سیدصالحی: احتمال دستکاری فایل به‌روزرسانی‌شده وجود دارد

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، در پی بروز اختلال نرم‌افزاری به وجود آمده در سامانه هوشمند سوخت کشور که منجر به قطع سوخت‌رسانی جایگاه‌های بنزین سراسر کشور شد، شاهد اظهارنظرهای متعدد و متفاوتی درباره قطع سیستم ارتباطی جایگاه‌های بنزین سراسر کشور بودیم و مسئولان متولی و نهادهای مرتبط، وقوع «حمله سایبری» به این سامانه حیاتی کشور را تأیید و اطلاعیه‌هایی در این زمینه منتشر کردند.

اگرچه روز سه‌شنبه هفته گذشته ۱۱ آبان، شرکت ملی پخش فرآورده‌های نفتی ایران اعلام کرد که «همه پمپ‌بنزین‌های کشور پس از ۷ روز به سامانه هوشمند سوخت متصل شده‌اند و فقط برخی جایگاه‌ها در نقاط دورافتاده باقی مانده‌اند»، اما با گذشت بیش از ۱۰ روز از این رخداد، همچنان موضوع وجود نقاط ضعف جدی در مدیریت مخاطرات فضای مجازی و دلایلی که سبب وقوع این‌گونه رخدادها در زیرساخت‌های حیاتی کشور می‌شود، موضوع تازه‌ای است که متولیان پاسخ مشخصی برای آن ارائه نکردند.

جزئیات این رخداد که متولیان حوزه امنیت سایبری کشور آن را حمله سایبری تشخیص داده‌اند هنوز اعلام نشده و این سوال مطرح است که این متولیان تا چه اندازه نسبت به چگونگی ساختار و ابعاد فنی شبکه هوشمند سوخت به عنوان یکی از زیرساخت‌های حیاتی مطلع هستند. کمااینکه برخی کارشناسان معتقدند که ساختار سامانه هوشمند سوخت که شبکه‌ای ایزوله و مستقل از شبکه اینترنت و اینترانت داخلی است، قابلیت هک شدن و حمله سایبری را ندارد.

سیدمیثم سیدصالحی، کارشناس فناوری اطلاعات به تشریح ابعاد فنی ساختار سامانه هوشمند سوخت در پی اتفاقات اخیر و بروز اختلال در این سامانه پرداخت و درباره اینکه اختلالات منجر به قطعی سامانه هوشمند سوخت می‌تواند از چه نوعی باشد و اینکه آیا شبکه هوشمند سوخت کشور اساساً قابل هک شدن است، با تاکید بر اینکه در تعاریف جرایم سایبری مفاهیمی مانند حمله (attack) و هک (hack) را باید از مفهوم خرابکاری (sabotage) و نفوذ (penetration not intrusion) جدا دانست، گفت: بسیاری از مسئولان که شناخت درستی از ساختار شبکه هوشمند سوخت نداشته در مورد آن اظهارنظر کرده و در اتفاق اخیر موضوع را به اشتباه به هک شدن نسبت داده‌اند.

حمله سایبری در شبکه هوشمند سوخت به تنهایی کارآمد نیست
این کارشناس افزود: این در حالی است که با توجه به اخبار حاشیه‌ای هفته اخیر و تهدیدات پوچ برخی کشورها، مفهوم هک برای مخاطب عام تداعی‌کننده اتفاقی شبیه به هک شبکه وزارت راه و توان مهاجم برای ورود به سیستم و اعمال تغییرات خواهد بود. در حالی که اتفاق به وجود آمده در شبکه سوخت تنها از طریق خرابکاری نفوذی‌هایی که حتی شاید توانسته‌اند به جمع کارکنان اداره کننده این شبکه نفوذ کنند به وقوع پیوسته است. قریب به اتفاق کارشناسانی که شبکه سوخت را می‌شناسند، باور دارند که ساختار سامانه هوشمند سوخت به نوعی است که حملات سایبری به تنهایی برای ایجاد اختلال در خدمات شبکه، کارآمد نیستند.

وی پروژه سامانه هوشمند سوخت را بزرگ‌ترین پروژه پیمانکاری کشور در حوزه IT عنوان کرد که با وجود چالش‌های فراوان به دست متخصصان ایرانی ایجاد شده است و افزود: مناقصه نگهداری این شبکه نیز هر دو سال یکبار برگزار می‌شود و شرکت پیمانکار کاملاً بر اساس استانداردها و چارچوب‌هایی که شرکت پالایش و پخش و مناطق نفت در کشور تعیین می‌کند، عملیات نگهداری این شبکه را انجام می‌دهد.

سیدصالحی با اشاره به اجزای متعدد نگهداری شبکه سوخت‌رسانی کشور که از ارتباط برخی جایگاه‌ها با شبکه ماهواره‌ای، زمینی و شبکه ارتباط بی سیم و رادیویی تا تعمیرات دستگاه‌های کارتخوان و تعویض آنها، پشتیبانی و نگهداری رک و تجهیزات منصوبه در هر جایگاه سوخت رسانی و نیز تأمین نیروی فنی لازم برای حضور در مرکز داده شرکت پالایش و پخش، گسترده است، گفت: اما کلیه عملیات توسط شرکت پالایش و پخش مدیریت می‌شود.

ساختار شبکه هوشمند سوخت خودترمیم شونده است
وی افزود: شبکه هوشمند سوخت به لحاظ عملیاتی دارای ساختاری است که قابلیت هک شدن را منتفی می‌کند. معماری فرایندهای اقدام در این شبکه بسیار شبیه ساختارهای آفلاین و دستی است اما بر بستر فناوری اطلاعات انجام می‌شود. یعنی به لحاظ جنس، شبیه ساختار مکانیکی است و همان‌طور که می‌دانید ساختار مکانیکی قابل هک نیست. ممکن است این ساختار قابل تخریب شدن باشد و باعث توقف عملیات شود، اما هک نمی‌شود.

سیدصالحی با اشاره به اینکه شبکه هوشمند سوخت حتی قابلیت خودترمیمی و بازیابی دارد، افزود: مدل داده شبکه، اطلاعاتی که در این شبکه ردوبدل می‌شود و جایگاه‌هایی که این اطلاعات را نگهداری می‌کنند به گونه‌ای است که این شبکه از هر نقطه‌ای که مورد آسیب واقع شود، قابلیت بازیابی و خودترمیمی دارد. به این معنی که حتی اگر یک جایگاه سوخت کلاً منفجر شده و سرورها و همه داده‌های آن از بین برود، دوباره به محض اینکه سرور بعدی جایگزین آن شود، کل شبکه خود را بازیابی می‌کند.

وی با اشاره به اظهارات مسئولان در خصوص اختلال به وجود آمده در سامانه هوشمند سوخت مبنی بر اینکه «خوشبختانه هیچ سخت‌افزاری آسیب ندیده و فقط دسترسی مردم قطع شده است» تصریح کرد: در این اظهارات به این موضوع توجه نشده که اهمیت سرویس به مراتب بالاتر از سخت‌افزار است و این مسئله نشان می‌دهد که ما چقدر نسبت به اهمیت سرویس و در دسترس بودن آن در لایه متولیان و مسئولان ناآگاه هستیم.

تبادل داده‌ها در شبکه سوخت
این کارشناس در پاسخ به این سوال که در شبکه سوخت چه داده‌ای جابه‌جا می‌شود، گفت: در شبکه سوخت، داده میزان مصرف سوخت کشور از طریق کارت‌های سوختی که در اختیار مردم است، جابه‌جا می‌شود. برای آنکه بتوان این داده را تخریب کرد، هم باید بانک اطلاعاتی اصلی و هم تمام اطلاعات روی جایگاه‌ها و اطلاعات روی کارت‌ها هم‌زمان از بین برود تا بتوان گفت که اطلاعات از بین رفته و این شبکه دیگر نمی‌تواند خود را بازیابی کند.

وی با اشاره به اینکه این شبکه عملاً تا زمانی که یکی از این پارامترها زنده است از بین نمی‌رود و هر کدام از این پارامترها اگر به تنهایی از بین بروند دوباره و به سرعت بازیابی خواهند شد، خاطرنشان کرد: نکته قابل توجه این است که شبکه سوخت تا به حال بارها مورد حملاتی از این جهت قرار گرفته اما هیچ‌کدام از این حملات به خاطر همین ساختار، موفق نبوده است.

وی با اشاره به مدلی از اختلال که ممکن است در شبکه سوخت به وجود بیاید، افزود: مدلی از اختلال این است که روی آدرس یکتای سروری که ۴۳۰۰ جایگاه عرضه سوخت به صورت یک‌طرفه از آن به‌روزرسانی می‌شوند فایل به‌روزرسانی خراب باشد و یا تخریب شود. در این صورت در زمان به‌روزرسانی سرورها، شاهد قطع کل شبکه سوخت خواهیم بود. به نظر می‌رسد این مدل تنها مدلی است که می‌تواند به قطع کل شبکه منجر شود. این اتفاق در شبکه سوخت کشور پیش از این نیز اتفاق افتاده و سوابق آن موجود است. برای مثال در سال ۹۴ شب عید فطر اتفاقی این‌چنینی رخ داد. به نحوی که ساعت ۳ بامداد، به‌روزرسانی انجام شد که فایل به‌روزرسانی خراب شده بود و سرورها پس از دریافت به‌روزرسانی، ری‌ست شدند و فایل خراب باعث شد سرورهای جایگاه‌ها دیگر بالا نیامد و به واسطه آن، کل شبکه سوخت قطع شد.

سیدصالحی افزود: با اشکال در سرورها پمپ‌ها که نمی‌توانستند با سرور جایگاه، ارتباط برقرار کنند متوقف شدند و بر این اساس سوخت‌رسانی متوقف شد. در آن زمان راهکار حل مسئله این بود که پیمانکار به هر سرور به صورت جداگانه مراجعه کرده و با فلش به صورت یک‌به‌یک سیستم عامل را روی سرور نصب و سرور را ری‌ست کرده و شبکه مجدداً به شرایط قبلی خود بازگشت و سرویس‌دهی آن آغاز شد. در آن زمان شرکت پیمانکار ظرف مدت ۲۴ ساعت مشکل را حل کرد و ظرف مدت ۶ ساعت اول بیش از ۵۰ درصد جایگاه‌ها به حالت اولیه بازگشتند. سوال اینجاست که در مورد اخیر چرا زمان بازگشت شبکه آن‌قدر طول کشیده است؟

وی در پاسخ به این سوال که چگونه ممکن است فایل به‌روزرسانی سرورها خراب یا دستکاری شده باشد، گفت: این شبکه به جایی متصل نیست. تنها کامپیوتری که به آن نقطه یکتای سرور دسترسی دارد یک دستگاه کامپیوتر در شرکت پالایش و پخش تهران است. در مورد اخیر تنها اتفاقی که احتمال دارد رخ داده باشد این است که فایل به‌روزرسانی دستکاری شده باشد و آن فایل دستکاری شده توسط سیستم کپی شده و روی سرورهای جایگاه‌ها عمل کرده باشد.

مسئولان به اشتباه «هک شدن» را القا می‌کنند
این کارشناس سامانه‌های ارتباطی با تاکید بر اینکه به دستکاری فیزیکی که توسط عوامل انسانی روی داده است، به معنای آنچه در اذهان عمومی و تعاریف جرایم سایبری مطرح است، هک نمی‌گویند بلکه نوعی خرابکاری و یا نفوذ است، اظهار داشت: مسئولان در زمانی که دشمنان ما پیام‌های تهدیدآمیز پوچ درباره حملات سایبری را مطرح می‌کنند در حال القای این موضوع هستند که اجازه داده‌ایم در حیاتی‌ترین زیرسیستم‌های کشور یک شبکه خارجی نفوذ کند و آن را از کار بیندازد.

سیدصالحی گفت: اینکه گفته می‌شود یک کشور خارجی به سرورهای ما وصل شده و سیستم حیاتی کشور را هک کرده، تنها باعث ایجاد حس ناامنی در جامعه می‌شود. در حالی که این شبکه اصلاً به اصطلاح رایج هک‌پذیر نیست و حتی مسئولان وزارت نفت هم از این مسئله دفاع کرده و تاکید کردند که این سیستم اصلاً هک‌پذیر نیست. با این وجود مشخص نیست که اصرار برخی از مسئولان برای اینکه القا کنند که این شبکه هک شده است به چه دلیل است. حتی اگر دقت کرده باشید در مورد اخیر هک شدن شبکه بانک مرکزی پاکستان علی‌رغم اینکه هکرها با نفوذ به سیستم ضمن قطع کلی خدمات، داده‌های بسیاری را از بین برده‌اند در تنظیم اخبار در بخش‌های مختلف خبری با توجه به ترجمه از خبر اصلی از عبارت هک استفاده نشده و آن را حملات سایبری نامیدند.

نهادهای موازی اقدام مؤثری برای امنیت زیرساخت‌ها نداشتند
این کارشناس درباره چگونگی افزایش امنیت ساختارهای زیرساختی کشور، اظهار داشت: متأسفانه چند نهاد موازی در فضای امنیت زیرساخت‌های کشور وجود دارد که به رغم تصویب سند ملی مقابله با حملات سایبری مصوب شورای عالی فضای مجازی، اقدام مؤثری برای فعال کردن سازوکارهای این سازمان‌ها و نهادها انجام نشده است.

وی با اشاره به مراکز افتا و ماهر و سازمان پدافند غیرعامل و پلیس فتا گفت: مطابق این سند مسئولیت سازمان‌ها و نهادهای مذکور، بررسی و گزارش‌دهی است. ادعای تک‌تک آنها نیز این است که موارد را بررسی کرده‌اند و نقاط قوت و ضعف را اعلام کرده‌اند اما دستگاه‌ها به این هشدارها عمل نکرده‌اند. پس از بروز اتفاق نیز به دنبال گزارش‌دهی هستند. با این حال سوال اینجاست که بررسی بعد از وقوع اتفاق چه دردی را دوا می‌کند؟

سیدصالحی اضافه کرد: اصل ماجرا پیشگیری از وقوع رخداد است. اما در این سند، اختیار از سازمان پدافند غیرعامل که تنها مجموعه‌ای بوده که قدرت اجرایی داشته و می‌توانسته نسبت به رؤسای دستگاه‌ها و عاملان حوزه فنی مطالبه داشته باشد، گرفته شده و این اختیار به مرکز راهبردی افتای ریاست جمهوری منتقل شده است. این در حالی است که ساختار سازمان پدافند غیرعامل در تمام دستگاه‌های کشور توسعه یافته و می‌توانست در این زمینه مطالبه گر باشد و حتی در صورت نیاز، دستگاه را بابت اهمال در انجام وظیفه، به مراجع قضائی معرفی کند.

اصل ماجرا پیشگیری از وقوع رخداد است. اما در این سند، اختیار از سازمان پدافند غیرعامل که تنها مجموعه‌ای بوده که قدرت اجرایی داشته و می‌توانسته نسبت به رؤسای دستگاه‌ها و عاملان حوزه فنی مطالبه داشته باشد، گرفته شده و این اختیار به مرکز راهبردی افتای ریاست جمهوری منتقل شده استاین کارشناس، مرکز افتای ریاست جمهوری را مجموعه‌ای اقتضایی برشمرد که قانونی برای تأسیس آن وجود ندارد و بر اساس مستندات ابرازی خود این مرکز در پایگاه اطلاع رسانی‌اش، این مرکز برای ایفای نقش حاکمیت در تأمین امنیت این حوزه و حفظ زیرساخت حیاتی کشور در مقابل حملات الکترونیکی با مجوز رئیس جمهور وقت در سال ۸۲ تشکیل شده است.

آیا وظیفه افتا فقط گزارش‌دهی است؟
به گفته سیدصالحی، در چارچوب سند پیشگیری از حملات سایبری مصوب سال ۹۶ در دولت یازدهم، امنیت بخش زیرساخت‌های حیاتی ازجمله انرژی و ثبت احوال به افتا واگذار شده است و سوال جدی این است که اقدام افتا برای جلوگیری از این اتفاق چه بوده و تا به حال چه کاری مطابق با سند ملی پیشگیری و مقابله با حوادث فضای مجازی انجام داده است. مرکز ملی فضای مجازی باید مطالبه کند که مطابق این سند، افتا و سایر سازمان‌ها چه کرده‌اند. این موضوع حتی باید از سوی رسانه‌ها هم مطالبه شود؛ آیا وظیفه این نهادها فقط گزارش‌دهی است؟

وی گفت: در این مصوبه ذکر شده که این نهادها باید فعالیت کنند و جلوی حوادث را بگیرند و پس از آنکه حادثه‌ای رخ داد نیز خروجی بدهند و جزئیات آن را اعلام کنند؛ اما متأسفانه این سازمان‌ها به لحاظ عملیاتی سازمان‌های منفعلی هستند و حتی این وظیفه از سازمانی مانند پدافند غیرعامل که قدرت عملیاتی دارد مطابق این سند، گرفته شده است.

سیدصالحی در پاسخ به این سوال که مرکز افتا مدعی است که بروز اختلال را در شبکه گزارش داده است، گفت: آیا این مرکز فقط گزارش تولید کرده و نتیجه گزارش این شده که حفره‌ها باز هستند؟ اتفاقاً شاید پیدا کردن حفره‌های آسیب‌پذیر روی سرورهای سامانه سوخت از طریق گزارش‌های مرکز افتا، باعث افشا شدن این آسیب‌ها شده باشد. به هر ترتیب زمانی که دیتایی در جایی منتشر می‌شود دیگر ۱۰۰ درصد محافظت شده نیست و کافی است عامل نفوذی بتواند به این اطلاعات دسترسی پیدا کند و چون بلافاصله برای رفع آن اقدام نشده، آن اشکال شناخته شده و این درز در سیستم، می‌تواند منجر به آسیب در کل سامانه شود.

این کارشناس تاکید کرد: به طور کلی جلوگیری از وقوع چنین رویدادهایی با عدم موازی‌کاری در حوزه امنیت و ایجاد تمرکز در نهادهای عمل کننده، اعطای قدرت اجرایی در پیاده‌سازی و نظارت بر اجرای راهکارها و مطالبه از نهادهای متولی، ممکن خواهد بود.