SCADA HMI Hacking: ইন্ডাস্ট্রিয়াল কন্ট্রোল সিস্টেমের হিউম্যান মেশিন ইন্টারফেসে সাইবার আক্রমণ!

একটি modern HMI software stack-এ সাধারণত তিনটি layer থাকে। Presentation layer-এ থাকে graphical screen, alarm display, trend chart, এবং operator control। Business logic layer-এ থাকে scripting engine, alarm processing, এবং recipe management। Data acquisition layer-এ থাকে driver যা PLC, RTU, এবং অন্যান্য field device-এর সাথে communication করে (Modbus, OPC UA, EtherNet/IP-র মতো protocol-এ)।

জনপ্রিয় HMI/SCADA platform-এর মধ্যে আছে Siemens WinCC, Rockwell FactoryTalk View, Wonderware (AVEVA) System Platform, GE iFIX, Schneider Wonderware InTouch, এবং Ignition by Inductive Automation। প্রতিটির নিজস্ব architecture, scripting language, এবং security model।

HMI সাধারণত একটি Windows machine-এ চলে—সাধারণত একটি dedicated workstation যা control network-এ connected। বড় deployment-এ multiple HMI workstation, একটি central historian, এবং engineering workstation থাকে। Operator login করেন, screen monitor করেন, এবং প্রয়োজনে control action নেন।

এই workstation-গুলোর OS সাধারণত legacy version হয়। Windows 7, Server 2008-এর মতো end-of-life OS এখনও অনেক industrial environment-এ চলে। Patching চক্র production schedule এবং validation requirement-এর কারণে অত্যন্ত slow।

HMI software-এ পাওয়া vulnerability সাধারণত কয়েকটি pattern অনুসরণ করে।

প্রথম pattern হলো memory corruption। HMI-এর parser—graphic file, project file, communication packet—এ stack buffer overflow, heap overflow, এবং use-after-free বাগ ঐতিহাসিকভাবে অত্যন্ত common। ICS-CERT advisory-তে প্রতি মাসে এ ধরনের একাধিক CVE দেখা যায়।

দ্বিতীয় pattern হলো authentication weakness। অনেক HMI default credential-এ ship হয় (admin/admin, যেমন)। কিছুতে hardcoded backdoor account আছে। কিছু authentication bypass করা যায় simple URL manipulation দিয়ে।

তৃতীয় pattern হলো authorization issue। User role-এর strict separation প্রায়ই missing। একজন operator-এর হয়তো শুধু monitor permission থাকার কথা, কিন্তু একটি cleverly-crafted request দিয়ে control action পাঠানো সম্ভব।

চতুর্থ pattern হলো injection vulnerability। HMI-র internal scripting engine (VBScript, Lua, Python) প্রায়ই user input-কে যথেষ্ট sanitize না করে evaluate করে। এর ফলে script injection-এর মাধ্যমে arbitrary code execution সম্ভব।

পঞ্চম pattern হলো information disclosure। Project file, configuration file, log file-এ password, network topology, এবং sensitive operational data exposed থাকে। Unauthenticated access-এ এসব file download করা যেতে পারে।

ষষ্ঠ pattern হলো remote service vulnerability। HMI-র সাথে যুক্ত web server, OPC server, বা proprietary protocol service-এ network-exposed vulnerability ICS-CERT advisory-র বড় অংশ।

HMI-কে target করার পথ বিভিন্ন। সবচেয়ে common pattern হলো IT network থেকে pivot। Phishing email-এর মাধ্যমে corporate user-এর workstation compromise, তারপর internal reconnaissance, তারপর কোনো না কোনোভাবে OT network-এ access।

OT network access-এর সাধারণ path: engineering workstation যা dual-homed (corporate এবং control network উভয়ে connected), VPN appliance, jump host, বা historian যা data sync-এর জন্য corporate network-এর সাথে যোগাযোগ রাখে।

OT network-এ ঢুকে আক্রমণকারী Nmap বা specialized ICS reconnaissance tool ব্যবহার করে HMI workstation identify করে। Common HMI port (Wonderware-এ 5413/TCP, FactoryTalk-এ 1330/TCP, Ignition-এ 8088/TCP) scan করে banner grab করেন।

HMI identify হওয়ার পর exploitation। যদি known CVE থাকে এবং patch unapplied, তাহলে Metasploit module বা public PoC দিয়ে initial access। যদি default credential থাকে, তাহলে web interface-এ direct login।

Access পাওয়ার পর আক্রমণকারী HMI software-এর built-in capability ব্যবহার করেন। Operator যা যা করতে পারেন—setpoint পরিবর্তন, valve open/close, recipe load—আক্রমণকারীও তা করতে পারেন। এর জন্য কোনো extra exploit লাগে না; কারণ HMI legitimately এই কাজের জন্য designed।

আরও sophisticated আক্রমণে আক্রমণকারী HMI-এর graphic file modify করেন—একটি high-temperature alarm যা actually triggered হচ্ছে, সেটি hide করা; একটি valve-এর actual state অপারেটরের কাছে opposite দেখানো। Stuxnet ঠিক এটিই করেছিল—centrifuge-এর actual abnormal speed অপারেটরের HMI-তে normal দেখাচ্ছিল।

Stuxnet (২০১০) HMI manipulation-এর সবচেয়ে artful উদাহরণ। ইরানের Natanz uranium enrichment facility-তে Siemens WinCC HMI চলত। Stuxnet বিশেষভাবে এই platform-কে target করেছিল। এটি WinCC-এর project file পরিবর্তন করত, যাতে centrifuge-এর actual rotation frequency operator কখনো দেখতে না পান।

ইউক্রেনে BlackEnergy/Industroyer attack-এ আক্রমণকারীরা HMI workstation দখল করে directly screen-এ keyboard input পাঠিয়েছিল। তারা অপারেটরের চোখের সামনে breaker open করেছিল, এবং অপারেটরের কোনো control নেওয়ার সুযোগ ছিল না কারণ keyboard/mouse remote-ভাবে controlled হচ্ছিল।

Triton/TRISIS (২০১৭) সৌদি আরবের একটি petrochemical facility-তে Safety Instrumented System (SIS)-কে target করেছিল। যদিও এটি SIS-specific attack, তবে initial vector ছিল HMI environment।

Colonial Pipeline ransomware attack (২০২১) মূলত IT side-এ ছিল, কিন্তু OT operation-কে precautionary basis-এ shut down করতে হয়েছিল কারণ IT এবং OT-র মধ্যে clear boundary establish করা যায়নি।

CISA, ICS-CERT, এবং Dragos-এর threat report ধারাবাহিকভাবে দেখাচ্ছে যে HMI আজ ICS attacker-দের সবচেয়ে preferred entry point এবং execution platform।

ICS environment-এ HMI assessment করা delicate কাজ। Production system-এ aggressive scanning বা exploitation real-world consequence ফেলতে পারে। সেজন্য specialized methodology দরকার।

প্রথম ধাপ হলো passive reconnaissance। Network traffic capture (PCAP) এবং বিশ্লেষণ করে HMI software, version, এবং communication pattern identify করা। Wireshark-এর ICS-aware dissector এই কাজে অপরিহার্য।

দ্বিতীয় ধাপ হলো safe enumeration। Specific HMI vendor-এর known endpoint, banner, এবং default credential check করা। Aggressive vulnerability scan এড়িয়ে চলা।

তৃতীয় ধাপ হলো configuration review। Live system-এ exploit না করে HMI configuration file, user account, role assignment, এবং network setting বিশ্লেষণ। অধিকাংশ critical finding এই static review-তেই আসে।

চতুর্থ ধাপ হলো lab-based exploitation। Production HMI-র identical configuration একটি isolated lab-এ replicate করে সেখানে exploitation চেষ্টা করা। এতে production-এ risk না নিয়ে impact assess করা যায়।

পঞ্চম ধাপ হলো operator workflow analysis। Human factor অনেক সময় technical vulnerability-র চেয়ে বড় risk। Operator কীভাবে authenticate করেন, কীভাবে session terminate করেন, কীভাবে administrative function access করেন—এই workflow-এ gap identify করা।

HMI security strengthen করার জন্য একটি comprehensive approach লাগে।

Network segmentation foundational। Purdue Model অনুসরণ করে IT, DMZ, supervisory, এবং control network আলাদা করতে হবে। HMI workstation-গুলো supervisory zone-এ থাকা উচিত, এবং strict firewall rule দিয়ে IT side থেকে isolate করা উচিত।

Workstation hardening অপরিহার্য। HMI workstation-এ unnecessary software (browser, email client, USB enabled drive) থাকা উচিত নয়। Application whitelisting (যেমন Microsoft AppLocker, Carbon Black) ব্যবহার করে শুধু approved software run করতে দেওয়া উচিত।

Patch management—যতটা possible। ICS environment-এ patching slow, কিন্তু at least quarterly maintenance window-এ critical patch apply করতে হবে। Vendor-এর tested patch ব্যবহার করতে হবে, কারণ generic Windows update HMI-কে break করতে পারে।

Strong authentication enforcement। Default credential change, complex password policy, এবং possible হলে MFA। HMI-এর native authentication weak হলে external IdP integration consider করতে হবে।

Role-based access control। Operator, engineer, administrator—প্রতিটি role-এর জন্য least privilege। Operator-কে engineer-level permission না দেওয়া।

Logging এবং monitoring। HMI-র audit log enable এবং centralized SIEM-এ forward করা। Operator-এর প্রতিটি action—login, control command, configuration change—log করতে হবে। ICS-aware SIEM/SOC (Dragos Platform, Claroty xDome) এই log analyze করতে পারে।

Backup এবং recovery। HMI project file, configuration, এবং OS image-এর regular backup। Ransomware বা destructive attack-এর পর rapid recovery নিশ্চিত করতে হবে।

Physical security। HMI workstation এমন জায়গায় থাকতে হবে যেখানে শুধু authorized personnel-এর access। Screen lock policy enforce, USB port disable, এবং tamper detection।

Vendor coordination। HMI vendor-এর সাথে security advisory subscription, regular communication, এবং patch coordination।

HMI landscape দ্রুত evolve করছে।

Web-based এবং mobile HMI—যা operator-কে remote-ভাবে monitor করতে দেয়—convenience বাড়ালেও attack surface বিশাল করেছে। Internet-exposed HMI Shodan-এ এখনও কয়েক হাজার আছে।

Cloud-connected SCADA—যা telemetry এবং analytics-এর জন্য cloud platform-এর সাথে integrate করে—shared responsibility model-এর জটিলতা আনছে।

AI-augmented HMI alarm management এবং predictive maintenance-এর জন্য ব্যবহৃত হচ্ছে। কিন্তু AI model poisoning, adversarial input HMI security-র নতুন dimension।

5G-enabled remote HMI-তে latency কম, কিন্তু wireless attack vector নতুন।

Zero Trust principle ICS environment-এ apply করার চেষ্টা চলছে। IEC 62443 এর latest version এই principle reflect করছে।