امنیت شبکه صنعتی: چرا فایروال OT/IT دیگر کافی نیست

حملات سایبری به زیرساخت‌های صنعتی در ایران رو به افزایش است. مرور لایه‌های دفاعی مدرن: segmentation، monitoring و Zero Trust برای شبکه‌های SCADA.

تا چند سال پیش، امنیت شبکه صنعتی مسئله‌ای تشریفاتی بود؛ اما با گسترش IIoT، اتصال سایت‌های صنعتی به اینترنت و افزایش حملات باج‌افزاری مانند Stuxnet و NotPetya و همچنین حادثه Colonial Pipeline، امروز یک توقف تولید به‌خاطر نقص امنیتی می‌تواند میلیاردها تومان خسارت وارد کند. در این راهنما، تفاوت امنیت لایه‌های IT و OT، سه لایه دفاعی مدرن و اشتباهات کشنده در کارخانه‌های ایرانی را بررسی می‌کنیم.

مقایسه IT و OT چرا نمی‌توان این دو حوزه را یکسان مدیریت کرد؟

سه‌گانه معروف CIA یعنی سه شاخص Confidentiality و Integrity و Availability در لایه‌های فناوری اطلاعات و فناوری عملیاتی اولویت‌های متفاوتی دارند:

• اولویت‌های حوزه IT: در این بخش اولویت اول با محرمانگی یا Confidentiality است، سپس یکپارچگی یا Integrity و در نهایت دسترس‌پذیری یا Availability قرار دارد. داده‌ها باید محافظت شوند و اگر سرور یک ساعت از دسترس خارج باشد، معمولاً مشکل قابل تحمل است.
• اولویت‌های حوزه OT: در این بخش اولویت اول با دسترس‌پذیری یا Availability است، سپس یکپارچگی یا Integrity و در نهایت محرمانگی یا Confidentiality قرار می‌گیرد. یک خط PLC نمی‌تواند مثل سرور ویندوز هر هفته آپدیت دریافت کند؛ چرا که یک ری‌استارت ۵ دقیقه‌ای می‌تواند کل فرآیند تولید یک دسته محصول را خراب کند.
• فرآیند به‌روزرسانی یا Patching: در لایه IT مدیریت آپدیت‌ها به صورت اتوماتیک و مکرر است؛ اما در لایه OT هرگونه آپدیت ابتدا باید در محیط آزمایشگاهی تست و تایید شود و صرفاً در زمان Shutdown برنامه‌ریزی‌شده کارخانه اعمال گردد.
• طول عمر تجهیزات یا Lifecycle: تجهیزات اتوماسیون صنعتی مانند PLC و DCS و RTU عمری بین ۱۵ تا ۲۰ سال دارند و اغلب از سیستم‌عامل‌های قدیمی و آسیب‌پذیر استفاده می‌کنند که دیگر آپدیت‌های امنیتی برای آن‌ها صادر نمی‌شود.

سه لایه دفاعی مدرن در ساختار شبکه صنعتی

استفاده از راهکار دفاع عمقی یا Defense in Depth برای سیستم‌های اتوماسیون یعنی ایجاد چند لایه مستقل که حتی در صورت شکست یکی از آن‌ها، بقیه لایه‌ها از فرآیند تولید محافظت کنند:

1. بخش جداسازی شبکه یا Segmentation: تقسیم شبکه به زون‌های مجزا طبق استاندارد بین‌المللی IEC 62443 که شامل زون‌های فرعی از لایه صفر تا لایه پنجم مدیریتی است. این جداسازی با تجهیزات فایروال صنعتی مانند برندهای Moxa یا Siemens و Fortinet صورت می‌گیرد که توانایی تحلیل عمیق بسته‌ها یا Deep Packet Inspection را برای پروتکل‌های صنعتی مانند Modbus TCP و PROFINET و EtherNet IP دارا هستند.
2. سیستم‌های مانیتورینگ هوشمند: استفاده از سنسورهای Passive پیشرفته مانند Claroty یا Nozomi Networks و Dragos برای شناسایی ترافیک غیرعادی یا Anomaly Detection بدون تأثیر بر فرآیند زمان واقعی کنترل. به عنوان مثال، ارسال یک درخواست ناشناس برای تغییر مقادیر کویل‌ها در پروتکل مودبس یا الگوهای ترافیکی مشابه باج‌افزارها سریعاً توسط این سیستم‌ها شناسایی می‌شود.
3. پیاده‌سازی تفکر Zero Trust در اتوماسیون: حتی دستگاه‌های داخل شبکه صنعتی نیز باید به طور مداوم احراز هویت و تعیین سطح دسترسی شوند. بر اساس اصل حداقل دسترسی یا Principle of Least Privilege، هر کاربر یا دستگاه فقط به حداقل منابع مورد نیاز خود دسترسی دارد که این کار با ابزار VLAN و لیست‌های دسترسی ACL در سطح سوئیچ‌های صنعتی انجام می‌شود.

۴ اشتباه کشنده و رایج در کارخانه‌های ایرانی

این اشتباهات در ظاهر ساده هستند اما بزرگ‌ترین بسترهای حمله یا Attack Surface را برای نفوذ به خطوط تولید ایجاد می‌کنند:

1. اتصال مستقیم سیستم‌های مانیتورینگ HMI و SCADA به اینترنت: ایجاد دسترسی از راه دور بدون استفاده از شبکه‌های امن VPN یا راهکارهای دسترسی ایمن ZTNA همراه با احراز هویت چندعاملی. باز بودن پورت‌های پیش‌فرض مانند پورت ریموت دسکتاپ یک دعوت‌نامه صریح برای هکرها است.
2. باقی ماندن رمز عبور پیش‌فرض روی تجهیزات: وجود اطلاعات کاربری پیش‌فرض روی سخت‌افزارهای حساس مانند PLCهای زیمنس و اشنایدر، سوئیچ‌های صنعتی سیسکو یا موکسا و نمایشگرهای صنعتی. موتورهای جستجوی تخصصی مانند Shodan به راحتی این تجهیزات متصل به شبکه را پیدا می‌کنند.
3. عدم ثبت و به‌روزرسانی فیرمور تجهیزات: آسیب‌پذیری‌های شناخته‌شده یا CVE در سخت‌افزارها، سوئیچ‌ها و اکسس‌پوینت‌های صنعتی به روز نمی‌شوند. به عنوان مثال برخی آسیب‌پذیری‌های قدیمی در سری‌های زیمنس اجازه اجرای کدهای مخرب از راه دور یا Remote Code Execution را به مهاجم می‌دهند.
4. استفاده از حافظه‌های USB و فلش‌های شخصی: این مورد بزرگ‌ترین کانال ورود حملات به شبکه اتوماسیون است؛ همان‌طور که بدافزار Stuxnet در سال ۲۰۱۰ از طریق حافظه فلش وارد سیستم‌ها شد. استفاده از ایستگاه‌های پاک‌سازی حافظه و غیرفعال کردن قابلیت اجرای خودکار در تمام کلاینت‌های صنعتی الزامی است.

سه ستون اصلی برای حفظ امنیت پایدار در لایه‌های صنعتی

امنیت در لایه‌های اتوماسیون یک روند مداوم یا Continuous Process است و نباید به آن به چشم یک پروژه یک‌باره نگاه کرد:

• انجام بازرسی‌های دوره‌ای یا Security Audit: اجرای تست‌های نفوذ داخلی و اسکن آسیب‌پذیری‌ها به صورت هر ۶ ماه یک‌بار روی تجهیزات اتوماسیون با استفاده از ابزارهای تخصصی این حوزه مانند پلتفرم GRASSMARLIN یا سیستم NetworkMiner.
• آموزش مستمر اپراتورها و مهندسین خط: شبیه‌سازی حملات فیشینگ برای کارکنان بخش اتوماسیون؛ چرا که بخش عمده‌ای از حملات اولیه از طریق سیستم‌های مهندسی یا Engineering Workstation و ایمیل‌ها آغاز می‌شوند.
• تنظیم سیاست‌های دسترسی سخت‌گیرانه: پیاده‌سازی سیستم مدیریت دسترسی بر اساس نقش یا RBAC همراه با تفکیک وظایف. استفاده از اکانت‌های مشترک ممنوع بوده و باید سیاست‌های پیچیدگی کلمه عبور همراه با احراز هویت چندعاملی پیاده‌سازی شود.

نتیجه‌گیری

امنیت شبکه صنعتی در کارخانجات دیگر یک موضوع فرعی نیست، بلکه یک الزام حیاتی برای بقای تولید است. با بخش‌بندی شبکه بر اساس استاندارد IEC 62443، مانیتورینگ پسیو با سیستم‌های تشخیص نفوذ، حذف رمزهای عبور پیش‌فرض، به‌روزرسانی فیرمورها و آموزش مستمر پرسنل، می‌توانید سطح بستر حملات را به حداقل ممکن برسانید.

امنیت در حوزه‌های اتوماسیون یک فرآیند مستمر و مداوم است، نه یک پروژه مقطعی. بازرسی‌های دوره‌ای، آموزش اپراتورها و سیاست‌های سخت‌گیرانه دسترسی، سه ستون اصلی حفظ پایداری خطوط تولید هستند.