لزوم توجه به امنیت سایبری در صنعت کشتیرانی

ناوگان حمل ونقل تجاری با بیش از 90 هزار فروند شناور که سهم 90 درصدی از تجارت بین الملل جهان را به خود اختصاص داده است، شاهرگ حیاتی اقتصاد جهانی محسوب می شود.

 همزمان با تدوین قوانین جدید E-Navigation توسط سازمان جهانی دریانوردی (IMO)، کشتی های تجاری به طور مداوم بزرگتر و پیچیده تر می شوند و با توجه به نیازهای عملیاتی مختلف، سیستم های الکترونیکی بیشتری را به کار می گیرند و در نتیجه دریانوردان اغلب به دانش فناوری اطلاعات بیشتر از مهارت ها، دانش و تجارب خود وابسته می شوند.

در دورانی که تعداد دریانوردان مشغول به کار بر روی کشتی ها، رو به کاهش است، سیستم های یکپارچه ناوبری، هدایت، ارتباطات، اتوماسیون و کنترل شناورها از یک سو و سیستم های بارگیری سریع، بارچینی و ردیابی کالاها در بنادر از سوی دیگر، به طرز گسترده ای با سیستم های رایانه ای و IT ادغام میشوند و این در حالی است که همگی این سیستم ها نسبت به تهدیدات سایبری آسیب پذیرند.

قربانیان حملات سایبری چندان علاقه ای به اظهار این نوع اتفاقات نداشته و اغلب تلاش می کنند تا مشکلات خود را مخفیانه برطرف کنند. به عبارت دیگر حفظ شهرت و اعتبار برای شرکت های کشتیرانی و ارگان های دریایی به هر قیمتی مهمتر از ابراز خسارات مالی است. همچنین، مجرمان سایبری در حقیقت خاموش هستند و در بسیاری از موارد، شرکت ها حتی نمی دانند که هک شده اند. به این لحاظ ارائه آمار دقیق و مشخص از تعداد و ابعاد حملات سایبری میسر نیست و بی شک تعداد موارد واقعی بیشتر از موارد ثبت شده است.

هر حمله سایبری می تواند تا میلیون ها دلار به صاحبان کشتی ها خسارت وارد کند و در بعضی شرایط حتی اقتصاد ملی را نیز تحت تاثیر قرار دهد. برای مثال با نابودی پایانه های اصلی کانتینری، مجرمان می توانند عملکرد زنجیره تامین منطقه ی و ملی را مختل کنند.بر اساس برآورد اخیر بیمه لویدز، هزینه واقعی یک حمله جدی سایبری می تواند به بیش از 120 میلیارد دلار برسد.

 در سال 2011، هکرها به سرورهای دو شرکت عمده کشتیرانی جهان نفوذ کرده و در یک مورد سامانه‌های ارتباطی پست الکترونیک را از کار انداخته و در مورد دوم داده‌های مربوط به نرخ حمل، میزان بارگیری، تعداد، تاریخ و مکان حمل‌ونقل کانتینرها را تخریب کردند.

– بر اساس گزارش‌های منتشر شده، حملات سایبری به صنعت نفت و گاز بریتانیا در سال‌های 2012 و 2013 خساراتی بالغ بر 950 میلیون پوند تحمیل کرده است.

– هکرها به سیستم کنترل یک سکوی نفتی در سواحل آفریقا نفوذ کرده و آن را از تعادل خارج ساختند.

– هکرها به سیستم سایبری یک ترمینال کانتینری نفوذ کرده و کانتینرهای حامل مواد مخدر را بدون اطلاع مقامات بندری خارج کردند.

– هکرهای وابسته به دزدان دریایی سومالی به سیستم سایبری یک شرکت کشتیرانی اروپایی نفوذ کرده و کشتی‌های گذری از منطقه خطر را شناسایی و حداقل یکی از آنها را ربودند.

نگاهی به برخی حوادث

 در سال 2010، یک کشتی حفاری از محل استقرار خود در آب‌های کره‌جنوبی به سمت آمریکای جنوبی به حرکت در آمد. رایانه‌ها و سیستم‌های کنترل کشتی به ویروس آلوده شدند و شناسایی عوامل نفوذ و حل مشکل، 19 روز به طول انجامید. در مورد مشابه دیگر یک فروند دکل شناور نفتی به مدت یک هفته از سرویس خارج شد چرا که هیچ فرد متخصصی که بتواند این مشکل را حل کند بر روی شناور وجود نداشت.

  در سال 2012 هکرهایی که برای یک سندیکای تبهکار کار می‌کردند، به سیستم مدیریت محموله در اداره خدمات گمرکی و مرزی استرالیا نفوذ کردند. مجرمان سایبری می‌خواستند بدانند کدام یک از کانتینرها برای ماموران گمرک مشکوک به نظر می‌رسد تا در صورت لزوم از تحویل‌گیری محموله قاچاق خود چشم‌پوشی کنند.

– اواخر سال 2013، بندر آنتورپ در کانون توجه قرار گرفت. به احتمال قوی این بندر به مدت دو سال به صورت مستمر قربانی حملاتی از نوع « تهدید پیشرفته و مستمر» (APT) بوده است که توسط یک کارتل مواد مخدر هدایت می‌شد. در ماه ژوئن 2011، هکرها به سیستم‌های ترمینال نفوذ کرده و کنترل آن را به دست گرفته بودند. تبهکاران بدون آگاهی مقامات بندری، کانتینرهای مورد نظر خود را با کامیون از اسکله خارج می‌کردند. آنها سپس تمامی اطلاعات ثبت شده کانتینرهای غیرقانونی خود را از بانک اطلاعات بندر پاک می‌کردند. پس از دو سال پلیس با کشف این ماجرا به یک تن کوکائین، تعدادی اسلحه و بیش از 1.3 میلیون یورو پول نقد دست یافتند.

  به تازگی شرکت خدمات سوخت جهانی  (WFS) که یکی از عرضه‌کنندگان عمده سوخت در جهان است قربانی یک کلاهبرداری به ارزش 18 میلیون دلار شد. تبهکاران که خود را به جای واحد پشتیبانی وزارت دفاع آمریکا معرفی کرده بودند با صدور یک درخواست جعلی تدارک سوخت، شرکت مذکور را وادار می‌کنند تا سوخت را به یک کشتی نفتکش در سواحل کشور ساحل‌عاج تحویل دهد. زمانی که شرکت مذکور برای دریافت هزینه سوخت به وزارت دفاع آمریکا صورتحساب ارائه می‌کند، مشخص می‌شود تمامی ماجرا یک کلاهبرداری بزرگ بوده است.

 تجهیزات آسیب‌پذیر کشتی‌ها

محققان حفره‌های امنیتی مهمی را در برخی فناوری‌های کلیدی مورد استفاده در کشتی کشف کرده‌اند که به برخی از آنها اشاره می‌شود.

– دستگاه موقعیت‌نمای ماهواره‌ای GPS؛

– دستگاه سیستم شناسایی خودکار دریایی AIS؛

 – دستگاه نمایشگر نقشه‌های الکترونیکی دریایی ECDIS.

متاسفانه در مواردی که سیستم‌های کشتی‌ها مورد حمله قرار می‌گیرند دریانوردان از توان و دانش لازم برای رفع مشکل برخوردار نیستند. برای مثال، با نفوذ به سیستم موقعیت‌نمای ماهواره‌ای کشتی (GPS) می‌توان کشتی را از مسیر خود خارج کرد. این در حالی است که پرسنل کشتی تصور می‌کنند کشتی کماکان در مسیر خود در حال حرکت است. این‌ گونه نفوذها می‌تواند منجر به ربودن، به گل نشستن، تصادف، غرق و یا در بهترین حالت سبب تاخیر در تحویل بار کشتی شود.

انواع حملات سایبری

به طور کلی، دو دسته حملات سایبری وجود دارد که ممکن است بر شرکت‌ها و کشتی‌ها تاثیر بگذارد.

 1- حملات غیرهدفمند، این حملات هنگامی است که سیستم‌ها و داده‌های یک شرکت یا کشتی جزو اهداف بالقوه هستند و عبارتند از: مهندسی اجتماعی، فیشینگ، نرم‌افزار باج‌گیری، اسکن و … .

2- حملات هدفمند، این حملات زمانی است که سیستم‌ها و داده‌های یک شرکت یا کشتی هدف مشخص حمله هستند و عبارتند از: فیشینگ چابک، نصب بوت نت، انحراف زنجیره تامین، صفحات وب و … .

مراحل حملات سایبری

حملات سایبری در مراحل مختلفی انجام شده و زمان لازم برای آماده‌ سازی یک حمله سایبری بر اساس انگیزه‌ها و اهداف مهاجم، انعطاف‌پذیری کنترل‌های امنیتی و رویه‌هایی که توسط شرکت و کارکنان کشتی‌ها دنبال می‌شود تعیین می‌گردد.

چهار مرحله عمده این حملات عبارتند از: 1- بررسی و شناسایی 2- تحویل 3- رخنه 4- تاثیر.

 ارزیابی خطر

امنیت سایبری باید در سطح مدیریت ارشد شرکت‌ها مطرح شود. دلایلی که برای این مهم وجود دارد از این قرار است:

– راهکارهای اتخاذ شده برای افزایش امنیت سایبری بر رویه‌های تجاری و عملیات استاندارد تاثیر می‌گذارد.

– تعدادی از راهکارهای اتخاذ شده که امنیت سایبری را افزایش می‌دهند مربوط به سیستم‌های فناوری اطلاعات نبوده و مرتبط با فرایندهای کسب و کار و آموزش خدمه است.

– ممکن است راهکارهایی که آگاهی در مورد امنیت سایبری را افزایش می‌دهد سبب تغییراتی در چگونگی تعامل شرکت با مشتریان، تامین‌کنندگان و مقامات شده و الزامات جدیدی برای همکاری بین طرفین ایجاد کند.

– زمانی که مدیریت ارشد راجع به سه جنبه فوق تصمیم‌گیری کرد، می‌توان به وضوح، استراتژی امنیت سایبری مورد نیاز را مشخص کرد و ادامه کار را به بخش فناوری اطلاعات واگذار نمود.

– به طور کلی بر اساس تصمیمات استراتژیک متخذه و با در نظر داشتن ریسک و پاداش‌های تجاری، برنامه‌های مقابله با وقایع سایبری باید تدوین شوند تا در صورت حمله احتمالی، به اجرا درآیند.

 تعیین نقاط آسیب‌پذیر

1- سامانه‌های مدیریت کالا 2- سامانه‌های پل فرماندهی 3- سیستم رانش و سیستم‌های کنترل و مدیریت ماشین‌آلات 4- سیستم‌های کنترل دسترسی 5- سیستم‌های مدیریت و خدمت‌رسانی به مسافران 6- مسافرانی که با شبکه‌های عمومی روبه‌رو هستند 7- سیستم‌های اداری و رفاهی کارکنان 8- سیستم‌های ارتباطی 9- اطلاعات و داده‌های آسیب‌پذیر.

  سیستم‌های هدف، تجهیزات و فناوری

برای کمک بیشتر به ارزیابی مخاطرات سایبری، خلاصه‌ای از سیستم‌ها، تجهیزات و فناوری‌های آسیب‌پذیر در کشتی‌ها به شرح ذیل ارائه شده است.

سیستم‌های ارتباطی:

1- تجهیزات ارتباطی ماهواره‌ای

2- تجهیزات  VOIP

3- شبکه‌های بی‌سیم WLAN

 4- سیستم ارتباط‌جمعی داخلی و سیستم‌های زنگ خطر عمومی.

 سیستم‌های پل فرماندهی:

1- سیستم‌های موقعیت‌یابی (GPS) و … – سیستم نقشه‌های الکترونیکیECDIS  ،  سیستم‌های موقعیت دینامیکی   (DP)، سیستم‌هایی که با سیستم‌های ناوبری الکترونیکی و سیستم‌های حرکتی و مانورینگ در ارتباط هستند.، سیستم شناسایی خودکار  (AIS) ، سیستم ارتباطات اضطراری جهانی (GMDSS) ،- تجهیزات رادار ، سیستم ضبط اطلاعات سفر (VDRs) و سایر سیستم‌های نظارت و جمع‌آوری داده‌ها.

سیستم‌های پیشرفته مدیریت ماشین‌آلات و کنترل قدرت:

1- فرمان موتور 2- مدیریت قدرت 3- سیستم یکپارچه کنترل 4- سیستم هشداردهنده 5- سیستم پاسخ اضطراری.

سیستم‌های کنترل دسترسی:

 سیستم‌های نظارت از قبیل شبکه  CCTV ، سیستم زنگ هشدار ناوبری پل BNWAS، سیستم‌های هشدار امنیتی کشتی (SSAS)   – سیستم‌های الکترونیکی پرسنل در کشتی.

سیستم‌های مدیریت محموله:

1- اتاق کنترل محموله (CCR) و تجهیزات آن 2- سیستم نشانگر سطح 3- سیستم کنترل از راه دور شیرهای محموله 4- سیستم زنگ هشدار آب‌توازن 5- سیستم‌های هشدار نفوذ آب 6- سیستم مایع‌سازی گاز.

سیستم‌های مرتبط با مسافران:

1- سیستم مدیریت اموال(PMS)   2- مدارک پزشکی 3- سیستم‌های دسترسی مسافر دریانوردی کشتی 4- سیستم‌های پشتیبانی زیرساخت مانند (DNS) و سیستم‌های تایید هویت.

 شبکه‌های رفاهی مسافران:

1 – دستــرسی به اینترنت LAN  یا Wi-Fi 

2- سیستم‌های سرگرمی مهمانان

3- ارتباطات.

 سیستم‌های زیربنایی شبکه:

1- روترها 2- سوئیچ‌ها 3- فایروال‌ها 4- شبکه خصوصی مجازی (VPN) 5- شبکه‌های مجازی (VLAN) 6- سیستــم‌های پیشگیری از نفوذ     7- سیستم‌های ثبت وقایع رویداد.

 سیستم‌های اداری و رفاهی کارکنان:

1- سیستم‌های اداری 2 – دسترسی کارکنان به اینترنت از طریق LAN یا Wi-Fi .

استراتژی دفاعی

پیاده‌سازی کنترل‌های امنیت سایبری باید اولویت‌بندی شده و یک مدل دفاعی و یا ترکیبی از مدل‌های دفاعی ذیل که بیشترین بازده را دارند، به کار گرفته شوند: 1- کنترل‌های فنی امنیت سایبری 2- پیکربندی مطمئن برای سخت‌افزار و نرم‌افزار  3- حفاظت از مرورگر ایمیل و مرورگر وب 4- جداسازی و محافظت از سامانه‌های ماهواره‌ای و ارتباطات رادیویی 5- دفاع در مقابل بدافزار 6- قابلیت بازیابی اطلاعات 7- کنترل دسترسی‌ سیستم‌های بی‌سیم  8- طراحی شبکه امن 9- امنیت فیزیکی 10- دفاع در مرزهای ورودی 11- کنترل‌های‌ رویه‌ای      

مهم‌ترین اقدامات رویه‌ای شامل1- آموزش و آگاهی 2- ارتقا و نگهداری نرم‌افزار 3- به‌ روزرسانی ابزار ضد‌ویروس و ضد‌تروجان 4- استفـــاده از امتیازات و اختیــارات مدیر سیستم  5- کلمه عبور قوی و متغیر به صورت دوره‌ای 6- محدودیت حافظه‌های فیزیکی و قابل‌حمل 7- دفع تجهیزات از جمله نابودی اطلاعات 8- دریافت پشتیبانی از ساحل و برنامه‌های احتمالی 9- استراتژی دفاع در عمق 10- تعیین چند سطح و لایه برای پاسخ به تهدید 11- تبیین رویه‌های بازیابی سیستم و اطلاعات 12- بررسی حوادث سایبری 13- توسعه برنامه‌های احتیاطی است.

– بهترین استراتژی‌های دفاعی امنیت سایبری فقط زمانی موثرند که در برگیرنده و مروج رفتارهای مناسب سازمانی باشند.

– صنایع دریایی برای همه کشورها اهمیت اساسی دارد، بنابراین حملات سایبری در این بخش، نه تنها تاثیر مهمی برای شرکت‌های درگیر خواهد داشت، بلکه پیامدهای آن، توانایی تاثیرگذاری بر امور مالی و امنیت ملی کشورها را دارد.

 – امنیت سایبری یک رویکرد شناخته شده در بخش خشکی است و باید استانداردها و برنامه‌های ممیزی که سال‌هاست در بخش خشکی انجام می‌شوند، در بخش دریا نیز مورد استفاده قرار گیرند.

– برای افزایش امنیت کشتی‌ها، شرکت‌ها باید رفتار کنونی کارکنان کشتی را تغییر دهند. به این منظور باید اقدامات مقتضی از جمله موارد ذیل اجرایی شوند.

 گام اول: ارائه آموزش‌های لازم و تبیین وظایف فردی به عنوان «افسر امنیت سایبری کشتی».

 وظیفه افسر امنیت سایبری باید شامل تایید اعتبار، صدور مجوز و بررسی سیستم‌ها برای حفظ محرمانه بودن، یکپارچگی و دسترسی سیستم باشد.

گام دوم: برای تعیین و اجرای قوانین امنیت سایبری در انطباق با راهکارهایBIMCO  و IMO، ضروری است کارگروهی  در دفاتر مرکزی شرکت‌ها و سازمان‌ها تشکیل شود. این کارگروه باید قوانین، تمرینات و ممیزی‌ها را تهیه،  پیگیری و اجرا کرده و به عنوان Cyber Security Response Team  عمل کند.

گام سوم: بخش‌های IT شرکت‌ها، شناورها و تمامی ارائه‌دهندگان خدمات ساحلی و فراساحلی و … ‌باید با الگوبرداری از استانداردهایISO 27001، نسبت به تعریف و اعمال راهکارهای امنیت سایبری اقدام کرده و بر همین اساس ارزیابی شوند.