چالش های وارد بر امنیت شبکه‌ های OT و ICS

بسیاری از سازمان‌ها برای انجام پروژه‌های امن‌سازی ترکیبی IT/OT تلاش می‌کنند اما مهم است که بدانید اولویت‌های فناوری اطلاعات (IT) با اولویت‌های فناوری عملیاتی (OT) تفاوت دارند؛ در تیم‌های IT عموما این علاقه وجود دارد که راهکار و روش‌های جدید برای افزایش کارایی سازمان به شبکه IT اضافه شود، ولی تیم‌های OT اصولا ترجیح می‌دهند چیزی را تغییر ندهند و قابلیت اطمینان و عملکرد کارخانه برای آن‌ها از اهمیت بالاتری برخوردار است. اکثر شبکه‌های OT باید ۲۴ ساعت شبانه‌روز بدون وقفه کار کنند و بنابراین، هیچگونه خاموشی یا توقف سرویس در این شبکه‌ها قابل قبول نیست.
با اینکه شبکه‌های OT، عموما، هم به صورت منطقی و هم فیزیکی از شبکه‌های IT جدا هستند، اما نمی‌توان گفت که این دو شبکه هیچ ارتباطی باید یکدیگر ندارند. در واقع سیستم‌های کنترل صنعتی (ICS)، سامانه‌های SCADA و PLCها، همگی از عناصر IT‌ تشکیل شده‌اند و بنابراین باید همانند یک تجهیز IT مدیریت و محافظت شوند.

اکثر شبکه‌های OT به صورت Airgap یا DMZ پیاده‌سازی می‌شوند تا امنیت ICS حفظ شود. البته، این روش چالش‌های خودش را دارد و سازمان‌ها در بروزرسانی ضدویروس‌ها، بروزرسانی سامانه‌ها، مانیتورینگ، ثبت وقایع سیستم‌ها و مدیریت سخت‌افزارها و تجهیزات موجود در شبکه OT دچار مشکل خواهند شد. همچنین به سادگی می‌توان با استفاده از تجهیزات USB و دیسک‌های سخت، شبکه Airgap را دور زد.

نصب ضدویروس در سامانه‌های کنترل صنعتی، به نوبه خودش یک چالش است. بر اساس تحقیقات انجام شده، اگر موتورهای ضدویروس بیش از یک هفته بروزرسانی نشوند، نرخ شناسایی آن‌ها به کمتر از ۹۰ درصد کاهش خواهد یافت. ضدویروس‌ها باید به طور مداوم بروزرسانی شوند؛ در غیر این صورت، نرخ شناسایی آن‌ها به مرور کاهش خواهد یافت. اصولا، بروزرسانی ضدویروس‌ها در شبکه‌های IT به طور مستقیم از سرور تولیدکننده ضدویروس دریافت می‌شود اما در شبکه‌های OT انجام این کار ممکن نیست.

چالش دیگر در نصب ضدویروس روی شبکه‌های OT این است که امکان نصب ضدویروس روی بسیاری از تجهیزات صنعتی وجود ندارد؛ سامانه‌های SCADA ،PLCها، HMIها و… اغلب دارای سیستم عامل خاص‌منظوره هستند و نمی‌توان روی سیستم عامل آن‌ها، ضد ویروس نصب کرد. از سوی دیگر، حتی اگر سیستم عامل یک دستگاه صنعتی از نصب ضدویروس پشتیبانی کند، باز هم تولیدکننده آن سخت‌افزار عموما اجازه نصب ضدویروس بر روی دستگاه را نمی‌دهد زیرا ممکن است در عملکرد مداوم آن دستگاه اختلال ایجاد شود. حتی برخی تولیدکنندگان تجهیزات صنعتی در صورتی که اقدام به نصب ضدویروس‌ یا سایر نرم‌افزارها بر روی دستگاه آن‌ها کنید،  گارانتی را لغو می‌کنند و دیگر به آن دستگاه، خدمات پشتیبانی ارائه نمی‌دهند.

سازمان‌ها باید منبع دریافت بروزرسانی ضدویروس‌ها را به طور دقیق بررسی کنند و مطمئن شوند که فایل بروزرسانی ضدویروس‌ها دارای بدافزار نیست. این موضوع بسیار مهم است چرا که نفوذگران می‌توانند سرورهای بروزرسانی را هک کنند و در بروزرسانی ضدویروس‌ها بدافزار قرار دهند. پایگاه داده امضا ضدویروس‌ها باید هر روز در تمامی سیستم‌ها بروزرسانی شود. این موضوع در شبکه‌های OT‌ به خاطر عدم دسترسی به اینترنت، با چالش‌هایی مواجه است.

مدیریت Patchها نیز در شبکه‌های OT مشابه بروزرسانی ضدویروس‌ها، با چالش‌هایی روبرو است. آسیب‌پذیری‌های سامانه‌های ICS کاملا مرسوم هستند و بروزرسانی این سامانه‌ها باید به محض انتشار بروزرسانی توسط تولیدکننده انجام شود. روال بروزرسانی این سامانه‌ها نیز مشابه ضدویروس‌ها است و ابتدا باید مطمئن شویم که خود بروزرسانی آلوده به بدافزار نیست. برای این کار، بروزرسانی را با چندین ضدویروس مطرح بررسی کنیم و در صورتی که آلوده به بدافزار نباشد، آن بروزرسانی را نصب می‌کنیم. 

بروزرسانی ضدویروس‌ها و مدیریت Patchها در شبکه‌های OT عموما از طریق فلش درایوهای USB انجام می‌شود و حتی تنها راه بروزرسانی  Firmware برخی از تجهیزات صنعتی یا نصب Patch جدید روی آن‌ها، استفاده از USB است. بنابراین، امکان محدود کردن USBها در شبکه‌های فناوری عملیاتی با هدف حفظ امنیت شبکه OT امکان‌پذیر نیست.

سامانه‌های امنیت فیزیکی همانند دوربین‌های مدار بسته، درب‌های ضدسرقت و نگهبانان، راهکارهای مرسومی برای محافظت از سیستم‌های کنترل صنعتی هستند. سازمان‌ها به مرور به این نتیجه می‌رسند که علاوه بر این راهکارها باید یک راهکار امن برای کنترل دسترسی تجهیزات ذخیره‌سازی قابل حمل همانند USB پیاده‌سازی کنند. وجود کیوسک امن فیزیکی برای کنترل این تجهیزات راهکاری عالی است. در صورت استفاده نکردن از کیوسک امن، تجهیزات صنعتی غیر قابل مدیریت باعث ایجاد آسیب‌پذیری‌هایی خواهند شد که امکان دسترسی به کل شبکه OT را فراهم می‌کند.