الذكاء الاصطناعي يكشف ما لا يمكنك إصلاحه

تنتشر أجهزة التشغيل التي وصلت إلى نهاية دورة حياتها في كل مكان. ستجد وحدات التحكم المنطقية القابلة للبرمجة التي تعمل ببرامج ثابتة تعود إلى عام 2009، وأنظمة SCADA التي سبقت ظهور جهاز iPhone، وحتى خوادم تسجيل البيانات التي تعمل بنظام Windows Server . وغالبًا ما يتعذر تثبيت تصحيحات أمنية لهذه الأنظمة، إما لأن المورد قد توقف عن العمل، أو لأن عقد الدعم قد انتهى، أو لأن التحديث يتطلب إيقاف التشغيل الإنتاجي لفترة تُقاس بالأيام أو الأسابيع، وليس بالدقائق.

النصيحة المعتادة، التي تبدو سليمة من حيث المبدأ، هي عزل النظام. أي فصله عن الشبكة، وقطع مسار الهجوم، واحتواء نطاق التأثير. لكن في الواقع العملي، فإن «مجرد عزله» يخلق مشاكل خاصة به:

• العزل دون إمكانية الرصد يعني عدم القدرة على اكتشاف الهجمات. فإذا توقف سجل بيانات EOL عن العمل بسبب اختراقه من قِبل جهة خبيثة أو قيامها بحركة أفقية، فلن تعرف ذلك إلا بعد فوات الأوان. إن المشغلين الذين يعزلون نظامًا عن الشبكة دون التأكد من قدرتهم على مراقبة الأنظمة، يكونون قد استبدلوا خطرًا بآخر.

• يؤدي العزل دون تدفق البيانات إلى تعطيل العمليات. فمعظم أنظمة التكنولوجيا التشغيلية (OT) التي لا يمكن تحديثها لا تزال تؤدي مهام مفيدة، بل وحاسمة في بعض الأحيان. فهي تولد قراءات أجهزة الاستشعار، وتسجل بيانات العمليات، وتزود لوحات المعلومات التي يعتمد عليها المشغلون في إجراء التحليلات، والتحقق من الحالة، وضمان الامتثال، وتشغيل المنشأة بفعالية. ويؤدي قطع الاتصال بالشبكة بشكل تام إلى عزل نطاق التعرض للتهديدات، ولكنه يقطع أيضًا البيانات التشغيلية التي تضمن استمرار العمل.

• يُعد العزل دون وجود دليل على الامتثال ادعاءً غير مُثبت. سيطلب المدققون والجهات التنظيمية دليلاً على أن النظام معزول فعليًّا، وليس مجرد افتراض بأنه معزول. وقاعدة جدار الحماية هي إجراء رقابي برمجي. Software معرضة للفشل.

البوابة أحادية الاتجاه التي يتم فرضها عبر الأجهزة (ديود البيانات) هي الإجراء الأمني الذي يجعل العزل قابلاً للتطبيق من الناحية التشغيلية.

الجانب الفيزيائي هو جوهر المسألة. تعمل صمامات البيانات في اتجاه واحد فقط، ويتم ضمان ذلك على مستوى الأجهزة من خلال العزل البصري. ولا توجد إعدادات برمجية يمكن إساءة تكوينها، ولا قواعد يمكن تجاوزها، ولا قنوات ثنائية الاتجاه يمكن استغلالها. ولا يمكن للمهاجم الذي يخترق شبكة OT أو IT خارجية أن يتسلل عبر صمام البيانات إلى شبكة آمنة.

OPSWAT هذه الحماية من خلال تقنية MetaDefender Diode™ التي تفرض نقل البيانات في اتجاه واحد عبر أجهزة مصممة خصيصًا لبيئات التكنولوجيا التشغيلية (OT). Optical Diode تقنية Optical Diode التدفق أحادي الاتجاه على المستوى المادي من خلال الإرسال عبر الألياف الضوئية: فلا يوجد مسار عودة لأن الضوء لا يتدفق عكسيًّا عبر الوسط. وفي البيئات التي تُقاس فيها عواقب أي اختراق من منظور السلامة العامة، فإنك تحتاج إلى اليقين، لا إلى الاحتمال.

وعند تطبيق ذلك على التوصية رقم 2 الصادرة عن «أنثروبيك»، فإن هذا يغير الحسابات:

يصبح العزل «حماية ومراقبة» بدلاً من «حماية وتجاهل».

يمكنك تشغيل «ديود البيانات» خارج نظام EOL، بحيث يتم تغذية السجلات وبيانات القياس عن بُعد المستشعرات وبيانات الأحداث إلى نظام SIEM (إدارة المعلومات والأحداث الأمنية) أو منصة مراقبة OT. ويكون النظام معزولًا بشكل فعال؛ فلا شيء يصل إليه من الخارج. ومع ذلك، لا يزال بإمكان مركز عمليات الأمن (SOC) الخاص بك مراقبة النظام. وتكون الحالات الشاذة مرئية، كما يمكن اكتشاف الحوادث.

يتم الحفاظ على استمرارية العمليات.

لا يزال المؤرخ يسجل البيانات؛ ولا تزال وحدة الطرفية البعيدة (RTU) ترسل تقاريرها. ولا تزال البيانات التي تعتمد عليها الأنظمة التالية تتدفق إلى الخارج بأمان عبر أجهزة لا يمكن اختراقها. ولا يواجه المشغلون خيارًا زائفًا بين الأمن ووقت التشغيل.

أدلة الامتثال مستمدة من الأجهزة.

يمكن إثبات هذا العزل. فأنت لا تدعي أن سياسة جدار الحماية تحمي النظام؛ بل تثبت أن البنية المادية للشبكة تجعل وصول حركة المرور الواردة إلى ذلك النظام أمراً مستحيلاً. وهذا أمر مختلف تماماً عند مناقشته مع المدقق.

توصي شركة «أنثروبيك» على وجه التحديد بربط مصطلح «الجرد» بمصطلح «العزل»؛ فلا يمكنك حماية ما لا تعرف بوجوده.

يُعد الجرد المنهجي للأصول التي وصلت إلى نهاية دورة حياتها (EOL) الخطوة الأولى. فهو يحدد الأنظمة التي تحتاج إلى الحماية، ويُحدد مدى تعرضها عبر الشبكة، ويضع خط الأساس الذي تُقاس على أساسه ضوابط العزل. ويبدأ نهج OPSWATلحماية البنية التحتية الحيوية من هذه النقطة: فهم ما يوجد على الشبكة قبل اتخاذ قرار بشأن كيفية حمايتها.

بمجرد الانتهاء من إعداد قائمة الجرد، يمكن تطبيق «ثنائيات البيانات» بدقة متناهية، بحيث يتم حماية الأنظمة التي وصلت إلى نهاية دورة حياتها (EOL) والأكثر عرضة للمخاطر أولاً، مع الحفاظ في الوقت نفسه على تدفقات البيانات التي تعتمد عليها العمليات.