آموزش تحلیل فارنزیک حمله سایبری

برگزاری دوره آموزشی تحلیل اهم حوادث سایبری در ایران

آموزش تخصصی تحلیل اهم حوادث سایبری در ایران   برگرفته از دستاوردهای تیم تحلیل حوادث امان، توسط واحد آموزش تخصصی امنیت سایبری صنعتی شرکت امان (پیشگامان امن آرمان) در دی‌ماه 1402 برگزار گردید.

جهت آشنایی بیشتر با خدمات تیم تحلیل حوادث امان این کلیپ را مشاهده فرمایید.

جهت آشنایی بیشتر با شرکت امان (پیشگامان امن آرمان) ‌این تیزر معرفی را ببینید.

در ادامه لیست برخی آموزش‌ها، سمینار‌ها و دور‌ه‌های امنیت سایبری تقدیم می‌گردد که برای دریافت پروپوزال هر یک از آن‌ها و اطلاع از جزئیات کمی و کیفی آن‌ها می‌توانید با شرکت پیشگامان امن آرمان(امان) تماس حاصل فرمایید. با کلیک بر روی هر عنوان از فهرست ذیل می‌توانید نمونه دوره‌های برگزار شده یا سوابق مرتبط با موضوع ذکر شده را مشاهده نمایید.

فارنزیک صنعتی
تحلیل حمله سایبری به جایگاه های سوخت
تحلیل حملات سایبری صنعتی
الزامات امنیتی سیستم های کنترل صنعتی

سند توصیه ‏های امنیتی پیرو حمله سایبری به صنعت فولاد

📢 سند توصیه ‏های امنیتی جهت پیشگیری از گسترش حملات سایبری به سیستم های صنعتی بر اساس حمله به صنعت فولاد آماده شد .

🔖هدف این سند، ارائه توصیه‏ های امنیتی ضرب‌الاجلی جهت پیشگیری از گسترش حملات سایبری به سیستم های صنعتی کشور است. لازم به ذکر است که این توصیه ها بر اساس تجارب گذشته و حملات مشابه اخیر به صنایع کشور ارائه‌شده است.

⛑️در این سند به جزئیات فنی حمله‌ی اخیر و نحوه آلودگی در صنایع فولاد پرداخته نمی‌شود و صرفاً توصیه‌های امنیتی جهت پیشگیری بیان خواهد شد. دلیل این امر این است که ارائه جزئیات فنی حمله مذکور در واحدهای صنعتی فولاد کشور به شکل رسمی از سوی مراجع ذی صلاح اطلاع رسانی خواهد شد و شرکت امان به این رویه احترام می‌گذارد.

🟣 صنایعی که تمایل دارند این سند را دریافت نمایند از طریق ایمیل یا تلفن با امان تماس بگیرند .
Info@AmanSec.ir
88581798 (021)

الزامات امنیتی سیستم های کنترل صنعتی
حمله سایبری به شبکه های کنترل صنعتی
IEC104

معرفی اجمالی پروتکل صنعتی IEC 60870-5-104 (بخش اول)



به گزارش واحد تخصصی آگاهی‌بخشی سایبر صنعتی شرکت پیشگامان امن آرمان(امان)، سیستمهای کنترل صنعتی که در صنایع و زیرساخت‌های حیاتی مورداستفاده قرار می‌گیرند، از پروتکل‌های ارتباطی متعددی استفاده می‌کنند؛ غالب این پروتکل‌ها به دلایل مختلف دارای چالش‌های امنیتی متعددی‌اند که امکان خرابکاری توسط مهاجمین را فراهم می‌سازد. یکی از پروتکل‌هایی که در شبکه‌های کنترل صنعتی برای انتقال اطلاعات و کنترل تله‌متری مورداستفاده قرار می‌گیرد IEC 60870-5-104 است که در این مجموعه مقاله(شش بخش خبری جداگانه) از منظر امنیت سایبر-فیزیکی موردبررسی قرارگرفته است؛ باهدف تسهیل فرآیند شناخت جوانب امنیتی مختلف پروتکل نامبرده تلاش شده است تا با تحلیل و بررسی عملیاتی پروتکل هدف در بستر آزمایشگاهی، اهم آسیب‌پذیری‌های مرحله طراحی، پیاده‌سازی و تهدیدات امنیتی آن شناسایی‌شده و برخی راهکارهای امن سازی مرحله طراحی پروتکل و چالش‌های درگیر در آن بررسی شود.

درگذشته سیستم ‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار می‌گرفتند، به‌صورت جدا از سایر سیستم ‌ها ازجمله شبکه‌های جهانی اینترنت به کار گرفته می‌شدند و این امر روشی در امن سازی این سیستم ‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سیستم ‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست.

به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سیستم ‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین یا به‌روزرسانی می‌گردند. در سیستم ‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد که این امر موجب دسترسی مستقیم و غیرمستقیم به این سیستم ‌ها از طریق شبکه‌های اختصاصی و یا اینترنت گردیده و آن‌ها را همانند سایر محصولات درگیر با فناوری‌های اطلاعات در مقابل تهدیدات سایبری آسیب‌پذیر نموده است. در مواجهه با این تهدیدات که روزبه‌روز در حال افزایش هستند، اقدامات متعارفی نظیر اطلاع‌رسانی امنیتی، اتخاذ خط‌مشی‌های امنیتی مؤثر و سایر فعالیت‌های مقتضی با تأخیر به این حوزه ورود یافته و پرداختن به این قبیل موارد را اجتناب‌ناپذیر نموده است.

 گسترش روزافزون شبکه‌هاي ارتباطي، امنيت آن‌ها به چالش مهمي براي شرکت‌ها و سازمان‌های مختلف تبدیل‌شده است. نصب انواع تجهیزات امنیتی نظیر ضدبدافزارها، دیواره‌های آتش، سیستم ‌های تشخیص نفوذ و راه‌اندازی تونل‌هاي امن اختصاصی، جداسازي منطقي شبکه‌ها[1] و راهکارهاي ديگر به اين منظور استفاده مي‌شوند. يکي از بخش­هایی که به دلیل درگیری اجزای مختلف سایبری و فیزیکی از شبکه به شکل وسیع براي ارتباط بين تجهيزات مختلف استفاده می­کند، محيط­های صنعتي می‌باشد. امروزه محیط­های صنعتی به‌عنوان یکی از مهم‌ترین کاربردهای سیستم ­های سایبر-فیزیکی  مطرح است.

 زمانی که سیستم ‌های اسکادا (سیستم  کنترل سرپرستی و گردآوری داده) طراحی و پیاده‌سازی شد، میزان ارتباطات این نوع سیستم  با سایر شبکه‌ها در کمترین میزان ممکن بود یا اصلاً هیچ ارتباطی با شبکه‌های دیگر نداشت. با توسعه سیستم ‌های اسکادا، تجهیزات این سیستم ‌ها به سمت اتصالات متقابل و برقراری ارتباط با سایر تجهیزات نظیر فیبر‌های نوری، تجهیزات رادیویی و ماکروویو، خطوط تلفنی، ماهواره‌ها و اینترانت حرکت کردند. به‌مرور این سیستم ‌ها از شبکه‌های نقطه‌به‌نقطه به معماری‌های ترکیبی با ایستگاه‌های کاری فرمانده[2] منفرد، ایستگاه‌های فرمانده- فرمانبر[3] و RTU[4]های چندگانه توسعه پیدا کردند.

استانداردهای IEC 60870 مجموعه‏ای از استانداردهای تدوین‌شده توسط[5]IEC بین سال­های 1988-2000 است که شامل شش بخش به همراه چند استاندارد ضمیمه[6] به‌منظور فراهم آوردن یک استاندارد باز برای ارتباط بین سیستم ‌های صنعتی است. IEC 60870 در ابتدا صرفاً برای برقراری ارتباط بین دستگاه‌های الکتریکی و اطلاعات فرمانی بود، اما ازآنجایی‌که دارای انواع داده‌های عمومی[7]بود، در نرم­افزارها و شبکه‌های اسکادا نیز مورداستفاده فراوان قرارگرفته است؛ به تعبیر دیگر محدودیتی برای قابلیت استفاده از این استاندارد در دیگر موارد وجود ندارد. این استاندارد به‌عنوان یک گزینه پیش‌فرض در صنایع الکترونیکی کشورهای اروپایی استفاده می‌شود.

به ساده‌ترین بیان IEC 60870-5 باهدف ارسال پیام‌های کنترل از راه دوربین دو سیستم  طراحی‌شده است. در دهه 1990 میلادی دو پروتکل شبکه استاندارد باز تحت عنوان IEC60870-5-101 و[8]DNP3 برای سیستم ‌های اسکادا توسط سازمان IEC و شرکت DNP توسعه داده شدند. علیرغم تفاوت‌ در لایه‌های عملکردی بالا و اشیاء داده‌ای، این دو پروتکل دارای شباهت‌هایی در رویه ارتباطی در لایه ارتباط داده بودند.

پروتکل IEC 60870-5-104 در استاندارد مرجع با عنوان کلی «دسترسی به شبکه با استفاده از روش‌های انتقال استاندارد» مطرح است که مشخص‌کننده نحوه استفاده از پروتکل TCP/IP در این استاندارد است. این استاندارد ضمیمه در سال 2000 میلادی جهت سیستم ‌های اسکادای برق طراحی شد و به‌عنوان یک واسط باز TCP/IP برای ارتباط بین تجهیزات مختلف در شبکه‌های اینترانت و اینترنت استفاده می‌شود.  IEC 60870-5-104 که به تعبیر دیگر از آن به‌عنوان پروتکل ارتباطی صنعتی استاندارد یاد می‌شود عموماً در شبکه‌های کنترلی مورداستفاده قرار می‌گیرد.  IEC 60870-5-104 در مراکز کنترل صنعتی کاربرد قابل‌توجهی دارد. حمله‌ی پیشرفته‌ی بدافزاری موسوم به Crashoverride در سال 2016 به زیرساخت‌های برق اوکراین که منجر به قطع برق سراسر شد، نشان داد که مهاجمان به‌سادگی می‌توانند به  IEC 60870-5-104 و سایر پروتکل‌های مشابه ( IEC 60870-5-101،IEC61850 و OPC DA) حمله کنند و از آسیب‌پذیری‌های آن‌ها نهایت سوءاستفاده را بکنند.

 IEC 60870-5-104 بر اساس مدل معماری کارایی ارتقاءیافته ([9]EPA) طراحی‌شده است. مدل EPA، لایه نمایش، نشست و انتقال را از مدل OSI حذف کرده است و لایه فرایند کاربر[10] به آن اضافه‌شده است. ساختار پی‌آیند بسته‌های  IEC 60870-5-104 عموماً با نام APDU[11] شناخته می‌شود و دارای دو بخش[12]ASDU و APCI[13] است؛ این ساختار در شکل (1) قابل‌مشاهده است. این پروتکل بر اساس انتقال ASDU طراحی‌شده است. هر ASDU دارای یک شناسه نوع[14] است. هر نوع داده دارای یک شناسه نوع منحصربه‌فرد است؛ انواع داده‏ای این پروتکل به شکل عمومی[15] بوده و مناسب انواع کاربردهای شبکه‏های اسکادا می‌باشد [5].

(شكل-1): ساختار پی‌آیند بسته  IEC 60870-5-104 [24 ]

یکی از مهم‌ترین ویژگی‌های موردتوجه پروتکل  IEC 60870-5-104 امکان ارتباط با شبکه‌های استاندارد (به‌ویژه شبکه‌های TCP/IP) است که اجازه انتقال هم‌زمان داده‌های چندین دستگاه و خدمت را می‌دهد. در زیر فهرستی از کاربردهایی که  IEC 60870-5-104 فراهم می‌کند را مشاهده می‌کنیم:

  • انتقال دستورهای مستقیم
  • انتقال فوری داده‌ها
  • انتقال داده در صورت نیاز
  • هم‌زمان‌سازی ساعت
  • انتقال فایل

در ادامه این مقاله در بخش دوم کارهای انجام‌شده درزمینه‌ی امن سازی پروتکل‌های ارتباطی سیستم ‌های کنترل صنعتی را معرفی خواهیم کرد. در بخش سوم تهدیدات و آسیب‌پذیری‌های امنیتی شناسایی‌شده در رابطه با  IEC 60870-5-104 را معرفی خواهیم کرد. در بخش چهارم راهکارهای امن سازی در مرحله طراحی و پیاده‌سازی  IEC 60870-5-104 بر اساس مراجع استاندارد ارائه می‌شود. در بخش پنجم بستر آزمایشی و ارزیابی که مجموعه تحلیل‌ها و آزمون‌های مختلف خود را بر روی آن بررسی نموده‌ایم، معرفی می‌کنیم و به نتیجه‌گیری در مورد دستاوردهای  این سری مقاله می‌پردازیم.

جهت مشاهده بخش های دیگر این مقاله بر روی بخش مورد نظر کلیک نمایید:

جهت مشاهده منابع معرفی شده در این بخش، به مقاله اصلی این خبر که توسط یکی از متخصصین شرکت پیشگامان امن آرمان(امان) در مجله معتبر  منادی امنیت فضای تولید و تبادل اطلاعات(افتا)  به چاپ رسیده است مراجعه نمایید. همچنین ‌می‌توان به کتاب مرجع این مقاله نیز مراجعه نمود.


[1] Network Logical Isolation (Air Gaps)

[2] Master

[3] Slave

[4] Remote Terminal Unit

[5] International Electro-technical Commission

[6] Companion Standards

[7] Generic Data Types

[8] Distributed Network Protocol

[9] Enhanced Performance Architecture

[10] User Process

[11] Application Protocol Data Unit

[12] Application Service Data Unit

[13] Application Protocol Control Information

[14] Type Id

[15] Generic

مطالعات تطبیقی امنیت سایبر صنعتی

تحول و امنیت سایبری سیستم‌های صنعت برق

به گزارش واحد تخصصی آگاه‌بخشی سایبر صنعتی شرکت پیشگامان امن آرمان(امان)، اخیرا سندی در حوزه  تحول و امنیت سایبری سیستم‌های صنعت برق آمریکا منتشر شده است. این گزارش بر وضعیت کنونی امنیت شبکه برق ایالات متحده با توجه به رویدادهای اخیر امنیت سایبری تمرکز دارد. رسالت امان از آگاهی‌بخشی در این مورد این است که بتوانیم از این گونه اقدامات در صنایع کشور به ویژه حوزه‌های مختلف صنعت برق الگوبرداری سازنده داشته باشیم.

موضوعات مطرح شده در این گزارش شامل مباحث زیر می‌باشد:

  • استانداردهای الزامی، اجباری و قابل اجرای حفاظت از زیرساخت‌های حیاتی،
  • تهدیدات و آسیب‌پذیری‌های شبکه هوشمند برق ،
  • امنیت و مخاطرات زنجیره تامین صنعت برق ،
  • تغییرات فناوری‌های شبکه هوشمند برق ،
  • اقدامات و برنامه‌های ملی برای کمک به امنیت شبکه صنعت برق،
  • بهبود امنیت سایبری خدمات توزیع و بسترهای کوچکتر،
  • اقدامات مضاعف در راستای بهبود بالقوه امنیت سایبری شبکه،

این گزارش همچنین به طور خلاصه به شرح لایحه‌هایی می‌پردازد که در حال حاضر در کنگره آمریکا ارائه شده است که به مسائل امنیتی شبکه هوشمند صنعت برق می‌پردازد. جهت دریافت این گزارش تخصصی روی این لینک کلیک نمایید.

با امان همراه باشید تا از اخبار تخصصی به‌روز حوزه امنیت سیستم‌های کنترل و اتوماسیون صنعتی آگاه باشید.

VulNert

گذری بر مفاهیم پایه امنیت سایبری

در حوزه امنیت سایبری به کرات شاهد این هستیم که متاسفانه واژگان کلیدی، تهدید(Threat)، رویداد(Event)، حادثه امنیتی(Security Incident )، حادثه امنیتی غیرتهاجمی(Non-Attack Security Incident) و حمله(Attack) به اشتباه به جای یکدیگر به کار می روند.در این مقاله قصد داریم به اختصار، براساس یکی مقاله منتشر شده از تیم امان در ژورنال IJCIP با عنوان Industrial control system security taxonomic framework with application to a comprehensive incidents survey این تعاریف را به زبان فارسی ارائه کنیم . لازم به ذکر است که این مفاهیم همراه با مثال از طریق فیلم آموزشی رایگان فارسی منتشر شده نیز قابل فراگیری است.

  • تهدید امنیتی: به‌طور عمومی به مجموعه عواملی در سامانه اطلاق می‌شود که پتانسیل واردکردن آسیب و ضرر به دارایی‌های سامانه را دارند؛  تهدید هر نقض بالقوه امنیت است. البته تعریف تهدید در منابع مختلف با تفاوت‌هایی همراه است به‌عنوان نمونه طبق استاندارد ISO/IEC 13335-و ISO / IEC 27000  تهدید به کلیه عواملی بالقوه اطلاق می‌شود که ممکن است به بروز آن‌ها به لطمه دیدن سامانه یا سازمان منجر شود.طبق استاندارد ANSI/ISA–99  (نسخه جدید آن با عنوان ISA/IEC-62443  ارائه‌شده است) هرگونه رویداد یا عملی که پتانسیل نقض امنیت، ایجاد رخنه و یا واردکردن صدمه را داشته باشد تهدید نامیده می‌شود.
  • رویداد: پارامتر رویداد، شامل مبدأ رویداد (مبدأ می‌تواند هرگونه حادثه طبیعی، مهاجمین، کارمندان، پیمانکاران و غیره باشد.)، عمل (که می‌تواند به‌انحاءمختلف مقداردهی شود مثلاً  مقادیر کاوش (Probe)، پویش(Scan)، کپی کردن، تغییر و غیره را برای آن در نظر گرفته است.)، هدف رویداد و تأثیر آن است. همان‌طور که در شکل ذیل مشاهده می‌کنید از زاویه دید امنیتی رویدادها به دو بخش حوادث امنیتی و غیرامنیتی تقسیم می‌شوند. حوادث غیرامنیتی به رویدادهایی نظیر حوادث طبیعی، خرابی تجهیزات و برخی حوادث نظیر انفجار در اثر سهل‌انگاری در انبار کارخانه و افتادن نیرو از ارتفاع گفته می‌شود که در آن‌ها به‌طور قاطع می‌توان اظهارنظر نمود که هیچ موضوع امنیتی مطرح نبوده است. 

 

  • حادثه امنیتی: حادثه امنیتی رویدادی است که توسط عامل (عامل‌هایی) عامدانه یا سهوی، بدخواهانه(Malicious) یا غیربدخواهانه انجام‌شده است و تأثیرات آن موجب نقض حداقل یکی از سه اصل محرمانگی(Confidentiality)، صحت(Integrity) و دسترس‌پذیری داده یا خدمات(Availability) شده و این حادثه طبیعتاً می‌تواند ریشه‌ای در یک یا چند آسیب‌پذیری داشته باشد.
  • حادثه امنیتی غیرتهاجمی: حوادث امنیتی غیرتهاجمی توسط عاملی تحقق می‌یابند که قصد بدخواهانه و عمدی ندارد؛ این عامل می‌تواند یک کارمند ناآگاه یا پیمانکار بی‌توجه باشد. قابل‌توجه است که در برخی موارد می‌تواند مبدأ یک رویداد حادثه‌ای طبیعی باشد اما چنانچه به هر نحوی ما از زاویه‌ی امنیتی به آن بنگریم و تأثیری بر روی هر یک از این سه اصل امنیتی بگذارد، در این تعریف ما آن را حادثه امنیتی غیرتهاجمی در نظر می‌گیریم.
  • حمله: حمله نوعی حادثه امنیتی است که به شکل عمدی و بدخواهانه با تکنیک‌ها و اهدافی مشخص انجام‌شده است. بر اساس این زیرساخت تعریفی، هر حمله نوعی حادثه امنیتی و هر حادثه امنیتی یک رویداد است اما عکس آن صحیح نیست.
https://bayanbox.ir/view/3216995250568699206/Ahmadian-Taxonomy-Persian2.jpg

طبقه‌بندی تهدیدات، حملات و حوادث امنیتی، به سازمان ها، دولت ها و افراد و کارشناسان اجازه می‌دهد تا تهدیدات امنیتی را به‌صورت مشخص شناسایی و موردبررسی قرار دهند و متناسب با هر تهدید بتواند حملات پیش رو و آسیب‌پذیری‌های مرتبط را مورد تحلیل و موشکافی قرار دهند. آن‌ها بر این اساس می توانند تا حد بسیار قابل‌توجهی منشأ تهدیدات حملات و حوادث و درنتیجه عوامل تأثیرگذار بر آن‌ها را شناسایی نمایند و درنتیجه بر اساس میزان اهمیت منابع مورد تهدید و حساسیت آن‌ها و میران خساراتی که برآورد می‌شود شاخص‌های متعدد مفیدی ازجمله شاخص تحلیل مخاطرات  را محاسبه نماید. جهت مطالعه بیشتر در این حوزه توصیه می کنم به اصل مقاله یا ارائه فارسی آموزشی  در این حوزه از طریق لینک های ذیل اقدام نمایید.

  1. لینک فیلم آموزشی رایگان در آپارات
  2. دانلود مقاله در سایت ژورنال
  3. لینک به اسلایدها

 جهت مشاهده و دریافت اصل مقاله می‌توانید از طریق اطلاعات و این لینک به محتوای کامل آن دسترسی پیدا کنید:

Mohammad Mehdi Ahmadian , Mehdi Shajari , Mohammad Ali Shafiee , Industrial Control System Security Taxonomic Framework with Application to a Comprehensive Incidents Survey, International Journal of Critical Infrastructure Protection (2020), doi:https://doi.org/10.1016/j.ijcip.2020.100356

در ادامه لیست برخی آموزش‌ها، سمینار‌ها و دور‌ه‌های امنیت سایبری تقدیم می‌گردد که برای دریافت پروپوزال هر یک از آن‌ها و اطلاع از جزئیات کمی و کیفی آن‌ها می‌توانید با شرکت پیشگامان امن آرمان(امان) تماس حاصل فرمایید. با کلیک بر روی هر عنوان از فهرست ذیل می‌توانید نمونه دوره‌های برگزار شده یا سوابق مرتبط با موضوع ذکر شده را مشاهده نمایید.