دانشگاه صنعت آب و برق (شهيد عباسپور) دکتر محسن منتظری 1390/12/14 امنیت اطلاعات در سیستم های کنترل صنعتی Cyber Security in Industrial Control Systems دانشگاه صنعت آب و برق (شهيد عباسپور) دکتر محسن منتظری 1390/12/14

فهرست مطالب: 1- مقدمه (ضرورت بحث) 2- تمایز امنیت اطلاعات در سيستم هاي كنترل صنعتی با سیستم های رایج IT فهرست مطالب: 3- راه کارهای ارتقاء امنیت در سيستم هاي كنترل صنعتی 4- نتیجه گیری

مقدمه (ضرورت بحث)

در گذشته: به کارگیری سیستم های کنترلی در یک محیط مجزا و ایزوله شده استفاده از پروتکل ها و نرم افزارهای کاملا اختصاصی

در حال حاضر: استفاده زیاد از تکنولوژی و پروتکل های تجاری افزایش ارتباط با دیگر سیستم ها درخواست برای دسترسی از راه دور به سیستم نیاز به داده های سیستم کنترل صنعتی برای مسائلی چون بهینه سازی، بهبود کارایي، مالی و تجاری ایجاد فرصت های جدیدی برای تهدیدات و حملات خرابکارانه

پیامدهای حملات اطلاعاتی در سیستم های کنترل صنعتی 2- از دست رفتن اعتماد عمومی 1- خطرات انساني و زیست محیطی 4- از دست رفتن محصول و تولید 3- از دست رفتن اطلاعات محرمانه 6- ضربه به اعتبار و آبروی شرکت ها 5- تخریب تجهیزات 8- از دست رفتن کنترل و نظارت HMI 7- عدم دسترسی به شبکه و منابع موجود 10- ارائه یک تصویر غلط از وضعیت سیستم 9- تخریب بایگانی

ساختار سیستم کنترلی Teleperm XP

ساختار سیستم کنترلی نیروگاه برق آبی

ساختار سیستم کنترلی PCS7

US Government Efforts Department of Homeland Security 6 CFR part 27: Chemical Facility Anti-Terrorism Standards (CFATS) National Cyber Security Division Control Systems Security Program (CSSP) Department of Energy Federal Energy Regulatory Commission (FERC) 18 CFR Part 40, Order 706 (mandates NERC CIPs 002-009) Nuclear Regulatory Commission 10 CFR 73.54 Cyber Security Rule (2009) RG 5.71

Standards Efforts International Society for Automation (ISA) ISA99, Industrial Automation and Control System (IACS) Security International Electrotechnical Commission (IEC) IEC 62443 series of standards (equivalent to ISA 99) National Institute for Standards and Technology (NIST) SP800-82 Guide to Industrial Control Systems (ICS) Security

برخی از استانداردهای امنیت اطلاعات سيستم های كنترل صنعتی برخی از استانداردهای امنیت اطلاعات سيستم های كنترل صنعتی نام اصلی عنوان استانداردها British Standards Institute / International Organization for Standardization Information Security Management BS 7799/ISO 17799 ISO 27001 Instrumentation Systems and Automation Manufacturing and Control Systems Security ISA SP99 International Electrotechnical Commission Digital Data Communications for Measurement and Control Network and System Security IEC 61784-4 (IEC SC65c WG13) National Institute for Standards and Technology System Protection Profiles (SPP) and Protection Profiles (PP) for Common Criteria (ISO 15408) NIST Process Control Security Requirements Forum (PCSRF) UK National Infrastructure Security Coordination Center Firewall Deployment for SCADA and Process Control Networks NISSC Practice Guide on Firewall Deployment For SCADA and Process Control Networks Procedures for Handling Security Patches NIST Special Publication 800-40

تمایز امنیت در سيستم هاي کنترل صنعتی با سیستم های رایج IT

راه کارهای افزایش امنیت در سیستم های کنترل صنعتی راه کارهای افزایش امنیت در سیستم های کنترل صنعتی

ارزیابی سیاست و دستورالعمل آموزش و آگاهی بخش بندی شبکه کنترل دسترسی مقاوم سازی سیستم نظارت و نگهداری

ارزیابی سیستم کنترلی اجرای ارزیابی امنیتی بر روی سیستم های کنترلی موجود مقایسه طراحی، ساختار و سیاست های امنیتی موجود در سیستم ها با استانداردهای امنیتی شناسایی آسیب پذیری ها و اصلاح آن مزایا: فرآهم آوردن یک درک قوی از وضعیت، آسیب پذیری ها و مسیر پیش رو کمک به شناسایی و طبقه بندی اولویت های سرمایه گذاری اولین گام در پیاده سازی و توسعه برنامه مدیریت امنیت

سیاست ها و دستوالعمل ها ایجاد سیاست ها و دستوالعمل ها امنیت در سیستم های کنترلی حوزه و اهداف مدیریت پشتیبانی مسئولیت ها و وظایف سیاست های معین کنترل دسترسی محیط انتقال مدیریت نصب بسته های امنیتی مدیریت آنتی ویروس مدیریت تغییرات پشتیبانی و بازیابی مراجع و ملاحظات

آموزش و آگاهی اطمینان از آگاهی کارمندان از اهمیت امنیت و سیاست های امنیتی کل سیستم فرآهم نمودن آموزش براساس وظایف میهمان پیمان کار کارمند جدید اپراتور پشتیبانی و نگهداری مهندسین مدیریت

بخش بندی شبکه استراتژی دفاع در عمق تقسیم بندی سیستم کنترلی به ناحیه های امنیتی مجزا گروه بندی منطقی از دارایی هایی با نیازهای امنیتی مشابه امکان به کارگیری زیر ناحیه های امنیتی و ایجاد لایه های امنیتی امکان تعریف نواحی به صورت فیزیکی و منطقی تعریف اهداف و استراتژی امنیتی برای هر ناحیه سخت افزاری نرم افزاری ایجاد کانال های ارتباطی امن میان نواحی امنیتی نصب تجهیزات کنترل امنیتی مرزی در نقاط ورود و خروج داده به ناحیه امنیتی پایش و کنترل جریان داده عبوری میان نواحی

کنترل دسترسی کنترل و نظارت دسترسی به منابع سیستم کنترلی دسترسی نرم افزاری و سخت افزاری استفاده از مکانسیم کنترل دسترسی گزارش عملکرد و تجهیزات مورد استفاده تصدیق هویت مجوز دسترسی بازبینی ناحیه به ناحیه چه کسی دسترسی دارد؟ دارایی به دارایی وظیفه به وظیفه به کدام منابع؟ فرد به فرد با چه اختیاراتی؟

مقاوم سازی سیستم حذف یا غیر فعال کردن پورت ها و مسیرهای ارتباطی غیر ضروری حذف برنامه ها و سرویس های غیر ضروری به کارگیری و نصب بسته های امنیتی در صورت نیاز و در هر زمان و هر مکان استفاده از ابزار امنیتی مناسب

نظارت و نگهداری نصب ویروس یاب توصیه شده توسط فروشنده و به روز سازی آن بازبینی گزارشات وقایع امنیتی به کارگیری ابزار آشکارسازی و حذف نفوذ استفاده از ابزار تست (در یک محیط کنترل شده) ارزیابی مداوم سیستم

نتیجه گیری

ضرورت توجه به امنیت اطلاعات در سیستم های کنترل صنعتی تدوین سیاست ها و استانداردهای لازم با در نظر گرفتن ویژگی های خاص سیستم های کنترل ضرورت يك ارتباط و هماهنگي موثر ميان متخصصين حوزه IT، مهندسين كنترل، شركت هاي سازنده تجهيزات و بهره برداران رعایت نکات امنیتی در تهیه، نصب، راه اندازی و بهره برداری سیستم های کنترل صنعتی

با تشکر از توجه شما