن و تامین تجهیزات اورجینال با مبین نیرو
ما در شرکت مبین نیرو، با پشتوانه دهه ها حضور موفق در اجرای پیچیده ترین پروژه های صنعتی کشور، به خوبی از خطرات استفاده از تجهیزات آسیب پذیر و تقلبی آگاهیم. مبین نیرو به عنوان نماینده رسمی و واردکننده مستقیم برندهای تراز اول جهانی از جمله اشنایدر الکتریک، تکو (TECO)، سایمون (Cimon) و اسپکتر، امن ترین بستر سخت افزاری را برای شما فراهم می کند. تیم مهندسی ما آماده است تا با ممیزی شبکه های موجود شما، معماری دفاع در عمق را پیاده سازی کرده و قطعاتی با بالاترین سطح امنیت سایبری را با قیمت رقابتی تامین نماید. برای دریافت مشاوره تخصصی و ایمن سازی خطوط تولید خود، همین امروز با ما در تماس باشید:
آدرس دفتر مرکزی: تهران ، خیابان قائم مقام فراهانی ، کوچه بیستم ، پلاک 7 ، واحد 5
تلفن تماس مستقیم دپارتمان مهندسی و اتوماسیون: 02188842616
بسیاری از مدیران فنی کارخانجات بر این باورند که چون سیستم کنترل آن ها به اینترنت متصل نیست، پس در برابر حملات سایبری کاملاً ایمن هستند. این یک اشتباه استراتژیک و مرگبار است که در مهندسی امنیت به آن «توهم شکاف هوایی» می گویند.
بدافزار معروف استاکس نت (Stuxnet) ثابت کرد که برای نابودی یک تاسیسات صنعتی، نیازی به اتصال اینترنت نیست. یک پیمانکار خارجی، یک تکنسین نگهداری با یک فلش مموری (USB Drive) آلوده، و یا حتی یک لپ تاپ برنامه نویسی که برای اعمال تغییرات به اتوماسیون صنعتی plc متصل می شود، می تواند پیچیده ترین بدافزارها را به ایزوله ترین شبکه های صنعتی وارد کند.
امروزه هکرها تنها به دنبال سرقت اطلاعات نیستند. حملات باج افزاری (Ransomware) نظیر LockerGoga که شرکت های بزرگ آلومینیوم سازی در جهان را فلج کرد، نشان داد که مهاجمان کل شبکه کنترل کارخانه را رمزنگاری کرده و تا زمانی که میلیون ها دلار باج دریافت نکنند، اجازه روشن شدن حتی یک الکتروموتور را به شما نخواهند داد. از این رو، ارتقای امنیت در اتوماسیون، پیش نیاز هرگونه طرح توسعه در کارخانجات مدرن است.
هنگامی که از امنیت سایبری اتوماسیون صنعتی صحبت می کنیم، منظور ما نصب یک آنتی ویروس ساده روی کامپیوترهای اتاق کنترل نیست. سیستم های اتوماسیون شامل قطعات الکترونیک قدرت، سنسورهای ابزار دقیق و کنترلرهایی هستند که سیستم عامل های خاص خود (Real-Time OS) را دارند و آنتی ویروس های تجاری روی آن ها نصب نمی شوند.
امنیت سایبری در این حوزه باید در لایه های مختلف سخت افزار و نرم افزار اعمال شود. به عنوان مثال:
امنیت شبکه شریان حیاتی دفاع سایبری در محیط های صنعتی است. در کارخانجات قدیمی، ارتباطات مبتنی بر پروتکل های سریالی ساده (نظیر RS-485 و مدباس ساده) بود که هک کردن آن ها نیازمند حضور فیزیکی در کنار دستگاه بود. اما امروزه تمام دستگاه ها، حتی اینورترها و درایوهای فرکانس متغیر، دارای پورت های اترنت (Ethernet) هستند و از پروتکل های مبتنی بر IP استفاده می کنند.
برای ایمن سازی شبکه های صنعتی، باید مفاهیم زیر با دقت مهندسی پیاده سازی شوند:
یکی از مهم ترین چالش ها در پیاده سازی امنیت اتوماسیون، تقابل تفکرات مهندسان فناوری اطلاعات (IT) و مهندسان فناوری عملیاتی (OT – مهندسان برق و کنترل) است. اگر یک مهندس IT بدون درک از محیط صنعتی بخواهد امنیت را پیاده کند، ممکن است کارخانه را به مرز انفجار بکشاند! درک تفاوت های کلیدی امنیت IT و امنیت OT برای یکپارچه سازی موفق، الزامی است.
برای روشن شدن این تفاوت ها، باید به مثلث معروف امنیت سایبری بپردازیم: محرمانگی (Confidentiality)، یکپارچگی (Integrity) و دسترس پذیری (Availability).
| شاخص مقایسه | شبکه های فناوری اطلاعات (IT) | شبکه های فناوری عملیاتی (OT – اتوماسیون صنعتی) |
| اولویت مثلث امنیت | ۱. محرمانگی ۲. یکپارچگی ۳. دسترس پذیری (CIA) | ۱. دسترس پذیری ۲. یکپارچگی ۳. محرمانگی (AIC) |
| مهم ترین هدف امنیتی | حفظ حریم خصوصی داده ها و جلوگیری از سرقت اطلاعات مالی. | حفظ ایمنی جانی پرسنل، جلوگیری از انفجار و توقف نکردن خط تولید. |
| پاسخ به تهدید (Incident Response) | اگر ویروسی کشف شود، سرور فوراً خاموش (Shut down) می شود تا دیتا سرقت نشود. | خاموش کردن ناگهانی یک PLC در فرآیند پتروشیمی باعث انفجار می شود. سیستم باید به کار خود ادامه دهد و ایزوله شود. |
| بروزرسانی (Patch Management) | ویندوز و نرم افزارها به صورت مداوم و خودکار آپدیت و ری استارت می شوند. | آپدیت کردن فرم ور (Firmware) یک درایو صنعتی ممکن است ماه ها نیاز به برنامه ریزی داشته باشد تا در زمان تعمیرات دوره ای انجام شود. |
| تاخیر مجاز در شبکه (Latency) | چند ثانیه تاخیر در لود شدن ایمیل، هیچ فاجعه ای در پی ندارد. | تاخیر چند میلی ثانیه ای در شبکه پروفی نت، باعث برخورد بازوهای رباتیک و خسارات سنگین می شود. |
به طور خلاصه، در دنیای IT، “محرمانگی داده” پادشاه است؛ اما در دنیای اتوماسیون صنعتی برق، “در دسترس بودن مداوم تجهیزات و ایمنی فیزیکی” اولویت مطلق است. هیچ کس نباید پسورد یک فایل ورد را بداند، اما مقادیر دمای یک کوره راز دولتی نیست؛ مسئله این است که کسی نباید بتواند آن دما را دستکاری کند (یکپارچگی) و سنسور دما باید همیشه کار کند (دسترس پذیری).
برای اینکه کارخانجات در برابر طوفان حملات مدرن مقاوم بمانند، رویکردهای واکنشی دیگر کارساز نیستند. ما در پروژه های ممیزی و طراحی معماری که در مبین نیرو انجام داده ایم، همواره بر پیاده سازی استراتژی های اصلی برقراری امنیت صنعتی بر پایه مفهوم «دفاع در عمق» (Defense in Depth) پافشاری می کنیم.
این استراتژی برگرفته از تاکتیک های نظامی است. ایده اصلی این است که نباید تنها به یک لایه دفاعی (مثلاً یک فایروال در ورودی کارخانه) اکتفا کرد. اگر هکر از فایروال اول عبور کند، باید با موانع دیگری روبرو شود. این موانع شامل امنیت فیزیکی، سیاست های سازمانی، فایروال های شبکه ای، امنیت کامپیوترهای میزبان، و در نهایت امنیت خود قطعات کنترلر است.
بر اساس مدل هرمی پردو (Purdue Model)، کارخانه به لایه های مختلفی از سطح ۰ (سنسورها) تا سطح ۴ (شبکه اداری و ERP) تقسیم می شود. استراتژی حیاتی این است که شبکه اداری (IT) نباید هرگز به صورت مستقیم با شبکه کنترل (OT) ارتباط داشته باشد.
بین لایه ۳ (عملیات تولید) و لایه ۴ (شبکه اداری)، باید یک زون ایزوله به نام منطقه غیرنظامی یا DMZ ایجاد شود. این منطقه توسط دو فایروال سخت افزاری قدرتمند محافظت می شود. اگر مدیرعامل در دفتر خود بخواهد آمار تولید را ببیند، به سرورهای داخل DMZ متصل می شود، نه اینکه مستقیماً به PLC داخل خط تولید وصل گردد.
امروزه ماشین سازان برای پشتیبانی و رفع عیب تجهیزات خود، نیازمند دسترسی از راه دور از طریق اینترنت هستند. باز گذاشتن پورت های اینترنتی (نظیر RDP یا VNC) برای دسترسی این افراد، یک خودکشی سایبری است. دسترسی های از راه دور باید منحصراً از طریق تونل های رمزنگاری شده (Industrial VPN)، احراز هویت دو مرحله ای (2FA) و تنها در بازه های زمانی مشخص و تحت نظارت کامل مدیر فنی کارخانه انجام پذیرد.
یکی از کابوس های امنیت در اتوماسیون، وجود کامپیوترهایی با سیستم عامل ویندوز XP یا ویندوز 7 در اتاق های کنترل است که نرم افزارهای مانیتورینگ کارخانه روی آن ها در حال اجراست و به هیچ وجه قابل ارتقا نیستند (زیرا نرم افزار قدیمی روی ویندوزهای جدید کار نمی کند). این سیستم ها پر از آسیب پذیری های شناخته شده هستند. استراتژی برخورد با این سیستم ها، قطع کامل دسترسی آن ها به اینترنت، غیرفعال کردن پورت های USB و احاطه کردن آن ها با فایروال های صنعتی (ایزولاسیون خرد یا Micro-segmentation) است.
طراحی سیستم های امنیتی بدون تکیه بر استانداردهای جهانی، کاری بیهوده و غیرقابل اندازه گیری است. مهندسان چگونه متوجه شوند که آیا کارخانه آن ها امن است یا خیر؟ برای پاسخ به این نیاز، استانداردهای مرجع امنیت صنعتی تدوین شده اند که مهم ترین آن ها استاندارد ISA/IEC 62443 است.
“استاندارد بین المللی ISA/IEC 62443 جامع ترین چارچوب جهانی برای ایمن سازی سیستم های کنترل صنعتی و شبکه های اتوماسیون است. این استاندارد با تعریف دقیق مفاهیمی نظیر «مناطق و مجراها» (Zones and Conduits) و تعیین سطوح امنیتی (Security Levels)، به سازمان ها اجازه می دهد تا دارایی های حیاتی خود را گروه بندی کرده و سیاست های دفاع در عمق را بر اساس ارزیابی ریسک سایبری، به صورت ساختاریافته و قابل تایید پیاده سازی کنند.” International Electrotechnical Commission – IEC
بر اساس این استاندارد، به جای اینکه کل کارخانه را یکپارچه در نظر بگیریم، تجهیزاتی که نیازمندی های امنیتی مشابه دارند را در یک “منطقه” (Zone) دسته بندی می کنیم. مثلاً تمام تجهیزات کوره ذوب در Zone 1 و تمام تجهیزات بسته بندی در Zone 2 قرار می گیرند. ارتباط بین این مناطق تنها از طریق مسیرهای مجاز و به شدت کنترل شده ای به نام “مجرا” (Conduit) انجام می شود که روی آن ها فایروال های صنعتی قرار دارد. اگر Zone 2 توسط بدافزار آلوده شود، به دلیل بسته بودن مجراها، عفونت به Zone 1 سرایت نمی کند.
شما می توانید میلیون ها تومان صرف خرید فایروال و طراحی شبکه کنید، اما اگر سخت افزار نصب شده در کف کارخانه دارای درپشتی (Backdoor) یا آسیب پذیری های پنهان باشد، تمام قلعه شما فرو خواهد ریخت.
متاسفانه به دلیل شرایط تحریم، بازار اتوماسیون ایران مملو از قطعات کپی شده، ری مارک شده و تجهیزات قاچاق است. تجهیزات تقلبی نه تنها از نظر متالورژی و کیفیت پایین هستند، بلکه فرم ور (Firmware) آن ها توسط شرکت های نامعتبر دستکاری شده است و هیچ گونه آپدیت امنیتی (Security Patch) برای آن ها منتشر نمی شود. استفاده از این تجهیزات، راه را برای نفوذ هکرها و استخراج اطلاعات فرآیندی باز می گذارد.
تجهیزات مدرن و اورجینالی نظیر درایوهای پیشرفته تکو که در نمایندگی اینورتر تکو در شرکت مبین نیرو عرضه می شوند، دارای ریزپردازنده های امن و پروتکل های رمزنگاری شده برای جلوگیری از دستکاری پارامترها از طریق شبکه هستند. همچنین تجهیزات حفاظت جان مانند فیوز محافظ جان اشنایدر الکتریک اگرچه در لایه قدرت کار می کنند، اما استفاده از نوع اورجینال آن ها تضمین می کند که در صورت بروز اختلالات هارمونیک و نوسانات ناشی از حملات سایبری به درایوها، ایمنی فیزیکی پرسنل حفظ شود.
بله. بدافزارها و باج افزارها (Ransomware) معمولاً کورکورانه در اینترنت و شبکه ها می چرخند و به دنبال طعمه های آسان می گردند. یک کارخانه کوچک که پروتکل های امنیتی ضعیفی دارد، سریع ترین قربانی باج افزارها خواهد بود که باعث پاک شدن تمام برنامه های PLC و توقف تولید می شود.
در این نوع حمله، هکر خود را بین HMI (نمایشگر) و PLC قرار می دهد. هکر به HMI نشان می دهد که دمای کوره نرمال است (تا اپراتور شک نکند)، اما در همان لحظه فرمان افزایش شدید دما را به PLC ارسال می کند که منجر به فاجعه و انفجار دستگاه می شود. استفاده از پروتکل های رمزنگاری شده این نوع حمله را خنثی می کند.
آنتی ویروس های معمولی (IT) در زمان اسکن فایل ها، منابع زیادی از CPU را اشغال می کنند و ممکن است یک فایل حیاتی ویندوز را قرنطینه کنند. در محیط صنعتی، اشغال شدن CPU حتی برای چند ثانیه باعث قطع ارتباط مانیتورینگ با خط تولید می شود. در محیط OT از آنتی ویروس های خاص صنعتی یا تکنیک Application Whitelisting استفاده می شود که فقط به برنامه های از پیش تایید شده اجازه اجرا می دهند.
شبکه های بی سیم استاندارد به شدت مستعد هک شدن و شنود هستند و همچنین نویزهای الکترومغناطیسی کارخانه روی آن ها تاثیر می گذارد. در صورت الزام به استفاده از ارتباط بی سیم، باید از روترهای صنعتی با استانداردهای رمزنگاری فوق پیشرفته (نظیر WPA3-Enterprise) و پنهان کردن شناسه شبکه (SSID) استفاده نمود.
در این حمله، مهاجم هزاران بسته اطلاعاتی بی معنی (Ping) را در کسری از ثانیه به پورت شبکه یک PLC یا اینورتر ارسال می کند. پردازنده PLC به قدری درگیر پاسخگویی به این پیام های دروغین می شود که دیگر نمی تواند وظیفه اصلی خود (مثلاً متوقف کردن پمپ) را انجام دهد و دستگاه دچار فروپاشی (Crash) می شود. سوئیچ های صنعتی مدیریت پذیر می توانند این حملات را در نطفه خفه کنند.
به هیچ وجه. دستگاه های CNC دارای کنترلرهای بسیار حساسی هستند. اتصال مستقیم آن ها به مودم اینترنت کارگاه بدون عبور از یک فایروال سخت افزاری صنعتی، راه را برای نفوذ ویروس ها باز می کند. آپدیت ها باید ابتدا در یک کامپیوتر ایزوله بررسی و اسکن شده و سپس از طریق تونل های امن به دستگاه منتقل شوند.
قوی ترین فایروال های جهان در برابر فریب خوردن انسان ها ناتوانند. هکر با ارسال یک ایمیل فریبنده (Phishing) حاوی یک فایل اکسل (مثلاً با عنوان لیست حقوق پرسنل) برای اپراتور اتاق کنترل، بدافزار را وارد حساس ترین شبکه کارخانه می کند. آموزش مداوم پرسنل، مهم ترین سپر دفاعی در برابر مهندسی اجتماعی است.
بله. برخلاف پروتکل های قدیمی و ناامن مانند مدباس (که هیچ گونه رمزنگاری و احراز هویتی ندارند)، معماری OPC UA از پایه با دیدگاه امنیتی طراحی شده است و دارای مکانیزم های تبادل سرتیفیکیت دیجیتال، رمزنگاری ترافیک و احراز هویت دوطرفه بین تجهیزات و سرورها است.
سیستم های SIEM (مدیریت رویداد و اطلاعات امنیتی) ابزارهای نرم افزاری پیشرفته ای هستند که تمام لاگ ها (گزارشات وقایع) را از فایروال ها، ویندوزها، سوئیچ ها و پی ال سی ها جمع آوری کرده و با استفاده از هوش مصنوعی، الگوهای حملات پنهان را کشف و به مهندسین امنیت هشدار می دهند.
تیم مهندسی مبین نیرو در گام اول با حضور در سایت کارخانه، نقشه دقیق وضعیت موجود (As-Is) شبکه های اتوماسیون و تجهیزات متصل را ترسیم می کند. در گام دوم، آسیب پذیری ها و ریسک ها (Vulnerability Assessment) بر اساس استاندارد IEC 62443 شناسایی می شوند. در نهایت، با ارائه یک پروپوزال مهندسی شامل تغییر توپولوژی شبکه، افزودن فایروال های صنعتی و ارتقای سخت افزارهای فرسوده به قطعات اورجینال، امنیت کامل خط تولید شما را تضمین می کنیم.
در دنیای به هم پیوسته امروز، مرزهای فیزیکی کارخانجات دیگر ضامن امنیت آن ها نیستند. امنیت اتوماسیون صنعتی، سپر دفاعی حیاتی در برابر تهدیدات نامرئی اما ویرانگری است که نه تنها سرمایه های مالی، بلکه ایمنی جان پرسنل و پایداری محیط زیست را هدف قرار داده اند. درک عمیق از تفاوت های کلیدی امنیت IT و امنیت OT به ما می آموزد که در محیط های صنعتی، حفظ جریان پیوسته تولید و در دسترس بودن تجهیزات، خط قرمزی است که نباید حتی یک میلی ثانیه خدشه دار شود.
پایه ریزی این قلعه دفاعی نیازمند پیاده سازی استراتژی های اصلی برقراری امنیت صنعتی بر مبنای معماری دفاع در عمق و زون بندی شبکه هاست. با تکیه بر استانداردهای مرجع امنیت صنعتی نظیر IEC 62443، می توان سیستم های آسیب پذیر را شناسایی و مقاوم سازی کرد. اما فراموش نکنید که امن ترین معماری های شبکه ای نیز در صورت اجرا بر روی سخت افزارهای تقلبی و فاقد پشتوانه، محکوم به فروپاشی هستند.
دپارتمان مهندسی و بازرگانی شرکت مبین نیرو، با اتکا به سال ها تخصص در طراحی معماری های کنترلی و واردات بدون واسطه تجهیزات از معتبرترین برندهای جهانی نظیر اشنایدر الکتریک، سایمون و تکو، مطمئن ترین شریک شما در مسیر ارتقای امنیت سایبری اتوماسیون صنعتی است. ما با تامین قطعات صد در صد اورجینال و پیاده سازی اصولی ترین شبکه های امنیت شبکه، دژ مستحکمی به دور دارایی های ارزشمند شما بنا خواهیم کرد.
برای دریافت مشاوره تخصصی رایگان، ممیزی امنیتی خطوط تولید و استعلام قیمت تجهیزات اورجینال اتوماسیون، همین امروز با کارشناسان خبره ما در ارتباط باشید:
آدرس دفتر مرکزی: تهران ، خیابان قائم مقام فراهانی ، کوچه بیستم ، پلاک 7 ، واحد 5
تلفن تماس مستقیم دپارتمان مهندسی و اتوماسیون: 02188842616
