تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی | پنج راهکار اصلی

تهدیدهای سایبری در صنعت انرژی این روزها بسیار فراگیر شده‌اند و تامین امنیت سایبری در صنعت نفت و گاز اهمیت بسیار زیادی پیدا کرده است.

بخش انرژی و به طور خاص، صنعت نفت، گاز و پتروشیمی، ستون فقرات اقتصاد دنیا را تشکیل می‌دهد و به ویژه کشور ما، وابستگی بسیار شدیدی به این صنعت دارد. هر گونه حمله سایبری موفق به شرکت‌های بزرگ فعال در این حوزه، نه تنها می‌تواند خسارت‌های مالی گسترده‌ای به دنبال داشته باشد، بلکه با اختلال در زنجیره سوخت‌رسانی، پتانسیل این را دارد که به سرعت به بحرانی در مقیاس ملی تبدیل شود.

در سال‌های اخیر، تمامی شرکت‌های بزرگ نفتی دنیا با دیجیتالیزه کردن فرایندها و استقرار سامانه‌های فناوری عملیاتی (OT)، سامانه‌های کنترل صنعتی (ICS) و سامانه‌های SCADA توانسته‌اند تولید نفت، گاز و محصولات پتروشیمی را افزایش دهند و حمل و نقل و لجستیک در این صنعت را بهینه‌سازی کنند. با این حال، شبکه‌های کامپیوتری در این صنعت همانند چاقویی دو لبه هستند و علیرغم همه مزیت‌هایی که ایجاد می‌کنند، حلقه‌های مختلف زنجیره تأمین نفت، گاز و پتروشیمی را در معرض تهدیدات سایبری قرار می‌دهند. در این مقاله می‌خواهیم نگاهی به نقاط ضعف امنیتی در شبکه‌های کامپیوتری صنعت نفت، گاز و پتروشیمی و تهدیدات سایبری رایج در این صنعت بیاندازیم و راهکارهایی را برای تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی ارائه دهیم. با سایبرنو همراه باشید.

عناوینی که در ادامه می‌خوانید:

نقاط ضعف و قوت انواع پیکربندی شبکه در صنعت نفت، گاز و پتروشیمی

تکامل تهدیدات سایبری در صنعت نفت، گاز و پتروشیمی

چرا صنعت نفت، گاز و پتروشیمی هدف مهمی برای هکرها است؟

تبعات حمله سایبری به زیرساخت‌های نفت، گاز و پتروشیمی

چالش‌های امنیت سایبری شرکت های نفت و گاز و پتروشیمی

تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی

کلام آخر: ضرورت آگاهی از آخرین ترندهای امنیت سایبری

نقاط ضعف و قوت انواع پیکربندی شبکه در صنعت نفت، گاز و پتروشیمی

معماری شبکه در صنعت نفت، گاز و پتروشیمی، ترکیبی از سامانه‌های فناوری اطلاعات (IT) و فناوری عملیات (OT) است. پیکربندی‌های مختلفی در این صنعت مورد استفاده قرار می‌گیرد که در زیر، رایج‌ترین این پیکربندی‌های شبکه و نقاط ضعف و قوت هر کدام را توضیح داده‌ایم:

۱- شبکه مسطح (Flat)

۲- شبکه بخش‌بندی‌شده

۳- شبکه‌های ایرگپ (Air-Gap)

۴- شبکه‌های هیبرید IT/OT

تکامل تهدیدات سایبری در صنعت نفت، گاز و پتروشیمی

تا پیش از سال ۲۰۰۰، اکثر زیرساخت‌های نفت، گاز و پتروشیمی در سرتاسر دنیا، دیجیتالیزه نشده بودند و بنابراین، تهدیدات سایبری موضوعیتی نداشتند. با اینکه در اواخر دهه ‍۱۹۹۰، سامانه‌های IT در این زیرساخت‌ها توسعه پیدا کردند اما هنوز خبری از تهدیدات سایبری نبود.

در اوایل دهه اول قرن بیست و یکم، سیستم‌های کنترل صنعتی (ICS) و سیستم‌های کنترل نظارتی و گردآوری داده (SCADA) وارد صنعت نفت، گاز و پتروشیمی شدند و بدین ترتیب، تولید، فرآوری و لجستیک در این حوزه، بسیار بهینه‌تر و راحت‌تر شد. هر چند که دیجیتالیزه شدن، به معنی افزایش تهدیدات سایبری بود. در آن سال‌ها، موارد نقض داده و نفوذ به سیستم‌های ICS و SCADA به ندرت رخ می‌داد و اهمیت زیادی نداشت اما متخصصان هشدار می‌دادند که تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی در سال‌های آتی، ضروری خواهد شد.

در سال ۲۰۱۰، بدافزار Stuxnet معرفی شد که اگرچه به طور مستقیم صنعت نفت و گاز و پتروشیمی را هدف نگرفت اما با ایجاد خسارت‌هایی به برنامه هسته‌ای جمهوری اسلامی، نشان داد که می‌توان از بدافزارها به عنوان سلاح سایبری برای هدف گرفتن سامانه‌های ICS استفاده کرد.

در سال ۲۰۱۲ بدافزار Shamoon به تأسیسات نفتی آرامکو عربستان سعودی حمله کرد و سبب از دست رفتن داده‌های ذخیره شده روی بیش از ۳۰ هزار کامپیوتر شد. این خسارت سنگین، نشان‌دهنده آسیب‌پذیری شرکت های نفت و گاز در مقابل جنگ‌افزارهای سایبری بود.

از سال‌های ۲۰۱۴ تا ۲۰۱۷، حملات سایبری به زیرساخت‌های حیاتی در این صنعت افزایش پیدا کرد. تهدیدات سایبری در این سال‌ها به سرعت پیشرفت و تکامل پیدا کردند و رویدادهایی مثل حمله بدافزار BlackEnergy به شبکه توزیع برق اوکراین، حاکی از آسیب‌پذیری زیرساخت‌های صنعتی و انرژی به حملات از راه دور بود. رفته رفته، صنعت نفت و گاز و پتروشیمی به یکی از اهداف اصلی هکرها در حملات باج‌افزاری و جاسوسی تبدیل شد و تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی را پیچیده‌تر کرد.

در سال ۲۰۱۸، گروه‌های هکری تحت حمایت بعضی از دولت‌ها مثل هکرهای APT33 و APT34 به طور هدفمند، حمله به زیرساخت‌های نفت و گاز و انرژی را در منطقه خاورمیانه و دیگر مناطق جهان آغاز کردند. اهداف این گروه‌ها شامل گردآوری اطلاعات و اختلال در عملکرد پالایشگاه‌ها و پایانه‌های نفت و گاز و پتروشیمی‌ها بود.

در سال‌های ۲۰۲۰ و ۲۰۲۱ حمله باج‌افزاری خط لوله Colonial رخ داد که منجر به اختلال در زنجیره تأمین سوخت در شرق ایالات متحده شد و خسارت‌های مالی گسترده‌ای را به دنبال داشت. این حمله نشان داد که تهدیدات علیه زنجیره تأمین نیز می‌تواند به چالش های امنیت سایبری شرکت های نفت و گاز و پتروشیمی بی‌افزاید. 

از سال ۲۰۲۲ به این سو، با ظهور هوش مصنوعی و تهدیدات پیشرفته، تهدیدات سایبری علیه صنعت نفت و گاز و پتروشیمی بسیار مدرن و خطرناک شدند. اکنون، عوامل تهدید از هوش مصنوعی برای حملات فیشینگ، توزیع بدافزارها و اکسپلویت کردن آسیب‌پذیری‌ها در سامانه‌های ICS استفاده می‌کنند. در مقابل، شرکت‌های امنیت سایبری نیز به توسعه راهکارهایی مبتنی بر هوش مصنوعی برای تشخیص فعالیت مشکوک در شبکه‌ها می‌پردازند.

چرا صنعت نفت، گاز و پتروشیمی هدف مهمی برای هکرها است؟

تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی اهمیت بسیار بالایی دارد و به دلایل زیر، این صنعت به یکی از اهداف اصلی گروه‌های هکری وابسته به دولت‌ها و تهدیدات مدوام پیشرفته (APTs) تبدیل شده است:

• دارایی‌های ارشمند: پول زیادی که در صنعت نفت و گاز و پتروشیمی وجود دارد و اثرگذاری بالای این صنعت روی بازارهای مالی، زیرساخت‌های این صنعت را به هدف مهمی برای حملات باج‌افزاری و دیگر حملات سایبری که با انگیزه مالی انجام می‌شوند، تبدیل کرده است.
• زیرساخت‌های حیاتی: زیرساخت‌های نفت، گاز و پتروشیمی از مهم‌ترین زیرساخت‌های هر کشوری هستند و آسیب زدن به آن‌ها توسط دولت‌های متخاصم می‌تواند منجر به ایجاد مشکلات اقتصادی، اجتماعی و امنیتی گسترده‌ای در کشور هدف شود.
• سیستم‌های قدیمی: آسیب‌پذیری بسیار بالای بعضی از زیرساخت‌ها در این صنعت به دلیل قدیمی بودن آن‌ها، صنعت نفت و گاز و پتروشیمی را به ویژه در کشور ما به هدفی جذاب و راحت برای هکرهای پیشرفته تبدیل کرده است.
• سطح حمله وسیع: شبکه‌های IT و OT در صنعت نفت، گاز و پتروشیمی، سطح حمله گسترده‌ای را برای هکرها فرآهم می‌آورند.

تبعات حمله سایبری به زیرساخت‌های نفت، گاز و پتروشیمی

هر نوع حمله سایبری موفقی به صنعت نفت، گاز و پتروشیمی می‌تواند تبعات بسیار گسترده‌ای داشته باشد و بنابراین، تأمین امنیت سایبری صنعت نفت و گاز و پتروشیمی باید در اولویت شرکت‌ها و دولت‌ها باشد. از مهم‌ترین تبعات این نوع حملات می‌توان به موارد زیر اشاره کرد:

۱- خسارت‌های مالی

اولین و مستقیم‌ترین ضربه‌ای که به دنبال هر نوع حمله سایبری موفق به این صنعت وارد می‌شود، خسارت مالی است. حتی اندکی کند شدن فرایند تولید، فرآوری، ذخیره‌سازی و انتقال فرآورده‌های نفتی و گازی، می‌تواند منجر به خسارت‌های سنگین مالی شود. برای مثال، در سال ۲۰۲۲، حمله‌ای باج‌افزاری به پایانه‌های نفتی در غرب اروپا سبب کند شدن توزیع نفت در محور Amsterdam-Rotterdam-Antwerp شد که خسارت‌های مالی سنگینی به شرکت‌های نفتی آلمانی و هلندی وارد کرد.

همچنین، گاهی اوقات شرکت‌های قربانی، مجبور به پرداخت باج به هکرها می‌شوند تا باج‌افزار را غیرفعال کنند. گذشته از این، چنین حوادثی می‌تواند روی ارزش سهام شرکت‌ها اثرگذار باشد و تغییراتی در بازارهای مالی ایجاد کند.

۲- خطرات زیست‌محیطی و ایمنی

در صورتی که مجرمین سایبری و هکرهای پیشرفته وابسته به دولت‌های متخاصم بتوانند کنترل سامانه‌های ICS زیرساخت‌های نفت، گاز و پتروشیمی را در دست بگیرند و فرایندها را دچار اختلال کنند، احتمال فجایعی مثل نشت نفت به دریاهای آزاد، انفجارهای عظیم و ... وجود دارد که می‌توانند منجر به فجایع زیست‌محیطی شوند و حتی جان انسان‌ها را به خطر بی‌اندازند.

۳- تبعات ژئوپولتیکی

استفاده از جنگ‌افزارهای سایبری علیه صنعت نفت، گاز و پتروشیمی، به دلیل حیاتی بودن این صنعت، می‌تواند به راحتی سبب ایجاد بحران‌های ژئوپولتیکی شود و حتی امنیت ملی کشورها را به خطر بی‌اندازد.

چالش‌های امنیت سایبری شرکت های نفت و گاز و پتروشیمی

شرکت های فعال در حوزه نفت، گاز و پتروشیمی با چالش‌های امنیت سایبری متعددی رو به رو هستند که از مهم‌ترین آن‌ها می‌توان به موارد زیر اشاره کرد:

۱- رشد تهدیدات سایبری

همانطور که در بخش‌های قبل گفتیم، با دیجیتالیزه شدن صنعت نفت، گاز و پتروشیمی و پیشرفت در استفاده از هوش مصنوعی برای انجام حملات مهندسی اجتماعی و اکسپلویت کردن آسیب‌پذیری‌ها، تهدیدات سایبری علیه این صنعت در حال رشد سریع هستند. در واقع، نه تنها تعداد حملات سایبری به زیرساخت‌ها بیشتر شده است، بلکه این حملات، پیشرفته‌تر نیز شده‌اند. از مهم‌ترین تهدیدات سایبری علیه این صنعت می‌توان به موارد زیر اشاره کرد:

• حملات باج‌افزاری: باج‌افزارها می‌توانند با قفل کردن سیستم‌ها در سامانه‌های ICS، نه تنها تولید و توزیع محصولات را با اختلال مواجه کنند، بلکه شرکت‌های قربانی را مجبور سازند تا باج بزرگی بدهند و متحمل خسارت‌های مالی سنگینی شوند.
• نقض داده و جاسوسی: بعضی از حملات سایبری با تکنیک‌هایی مثل مهندسی اجتماعی انجام می‌شوند و هدف آن‌ها، گردآوری داده‌های محرمانه در رابطه با شرکت‌های فعال در حوزه نفت، گاز و پتروشیمی است که می‌تواند تبعات گسترده‌ای، به ویژه در بازارهای مالی داشته باشد.
• آسیب به زیرساخت‌ها: هکرها با در کنترل گرفتن سامانه‌های ICS و SCADA می‌توانند سبب اختلال در فعالیت‌ها و آسیب‌های بزرگ به زیرساخت‌ها شوند.

۲- بروزرسانی یا امن‌سازی سامانه‌های قدیمی

بسیاری از شبکه‌ها در صنعت نفت و گاز و پتروشیمی با صرف هزینه‌های هنگفت در سال‌هایی ساخته شده‌اند که تهدیدات سایبری اصلا مورد توجه قرار نمی‌گرفتند. در حال حاضر، بروزرسانی یا امن‌سازی این سامانه‌ها برای شرکت‌ها و دولت‌ها می‌تواند بسیار هزینه‌بر و چالش برانگیز باشد.

۳- تهدیدات زنجیره تأمین

هکرها می‌توانند به صورت غیر مستقیم و با هدف گرفتن شرکای تجاری شرکت‌های نفت، گاز و پتروشیمی، به شبکه‌های این سازمان‌ها نفوذ کنند.

۴- تهدیدات داخلی

حتی زیرساخت‌های دارای شبکه‌های ایرگپ و ایزوله نیز از گزند تهدیدات سایبری در امان نیستند. تهدیدات داخلی مانند کارکنان خود سازمان‌ها می‌توانند تهدیدات سایبری جدی علیه این زیرساخت‌ها باشند.

تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی

تا اینجا گفتیم که چرا صنعت نفت، گاز و پتروشیمی به یکی از اهداف اصلی هکرهای پیشرفته و وابسته به دولت‌ها تبدیل شده است و مهم‌ترین تهدیدات برای این صنعت کدامند. اما سوال اصلی این است که برای تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی چه کارهایی می‌توانیم انجام دهیم؟

۱- پیکربندی درست شبکه

اولین و مهم‌ترین کاری که برای تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی باید برداشته شود، پیکربندی درست شبکه‌های OT و IT است. در بخش اول مقاله، انواع پیکربندی‌های رایج شبکه در این صنعت را معرفی کردیم و گفتیم که هر نوع پیکربندی، چه کاربردی و چه مزایا و معایبی دارد.

امروزه شبکه‌های مسطح (flat) که در آن‌ها شبکه‌های IT و OT یکی هستند، منسوخ شده‌اند و در صورتی که در زیرساخت‌های حساس وجود داشته باشند، باید به طور کامل بروزرسانی شوند اما در صورت عدم امکان بروزرسانی، می‌تواند با امن‌سازی، کمی آن‌ها را امن‌تر کرد.

بخش‌بندی شبکه در این صنعت اهمیت بالایی دارد. شبکه IT باید به طور کامل از شبکه OT که خودش شامل ICS و SCADA است، جدا شود و ارتباط بین این شبکه‌ها تحت کنترل دسترسی و نظارت شدیدی قرار داشته باشد.

در واقع، بهترین پیکربندی شبکه برای زیرساخت‌های نفت، گاز و پتروشیمی در دنیای امروز، شبکه ایرگپ است که تقریبا هیچ ارتباطی با شبکه‌های ناامن نداشته باشد.

۲- خنثی‌سازی تهدیدات USB

پیش از این گفتیم که استفاده از شبکه‌های ایرگپ، زیرساخت‌ها را در معرض تهدیدات USB قرار می‌دهد. در واقع، ورود و خروج اطلاعات در این شبکه‌ها برای مقاصدی مثل بروزرسانی و ... نیازمند استفاده از دستگاه‌های USB است که سامانه‌ها را در معرض تهدیدات USB قرار می‌دهد.

برای این منظور می‌توان از کیوسک امن سایبرنو استفاده کرد. این دستگاه از یک سو به شبکه ایرگپ متصل می‌شود و از سوی دیگر، دارای پورت‌هایی برای اتصال انواع حافظه‌های قابل حمل، شامل دستگاه‌های USB است. بدین ترتیب، انتقال فایل به درون شبکه ایرگپ یا به خارج از شبکه ایرگپ، مستلزم عبور از کیوسک امن سایبرنو است. اما کیوسک چطور امنیت سایبری شبکه ایرگپ را تضمین می‌کند؟

کیوسک امن سایبرنو پکیجی سخت‌افزاری و نرم‌افزاری با سیستم عامل اختصاصی و مجهز به پویشگر چند موتوره است که با بیش از ۳۰ موتور آنتی ویروس، هر فایل را پیش از ورود به شبکه ایرگپ، بررسی می‌کند و به فایل‌های آلوده، اجازه ورود نمی‌دهد. از سوی دیگر، می‌توان از کیوسک برای جلوگیری از خروج اطلاعات حساس نیز استفاده کرد.

۳- امن‌سازی شبکه

شبکه تأسیسات نفت، گاز و پتروشیمی، با هر نوع پیکربندی نیاز به امن سازی (hardening) دوره‌ای دارد. امن‌سازی فرایندی است که در آن، تیمی از متخصصان امنیت سایبری، نقاط ضعف رایج موجود در شبکه‌ها، مثل آسیب‌پذیری‌های پچ نشده، نرم‌افزارهای بدون کاربرد نصب شده روی سیستم‌ها، نرم‌افزارهای برزورسانی نشده، فرایندهای احراز هویت ضعیف، فرایندهای کنترل دسترسی ضعیف و ... را برطرف می‌کنند. به ویژه اگر شبکه سازمان ما قدیمی باشد و امکان تغییر آن به شبکه‌ای بخش‌بندی‌شده یا ایرگپ را نداشته باشید، انجام دوره‌ای امن‌سازی بسیار ضروری است.

۴- تست نفوذپذیری شبکه

با توجه به حساسیت بالای شبکه‌های IT و OT تأسیسات نفت، گاز و پتروشیمی، انجام دوره‌ای تست نفوذپذیری به شدت توصیه می‌شود. تست نفوذ که پن تست (penetration testing) نیز نامیده می‌شود، فرایندی کنترل شده است که در آن، تیمی از هکرهای کلاه سفید، با هماهنگی مدیران شبکه، حمله‌ای شبیه‌سازی شده را علیه زیرساخت‌های شبکه انجام می‌دهند و در این حمله از انواع مختلف تاکتیک‌ها و تکنیک‌های حمله استفاده می‌کنند.

بدین ترتیب، شبکه به خوبی محک می‌خورد و آسیب‌پذیری‌های شبکه مشخص می‌شوند. در پایان تست نفوذ، گزارشی از آسیب‌پذیری‌های یافت‌شده همراه با پیشنهاداتی برای برطرف کردن آن‌ها به مدیران شبکه ارائه می‌شود.

۵- آگاهی رسانی امنیتی (SAT)

یکی از مهم‌ترین تهدیدات سایبری، به ویژه در شبکه‌های ایرگپ و ایزوله، تهدیدات داخلی هستند. در واقع، مطالعات نشان داده است که درصد بسیار بالایی از حوادث سایبری در نتیجه اشتباهات کارکنان رخ می‌دهد. گاهی اوقات نیز بعضی از کارکنان ناراضی شرکت‌ها، با هکرها برای انتقام‌جویی همکاری می‌کنند.
در هر صورت، اجرای دوره‌ای برنامه‌های آگاهی رسانی امنیتی (SAT) در سازمان‌های حساس مثل شرکت‌های نفت، گاز و پتروشیمی، از اهمیت بسیار بالایی برخوردار است و می‌توان آن را آخرین قطعه اصلی پازل تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی دانست.

کلام آخر: ضرورت آگاهی از آخرین ترندهای امنیت سایبری

همانطور که گفتیم، صنعت نفت، گاز و پتروشیمی در یکی دو دهه اخیر به سرعت در حالی دیجیتالیزه شدن است و این موضوع، تهدیدات سایبری را نیز به دنبال دارد. هکرهای خطرناک وابسته به دولت‌های متخاصیم تا مجرمین سایبری بسیار توانمند با انگیزه‌های متعددی مانند انگیزه‌های ژئوپولتیکی و مالی، همواره در تلاش برای نفوذ به شبکه‌های IT و OT زیرساخت‌های این صنعت هستند.

در این مقاله، راهکارهایی را برای تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی ارائه دادیم که شامل پیکربندی درست شبکه، خنثی‌سازی تهدیدات USB، امن‌سازی، تست نفوذ و نهایتا، آگاهی رسانی امنیتی بود اما فراموش نکنید سرعت تکامل تهدیدات سایبری بسیار بالا رفته است و شرکت‌های امنیت سایبری نیز پا به پای هکرها، محصولات امنیت سایبری جدیدی را به بازار معرفی می‌کنند.

در چنین اکوسیستم پویایی، ضرورت دارد که مدیران شرکت‌های نفتی و سازمان‌های فعال در این صنعت، برای آگاهی از جدیدترین فناوری‌ها در حوزه امنیت سایبری، در نمایشگاه‌های مرتبط حضور پیدا کنند. برای مثال، ششمین نمایشگاه فناوری اطلاعات، ارتباطات، امنیت و حراست صنعت نفت از ۹ تا ۱۲ دی ماه ۱۴۰۳ در عسلویه برگزار می‌شود که می‌تواند فرصت خوبی برای آشنایی با جدیدترین محصولات و خدمات به منظور تأمین امنیت سایبری در صنعت نفت و گاز و پتروشیمی باشد.