سامانه‌های اعلام حریقی که به اینترنت متصل هستند، در معرض مخاطرات سایبری قرار دارند. در صورت عدم رعایت امنیت فناوری اطلاعات، اتصال پانل‌های اعلام حریق به اینترنت، موجب بروز ریسک خطر برای سازمان می‌گردند. متاسفانه حفره‌های امنیتی متعددی حتی در برندهای گران قیمت و پرفروش سامانه‌های اعلام حریق گزارش شده است.
به گزارش فصلنامه امنیت الکترونیک، به نقل از آلفا گاردین، اتصال پانل اعلام حریق از طریق بستر اینترنت به مراکز هشدار و یا آتش‌نشانی، یکی از قابلیت‌های جدید و جذاب سامانه‌های اعلام حریق است. قابلیتی که علاوه بر کارایی، در صورت عدم رعایت موازین امنیت اطلاعات، می‌تواند موجب بروز حمله‌های خطرناکی گردد. آخرین نسخه NFPA 72 شرایط مورد نیاز برای پانل‌های اعلام حریق تحت‌شبکه و سیستم‌های کنترل را تعریف کرده و استفاده از اینترنت طبق استاندارد فوق، در گرو جداسازی تمام بخش‌ها است. درصورتیکه پانل اعلام حریق دارای سوراخ امنیتی ذاتی در طراحی باشند، هر گونه ارتباط غیر رمزگذاری شده می‌تواند برای خرابکاری این پانل‌های آتش استفاده شود. این مشکل در یک سند انستیتوی ملی استاندارد و تکنولوژی آمریکا (NIST) مطرح شد که نگرانی جدی زیر را بیان می‌نماید:
“… سامانه اعلام حریق پیشرفته (به عنوان مثال برای یک ساختمان اداری) توسط یک سیستم کامپیوتری جایگذاری شده کنترل می شوند و سازش چنین سیستمی ممکن است فاجعه آمیز باشد.”
با نگاهی به کاتالوگ یک پانل اعلام حریق خاص، به بررسی یکی از نقطه ضعف‌های آن می‌پردازیم تا بتوانیم مشکل را بهتر درک کنیم. به طور خاص، ما قصد داریم به یک پنل که شامل قابلیت ارسال ایمیل می‌شود، تمرکز کنیم. عبارت زیر در کاتالوگ این محصول وجود دارد:
“گزارش‌ها و فایل پیکربندی را می‌توانید در هر زمان با ارسال یک ایمیل، از طریق پنل درخواست دهید “
هر پانل یک پیکربندی دارد که حاوی پارامترهای مهم مربوط به آن پانل خاص است و طبق کاتالوگ دستگاه فوق، هرکس می‌تواند با درخواست ساده ایمیل به پانل دسترسی داشته باشد. شاید تصور کنید که این روش حداقل منوط به حفاظت از طریق رمز عبور است (هر چند که گذرواژه‌های رمزنگاری نشده بر روی پروتکل HTTP به راحتی می‌توانند مورد سرقت قرار گیرند)، اما در این مورد، شما فقط باید یک پست الکترونیکی به پانل برای درخواست این اطلاعات ارسال کنید و حتی نیاز به رمز عبوری نیز وجود ندارد. در حال حاضر، سازنده ممکن است فکر کند که فایل‌های ایمیل امن هستند، لکن دریافت و ذخیره‌سازی ایمیل، اقدامی بسیار آسان است. بنابراین نقص اول که می‌توانیم ببینیم اینست که یک کاربر محلی یا از راه‌دور با دسترسی به آن شبکه می‌تواند به آسانی به فایل پیکربندی دسترسی پیدا کند و در نهایت این فایل را تغییر دهد و امنیت سامانه را دچار مخاطره نماید.
آسیب‌پذیری‌های کنسول‌های مبتنی بر ویندوز مایکروسافت از جمله WannaCry، EternalBlue، Petya اگر محافظت نشده باشند، بر روی این سیستم‌ها تاثیر می‌گذارند. همچنین نرم‌افزار کنترل اعلام حریق کاملاً تحت تاثیر این نوع مخاطرات قرار می‌گیرد. امروزه شاهد نقص‌های جدی امنیتی در پانل‌های اعلام حریق هستیم که می‌تواند مورد سواستفاده بدافزارها قرار گیرد تا به طور مستقیم به این پانل‌ها حمله کنند و حتی عملیات خود را دوباره تغییر دهند. NIST به طور مستقیم به این واقعیت اشاره کرد که پانل های حریق، کنسول‌ها و دیگر سیستم‌ها، اهداف حمله سایبری هستند و نتیجه گیری‌های زیر را انجام دادند:
“… حملات می تواند به طور بالقوه امنیت ایمنی را به خطر بیاندازد و بنابراین پیشنهاد می‌کنیم یک مانع امنیتی نهایی را در لایه سخت افزاری تعبیه گردد.”
About The Author
