آنجا که نگهبان صنعتی کور می‌شود: حملات DMA در محیط‌های کنترل صنعتی
در قسمت قبل دیدیم که حتی قوی‌ترین EDRها در برابر حملات سطح پایین مثل Bootkit یا Firmware در ابتدای راه‌اندازی سیستم، بسیار آسیب‌پذیرند. این‌بار، به دنیای کنترل صنعتی (ICS/SCADA) می‌رویم و بررسی می‌کنیم که چگونه حملات سخت‌افزاری Direct Memory Access (DMA) می‌توانند در بطن یک کارخانه یا پالایشگاه، بی‌سروصدا امنیت را دور بزنند.
مقولهDMA چیست و چرا خطرناک است؟
این DMA قابلیتی در معماری سیستم‌های مدرن است که به قطعات جانبی (مثل کارت شبکه، کنترلر ذخیره‌سازی یا حتی پورت Thunderbolt) اجازه می‌دهد مستقیماً به حافظه سیستم (RAM) دسترسی داشته باشند، بدون عبور از CPU و سیستم‌عامل. این یعنی:
مهاجم می‌تواند محتویات حساس RAM را بخواند (رمزها، کلیدهای رمزنگاری، داده‌های فرآیندی).
یا کد مخرب را مستقیم به حافظه یک فرآیند معتبر تزریق کند، بدون اینکه EDR حتی متوجه شود.
چرا محیط‌های صنعتی آسیب‌پذیرترند؟
برخلاف دیتاسنترها که کنترل فیزیکی بسیار سخت‌گیرانه دارند، محیط‌های ICS ویژگی‌هایی دارند که DMA را از یک تهدید نظری به یک تهدید عملیاتی تبدیل می‌کند:
1. دسترسی فیزیکی آسان‌تر
تجهیزات OT (HMIها، ایستگاه‌های مهندسی، سرورهای Historian) معمولاً نزدیک خط تولید یا در اتاق‌های کنترل قرار دارند.
پیمانکاران، اپراتورها و تیم تعمیرات، به این سیستم‌ها دسترسی فیزیکی موقت یا دائم دارند.
2. وجود پورت‌های مناسب حمله
بسیاری از HMIها یا ایستگاه‌های مهندسی، لپ‌تاپ صنعتی یا ورک‌استیشن هستند که پورت USB‑C با حالت Alternate Mode، USB 3.x، یا حتی اسلات PCIe خارجی دارند.
برخی PLCها یا کنترلرهای مدرن نیز کارت‌های توسعه Mini‑PCIe یا PCIe دارند که در دسترس فیزیکی هستند.
3. دفاع نرم‌افزاری ضعیف‌تر
سیستم‌عامل‌های قدیمی (Windows 7، XP Embedded، Linuxهای قدیمی) که Kernel DMA Protection یا IOMMU فعال ندارند، هنوز فراگیرند.
بروزرسانی‌های امنیتی سال‌ها عقب افتاده‌اند، چون تغییر نرم‌افزار در ICS ریسک توقف تولید دارد.
4. سناریوی پیمانکار آلوده
مهاجم می‌تواند با لپ‌تاپ خود یا یک دانگل “خدماتی” به سیستم متصل شود (برای آپلود تنظیمات PLC یا مانیتورینگ)، اما در پس‌زمینه حمله DMA انجام دهد.
ریسک‌ها و پیامدها
وقتی کد مخرب از طریق DMA تزریق شد:
دستکاری فرآیندهای کنترلی بدون شناسایی توسط EDR یا آنتی‌ویروس
تغییر مقادیر Setpoint یا مقادیر حسگرها به شکل مخفیانه
جمع‌آوری داده‌های حساس فرآیندی یا مالکیتی بدون ایجاد هرگونه Log
راهکارهای دفاعی پیشنهادی برای ICS
غیرفعال‌سازی پورت‌های پرسرعت بلااستفاده از طریق BIOS/UEFI.
استفاده از کیس‌ها و رک‌های قفل‌دار با برچسب‌های Tamper-Evident.
اجرای سیاست فیزیکی سخت‌گیرانه برای اتصال هر گونه دستگاه پیمانکار.
به‌روزرسانی تدریجی سیستم‌عامل‌ها به نسخه‌هایی که IOMMU و Kernel DMA Protection را پشتیبانی کنند.
آموزش به پرسنل درباره ریسک تجهیزات جانبی ناشناس (USB Drives, Dongles, Adapters).
این هفته دوره های سطح ۱ و CISSP رو شروع میکنم
در قسمت قبل دیدیم که حتی قوی‌ترین EDRها در برابر حملات سطح پایین مثل Bootkit یا Firmware در ابتدای راه‌اندازی سیستم، بسیار آسیب‌پذیرند. این‌بار، به دنیای کنترل صنعتی (ICS/SCADA) می‌رویم و بررسی می‌کنیم که چگونه حملات سخت‌افزاری Direct Memory Access (DMA) می‌توانند در بطن یک کارخانه یا پالایشگاه، بی‌سروصدا امنیت را دور بزنند.
مقولهDMA چیست و چرا خطرناک است؟
این DMA قابلیتی در معماری سیستم‌های مدرن است که به قطعات جانبی (مثل کارت شبکه، کنترلر ذخیره‌سازی یا حتی پورت Thunderbolt) اجازه می‌دهد مستقیماً به حافظه سیستم (RAM) دسترسی داشته باشند، بدون عبور از CPU و سیستم‌عامل. این یعنی:
مهاجم می‌تواند محتویات حساس RAM را بخواند (رمزها، کلیدهای رمزنگاری، داده‌های فرآیندی).
یا کد مخرب را مستقیم به حافظه یک فرآیند معتبر تزریق کند، بدون اینکه EDR حتی متوجه شود.
چرا محیط‌های صنعتی آسیب‌پذیرترند؟
برخلاف دیتاسنترها که کنترل فیزیکی بسیار سخت‌گیرانه دارند، محیط‌های ICS ویژگی‌هایی دارند که DMA را از یک تهدید نظری به یک تهدید عملیاتی تبدیل می‌کند:
1. دسترسی فیزیکی آسان‌تر
تجهیزات OT (HMIها، ایستگاه‌های مهندسی، سرورهای Historian) معمولاً نزدیک خط تولید یا در اتاق‌های کنترل قرار دارند.
پیمانکاران، اپراتورها و تیم تعمیرات، به این سیستم‌ها دسترسی فیزیکی موقت یا دائم دارند.
2. وجود پورت‌های مناسب حمله
بسیاری از HMIها یا ایستگاه‌های مهندسی، لپ‌تاپ صنعتی یا ورک‌استیشن هستند که پورت USB‑C با حالت Alternate Mode، USB 3.x، یا حتی اسلات PCIe خارجی دارند.
برخی PLCها یا کنترلرهای مدرن نیز کارت‌های توسعه Mini‑PCIe یا PCIe دارند که در دسترس فیزیکی هستند.
3. دفاع نرم‌افزاری ضعیف‌تر
سیستم‌عامل‌های قدیمی (Windows 7، XP Embedded، Linuxهای قدیمی) که Kernel DMA Protection یا IOMMU فعال ندارند، هنوز فراگیرند.
بروزرسانی‌های امنیتی سال‌ها عقب افتاده‌اند، چون تغییر نرم‌افزار در ICS ریسک توقف تولید دارد.
4. سناریوی پیمانکار آلوده
مهاجم می‌تواند با لپ‌تاپ خود یا یک دانگل “خدماتی” به سیستم متصل شود (برای آپلود تنظیمات PLC یا مانیتورینگ)، اما در پس‌زمینه حمله DMA انجام دهد.
ریسک‌ها و پیامدها
وقتی کد مخرب از طریق DMA تزریق شد:
دستکاری فرآیندهای کنترلی بدون شناسایی توسط EDR یا آنتی‌ویروس
تغییر مقادیر Setpoint یا مقادیر حسگرها به شکل مخفیانه
جمع‌آوری داده‌های حساس فرآیندی یا مالکیتی بدون ایجاد هرگونه Log
راهکارهای دفاعی پیشنهادی برای ICS
غیرفعال‌سازی پورت‌های پرسرعت بلااستفاده از طریق BIOS/UEFI.
استفاده از کیس‌ها و رک‌های قفل‌دار با برچسب‌های Tamper-Evident.
اجرای سیاست فیزیکی سخت‌گیرانه برای اتصال هر گونه دستگاه پیمانکار.
به‌روزرسانی تدریجی سیستم‌عامل‌ها به نسخه‌هایی که IOMMU و Kernel DMA Protection را پشتیبانی کنند.
آموزش به پرسنل درباره ریسک تجهیزات جانبی ناشناس (USB Drives, Dongles, Adapters).
این هفته دوره های سطح ۱ و CISSP رو شروع میکنم
Comments
Be the first to add a comment
Log in to comment