روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ گرچه سیستم‌های تعبیه‌شده ابزارهای تجاری مهمی برای بسیاری از شرکت‌ها هستند اما امنیت آنها اغلب نادیده گرفته می‌شود. سیستم‌هایی چون خودپرداز، پایانه‌های پرداختی، وندینگ ماشین‌ها، کیوسک‌های بلیت، توموگراف‌های رایانه‌ای پزشکی و حتی ایستگاه‌های سوخت خودکار داده‌های مالی و سایر داده‌های محرمانه را مدیریت می‌کنند که همین باعث می‌شود مجرمان سایبری از آنها سوءاستفاده کنند. این سبب شده سیستم‌های تعبیه‌شده جولانگاهی برای حملات سایبری بشوند پس محافظت از آنها در برابر تهدیدهای سایبری باید برا هر شرکتی اولویت باشد. با این وجود علیرغم تشابه ظاهری‌شان به کامپیوترهای قدیمی، سیستم‌های تعبیه‌شده کلی تفاوت‌های چشمگیر دارند که باید موقع توسعه استراتژی امنیتی آنها را مد نظر قرار داد؛ در غیر این صورت شرکت‌ها ممکن است با چالش‌های جدی‌ای روبرو شوند.
ویژگی‌های سیستم‌های تعبیه‌شده
مدل استفاده: برخلاف کامپیوتر قدیمی که معمولاً توسط یک کارمند برای دامنه وسیعی از تسک‌ها استفاده می‌شود، یک سیستم تعبیه‌شده می تواند تعداد نامحدودی کاربر داشته باشد و معمولاً مجموعه کارکردهایی به صورت درون‌سازه‌ای در طول ساخت اولیه‌اش ارائه می‌دهد. تعامل با چنین سیستم‌هایی اغلب با استفاده از دستگاههای ورودی خاص (مانند کی‌پد دیجیتال یا تاچ اسکرینی که رابط کاربری تخصصی داشته باشد) انجام می‌پذیرد که اجازه اجرای فرمان‌های دلخواه و فایل‌ها را نمی‌دهد. پورت‌هایی برای اتصال تجهیزات جانبی به این دستگاه‌ها معمولاً فقط توسط متخصصین فنی میسر می‌شود. ارتباط با جهان بیرون با اینترنت و شبکه داخلی اتفاق می‌افتد. افزون بر این سیستم‌های تعبیه‌شده اغلب با دستگاههای ذخیره‌سازی که کارایی کمی دارند (مثل کارت‌های تخفیف، بانکذاری یا پس‌انداز) کار می‌کنند. چنین سیستم‌هایی نباید به هیچ وجه برای خواندن ایمیل یا بازدید وبسایت استفاده شوند- چون مهاجمین برای آلودگی است که به این بردارها متکی هستند. با این وجود، اهمیت کانکشن‌های شبکه افزایش یافته است. و این یکی از کانال‌های اصلی است که برای حملات به سیستم‌های تعبیه‌شده استفاده می‌شود. از اینها گذشته تقریباً همه نوع سیستم تعبیه‌شده‌ای به شبکه داخلی شرکت متصل است- بدین‌معنا که وقتی مهاجمین داخل شبکه شوند به این ماشین‌های تخصصی دسترسی پیدا خواهند کرد. در مورد پورت‌ها هم باید گفت لوکیشن فیزیکی خاص چنین دستگاه‌هایی می‌تواند به هکر کمک کند.
لوکیشن فیزیکی: برای تسهیل مدل استفاده، اکثریت دستگاههای مبتنی بر سیستم‌های تعبیه‌شده در فضاهای عمومی قرار دارند. معمولاً اجزای دستگاه با یک کیس استیل سخت و محدودیت‌های تعامل در برابر دسترسی غیرقانونی محافظت می‌شوند. با این وجود همه دستگاه‌ها به درجه‌ای از نگهداری نیاز دارند پس حتی محکم‌ترین کیس‌ها و محفظه‌ها هم باید با کلید قابل باز کردن باشند. و این همان نقطه‌ی ورود و نفوذ مهاجمین است! مهاجم با داشتن دسترسی به بخش سخت‌افزاری دستگاه می‌تواند به موس و کیبورد استاندارد کانکت شده همینطور دستگاه ذخیره را با بدافزاری که قصد دارد از آن استفاده کند آلوده کرد یا حتی سیستم عاملی در اختیار داشته باشد که به آن اجازه دهد سیستم عامل خود دستگاه دور زده شود. در برخی موارد مهاجمین حتی به کامپیوتری تک بورده وصل می‌شوند که با آن می‌توانند سیستم را هک یا برای مثال فرمان‌های توزیع اسکناس را برای کاربر تحلیل کنند. مابقی‌اش سرراست است: هکر فقط نیاز است ابزارهای خود را در سیستم تعبیه‌شده معرفی کند و بعد هر کاری دلش خواست انجام دهد- از توزیع پول گرفته تا اجرای تراکنش‌های سیاه و سرقت داده کاربری. مگر آنکه سیستم تعبیه‌شده بدرستی محافظت شده باشد!
استفاده طولانی مدت و منابع محدود سیستم: سیستم‌های تعبیه‌شده برای وظایف خاص و بسیار تخصصی ساخته شده‌اند، بنابراین معمولاً فقط سطح «ضروری و کافی» از قدرت پردازش را دارند. از آنجایی که دستگاه‌هایی که از سیستم‌های رایانه‌ای تعبیه‌شده استفاده می‌کنند، اغلب عمر طولانی دارند، مواجه شدن با دستگاههای خودپرداز یا صندوق‌های پولی با سخت‌افزار ضعیف و قدیمی غیرمعمول نیست. از نقطه نظر امنیتی، این می‌تواند یک مشکل مهم ایجاد کند: چنین پیکربندی به وضوح با بسیاری از آخرین راهکارهای امنیتی سازگار نیست.
نرم افزار قدیمی و آسیب‌پذیر. عمر طولانی دستگاههای گران قیمت مبتنی بر سیستم های تعبیه شده یک عارضه جانبی دیگر ایجاد می‌کند: نرم افزار قدیمی. اغلب، استفاده از یک سیستم عامل جدیدتر در یک پیکربندی ساده سیستم غیرممکن بوده و نرم افزار کاربردی تخصصی فعلی ممکن است روی سیستم عامل قدیمی کار نکند. و گاهی اوقات، برنامه های جدید لازم برای کار با لوازم جانبی منحصر به فرد دستگاه (دستگاههای پول نقد، کارت‌خوان ها، سیستم‌های نظارت پزشکی، توموگرافی و غیره) ممکن است به سادگی وجود نداشته باشند. نتیجه این امر این است که چنین سیستم هایی که دیگر به روز رسانی‌های امنیتی برای آنها منتشر نمی‌شود، به طور فعال مورد هدف هکرها قرار می‌گیرند. اما یافتن راهکاری که روی یک سیستم عامل قدیمی مانند ویندوز XP کار کند و در عین حال در برابر تهدیدات فعلی محافظت نماید، بسیار چالش برانگیز است. اکثریت قریب به اتفاق توسعه‌دهندگان محصولات امنیتی پشتیبانی خود را از سیستم عامل‌های قدیمی متوقف کرده‌اند.
کانکشن ضعیف اینترنت: برخی از دستگاه‌ها، مانند دستگاههای خودپرداز، پایانه‌های بلیط و توزیع‌کننده سوخت خودکار، ممکن است در مکان‌های دورافتاده‌ای قرار داشته باشند که اینترنت سیمی وجود ندارد. همچنین دسترسی به شبکه بی‌سیم در چنین مکان‌هایی معمولاً بر اساس ارتباطات سلولی است، بنابراین ممکن است به کندی و با وقفه کار کند. نرم افزار کاربردی برای چنین سناریویی طراحی شده است. برای مثال، تراکنش‌ها را می‌توان به صورت ناهمزمان توسط یک بانک انجام داد – زمانی که اتصال اجازه می‌دهد، انجام می‌شوند. با این حال، بسیاری از راهکارهای امنیتی مدرن بسیار بیشتر به یک کانال ارتباطی پایدار متکی هستند. در تلاش برای کاهش زمان استقرار و اندازه نرم افزار نصب شده، آنها به شدت به زیرساخت کلود متکی هستند، به این معنی که اگر اتصال ضعیف باشد، ممکن است عملکرد آنها تحت تأثیر قرار گیرد.
الزامات رگولاتوری: از آنجایی که اکثریت قریب به اتفاق سیستم‌های تعبیه شده داده‌های مالی و شخصی با ارزش را مدیریت می‌کنند، عملکرد آنها توسط قوانین مربوطه تنظیم می‌شود. اگرچه نهادهای نظارتی وجود حفاظت قابل اعتماد را الزامی می‌کنند، اجرای آن تا حد زیادی به شرکت ها واگذار می‌شود. با این حال، وظیفه به حداقل رساندن خطرات وقوع یک رخداد و در عین حال اطمینان از ثبت گزارش‌های دقیق برای بررسی در صورت وقوع رخداد است. علاوه بر این، فهرست توصیه‌ها ممکن است شامل فناوری‌های خاصی باشد، مانند کنترل یکپارچگی سیستم، که به سادگی در راهکارهای امنیتی نقطه پایانی معمولی در دسترس نیستند یا فقط در نسخه‌های سرور ارائه می‌شوند.
به دنبال مصالحه
به طور خلاصه، این سیستم‌ها چند کاربره، تک کاره، کم مصرف و مستعد حملات خاص (اتصال به شبکه و/یا دسترسی مستقیم به دستگاه) هستند. در عین حال، آنها داده‌های بسیار ارزشمندی را مدیریت می‌کنند (نه لزوماً داده‌های مالی؛ این اطلاعات می‌تواند اطلاعات پزشکی شخصی در مورد تجهیزات پزشکی باشد)، که نه تنها محرمانه بودن برای آنها اهمیت دارد، بلکه یکپارچگی نیز مهم است. ممکن است مشکلات زیادی در رابطه با حفاظت از داده ها وجود داشته باشد، زیرا یک راهکار امنیتی اندپوینت معمولی با مشکلاتی در کار بر روی سخت افزار ضعیف مواجه می‌شود و به طور کلی روی سیستم عامل های قدیمی که هنوز هم بسیار رایج هستند، کار نمی‌کند. اگر چنین راهکاری اجرا شود، ممکن است مشکلات عملکرد و گاهی اوقات مشکلات سازگاری نیز وجود داشته باشد (در نهایت، راه حل برای رایانه‌های معمولی در نظر گرفته شده است). یکی از رویکردهایی که بسیاری از سازندگان راهکارهای امنیتی برای چنین سیستم‌هایی در پیش گرفته‌اند، ممنوع کردن کامل هر چیزی است که برای کار اصلی دستگاه مورد نیاز نیست: فناوری کنترل برنامه در حالت رد پیش‌فرض به سادگی هر برنامه‌ای را که در ابتدا در فهرست به اصطلاح مجاز قرار نگرفته است مسدود می‌کند . در تئوری، این بدان معنی است که شما به هیچ مکانیزم تشخیص تهدید نیاز ندارید. یک ویروس به سادگی اجرا نمی شود، و نه هیچ برنامه غیر ضروری دیگری، و چنین فناوری به منابع بسیار کمی نیاز دارد - به این راهکار اجازه می‌دهد حتی بر روی سیستم‌های بسیار ضعیف کار کند.
با این حال، این رویکرد ممکن است به عنوان مثال در برابر تزریق کد به یک فرآیند قانونی و از قبل در حال اجرا در حافظه، ناتوان باشد - که می‌تواند از طریق اکسپلویت همان آسیب پذیری‌ها در نرم افزار قدیمی به دست آید. تکنیک‌های توسعه‌یافته توسط هکرها برای سوء استفاده از عناصر خود سیستم برای اهداف مخرب اغلب به این معنی است که استفاده از بدافزار واقعی به حداقل می‌رسد. بله، در یک سیستم ضعیف نیز گزینه‌های کمتری در دسترس هکرها وجود دارد، اما ... یک تجارت وابسته به سیستم‌های تعبیه‌شده، مانند بانک یا شبکه خرده‌فروشی، بعید است که فقط از دستگاههای متعلق به یک نسل استفاده کند. این به هکرها فضایی برای مانور می‌دهد. چه باید کرد؟ آیا باید راهکارهای مختلفی را نصب کنید - محصولات مبتنی بر اصل انکار پیش‌فرض در سیستم‌های ضعیف، و یک آنتی‌ویروس معمولی برای ایستگاه‌های کاری در ماشین‌های قدرتمندتر، به امید جلوگیری از مشکلات دستکاری؟ یا سعی کنید راهکاری واقعاً جهانی پیدا کنید؟
محافظت ویژه برای دستگاههای خاص
اگر به راهکارهای امنیتی فعلی برای سیستم‌های تعبیه‌شده در بازار نگاهی بیاندازید خواهید دید که بیشتر فروشندگان دو گزینه را ارائه می دهند:
- یک راهکار کارآمد از نظر منابع «اقتصادی» که می‌تواند روی سیستم‌های قدیمی کار کند، اما حفاظت تک لایه ساده را بر اساس فناوری کنترل برنامه و حالت رد پیش‌فرض ارائه می‌دهد. این گزینه معمولاً فاقد ابزاری برای مقاومت در برابر طیف کامل حملات معمولی به سیستم‌های تعبیه‌شده است و اغلب جدا از سایر محصولات موجود در اکوسیستم فروشنده مدیریت می‌شود و چالش‌های بیشتری ایجاد می‌کند.
- یک راهکار امنیتی اندپوینت معمولی. برای سیستم های جدیدتر، اکثر سازندگان پیشنهاد می‌کنند که راه حلی مشابهی را نصب کنند که از ایستگاه های کاری معمولی محافظت می‌کند. بدون شک، چنین راهکارهایی دارای مجموعه‌ای به‌روز از فناوری‌های امنیتی هستند و می‌توانند در اکوسیستم فروشنده ادغام شوند. با این حال، آنها معمولاً فاقد فناوری های خاصی هستند که به طور خاص برای محافظت از سیستم های تعبیه شده مورد نیاز است. همچنین، چنین راه‌حل‌هایی فقط بر روی جدیدترین و قدرتمندترین دستگاه‌ها کار می‌کنند و دستگاههای هنوز کاربردی اما قدیمی را پشت سر می‌گذارند.
حتی اگر هر دو گزینه به طور همزمان استفاده شوند، طیف کاملی از مشکلات قابل‌حل نیست. علاوه بر این، رویکردهای مدیریتی ناسازگار می‌تواند کار مدیران فناوری اطلاعات و امنیت را بسیار پیچیده‌تر کند (مخصوصاً اگر از راه‌حل‌هایی از تولیدکنندگان مختلف استفاده شود). پس بیایید سعی کنیم راهکار امنیتی ایده آل مناسب برای طیف گسترده‌ای از سیستم‌های تعبیه‌شده و سناریوهای استفاده از آنها را تصور کنیم:
- این راهکار باید بالاترین سطح محافظت را ارائه دهد. در جهان امروزی این یعنی داشتن سپاهی از فناوری‌های مختلف برای محافظت در برابر طیفی از بردارهای حمله و تکنیک‌هایی که معمولاً روی سیستم‌های تعبیه‌شده با هر شکل و رنگی استفاده می‌شوند.
- این راهکار باید حداکثر محافظت را برای سیستم‌هایی با قابلیت‌های مختلف فراهم کند - هم سیستم‌های قدیمی با مشخصات پایین و هم سیستم‌های جدیدتر با قدرت محاسباتی و حافظه فراوان. با این حال، از آنجایی که اجرای فیزیکی هر فناوری به طور همزمان بر روی سخت افزار ضعیف غیرممکن است، مقیاس‌پذیری لازم است. به عبارت دیگر، راهکار باید اجازه مدیریت جداگانه لایه‌های حفاظتی را بدهد تا بتوانید ابزارهای غیرضروری را غیرفعال و ابزارهایی را فعال کنید که حداکثر محافظت را برای یک سخت افزار خاص و سناریو استفاده می‌کنند.
- راهکار باید از محبوب‌ترین سیستم‌عامل‌های مورد استفاده برای ایجاد سیستم‌های تعبیه‌شده پشتیبانی کند. یعنی حداقل ویندوز و لینوکس.
- راهکار باید از نسخه‌های قدیمی سیستم‌عامل مورد استفاده در سیستم های تعبیه‌شده که هنوز در حال کار هستند پشتیبانی کند.
- این راهکار باید الزامات نظارتی را برآورده کند، دارای فناوری‌های توصیه شده در پشته امنیتی خود باشد و بتواند ثبت رویدادهای دقیق را در یک سیستم نظارت بر رویدادهای امنیتی متمرکز SIEM) ) انجام دهد.
- راهکار باید به طور کامل برای سازگاری آزمایش شود - حداقل با تنظیمات معمولی انواع مختلف سیستم‌های تعبیه‌شده. در حالت ایده‌آل، باید به عنوان بخشی از یک سیستم نرم‌افزاری/سخت‌افزاری عرضه شود که همه اجزای آن توسط سازنده برای سازگاری آزمایش شده‌اند.
- راهکار باید دارای مدیریت متمرکز باشد - به طور ایده‌آل با سایر محصولات موجود در اکوسیستم فروشنده یکپارچه شود تا سیستم امنیتی جامعی را ایجاد کند که نظارت و محافظت از تمام سطوح زیرساخت فناوری اطلاعات شرکت را از طریق یک کنسول واحد فراهم می‌کند.
امنیت سیستم‌های تعبیه‌شده کسپرسکی
خیلی سال پیش قبل از درک کامل اینکه یک راهکار تخصصی برای محافظت سیستم‌های تعبیه‌شده باید چه شکلی باشد، کسپرسکی نیز تلاش کرد برای این تسک از از خط تولید کسپرسکی سکیوریتی برای کسب و کار استفاده کند. با این حال خیلی زود معلوم شد استفاده از اپ قدیمی برای کل طیف سیستم‌های تعبیه‌شده محال بود. از این رو تصمیم بر این شد که راهکاری جداگانه توسعه داده شود که بتواند الزامات ایده آل را تا حد بالایی برآورده کند. نتیجه ظهور راهکاری به نام Kaspersky Embedded Systems Security بود که ابتدا ویندوز و بعد لینوکس را پشتیبانی کرد. راهکار ما ترکیب نادر و بی‌بدیلی را در بازار جهانی ارائه می‌دهد: یک پشته فنی تکنولوژیک برای پلت‌فرم‌های مختلف با الزامات منابع سیستم بسیار فروتنانه و پشتیبانی از نسخه‌های منسوخ سیستم‌عامل (حتی تا ویندوز اکس پی اس‌پی 2). و همه اینها بخشی از اکوسیستم غنی کسپرسکی است. این بدان معناست که Kaspersky Embedded Systems Security بیشتر قرابت را با راهکار ایده‌آلی که بالاتر اشاره کردیم دارد.
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
