سازمان‌های امنیت سایبری ایالات متحده اخیراً توصیه‌های فنی جدیدی را برای اپراتورهای زیرساخت‌های حیاتی منتشر کرده‌اند تا ریسک‌های مرتبط با همکاری با یکپارچه‌سازهای ثالث (Third-party Integrators) در محیط‌های سیستم‌های کنترل صنعتی (ICS) را کاهش دهند.
ریسک‌های عملیاتی و زنجیره تأمین
یکپارچه‌سازهای ICS خدماتی نظیر طراحی سیستم، نصب، تحلیل داده‌های عملیاتی و پشتیبانی از تجهیزات را ارائه می‌دهند. با این حال، اعطای دسترسی‌های گسترده به این شرکت‌ها می‌تواند منجر به ایجاد نقاط ضعف جدی شود. عدم رعایت اصل کمترین امتیاز (Principle of Least Privilege – PoLP) در محیط‌های OT می‌تواند مسیرهای دسترسی حساسی را برای عوامل تهدید (Threat Actors) فراهم کند تا از طریق آن‌ها، عملیات تخریبی در تجهیزات و عملکردهای حیاتی اجرا نمایند.
تحلیل یک مورد واقعی (Case Study)
بر اساس تحلیل‌های فنی، در بازه زمانی مارس تا آوریل ۲۰۲۵، عوامل تهدید خارجی موفق شدند به شبکه یک شرکت اتوماسیون صنعتی دسترسی پیدا کنند. این شرکت خدماتی مانند برنامه‌نویسی SCADA و مشاوره مهندسی را به بخش‌های انرژی و حمل‌ونقل ارائه می‌داد. مهاجمان با جستجوی کلمات کلیدی نظیر “customers” و “SCADA”، حدود ۸۰۰ فایل حساس شامل جزئیات تجهیزات ICS و نقشه‌های فنی مشتریان را در قالب فایل‌های zip برای استخراج (Exfiltration) آماده کردند. این اطلاعات می‌تواند در مراحل بعدی برای اجرای حملات تخریبی علیه محیط‌های عملیاتی مورد استفاده قرار گیرد.
توصیه‌های ارزیابی ریسک
مدیران SOC و CISOها باید در هنگام پذیرش یکپارچه‌سازهای ثالث، سوالات کلیدی زیر را در ارزیابی‌های خود بگنجانند:
- دسترسی به داده‌ها: یکپارچه‌ساز به چه داده‌هایی (طرح‌های شبکه، مشخصات تجهیزات، Logها) دسترسی دارد و ریسک دسترسی مهاجم از طریق شبکه آن‌ها چقدر است؟
- محل ذخیره‌سازی: داده‌ها در کجا ذخیره می‌شوند؟ اگر یکپارچه‌ساز خارجی باشد، قوانین ذخیره‌سازی داده‌های آن کشور ممکن است با الزامات امنیتی سازمان تداخل داشته باشد.
- دسترسی از راه دور (Remote Access): آیا یکپارچه‌ساز دسترسی ریموت دارد؟ در صورت تایید، ریسک Pivot کردن مهاجم از شبکه یکپارچه‌ساز به شبکه داخلی سازمان باید تحلیل شود.
- استقلال عملیاتی: در صورت فعال شدن یک حمله یا از دسترس خارج شدن یکپارچه‌ساز، آیا سازمان توانایی مدیریت دستی و بازیابی سیستم‌ها (Recovery) را دارد؟
راهکارهای کاهش ریسک
برای کاهش سطح حمله (Attack Surface)، اقدامات زیر توصیه می‌شود:
- قراردادهای جامع: گنجاندن الزامات امنیت زنجیره تأمین، سیاست‌های Patch Management و مدیریت تغییرات در قراردادهای خدمات.
- کنترل دسترسی ریموت: استفاده از دسترسی‌های On-demand (درخواست‌محور) به گونه‌ای که اپراتور سازمان باید هر بار دسترسی را تایید کند.
- کاهش Exposure: شناسایی تجهیزاتی که دارای دسترسی مستقیم به اینترنت هستند و قطع ارتباط آن‌ها از شبکه عمومی.
- مانیتورینگ دقیق: ثبت Log تمامی دسترسی‌های ریموت و نظارت بر مسیرهای ارتباطی یکپارچه‌سازها.
- پشتیبان‌گیری آفلاین: نگهداری نسخه‌های پشتیبان امن و آفلاین از تمامی نرم‌افزارهای مورد نیاز برای تجهیزات جهت تسهیل بازیابی سیستم.
