تقریباً هر سایت خرید آنلاین با ارائه یک سیستم رتبه بندی برای محصولات خود بر تصمیمات خرید تأثیر می گذارد. پنج ستاره؟ بنظر خرید خوبیه یک ستاره؟ ممکن است برای آنچه من نیاز دارم به اندازه کافی خوب باشد.
به طور مشابه، برنامه‌های صدور گواهینامه تحت حمایت دولت مانند ENERGY STAR با بررسی ادعاهای تخصصی در برابر مجموعه‌ای رسمی از استانداردها، وضوح ارائه می‌کنند.
محققان ORNL در حال کار بر روی یک سیستم گواهی برای یکی از بزرگترین نیازهای نوظهور شرکت های برقی هستند: امنیت سایبری.
زیرساخت‌های انرژی به قدری به هم مرتبط هستند که خرابی‌های آبشاری می‌توانند تأثیرات گسترده‌ای بر دسترسی به غذای ایمن، گرمایش زمستانی و دستگاه‌های پزشکی حیاتی داشته باشند. با درک این موضوع، شرکت هایی که اجزای شبکه را می فروشند، طیف وسیعی از ویژگی ها را برای تقویت آن در برابر حملات سایبری تبلیغ می کنند. اما شرکت‌های خدمات شهری ممکن است در پیمایش این رگبار بازاریابی برای ویژگی‌های محصول جدید مشکل داشته باشند.
سیستم صدور گواهینامه امنیت سایبری که در ORNL توسعه می‌یابد، ارزش و اثربخشی ویژگی‌های امنیتی را تعیین می‌کند و به شرکت‌ها اجازه می‌دهد تا نقاط قوت و ضعف مربوط به رفع نیازهای امنیت سایبری خود را درک کنند.
بخش تاب آوری و هوش سایبری ORNL همچنین به شرکت های انرژی کمک می کند تا اشکالات، قطعات تقلبی، عملکردهای غیرمستند و سایر نقاط ضعف سایبری را در تجهیزاتی که قبلاً در حال کار هستند پیدا کنند.
برخلاف الکترونیک شخصی، اکثر اجزای زیرساخت انرژی دارای چرخه عمر طولانی هستند. تریشیا شولتز، رئیس گروه امنیت سیستم‌های تعبیه‌شده توضیح داد که این بدان معناست که آسیب‌پذیری‌های سایبری می‌توانند برای دهه‌ها باقی بمانند یا زمانی که فناوری قدیمی هنوز در حال استفاده است ظاهر شوند.
“به تمام آسیب پذیری هایی که در پنج یا 10 سال گذشته کشف شده اند فکر کنید. شولتز گفت: اگر سیستم ها به روز نشوند، بسیاری از آنها ممکن است هنوز در زیرساخت های حیاتی ما باشند. آیا می‌توانیم تجهیزات را برای از بین بردن این آسیب‌پذیری‌ها بدون ایجاد اختلال غیرقابل قبول به‌روزرسانی کنیم؟» چگونه می خواهیم این کار را برای نقاط ضعفی که در 10 سال آینده پیدا می کنیم انجام دهیم؟
تایید ادعاهای امنیت سایبری
برای رسیدگی به این چالش ها در کوتاه مدت، برخی از فروشندگان پیشرفت های امنیت سایبری را ارائه می دهند.
خوان لوپز، رئیس گروه امنیتی سیستم های قدرت و کنترل توضیح داد: «آنها ویژگی ها را تبلیغ می کنند، اما میزان انعطاف پذیری را به شما نمی گویند.
به عنوان مثال، یک ابزار ممکن است برای یک سیستم رمز عبور که دسترسی ورود به سیستم به تجهیزات راه دور را کنترل می کند، بدون اینکه بفهمد چقدر محافظت می شود، هزینه اضافی پرداخت کند. گزینه‌های رمز عبور می‌توانند از سه حرف اصلی تا ترکیبی بسیار امن‌تر از اعداد، ارقام و نمادها با ویژگی قفل کردن در تلاش‌های ناموفق متغیر باشند.
لوپز گفت: “ما در تلاش هستیم تا به یک رتبه ستاره برای حقیقت در بازاریابی دست پیدا کنیم.” این یک برد-برد برای تولیدکنندگانی است که قطعات را می‌سازند و برای مشتریانی که آنها را می‌خرند.»
تامین کنندگان از تمایز کیفیت سود می برند. کاربران از عملکرد ثابت و قابل اعتماد بهره مند می شوند.
دانشمندان ORNL در حال رتبه‌بندی ستاره‌ها برای سه نوع محصول یا ویژگی امنیتی هستند: رمز عبور، کنترل‌کننده‌های اتوماسیون بلادرنگ، و پوسته امن. آنها به عنوان یک تونل رمزگذاری شده برای خدمات شبکه عمل می کنند. چنین ویژگی‌هایی عموماً در دسترس هستند یا می‌توان آنها را به‌راحتی با ارتقاء سفت‌افزار، کد تعبیه‌شده در دستگاه‌های متصل به شبکه، اضافه کرد. مقیاس رتبه بندی به محصولاتی با حداقل امنیت سایبری یک ستاره و به قوی ترین آنها چهار یا پنج ستاره می دهد.
لوپز افزود: «و شرکت‌ها می‌توانند تصمیم بگیرند که آیا این سطح از حفاظت ضروری است، بنابراین شما می‌توانید هزینه‌های خود را با نیازهای واقعی خود تنظیم کنید.
این چارچوب، بر اساس رویکردهای گواهی انطباق اثبات شده مانند ENERGY STAR، از یک فرآیند نیمه خودکار برای تأیید عملکرد محصول در یک میز تست سخت افزاری استفاده می کند. این سیستم را می توان به شبکه های بزرگ یا ریزشبکه مقیاس کرد.
لوپز که در ماه سپتامبر نمایشی را برای چندین شریک خدمات ارائه کرد، گفت: چارچوب آزمایش در نهایت می تواند توسط یک شخص ثالث برای اجرای برنامه ارزیابی استفاده شود. این پروژه توسط برنامه تحقیق و توسعه امنیت سایبری سیستم های تحویل انرژی DOE تامین شده است.
یافتن تقلبی از طریق “اثر انگشت”
با این حال، چالش‌های سایبری زنجیره تامین پس از خرید ادامه می‌یابد و محققان ORNL نیز پس از خریداری یا نصب قطعات، آسیب‌پذیری‌هایی را پیدا می‌کنند. در برخی موارد، دستکاری سرکش ممکن است دارای اشکالات یا ویژگی های مخفی باشد. در برخی دیگر، قطعه جایگزین ممکن است فقط آشغال ارزان قیمتی باشد که شبیه چیز واقعی است.
لوپز گفت: «در شبکه برق، من نگران هر دو موضوع هستم. قطعات تقلبی به صورت قانونی خریداری شده و در زیرساخت های حیاتی نصب می شوند، در حالی که شرکت ها تعمیرات و تعویض را انجام می دهند. این کپی‌ها ممکن است ایمنی کمتری داشته باشند.» برای مثال، یک نسخه تقلبی ممکن است منفجر شود، زیرا نمی‌تواند حرارت و فشار مشابه نسخه اصلی مقاوم‌تر را تحمل کند.
لوپز گفت: “اپراتوری که این را در سیستم خود دارد، راهی برای متمایز کردن محصولات ندارد.”
برای حل این مشکل، گروه لوپز یک ابزار دستی برای بازرسی قطعات در موجودی یا حتی در حین کار ایجاد کردند. این ابزار سیگنال های باند فوق العاده را بدون تداخل با سیستم های داخلی آن به یک جزء هدایت می کند. هنگامی که این سیگنال ها برمی گردند، امواج برگشتی با استفاده از یک رادار با دیافراگم کوچک شناسایی می شوند. یک فرآیند ریاضی نویز پس زمینه را از سیگنال حذف می کند. نتیجه یک نوع امضای سه بعدی برای هر جزء است.
لوپز می‌گوید: «این ایده از فناوری‌ای نشأت می‌گیرد که سال‌هاست وجود داشته است: باید مانند اثر انگشت باشد. زمانی که اثرانگشت جزئی دریافت کردید، باز هم می‌توانید مطابقت داشته باشید. اگر مطابقت ندارید، احتمالاً چیزی که دارید جعلی است و باید بیشتر تحقیق کنید.
این ابزار همچنین می تواند برای بررسی اینکه آیا یک قطعه از زمان نصب تغییر کرده است یا خیر استفاده شود. لوپز گفت: «یک ابزار می‌تواند صدها دستگاه را اسکن کند و نسبتاً سریع تشخیص دهد که آیا آنها مطابقت دارند یا خیر.
درک سیستم عامل، ویژگی های پنهان و شبکه هوشمند
دانشمندان ORNL همچنین در حال کار برای شناسایی، درک و حذف سایر آسیب‌پذیری‌های مبتنی بر دستگاه هستند که می‌تواند به زیرساخت‌های انرژی آسیب برساند. آنها سخت افزار، نرم افزار و سیستم عامل را تجزیه و تحلیل می کنند و قابلیت های همه اجزای دستگاه را بررسی می کنند.
شولتز می‌گوید: «برای شرکت‌ها اغلب ارزان‌تر است که از طراحی PCB استفاده کنند و فقط از اجزای نرم‌افزاری مورد نیاز خود استفاده کنند تا نسخه جدیدی از برد». «این بدان معنا نیست که عملکرد دیگری وجود ندارد.» بازیگران متخاصم می‌توانند این ویژگی‌های پنهان را فعال کنند تا به دستگاه آسیب وارد کنند، رفتار غیرمنتظره‌ای داشته باشند یا دری را به روی نفوذ سایبری باز کنند.
گروه شولتز همچنین با گروه علمی آسیب‌پذیری در ORNL همکاری می‌کند تا امنیت سیستم‌افزار تعبیه‌شده در دستگاه‌های مصرف‌کننده متصل به اینترنت مانند لوازم خانگی و ترموستات‌ها را که اغلب به عنوان اینترنت اشیا یا IoT شناخته می‌شوند، مطالعه کند. این دستگاه‌های نهایی نیز ممکن است دارای قابلیت‌هایی باشند که در ابتدا فعال یا آشکار نیستند، مانند میکروفون‌ها در سیستم‌های امنیتی خانه.
شولتز می‌گوید: «گاهی اوقات فروشندگان سخت‌افزاری را ارائه می‌کنند که می‌تواند قابلیت‌های دستگاه را با نسخه‌های نرم‌افزاری آینده گسترش دهد، اما اگر این عملکرد در زمان خرید آشکار نباشد، درک کامل خطر دشوار است. به همین ترتیب، ما باید نرم افزار و نقاط ضعف احتمالی آن را درک کنیم.
برای بهبود درک سیستم عامل دستگاه، گروه علمی آسیب‌پذیری فرآیندی را توسعه داد که به متخصصان اجازه می‌دهد تا آسیب‌پذیری‌ها را قبل از استقرار سفت‌افزار در سیستم‌های حیاتی مانند شبکه برق شناسایی و کاهش دهند.
در حالی که این نوع آسیب‌پذیری‌ها ممکن است بر صاحبان خانه تأثیر بگذارد، شبکه‌سازی چنین دستگاه‌هایی می‌تواند پتانسیل آسیب‌پذیری آنها را افزایش دهد. از نقاط ضعف سایبری آنها می توان برای ایجاد اختلال در عملکرد داخلی شبکه برق یا ایجاد نوسانات غیرمنتظره برق استفاده کرد.
به عنوان مثال، یک آسیب‌پذیری در تجهیزات شارژ وسایل نقلیه الکتریکی که به طور گسترده مورد استفاده قرار می‌گیرد، می‌تواند برای ایجاد یک مصرف ناگهانی و عظیم برق مورد استفاده قرار گیرد.
شولتز گفت: «این تقریباً یک مشکل بزرگ است. «شارژرها در خانه‌های مردم هستند. چگونه همه صاحبان را پیدا می کنید؟ چگونه به همه مالکان می‌گویید که به‌روزرسانی کنند؟»
تیم او در حال کار بر روی کاهش چنین آسیب‌پذیری‌هایی است. او گفت: «ما در حال حرکت به سمت یک شبکه هوشمند هستیم. “شما کل این زنجیره از دستگاه های مختلف را دارید که می توانند به طور فزاینده ای از طریق اینترنت با هم ارتباط برقرار کنند. توانایی درک خطرات موجود و کاهش آن خطرات مهم است.”
