تسلط التوجيهات الصادرة مؤخرًا عن مكتب التحقيقات الفيدرالي ووكالة أمن البنية التحتية والأمن السيبراني الضوء على تهديد ملح ومتطور يواجه بيئات التكنولوجيا التشغيلية (OT). وفي تنبيه مشترك، حذرت الوكالتان من أن جهات تهديد مرتبطة بإيران قد استغلت بنشاط وحدات التحكم المنطقية القابلة للبرمجة (PLC) المتصلة بالإنترنت عبر قطاعات البنية التحتية الحيوية في الولايات المتحدة، بما في ذلك أنظمة المياه والصرف الصحي، والطاقة، والمنشآت الحكومية. يسلط البيان الاستشاري ، AA26-097A، الضوء على نمط كان الكثيرون في الصناعة يشككون فيه منذ فترة طويلة، ولكنه يُلاحظ الآن في حوادث حقيقية: لم تعد هذه الجهات تعتمد على ثغرات البرامج أو استغلالات يوم الصفر للتأثير على البيئات الصناعية. بدلاً من ذلك، تستغل هذه الجهات مسارات الوصول المشروعة والبروتوكولات الصناعية الأصلية أدوات الهندسة القياسية أدوات مباشرة مع أنظمة التحكم.
مسارات التحكم المكشوفة، وليس الثغرات الأمنية
تشكل مسارات التحكم المكشوفة، وليس الثغرات الأمنية غير المُصلحة، الخطر الرئيسي على بيئات التكنولوجيا التشغيلية. ولا تزال الاستراتيجيات التقليدية التي ترتكز على تحديد الثغرات الأمنية وتصحيح الأنظمة ومراقبة السلوكيات الخبيثة مهمة، لكن التحذير الأخير يوضح ما يلي: إذا تمكن المهاجم من الوصول إلى بيئة التكنولوجيا التشغيلية الخاصة بك، فسيكون بإمكانه العمل داخلها.
في العديد من الحالات التي تمت ملاحظتها، تمكن المهاجمون من الاتصال مباشرة بأجهزة التحكم المنطقية القابلة للبرمجة (PLC) المتصلة بالإنترنت باستخدام منافذ اتصال صناعية قياسية مثل 44818 و2222 و102 و502. وباستخدام برامج هندسية متوفرة على نطاق واسع، تمكنوا من إنشاء جلسات اتصال صالحة مع هذه الأجهزة والتفاعل معها كما لو كانوا مشغلين معتمدين.
يمثل التمييز بين "القابلية للوصول" و"الضعف" تحولاً جذرياً. فلم تعد المسألة تقتصر على ما إذا كان النظام ضعيفاً أم لا، بل أصبحت تتعلق بما إذا كان قابلاً للوصول أم لا. فإذا كان من الممكن الوصول إلى نظام التحكم عبر شبكة ما، فإنه يمكن تشغيله. وإذا كان من الممكن تشغيله، فإنه يمكن تعطيله.
كيف يتم تنفيذ هجمات OT الحديثة
يتبع نمط الهجوم الموضح في التنبيه مسارًا واضحًا:
- الوصول الأولي: تعرض أجهزة التحكم المنطقية القابلة للبرمجة (PLC) أو أنظمة التكنولوجيا التشغيلية (OT) للشبكات الخارجية، سواء بشكل مباشر أو عبر قنوات الوصول عن بُعد مثل الشبكات الافتراضية الخاصة (VPN) أو المضيفات الوسيطة
- التفاعل عبر الوسائل المشروعة: ومن هناك، يستخدم المهاجمون أدوات هندسية مشروعة أدوات Studio 5000 Logix Designer لإنشاء اتصالات بالجهاز. استخدام محطات العمل الهندسية، أو أدوات الموردين، أو البروتوكولات الأصلية (مثل Modbus و EtherNet/IP)
- التنفيذ:
- تعديل منطق التحكم
- تحميل/تنزيل ملفات المشروع
- إصدار الأوامر إلى العمليات المادية
- التأثير: تعطل العمليات، ومخاطر تتعلق بالسلامة، وخسائر مالية محتملة
ما يجعل هذا النهج فعالاً هو أنه يتجاوز العديد من الضوابط الأمنية التقليدية. فلا يوجد أي شيء «خبيث» بطبيعته على مستوى البروتوكول أو الأداة من شأنه أن يؤدي إلى تشغيل آلية الكشف.
لم تعد وسائل التحكم التقليدية كافية
تعتمد معظم بيئات تكنولوجيا المعلومات اليوم على مزيج من جدران الحماية والشبكات الافتراضية الخاصة (VPN) واستراتيجيات التقسيم وضوابط الوصول عن بُعد. ورغم أن هذه الإجراءات ضرورية، إلا أنها تنطوي على قيود متأصلة:
- تعتمد جدران الحماية على التكوين الصحيح وإدارة القواعد؛ كما أنها تسمح بتطبيق البروتوكولات المطلوبة بحكم تصميمها.
- تعتمد شبكات VPN والوصول عن بُعد على سلامة بيانات الاعتماد
- تعمل أنظمة الكشف/المراقبة بعد إتمام عملية الوصول بالفعل
في السيناريوهات التي أبرزتها وكالة الأمن السيبراني والبنية التحتية (CISA)، لم يكن المهاجمون بحاجة إلى تجاوز هذه الضوابط بالمعنى التقليدي للكلمة. بل اكتفوا باستخدام حق الوصول الذي كان متاحًا بالفعل.
ولهذا السبب، تركز التوصية بشدة على تجنب التعرض غير الضروري للمخاطر وتشديد إجراءات تقسيم الشبكة.
الجمع بين التجزئة والعزل الحتمي
لطالما اعتُبرت عملية التجزئة من أفضل الممارسات الموصى بها، ولكن ليست كل عمليات التجزئة متساوية.
يمكن للتقسيم المنطقي، الذي يتم تطبيقه من خلال البرامج والسياسات، أن يقلل من المخاطر ولكنه لا يقضي عليها تمامًا. فما زال من الممكن أن تؤدي الأخطاء في التكوين، أو اختراق بيانات الاعتماد، أو مسارات الوصول غير المباشرة إلى إنشاء اتصالات غير مقصودة بين بيئات تكنولوجيا المعلومات وتكنولوجيا التشغيل.
ما نحتاجه في البيئات عالية المخاطر هو العزل الحتمي.
القضاء على مسار الهجوم من خلال الاتصال أحادي الاتجاه
والنهج الأكثر فعالية هو منع الوصول من الخارج تمامًا.
تفرض الثنائيات البياناتية اتصالاً أحادي الاتجاه يعتمد على الأجهزة بين الشبكات. وهذا يتيح تدفق البيانات التشغيلية خارج بيئة التحكم لأغراض المراقبة أو التحليل أو الامتثال، مع جعل عودة أي بيانات أو أوامر أو اتصالات إلى الداخل أمراً مستحيلاً من الناحية التقنية.
في سياق أنماط الهجمات التي وصفتها وكالة الأمن السيبراني والبنية التحتية (CISA)، فإن لهذا الأمر تأثيرًا مباشرًا:
- لا يمكن لأي أوامر عن بُعد الوصول إلى وحدات التحكم المنطقية القابلة للبرمجة (PLC)
- لا أدوات لأي أدوات هندسية الاتصال من الشبكات الخارجية
- لا يمكن لأي برامج ضارة أو حركة مرور غير مصرح بها أن تدخل بيئة المراقبة
لا يتعلق الأمر هنا باكتشاف الأنشطة الضارة أو حجبها، بل بإزالة المسار تمامًا.
التوافق مع توصيات وكالة الأمن السيبراني والبنية التحتية (CISA)
تركز إرشادات التخفيف الصادرة عن وكالة الأمن السيبراني والبنية التحتية (CISA) على ثلاثة إجراءات أساسية:
- إزالة أصول OT من التعرض المباشر للإنترنت
- تعزيز الفصل بين شبكات تكنولوجيا المعلومات (IT) وشبكات تكنولوجيا التشغيل (OT)
- تقييد الوصول عن بُعد والتحكم فيه
تعمل بنى الاتصالات أحادية الاتجاه على تفعيل هذه التوصيات بمستوى ضمان أعلى من خلال ضمان عدم إمكانية الوصول إلى أنظمة التحكم الحيوية، حتى في حالة تعرض الشبكات الأعلى منها للاختراق.
إعادة النظر في OT Security: من الدفاع إلى التصميم
تشير التوصية AA26-097A إلى ضرورة أن تتطور الافتراضات الدفاعية بالتوازي مع التهديدات التي تتصدى لها. فإذا لم يعد المهاجمون بحاجة إلى استغلال الثغرات الأمنية، فإن التركيز على الكشف والوقاية وحدهما لن يكون كافياً. بل يجب أن تتحول الأولوية إلى الضوابط المعمارية التي تقضي على فئات كاملة من المخاطر. ومن بين هذه الضوابط جعل أنظمة التكنولوجيا التشغيلية (OT) غير قابلة للوصول من الشبكات الخارجية.
إعطاء الأولوية للأمن
يؤكد أحدث تنبيه صادر عن وكالة الأمن السيبراني والبنية التحتية (CISA) حقيقة لم يعد بإمكان المؤسسات تجاهلها:
- التعرض يساوي الخطر في بيئات العلاج الوظيفي
- مع تزايد استغلال المهاجمين للوصول الشرعي والوظائف الأصلية، فإن الدفاع الأكثر فعالية لا يقتصر على تحسين المراقبة أو تشديد السياسات فحسب، بل يتعدى ذلك إلى التخلص من الاتصالات غير الضرورية تمامًا.
- لم يعد تصميم بيئات العمليات بحيث تكون غير قابلة للاختراق من الناحية التصميمية مجرد ممارسة مثلى نظرية. بل أصبح ذلك مطلبًا عمليًا لضمان المرونة التشغيلية.
