چگونه از سیستم های قدیمی فناوری اطلاعات محافظت کنیم؟

سیستم های قدیمی همچنان در راه حل های تعبیه شده، تجهیزات پزشکی و ابزار دقیق کار می کنند. چگونه می توان خطرات امنیتی مربوطه را کاهش داد؟

اصل محبوب «اگر خراب نیست، آن را تعمیر نکن» از سال نقطه‌ای در دنیای محاسبات حاکم بوده است. با این حال، آن را به یک لوکس غیر قابل قبول تبدیل شده است. گسترش حملات سایبری – از جمله بر سازمان‌های علمی و پزشکی – خدمات فناوری اطلاعات و infosec را با یک معضل واقعی مواجه می‌کند. برای محافظت از سخت افزار حیاتی در برابر حملات، نرم افزار آن باید به روز شود. به هر حال، نرم‌افزار قدیمی به معنای آسیب‌پذیری‌هایی است که به راحتی قابل بهره‌برداری هستند، رمزگذاری اولیه یا غیرقابل‌وجود، و کنترل دسترسی ابتدایی – رویای هر مجرم سایبری. اما به‌روزرسانی این نرم‌افزار اغلب مستلزم هزینه‌های عمده است، به‌علاوه خطر تخریب فرآیندهای تجاری. آیا واقعاً اینقدر پیچیده است، و در هر صورت، چگونه می توان این مسئله را حل کرد؟

خطرات به روز رسانی

بسیاری از سیستم‌ها برای سال‌ها – گاهی ده‌ها سال – بدون مشکل کار می‌کنند. آنها به روز نمی شوند زیرا صاحبان مشاغل آنها نگران هستند که به روز رسانی ها ممکن است سیستم را به طور غیرقابل جبرانی مختل کند. چنین ترس هایی بی اساس نیستند. افرادی که سیستم‌ها را نصب و راه‌اندازی کرده‌اند ممکن است مدت‌ها بازنشسته شده باشند و ممکن است اسناد از بین رفته یا اصلاً وجود نداشته باشند. گاهی اوقات این خود را به اشکال شدید نشان می دهد; به عنوان مثال، خدمات درآمد داخلی ایالات متحده هنوز از رایانه ها و برنامه های دهه 1970 به زبان تقریباً مرده COBOL استفاده می کند. شاید تامین‌کننده سخت‌افزار فروخته شده یا تصاحب شده باشد، کسب‌وکار را تعطیل کرده یا از کار افتاده است. این نیز چیز غیرعادی نیست: امسال غول ATM Diebold Nixdorf اعلام ورشکستگی کرد.

در همه این موارد، در صورت خراب شدن به‌روزرسانی، هیچ پشتیبانی فنی برای تماس وجود ندارد.

علاوه بر این، سخت‌افزار طولانی‌مدت با سایر سیستم‌های شرکت ارتباط برقرار می‌کند، و این اتصالات می‌توانند مبهم و/یا مستند ضعیف باشند. در نتیجه، خاموش شدن سیستم می‌تواند باعث خرابی‌های آبشاری یا نقص در سایر سیستم‌ها شود که پیش‌بینی و جلوگیری از آن دشوار است. بهبودی پس از چنین حادثه ای ممکن است روزها یا هفته ها طول بکشد و هزینه از کار افتادن آن می تواند بسیار زیاد باشد.

هزینه های ارتقاء محدود

حتی اگر سیستم خیلی به هم متصل نباشد و به خوبی مستند شده باشد، به‌دلیل هزینه‌های گزاف، امکان به‌روزرسانی وجود ندارد. به عنوان مثال، نیاز به از کار انداختن یک سیستم عامل قدیمی در یک دستگاه MRI ممکن است نیاز به خرید یک دستگاه جدید داشته باشد. هزینه (حدود نیم میلیون دلار) به خودی خود بسیار بالا است. اما مشکل به برچسب قیمت اسکنر محدود نمی شود. نصب آن به جرثقیل نیاز دارد و شاید قسمتی از دیوار برچیده شود و دیوارهای اتاق باید با قفس فارادی محافظت شوند. بنابراین، این دیگر یک ارتقاء فناوری اطلاعات نیست، بلکه یک پروژه ساختمانی بزرگ است. اگر سیستم عمیقاً با تجهیزات قدیمی و نرم افزارهای به همان اندازه منسوخ درهم تنیده باشد، جایگزینی سخت افزار نیاز به کدگذاری مجدد یا خرید نرم افزار جدید دارد که می تواند پروژه طولانی و پرهزینه دیگری باشد.

اقدامات جبرانی

همانطور که ماشین‌های قدیمی گران‌قیمت در یک گاراژ و نقاشی‌های با ارزش در یک کانتینر مخصوص کنترل‌شده با جو نگهداری می‌شوند، سیستم‌هایی که نه قابل تعویض هستند و نه به طور کامل قابل ارتقا هستند نیز نیازمند رویکرد ویژه‌ای برای نگهداری هستند. هر اقدام ممکن باید برای کاهش سطح حمله انجام شود. در زیر فهرست کوتاهی از اقدامات جبرانی ممکن برای محافظت از سیستم‌های قدیمی فناوری اطلاعات آورده شده است:

تقسیم بندی شبکه تفکیک تجهیزات آسیب پذیر قدیمی در یک بخش شبکه جداگانه به به حداقل رساندن خطر حملات سایبری کمک می کند. شما باید برای درجه بالایی از انزوا تلاش کنید – تا جداسازی فیزیکی شبکه و تجهیزات سوئیچینگ. اگر این واقع بینانه نیست، حتماً مرتباً بررسی کنید که فایروال ها و روترها برای حفظ ایزوله مناسب از شبکه “عادی” پیکربندی شده اند. همچنین مهم است که نقض معمول مقررات توسط کارمندان را ردیابی کنید – مانند دسترسی به شبکه ایزوله و مشترک از طریق رابط های شبکه مختلف از یک رایانه.

رمزگذاری برای سیستم‌هایی که با استفاده از پروتکل‌های قدیمی با رایانه‌های دیگر تبادل اطلاعات می‌کنند، ایجاد تونل‌های VPN بر اساس آخرین الگوریتم‌های رمزگذاری و احراز هویت توصیه می‌شود. تبادل داده در خارج از تونل باید مسدود شود.

ارتقا. حتی اگر ارتقاء به یک سیستم مدرن مطرح نباشد، این بدان معنا نیست که اصلاً نمی توانید هیچ به روز رسانی را نصب کنید. ارتقای گام به گام به آخرین نسخه‌های موجود نرم‌افزار اصلی و به‌روزرسانی‌های منظم پایگاه داده برای سیستم‌های حفاظتی نصب‌شده، ترجیح داده می‌شود.

تقسیم بندی خرد فرآیندها اگر یک فرآیند تجاری در یک سیستم قدیمی اجازه تکه تکه شدن را می دهد، ایده خوبی است که فقط آن بخش هایی از فرآیند را که نمی توان به تجهیزات جدیدتر منتقل کرد، روی آن گذاشت. انتقال حتی بخشی از حجم کار به یک پلت فرم مدرن قابل ارتقا، محافظت از آنچه باقی مانده را آسان تر می کند. به عنوان مثال، تصاویر MRI را نمی توان خارج از اسکنر گرفت، اما می توان آنها را در سرور کلینیک آپلود کرد، در رایانه های جدیدتر مشاهده و تجزیه و تحلیل کرد.

لیست بسته شده برنامه ها نکته قبلی دامنه کار انجام شده روی تجهیزات قدیمی را به حداقل می رساند. برنامه‌ها و فرآیندهایی که بخشی از چنین مشاغلی هستند را می‌توان به لیست مجاز اضافه کرد و بقیه را به فهرست رد کردن. این به طور قابل توجهی خطر اجرای بدافزار یا فقط نرم افزار شخص ثالث را که بر ثبات سیستم تأثیر می گذارد، کاهش می دهد. چنین سناریویی «انکار پیش‌فرض» را می‌توان با استفاده از راه‌حل‌های امنیتی تخصصی که قادر به کار بر روی سیستم‌هایی با منابع محدود هستند، پیاده‌سازی کرد.

مجازی سازی در مواردی که نرم‌افزارهای قدیمی روی سخت‌افزار قدیمی اجرا می‌شوند، استفاده از ماشین‌های مجازی ممکن است دو مشکل را حل کند: حداقل امکان ارتقای سخت‌افزار و اجرای تعدادی اقدامات جبرانی (مانند کنترل دسترسی مدرن و رمزگذاری) در سیستم مجازی‌سازی را فراهم می‌کند. سطوح سیستم میزبان این نکته حتی برای برخی از سیستم های پردازش اطلاعات بسیار قدیمی می تواند به خوبی کار کند.

به حداقل رساندن دسترسی و امتیازات. دسترسی به تجهیزات قدیمی (به طور خاص، به سخت افزار رایانه آن) باید به حداقل تعداد لازم از کارمندان با امتیازات بسیار محدود داده شود. اگر معماری سیستم اجازه پیکربندی مورد نیاز حقوق و کاربران را نمی دهد، می توانید سعی کنید این محدودیت ها را در مرحله دسترسی قبلی (در حین ورود به VPN یا ماشین مجازی و غیره) اجرا کنید و همچنین دسترسی را از طریق اقدامات صرفاً اداری محدود کنید. (قفل و امنیت).

البته این امر مستلزم ارزیابی دقیق کاربرد هر اقدام و خطرات مربوط به عملکرد روان و ایمن فناوری در حال اجرا است.

آینده نگری

اعمال اقدامات جبرانی برای تجهیزات قدیمی به هیچ وجه یک وظیفه infosec صرف نیست. کارشناسان اینفوسک باید فهرست کاملی از تجهیزات منسوخ شده در یک شرکت داشته باشند و زمان تعویض آن را به دلایل تجاری پیگیری کنند. این زمان خوبی برای ارتقاء مطابق با آخرین الزامات امنیتی است.

مهمتر از آن، باید اطمینان حاصل کنید که سیستم‌هایی که امروز راه‌اندازی می‌شوند – که روزی خود منسوخ می‌شوند – همان مشکلات را به ارث نمی‌برند. برای این کار، هنگام خرید سخت‌افزار و نرم‌افزار، باید تمامی الزامات infosec در نظر گرفته شود: به‌روزرسانی منظم و آسان اجزای نرم‌افزار. مستندسازی باگ ها و آسیب پذیری ها؛ و در حالت ایده آل، فلسفه ایمن با طراحی.

برای نرم‌افزارهای توسعه‌یافته داخلی یا فورک‌های منبع باز (که در بین شرکت‌ها محبوب‌تر می‌شوند)، تعیین الزامات سختگیرانه برای اسناد کد بسیار مهم است. در یک سناریوی ایده آل، تولید سند باید به اندازه تست های خودکار بخشی از خط لوله DevSecOps باشد.

ترجمه:
پیشگامان تجارت امن ایرانیان