تحاليل الأمن السيبراني وإختبارات الإختراق

بصفتنا ADEO، في نطاق دراساتنا لتحليل الأمن السيبراني واختبار الاختراق لأنظمة EKS/SCADA ، أولاً، نقوم بتثبيت الوضع الأمني لأنظمة EKS/SCADA الحالية ومن ثم نقدم اقتراحات الحلول اللازمة للتحسين.

نقدم الخدمات المدرجة أدناه وفقًا لاحتياجات عملائنا واللوائح التي يخضعون لها.

* تحليل التجزئة
* الرؤية واكتشاف الهجمات / تحليل قدرات الوقاية
* تحليل البنية التحتية للتحقق من الهوية
* تحليل الترقيعات
* تحليل الوصول عن بعد
* تحليل مكافحة البرمجيات الخبيثة
* تحليل مراقبة الحوادث السيبرانية والإستجابة
* إختبارات التسرب

تحليل التجزئة

يجب تقسيم الشبكة الحالية إلى شبكات فرعية من اجل تقليل تأثير أي هجوم سيبراني محتمل على الشبكة والقيام بمداخلة للحوادث بشكل أسهل وأكثر قابلية للإدارة ، وهكذا من الممكن مراقبة والتحكم في كل من الاتصال بين الأنظمة داخل الشبكة والاتصال بين الشبكات. وبهذه الطريقة، يمكن منع انتقال الهجوم السيبراني الذي يحدث في جزء من الشبكة أو الكود الضار الذي يصيب أحد المكونات في تلك الشبكة إلى الأجزاء الأخرى من الشبكة.
على سبيل المثال ؛ في الهجوم السيبراني على منشأة نووية والذي تدخل فيه ICS-CERT3، تم توضيح أنه لم يتم فحص المنشأة بحثًا عن الفيروسات قبل استخدامها؛ تم اكتشاف أن الرموز الضارة انتقلت إلى النظام عبر وحدة  USB، ولكن نتيجة لتطبيق التجزئة بنجاح في المنشأة المعنية، تم تحديد أن الرموز الضارة لم تصب مئات الأجهزة بل أصابت فقط 6 أجهزة. ظهر هذه الحالة مدى أهمية التجزئة في تقليل تأثير أي هجوم سيبراني محتمل.

في هذه المرحلة من التحليل ، يقوم خبراء ADEO وخبراء التكنولوجيا التشغيلية وتكنولوجيا المعلومات في المؤسسة أو الشركة بإجراء عمليات تفتيش ميدانية وإجراء تحليلات سلبية وإيجابية على بنية الشبكة الحالية، واستخراج تفاصيل تجزئة شبكة التكنولوجيا التشغيلية والإبلاغ عن المخاطر المحتملة في هذا السياق.

تثبيت الرؤية والهجوم / تحليل القدرة على الاعتراض

الشرط الأكثر أهمية للحماية من الهجمات السيبرانية الحديثة واتخاذ الإجراءات السريعة هو مراقبة البنى التحتية ذات الصلة بشكل فعال. وفي هذا السياق، يوصى باتباع النقاط الخمس الرئيسية التالية :

1- حركة مرور الشبكة عند نقاط الدخول والخروج لحركة IP في أنظمة التحكم الصناعية للكشف عن الاتصالات غير الطبيعية والمشبوهة ،
2- حركة مرور IP داخل نظام التحكم الصناعي من أجل تثبيت الروابط والمحتوى الضار ،
3- سجلات تطبيقات حماية التعليمات البرمجية الضارة التي سيتم تحميلها على الأنظمة لاكتشاف الرموز المشبوهة ومحاولات الهجوم على أجهزة الكمبيوتر ،
4- تفاصيل تسجيل الدخول للحسابات المستخدمة للوصول إلى الأنظمة (مثل نظام تسجيل الدخول ووقت تسجيل الدخول والموقع) ،
5- تفاصيل إجراءات إدارة الحساب لاكتشاف عمليات التلاعب بالتحكم في الوصول.
إلى جانب هذا ، يُنصَح بمراقبة النقاط التي يُوصى بمراقبتها باستخدام نظام كشف الهجمات (IPS) على الشبكة. وبهذه الطريقة، قد يكون من الممكن اكتشاف محاولة الهجوم السيبراني المحتملة مسبقًا.

في هذه المرحلة من التحليل،  المستشارون الخبراء لدى ADEO مع خبراء التكنولوجيا التشغيلية وتكنولوجيا المعلومات في المؤسسة أو الشركة ، يقوم بتحليل مستوى رؤية شبكة OT والتأكد مما إذا كانت التكنولوجيا التي توفر اكتشاف الهجمات السيبرانية موجودة ضمن شبكة EKS/SCADA من خلال إجراء فحص ميداني وتحليلات نشطة وساكنة عبر الهيكل الحالي للشبكة. ترد النتائج التي تم الحصول عليها بالتفصيل تحت عنوان التقرير ذي الصلة.

تحليل البنية التحتية للتحقق من الهوية

في الآونة الأخيرة، أصبح من أبرز أهداف المهاجمين السيبرانيين هو الحصول على اسم المستخدم وكلمة المرور الخاصة بالحسابات المصرح بها في الأنظمة. يمكن للمهاجمين الذين يحصلون على معلومات حسابات المصرح بها إخفاء هوياتهم، التحرك كأنهم مستخدمون عاديون في النظام و وبذلك يصبح من الممكن ترك آثار قليلة جداً خلال الهجمات السيبرانية. يوصى باستخدام طرق مصادقة متعددة للتخلص من هذا الموقف. بذلك، لن يكون الوصول إلى الأنظمة الحساسة مقتصرًا فقط على اسم المستخدم وكلمة المرور، بل سيكون هناك حاجة إلى معلومات ثالثة أيضًا. في معظم الحالات، تُنتج هذه المعلومة لمرة واحدة وتكون معلومة خاصة بالشخص.

في مثل هذه الحالة، حتى إذا تم اختراق اسم المستخدم وكلمة المرور، يجب أيضًا اختراق هذه المعلومات الثالثة للوصول غير المصرح به إلى الأنظمة. أيضاً ، يجب استخدام حسابات مختلفة لشبكات التكنولوجيا التشغيلية وتكنولوجيا المعلومات و ويجب ألا تكون هناك علاقة ثقة بين الأنظمة التي يتم الاحتفاظ بهذه الحسابات فيها (مثل AD trust).

في هذه المرحلة من التحليل، يقوم المستشارون الخبراء لدى ADEO وخبراء التكنولوجيا التشغيلية وتكنولوجيا المعلومات في المؤسسة أو الشركة بتحليل طرق المصادقة الحالية المستخدمة في أنظمة ICS/SCADA، وما إذا كانت هناك علاقة ثقة بين شبكات تكنولوجيا المعلومات وشبكات التكنولوجيا التشغيلية، وكيفية إدارة الحسابات المعتمدة. وترد النتائج التي تم الحصول عليها بالتفصيل تحت عنوان التقرير ذي الصلة.

تحليل الرقعة

الأنظمة الأكثر تأثراً بالهجمات الإلكترونية هي الأنظمة التي لم يتم تحديثها. وبالتالي فإن تبني نهج لإدارة التكوين والتحديث الذي يسمح للمشغلين بالحفاظ على تحديث أنظمتهم باستخدام التصحيحات الموثوقة من مصادر موثوقة سيعزز من أمان الأنظمة الصناعية.

في هذا النهج، يتم أولاً إعداد جرد لجميع مكونات النظام التي تشمله و مع هذا الجرد يتم تحديد نقطة البداية مع حالة جميع المكونات. وبعد ذلك، يتم تحديد الأنظمة التي ستحظى بالأولوية أثناء عملية الترقيع. النقطة الأهم التي يجب الانتباه إليها هنا هي أن الهجمات السيبرانية على بنى أنظمة التحكم الصناعية تستهدف بشكل رئيسي أجهزة HMI في البنية المعمارية للحواسيب، وخوادم قواعد البيانات، ومحطات الهندسة.

ي أعمال التحليل الذي تم من طرف  ADEO، يتم الإبلاغ عن ما إذا كان تم الاحتفاظ بجرد في بنية المؤسسة/الشركة لمكونات EKS/SCADA ، و يتم تحليل كيفية تنفيذ إدارة التحديث والترقيع للبرامج الثابتة ، نظام التشغيل والتطبيقات في هذه المكونات والإبلاغ عنها.

تحليل الوصول عن بُعد

من المعروف أن بعض الهجمات السيبرانية المسجلة على أنظمة التحكم الصناعي حتى الآن تمت باستخدام طرق توفر إمكانية الوصول عن بُعد إلى هذه الأنظمة. على سبيل المثال ؛ ربالنسبة للوصول عن بعد إلى أنظمة التكنولوجيا التشغيلية، يمكن للمهاجمين اكتشاف أجهزة المودم أو التطبيقات الخارجية التي توفر الوصول عن بعد التي تضعها الشركات المصنعة أو الشركات التي تدعم هذه البنى التحتية والوصول إليها من خلال كلمات المرور الضعيفة المستخدمة في هذه الأنظمة. ومع ذلك، فإن السماح للمصنعين أو شركات الدعم بالاتصال مباشرة بشبكة التكنولوجيا التشغيلية عبر اتصال خارجي يعد أيضًا أحد عوامل الخطر.

تسجيل تفاصيل العمليات التي تتم من جهاز الكمبيوتر الخاص بالشركة المصنعة، مثل ما هي العمليات التي تمت وأي تكوينات تم تنفيذها، يعتبر أمراً بالغ الأهمية لضمان أمن الشبكات الصناعية.

في أعمال التحليل الذي تم من طرف خبراء  ADEO، يتم تحديد كيفية ومن قام بالوصول عن بُعد إلى أنظمة EKS/SCADAو يتم تحليل ما إذا كان تم استخدام طرق الوصول الآمنة عن بعد أم لا. وترد النتائج التي تم الحصول عليها بالتفصيل تحت العنوان ذي الصلة.

تحليل مكافحة البرامج الضارة

في السنوات الأخيرة، تم الكشف عن عدد كبير من الرموز الخبيثة التي تستهدف أنظمة التحكم الصناعي أوالتي تشمل أهدافها أنظمة التحكم الصناعية. يمكن أن تؤثر هذه البرمجيات الخبيثة على أنظمة التحكم الصناعي، مما قد يؤدي إلى تعطيل الإنتاج أو إيقافه تماماً. 

تلعب الحواسيب المحمولة أيضاً دوراً كبيراً في انتقال الرموز الخبيثة إلى أنظمة التحكم الصناعي. يجب منع أجهزة الكمبيوتر المحمولة غير الموثوقة والتي لا تتمتع بإجراءات الحماية اللازمة من الاتصال بنظام التحكم. إذا كان ذلك ممكنًا، يجب على المؤسسة/الشركة نفسها توفير أجهزة الكمبيوتر المحمولة التي ستستخدمها الشركات المصنعة في الاتصالات التي ستجريها وتضمن شخصيًا أمان هذه الأجهزة.

في هذه المرحلة  التحليل الذي تم من طرف خبراء  ADEO، يتم إجراء التحليلات لتحديد ما إذا كان يتم استخدام أي حل لمكافحة البرامج الضارة في أنظمة EKS/SCADA، وإذا كان الأمر كذلك، فبأي طريقة يتم وضع التعريفات. وترد النتائج التي تم الحصول عليها بالتفصيل تحت العنوان ذي الصلة.

تحليل مراقبة ومداخلة الحادث السيبراني

إن الشرط الأساسي لاكتشاف ومنع الهجمات السيبرانية ضد البنى التحتية الحيوية هو مراقبة محاولات الهجوم هذه والمداخلة بسرعة ودقة لمحاولات الهجوم السيبراني المحتملة. وفي هذا السياق، من الضروري تسجيل سجلات السجل التي تنتجها المكونات في أنظمة ICS/SCADA في نظام تسجيل الأحداث المركزي واكتشاف السلوك المشبوه من خلال عمليات المراقبة على هذا النظام. بالإضافة إلى ذلك، يجب تحديد مقدمًا من سيستجيب للانتهاكات الأمنية المكتشفة، وبأي طريقة ومتى، ويجب تطبيق السياسات والإجراءات المحددة مسبقًا في جميع المداخلات للحوادث.

في هذه المرحلة  التحليل الذي تم من طرف خبراء  ADEO، يتم تحليل ما إذا كانت أي سجلات من أنظمة EKS/SCADA تُسجل في نظام تسجيل مركزي، وما إذا كان هناك خطة مداخلة لحوادث الأمن السيبراني التي سيتم تفعيلها في حال حدوث هجوم سيبراني على هذه البنية التحتية، وإذا كانت موجودة، يتم تحليل ما إذا كانت قد تم تنفيذها أم لا، وتُقدم النتائج في تقرير.

إختبارات إختراق EKS/SCADA

تقوم الشركات والمؤسسات بشكل دوري بإجراء عمليات فحص الثغرات الأمنية واختبارات الاختراق للكشف عن نقاط الضعف المحتملة في مكونات البنية التحتية لتكنولوجيا المعلومات الخاصة بها والقضاء على نقاط الضعف هذه قبل أن يستغلها المهاجمون".
يمكن إجراء هذه الفحوصات الأمنية بواسطة فرق الأمن الخاصة بالشركات والمؤسسات، كما يمكن أيضاً تعيين شركات متخصصة أخرى لتقييم أمان مكونات النظام بواسطة طرف ثالث بشكل دوري. في عمليات المسح هذه، يتم تحليل مكونات الشبكة ،مكونات الخادم ومكونات التطبيقات في أنظمة تكنولوجيا المعلومات باستخدام طرق وأدوات المسح المقبولة في الصناعة. 

وينطبق نهج مماثل على المكونات الموجودة في طرف التكنولوجيا التشغيلية . يوصى بإجراء اختبارات الثغرات الأمنية على مكونات أنظمة التحكم الصناعية المعتمدة على IP (Engineering Workstation, HMI, PLC, RTU  وماشابه) بشكل دوري لاكتشاف أي نقاط ضعف محتملة في الأمان.

يتم اتباع المراحل الأربع التالية على التوالي في اختبارات إختراق EKS/SCADA

جمع المعلومات الغير نشطة

في المرحلة الأولى من اختبارات الاختراق التي يتم إجراؤها في أنظمة EKS/SCADA، يتم تحليل البنية التحتية الحالية لنظام التحكم الصناعي عن طريق أخذ نسخة من حركة مرور الشبكة بمساعدة أجهزة الاستماع السلبية للشبكة و يتم إنشاء مكونات هذه البنية التحتية ، البروتوكولات المستخدمة وخريطة الاتصال. تتم مقارنة المعلومات التي تم الحصول عليها مع معلومات الجرد المؤسسي التي تم الحصول عليها في الخطوة السابقة و يتم تثبيت ما إذا كانت هناك أي مكونات متضمنة في نظام التحكم الصناعي دون علم المؤسسة أو الشركة وما إذا كانت المكونات تعمل كما هو مصمم لها.

جمع المعلومات النشطة

في هذه المرحلة من اختبارات اختراق EKS/SCADA، يتم استخدام طريقة تعيين الشبكة النشطة من أجل تثبيت المكونات الموجودة  داخل النطاق. مع الطريقة هذه يتم الحصول على معلومات مثل ما إذا كانت المكونات الموجودة في النطاق حية أم لا ، على أي المنافذ تخدم هذه الخدمات و معلومات إصدار الخدمات. يتم الإبلاغ عن هذه المعلومات لاستخدامها في المرحلة التالية من الاختبار.

تحليل الثغرات

في المرحلة التالية من الإختبارات التي تتم في نظام  EKS/SCADA، يتم تحقيق تحليل الثغرات بكل نشط على مكونات نظام التحكم الصناعي الموجود ضمن النطاق. في تحليل الثغرات الأمنية الذي تم إجراؤه، يتم اختبار نقاط الضعف التي اكتسبتها مكونات ICS ذات الصلة من عالم تكنولوجيا المعلومات ونقاط الضعف المكتشفة حتى الآن في مكونات التكنولوجيا التشغيلية. يتم الإبلاغ عن نقاط الثغرات المكتشفة بالتفصيل خاصة بمكون ICS ذي الصلة.

اختبار الاختراق

في المرحلة النهائية من اختبارات الاختراق التي يتم إجراؤها على أنظمة EKS/SCADA، يتم إجراء اختبارات اختراق خاصة  لهذه الأنظمة. تتم محاولات استغلال المكونات التي تم اكتشاف الثغرات فيها في المرحلة السابقة، والاستيلاء عليها من خلال استغلالها، وتشغيل أوامر غير مصرح بها، والتدخل في عناصر التحكم دون ترخيص. هذه المرحلة من الاختبارات  التي قد تؤدي نتائجها إلى انقطاعات أو أضرار جسيمة لأنظمة ICS/SCADA، تتم بإذن خاص ضمن نطاق الاتفاقية المبرمة مع المؤسسة أو الشركة. لا يتم تنفيذ هذه المرحلة من الاختبارات إلا بعد الحصول على إذن كتابي.