डिजिटल उद्योग को किस चीज से बचाने की जरूरत है

आधुनिक उद्योग में, IoT / IIoT उपकरणों, स्मार्ट मशीनों और इंटरनेट से जुड़े अन्य उपकरणों की संख्या और प्रसार धीरे-धीरे बढ़ रहा है। फर्मवेयर जिस पर वे काम करते हैं, उसमें संभावित रूप से त्रुटियां और कमजोरियां हो सकती हैं, जिनका उपयोग विभिन्न प्रकार के उद्देश्यों के लिए किया जा सकता है, जिसमें न्यू लूडवाद और बस जबरन वसूली शामिल है। हम "स्मार्ट" उद्योग की मुख्य कमजोरियों का विश्लेषण करेंगे, इस पर साइबर हमले के कुछ परिदृश्यों पर विचार करेंगे, साथ ही सुरक्षा के लिए तकनीकी सिफारिशें करेंगे।

मई 2019 के अंत में, यह रूस में एंड-टू-एंड इंडस्ट्रियल इंटरनेट तकनीक के लिए तैयार रोडमैप के बारे में जाना गया। पूर्वानुमान के अनुसार, 2024 तक रूसी संघ के उद्यमों में IIoT की शुरूआत कम से कम 5.5 ट्रिलियन रूबल का आर्थिक प्रभाव देगी। गैर-प्राथमिक उद्योग और खनन की शुरूआत द्वारा सबसे बड़ा मूल्य प्रदान किया जाएगा - प्रत्येक उद्योग के लिए 1 ट्रिलियन से अधिक रूबल। कृषि, बिजली और रसद में, प्रभाव 500 अरब रूबल से अधिक होगा।

दुनिया में IIoT समाधानों के वास्तविक कार्यान्वयन के परिणाम इंगित करते हैं कि ऊपर वर्णित पूर्वानुमान काफी वास्तविक है। इस प्रकार, स्मोलेंस्क एनपीपी में स्मार्ट घटकों की शुरूआत ने राउंड-ट्रिप समय में 20 गुना कमी और टिप्पणियों की गुणवत्ता में वृद्धि की अनुमति दी, आर्थिक प्रभाव एक वर्ष में लगभग 45 मिलियन रूबल है। रेडियो इंजीनियरिंग प्लांट टेक्निनियरिंग ने 4 महीने में 4% से अधिक बिजली, गर्मी और लीक के लिए वायरलेस सेंसर और मीटर स्थापित करके बचत प्राप्त की । परिचय का सकारात्मक प्रभाव न केवल पैसे में मापा जाता है - कहते हैं, हार्ले डेविडसन ने कस्टम मोटरसाइकिल मॉडल के उत्पादन को गति देने के लिए अपनी सभी मशीनों और भागों को आरएफआईडी टैग से सुसज्जित किया है। IIoT की शुरुआत के परिणामस्वरूप, उत्पादन चक्र 21 दिनों से घटाकर 6 घंटे कर दिया गया था ।

2017 में, मैकिन्से और प्राइसवाटरहाउस कूपर्स ने रूसी संघ में IIoT के कार्यान्वयन के लिए तुलनीय प्रदर्शन के आंकड़े कहा: उनके पूर्वानुमान में 0.4 से 1.4 ट्रिलियन रूबल का वार्षिक प्रभाव दिखाई देता है, साथ ही 2025 तक 2.8 ट्रिलियन रूबल का कुल प्रभाव है।

इसलिए, घरेलू और विदेशी उदाहरण, साथ ही IIoT के बड़े पैमाने पर परिचय की वित्तीय संभावनाएं बताती हैं कि उद्योग 4.0 आज के उद्योग में बहुत वास्तविक अभ्यास बन रहा है।

स्मार्ट उद्योग कमजोरियाँ

उद्योग 4.0 में उत्पादन का पूरा स्वचालन और इंटरनेट से जुड़ी हर चीज शामिल है। इसी समय, ऐसे उद्यमों के उपकरण एक-दूसरे के साथ "संचार" करते हैं, और कृत्रिम बुद्धिमत्ता जो प्रक्रियाओं को नियंत्रित करती है, उत्पादन के चरणों को नियंत्रित करने के लिए डेटा एकत्र करती है, जो सबसे लचीले और संसाधन-बचत तरीके से बेहतर उत्पादों का उत्पादन करना संभव बनाती है।

जाहिर है, स्वचालन का स्तर जितना अधिक होगा, उतना ही सॉफ्टवेयर कोड उपकरणों के फर्मवेयर में निहित है और अधिक संभावना है कि उनके पास कमजोरियां हैं। फ़र्मवेयर, निश्चित रूप से, उद्योग 4.0 में स्मार्ट कारखानों के लिए सुरक्षा समस्याओं का एकमात्र स्रोत नहीं है। बहुत अधिक वास्तविक समस्याएं हैं। यहाँ उनमें से कुछ हैं।

कमजोर घटक
आज यह एक बड़ी समस्या है, क्योंकि इन उपकरणों का एक महत्वपूर्ण हिस्सा स्मार्ट उद्यमों की सुरक्षा आवश्यकताओं को ध्यान में रखे बिना विकसित किया गया था। कर्मचारी सर्वेक्षण के अनुसार, पुराने उपकरण औद्योगिक IoT समाधान के कार्यान्वयन के लिए मुख्य बाधा है। पुराने उपकरणों के आधार पर नई प्रणालियों के निर्माण का प्रयास एक उचित स्तर की सुरक्षा प्रदान करने की समस्याओं का सामना करता है।

कमजोर प्रोटोकॉल
कई प्रोटोकॉल कई साल पहले बनाए गए थे और आज तक लगभग अपरिवर्तित हैं। हालांकि, जब उन्हें विकसित किया गया था, तो आधुनिक खतरे का बहुत कुछ नहीं था और उद्यम नेटवर्क अलग-थलग थे। परिणामस्वरूप: शोध के अनुसार, 5 में से 4 सुरक्षित प्रोटोकॉल औद्योगिक नियंत्रण प्रोटोकॉल हैं।

कमजोर संचालक
उद्योग के उद्यमों में, 4.0 लोग काफी कम हैं, जो आनुपातिक रूप से संभावित लक्ष्यों की संख्या को कम कर देता है। हालांकि, नई प्रौद्योगिकियों की शुरूआत बताती है कि कई शेष कर्मचारियों को अभी भी नए कार्यक्रमों और डेटा प्रकारों के साथ काम करना होगा। ऐसी परिस्थितियों में जब आपको कुछ नया सीखना होता है, तो एक व्यक्ति विशेष रूप से सोशल इंजीनियरिंग के प्रति संवेदनशील हो जाता है, विशेष रूप से, फ़िशिंग हमलों के लिए।

कमजोर आपूर्ति श्रृंखला
कई कंपनियां उत्पादन श्रृंखला में भाग ले रही हैं। इसलिए, एक उद्यम की रक्षा करने के लिए, उससे जुड़ी सभी उत्पादन सुविधाओं की सुरक्षा के साथ-साथ उससे जुड़े सभी पौधों को सुनिश्चित किया जाना चाहिए। लेकिन चूंकि सभी संचार को नियंत्रित करना लगभग असंभव है, नतीजतन, सुरक्षा का अंतिम स्तर सबसे कमजोर लिंक के स्तर पर होगा।

कमजोर आईटी प्रक्रियाएं
कई मामलों में, IIoT उपकरणों पर अपडेट इंस्टॉल करना आसान काम नहीं है, क्योंकि उनमें से कुछ में बस अपडेट इंस्टॉलेशन तंत्र नहीं हो सकता है। एक अन्य कठिनाई उपकरणों की एक बड़ी संख्या है, इसलिए एक या दो सेंसर लापता होने का खतरा है। अद्यतन करने के संदर्भ में एक और समस्या निरंतर चक्र उद्यम है, क्योंकि इस मामले में तकनीकी प्रक्रिया को रोकना और IIoT सेंसर को पैच अपलोड करना असंभव है ।

औद्योगिक उपकरण आपको बड़ी संख्या में विभिन्न कार्यों को करने की अनुमति देता है। इसके अलावा, अवसरों के सभी धन की आवश्यकता नहीं है। उद्योग 4.0 में, उपकरण में अप्रयुक्त कार्यक्षमता की उपस्थिति हमलावरों की क्षमताओं पर हमला करने के लिए फैलती है, और इसके चुपके को सुनिश्चित करती है: चूंकि कार्यक्षमता का उपयोग नहीं किया जाता है, कोई भी इस हिस्से में उपकरणों के संचालन को नियंत्रित नहीं करता है, और प्रवेश किसी का ध्यान नहीं जा सकता है।

स्मार्ट उद्यमों पर बड़े साइबर हमले

यूरोपीय संघ नेटवर्क और सूचना सुरक्षा एजेंसी (ENISA) ने पिछले साल एक अध्ययन किया, जिसमें लेखकों ने साइबर सुरक्षा के विशेषज्ञों का साक्षात्कार लिया और IIoT उपकरणों के लिए 12 मुख्य साइबर-हमले परिदृश्यों की पहचान की, साथ ही उद्योग 4.0 में स्मार्ट उद्यमों के संदर्भ में IoT उपकरणों के लिए सुरक्षा उपायों की रूपरेखा तैयार की। सबसे पहले, चलो हमले परिदृश्यों के बारे में बात करते हैं। नीचे दी गई तालिका में, प्रत्येक संभावित प्रकार की घटना को एक स्मार्ट उद्यम के लिए वहन करने वाले जोखिम की डिग्री को सौंपा गया है।



इन हमलों में से कुछ पर विचार करें:

- नियंत्रक और कार्यकारी उपकरणों के बीच कनेक्शन पर हमला: एक हमलावर सिस्टम में दुर्भावनापूर्ण कोड को इंजेक्ट करता है और लॉन्च करता है, नियंत्रक और मशीन के बीच संचारित डेटा में हेरफेर करता है।
प्रभाव : तकनीकी प्रक्रियाओं पर नियंत्रण का नुकसान, उत्पादों और / या बुनियादी ढांचे के एक बैच को नुकसान।
संबंधित खतरे : आंतरिक और बाहरी तोड़फोड़, सॉफ्टवेयर और हार्डवेयर के साथ छेड़छाड़, नियंत्रण उपकरणों के विन्यास में परिवर्तन।

- सेंसर पर अटैक: सेंसर फटा होने पर , एक हमलावर अपने फर्मवेयर या कॉन्फ़िगरेशन को बदल सकता है, और फिर उस डेटा को बदल सकता है जिसे सेंसर उपकरण को नियंत्रित करने के लिए भेजता है।
प्रभाव : गलत डेटा के आधार पर गलत निर्णय लेना, गलत माप के आधार पर प्रक्रिया करना।
एसोसिएटेड खतरे : सूचना संशोधन, तोड़फोड़, सॉफ्टवेयर और हार्डवेयर के साथ छेड़छाड़।

- रिमोट कंट्रोल डिवाइस (ऑपरेटर पैनल, स्मार्टफोन) पर हमला: एक हमलावर रिमोट कंट्रोल डिवाइस को हैक कर सकता है, जो आमतौर पर रखरखाव करने के लिए डिज़ाइन किए जाते हैं और लगातार उपयोग नहीं किए जाते हैं। इस बीच, वे नेटवर्क के लिए एक सीधा खतरा पैदा करते हैं, क्योंकि उन्हें तोड़ने से महत्वपूर्ण नुकसान हो सकता है, और इसे पहचानना काफी मुश्किल है।
प्रभाव : सभी मापदंडों को बदलने की क्षमता के साथ सिस्टम तक पूर्ण पहुंच प्राप्त करना।
संबंधित खतरे : पासवर्ड हमले, सॉफ्टवेयर कमजोरियों का शोषण, सत्र अपहरण, सूचना रिसाव।

- नेटवर्क पर फैलने वाले दुर्भावनापूर्ण सॉफ़्टवेयर : वे प्रवेश के लिए फर्मवेयर और ऑपरेटिंग सिस्टम में कमजोरियों का उपयोग करते हैं। आप समय-समय पर कमजोर उपकरणों और कार्यक्रमों को अपडेट करके अपनी सुरक्षा कर सकते हैं, लेकिन जैसा कि ऊपर बताया गया है, IIoT के मामले में, अद्यतन करना हमेशा संभव नहीं होता है।
प्रभाव : IIoT हमलावरों के लिए अवसरों का एक समृद्ध सेट प्रदान करता है - एक स्मार्ट थर्मोस्टेट का नियंत्रण लेना, वे अस्पताल में हीटिंग बंद कर सकते हैं, लोगों की सुरक्षा को खतरे में डाल सकते हैं, एक धातुकर्म संयंत्र में थर्मोस्टैट्स की खराबी एक ब्लास्ट फर्नेस को रोक सकती है और बस इसे निष्क्रिय कर सकती है।
संबंधित खतरे : शोषण पैक, DDoS, पासवर्ड हमले।

- मानव त्रुटियां और सामाजिक इंजीनियरिंग, एक नियम के रूप में, अन्य प्रकार के हमलों को करने के लिए पहला कदम है: मानव मानस और मानव मानस की विशेषताएं आपको सिस्टम को अनधिकृत विशेषाधिकार प्राप्त करने की अनुमति देती हैं, ताकि बैकस्ट, अन्य दुर्भावनापूर्ण प्रोग्राम या उपकरणों के लिए भौतिक पहुंच प्राप्त हो सके। लोगों पर हमलों का पता लगाना अधिक कठिन है, क्योंकि तकनीकी के बजाय मनोवैज्ञानिक, उन्हें बाहर ले जाने के तरीकों का उपयोग किया जाता है। इस प्रकार के हमले की मान्यता में सुधार के लिए, कर्मचारियों को उपयुक्त प्रशिक्षण से गुजरना पड़ता है।
प्रभाव : सफल होने पर, हमलावर को सिस्टम या अन्य प्रकार के हमलों के लिए आवश्यक डेटा तक विशेषाधिकार प्राप्त होता है।
सहवर्ती खतरे : प्रशासनिक प्राधिकरण का दुरुपयोग, अनुचित प्रशासन या सिस्टम कॉन्फ़िगरेशन, उपकरण को शारीरिक क्षति, कंपनी की बौद्धिक संपदा की चोरी।

स्मार्ट फैक्टरी प्रदान करने के लिए क्या प्रस्तावित है

ENISA अध्ययन के भाग के रूप में, मुख्य IIoT सुरक्षा विषयों का विश्लेषण किया गया था, जिन्हें तीन समूहों में विभाजित किया गया था:

• नीति
• संगठनात्मक गतिविधियों
• तकनीकी गतिविधियों।

हम मुख्य तकनीकी सिफारिशों पर विचार करेंगे, और मूल काम में पूरा पाठ पाया जा सकता है:

ट्रस्ट और इंटीग्रिटी मैनेजमेंट

सुरक्षा उपाय जो डेटा की अखंडता और विश्वसनीयता सुनिश्चित करते हैं, साथ ही साथ भरोसेमंद उपकरणों के लिए मानदंड निर्धारित करते हैं:

• इसे चलाने से पहले सॉफ़्टवेयर की अखंडता की जांच करें, सुनिश्चित करें कि यह विश्वसनीय स्रोत से सुरक्षित तरीके से प्राप्त किया गया है और इसमें आपूर्तिकर्ता का वैध डिजिटल हस्ताक्षर है;
• डिजिटल प्रमाणपत्र और PKI का उपयोग करके एंटरप्राइज़ नेटवर्क में सभी IIoT उपकरणों को अधिकृत करें;
• एक सफेद सूची के रूप में IIoT उपकरणों के बीच संचार चैनल सेट करें। यदि संभव हो तो, केवल सुरक्षित चैनलों का चयन करें;
• अनुप्रयोगों के श्वेतसूची को लागू करें और हर बार जब आप सिस्टम को बदलते हैं, तो समीक्षा करें, लेकिन वर्ष में कम से कम एक बार।

मशीन से मशीन सुरक्षा

कुंजी भंडारण, एन्क्रिप्शन, इनपुट सत्यापन और सुरक्षा मुद्दों को परिभाषित करता है:

• हार्डवेयर क्रिप्टो मॉड्यूल के साथ विशेष सर्वर पर सार्वजनिक कुंजी को छोड़कर, सेवा एन्क्रिप्शन कुंजी को स्टोर करें;
• अखंडता की जाँच और पारस्परिक प्रमाणीकरण के साथ वस्तुओं के बीच बातचीत के लिए सिद्ध और सुरक्षित क्रिप्टोग्राफ़िक एल्गोरिदम का उपयोग करें;
• रिप्ले हमलों (पुराने संदेशों की पुनरावृत्ति पर हमले) के खिलाफ सुरक्षा के साथ संचार प्रोटोकॉल चुनें;
• क्रॉस-साइट स्क्रिप्टिंग और कोड इंजेक्शन के खिलाफ इनपुट और सुरक्षा को सत्यापित करने के लिए सफेद शीट का उपयोग करें।

डेटा सुरक्षा

गोपनीय डेटा की सुरक्षा और उन तक पहुंच को नियंत्रित करने के उपायों को परिभाषित करता है:

• गैर-वाष्पशील और गैर-वाष्पशील मेमोरी में सूचना संरक्षण के तरीकों को चुनें, साथ ही साथ ट्रांसमिशन और उपयोग के दौरान;
• जोखिमों का विश्लेषण करें और विश्लेषण के आधार पर विभिन्न प्रकार के डेटा की महत्वपूर्णता का आकलन करें, आवश्यक सुरक्षा उपायों का निर्धारण करें;
• जानकारी के लिए न्यूनतम आवश्यक पहुंच प्रदान करें, सभी अधिकार प्रदान करें;
• सबसे संवेदनशील डेटा के लिए, एन्क्रिप्शन का उपयोग करें ताकि केवल अधिकृत व्यक्ति ही इसे एक्सेस कर सकें;
• कंपनी के भीतर प्रसंस्करण के दौरान व्यक्तिगत डेटा को प्रतिरूपित और संरक्षित करना; एन्क्रिप्शन और अभिगम नियंत्रण का उपयोग करें, कानूनी जोखिमों पर विचार करें।

नेटवर्क, प्रोटोकॉल और एन्क्रिप्शन

सुरक्षा प्रोटोकॉल जो सही प्रोटोकॉल, एन्क्रिप्शन और नेटवर्क विभाजन को चुनकर सुरक्षा प्रदान करते हैं:

• यदि संभव हो तो, IIoT के साथ बातचीत करने के लिए सुरक्षित संचार चैनलों और एन्क्रिप्शन का उपयोग करें;
• उद्यम नेटवर्क को खंडों में विभाजित करें, विखंडित क्षेत्र बनाएं और खंडों के बीच यातायात को नियंत्रित करें;
• एक ही नेटवर्क पर घटकों के छोटे समूहों को बनाने के लिए सूक्ष्म विभाजन लागू करें जो संचार करते हैं। माइक्रोसेफल्स के बीच ट्रैफ़िक को नियंत्रित करें।
• यदि संभव हो तो, व्यवसाय और प्रबंधन नेटवर्क से उच्च सुरक्षा आवश्यकताओं के साथ अलग नेटवर्क सेगमेंट;
• सुरक्षा के एक सिद्ध स्तर के साथ IIoT समाधानों का उपयोग करें, ज्ञात घातक कमजोरियों वाले उपकरणों को प्राप्त करने और उपयोग करने से बचें;
• सुनिश्चित करें कि विभिन्न प्रोटोकॉल का उपयोग करते समय डिवाइस संगत और सुरक्षित हैं।

आदि

यह सब क्यों है?

चौथी औद्योगिक क्रांति न केवल नए अवसरों, बल्कि नए जोखिमों को भी लाएगी। पूरी तरह से स्वचालित उद्यमों को शुरू करने से बचत की गणना करते समय, साइबर स्पेस की लागत पर विचार करना अनिवार्य है। सिर्फ एक IIoT डिवाइस की भेद्यता पूरे संयंत्र के लिए समस्याओं का एक स्रोत हो सकती है। ऐसी स्थितियों में जब ऐसे सैकड़ों उपकरण नहीं होते हैं, लेकिन दसियों और सैकड़ों हजारों, उन्हें बचाने का कार्य एक रणनीतिक बन जाता है।