مصممة للتحايل: توسع نطاق الهجمات على البنية التحتية الحيوية

• قد تتعرض البنية التحتية الحيوية لاضطرابات ناجمة عن شبكة الأعمال، وتُظهر الحالات الأخيرة في قطاع الرعاية الصحية العامة كيف يمكن أن يؤدي تصرف واحد من جانب مستخدم يتعلق بملف ضار إلى سلسلة من الاضطرابات التشغيلية.
• لا يزال البريد الإلكتروني أحد أكثر نقاط الضعف تعرضًا للهجمات: فهو قناة تصل، بحكم تصميمها، إلى الأجهزة والأشخاص الذين يشغلونها على نطاق واسع.
• لا تزال البيئات المعزولة عن الشبكة تعتمد على المحتوى الوارد من الجانب المتصل، مما يجعل الفحص المسبق أمرًا مهمًا قبل أن تنتقل الملفات إلى أنظمة أكثر حساسية.
• يُعد الابتكار عنصراً أساسياً في المرونة، ولكن ينبغي التخطيط لكل مورد جديد وعملية تكامل وقناة تحديث بنفس الدرجة من العناية التي تُولى للفائدة التشغيلية التي يتيحها كل منها.
• إن نظام الدفاع المصمم لمواجهة هذا الواقع يتعامل مع أمن البريد الإلكتروني باعتباره أحد أركان نموذج شامل ومتعدد الطبقات، حيث يقوم بفحص المخاطر والحد منها قبل وصول المحتوى إلى القارئ، سواء كان بشريًا أو آليًّا.

في مجال البنية التحتية الحيوية، غالبًا ما يُنظر إلى العزل على أنه الهدف النهائي للأمن: تقسيم الشبكة، وفصل الأنظمة الأكثر حساسية عن الشبكة عبر فجوة هوائية، وبذلك يتم احتواء المشكلة. ومع ذلك، فإن العمليات التجارية تتم خارج النواة المعزولة: الجدولة، واللوجستيات، والفوترة، وسجلات العمليات، والمراقبة. وهذا المجال يمثل أيضًا سطحًا معرضًا للهجوم.

لذا، فإن السؤال لا يقتصر على ما يوجد خلف «الفجوة الهوائية» فحسب، بل يمتد ليشمل ما يمكن تعطيله قبل أن يصل أي شيء إليها. وبالنسبة للعديد من مؤسسات البنية التحتية الحيوية، بما في ذلك المستشفيات والبنوك وشبكات النقل التي لا يمكنها العمل بكامل طاقتها خلف «الفجوة الهوائية»، تُعد شبكة الأعمال جزءًا رئيسيًّا من البنية التحتية.

ويتميز هذا المجال بمدخل رئيسي مزدحم بشكل خاص. يُعد البريد الإلكتروني أحد أكثر البوابات ازدحامًا في سطح الهجوم، وهو قناة تُبقيها كل مؤسسة مفتوحة بحكم تصميمها، لأن هذه هي الطريقة التي يصل بها العمل: تحديثات الموردين، ووثائق المقاولين، وجداول البيانات التي تُطلق المشروع. ويحمل البريد الإلكتروني تهديدًا مزدوجًا، حيث يصل إلى الأجهزة عبر الملفات والروابط التي يتم تنفيذها، ويصل إلى الأشخاص من خلال الإقناع الذي يدفعهم إلى فتح تلك الملفات. وقليلة هي القنوات التي توفر كلا الأمرين على نطاق مماثل. الحالات التالية موثقة في السجلات العامة وتُظهر كيف يمكن للبريد الإلكتروني أو الملفات الخبيثة أو تصرفات المستخدمين الموثوق بهم أن تصبح الخطوة الأولى في تعطيل عمليات أوسع نطاقًا.

تُعد هيئة الخدمات الصحية الأيرلندية واحدة من الضحايا القليلة التي اختارت الشفافية الكاملة، حيث كلفت بإجراء مراجعة مستقلة ونشرت نتائجها، ولهذا السبب يمكن استعراض هذه الحالة بالتفصيل. في مارس 2021، تفاعل أحد المستخدمين مع رسالة بريد إلكتروني احتيالية أدت إلى إصابة محطة عمل ببرمجيات خبيثة. ثم عمل المهاجمون داخل البيئة لمدة ثمانية أسابيع قبل تفجير برنامج الفدية، مستغلين تلك الفترة لاختراق الخوادم والحسابات ذات الصلاحيات الخاصة، والتحرك أفقيًا، وسرقة البيانات قبل أن يصبح الاضطراب مرئيًا على نطاق وطني. وقامت مؤسسة الخدمات الصحية بإيقاف تشغيل أنظمة تكنولوجيا المعلومات الخاصة بها لاحتواء انتشار الفيروس. وعادت المستشفيات إلى استخدام القلم والورقة، وأُلغيت المواعيد الطبية في جميع أنحاء البلاد، واستغرق التعافي أكثر من أربعة أشهر، وقدرت تكلفة الإصلاح بـ 102 مليون يورو حتى نوفمبر 2024.

نادرًا ما يظل الخلل في أمن البريد الإلكتروني مجرد مشكلة تقتصر على البريد الإلكتروني؛ بل يمكن أن يتفاقم ليؤدي إلى تعطيل العمليات والأعمال، مع ما يترتب على ذلك من عواقب مالية أيضًا. في عام 2024، أفادت مؤسسة «أسينشن» (Ascension) أن أحد الموظفين قام بتنزيل ملف ضار في حادثة وصفتها المؤسسة بأنها «خطأ غير متعمد». وأدى هذا الحادث إلى قيام إحدى أكبر شبكات المستشفيات في الولايات المتحدة بتحويل مسار سيارات الإسعاف وتأجيل تقديم الرعاية الطبية، ثم الإعلان لاحقًا عن تأثر 5,599,699 شخصًا بهذا الحادث.

أحد السيناريوهات التي يجب على قادة الأمن أخذها في الاعتبار هو السيناريو الذي لا يحدث فيه شيء في البداية، حيث يظل المهاجم متواجدًا داخل شبكة المؤسسة ويقوم بالاطلاع على: مخططات الشبكة، والوثائق الهندسية، وبيانات الاعتماد، وجداول الصيانة، وسير عمل عمليات النقل نفسها. وعندما تتحول القراءة إلى عمل، يمكن أن تمتد العواقب إلى العالم المادي. هكذا جرت، حسبما ورد، الهجمة التي استهدفت شبكة الكهرباء الأوكرانية في عام 2015: تشير التقارير العامة والتحليلات الفنية إلى اختراق مسبق لشبكات الشركات عبر رسائل بريد إلكتروني تصيدية موجهة تحمل البرمجيات الخبيثة BlackEnergy، تلاها استطلاع، وسرقة بيانات الاعتماد، وتعطيل منسق للمحطات الفرعية. وأثر الحادث على ما يقرب من 225,000 العملاء. رسالة واحدة موثوق بها، وإجراء روتيني واحد، وعواقب تشغيلية متعددة.

تسعى البنية التحتية الحيوية إلى الابتكار لأنها مضطرة لذلك. فبيئة التهديدات آخذة في التصاعد، والتوقعات بشأن وقت التشغيل في ارتفاع، كما أن المرونة تعتمد بشكل متزايد على أنظمة أكثر ذكاءً وترابطًا. فالمحطة الفرعية التي كانت تعمل بنفس المنطق لمدة عشرين عامًا قد تصبح الآن متصلة بنظام تحليلات السحابة، والمضخة التي كانت تُفحص يدويًّا مرة واحدة في كل نوبة عمل قد تصبح الآن ترسل بيانات القياس عن بُعد إلى المورد، وأعمال الصيانة التي كانت تنتظر حدوث الأعطال قد تصبح الآن موجهةً بالتنبؤات المدعومة بالذكاء الاصطناعي والتعلم الآلي. هذه التحسينات ليست مجرد أمور اختيارية تشتت الانتباه؛ بل هي الطريقة التي تتيح للبنية التحتية الحيوية مواكبة التطورات. والفرصة كبيرة، شريطة أن يتطور نموذج الأمان مع التكنولوجيا المحيطة به.

تجلب كل موجة من هذه الابتكارات تغييرات: أكواد برمجية جديدة، وعمليات تكامل جديدة، وموردين جدد، وقنوات تحديث، ومسارات وصول عن بُعد جديدة. ويمكن إدارة هذا التغيير من خلال خطة شاملة. يمكن لمسؤولي الأمن تحديد كيفية انتقال البيانات، وكيفية اتصال الموردين، وكيفية التحقق من صحة التحديثات، وأين يتم فحص المحتوى قبل وصوله إلى سير العمل الحساس. لا تكمن المخاطر في الابتكار بحد ذاته، بل في الثقة غير المخطط لها. يمكن لكل مورد ومقاول جديد إنشاء علاقة بريد إلكتروني جديدة، مع مرفقات وفواتير وإشعارات تحديث يُتوقع من المستخدمين فتحها. تتوسع السطح، وكذلك يتزايد عدد نقاط الدخول التي يمكن أن يصل من خلالها شيء غير موثوق به يبدو شرعيًا.

إذن، ماذا يحدث عندما يتقدم التحديث بوتيرة أسرع من الدفاعات المصممة لمواجهته؟ هذا هو «التأثير التراكمي»: حتى لو توقفت قدرات المهاجمين عند مستواها الحالي، فإن نقاط الضعف قد تستمر في الازدياد، لأن البيئة تستمر في اكتساب نقاط اتصال جديدة. يمكن للذكاء الاصطناعي والتعلم الآلي تحسين المرونة التشغيلية على الجانب الدفاعي، لكن قدرات المهاجمين لا تظهر أي مؤشرات تذكر على التباطؤ أيضًا. يمكن للذكاء الاصطناعي تسريع البحث والاستهداف والتكرار على الجانب الهجومي، مما يجعل الأمن المخطط والمتكيف جزءًا من الابتكار المسؤول بدلاً من أن يكون عائقًا أمامه.

قلة من المشغلين يمكنهم التنبؤ بدقة بالشكل الذي ستبدو عليه بيئتهم الخاصة بعد خمس سنوات، لذا فإن بنية الأمان الحالية ربما تكون بالفعل تحمي طوبولوجيا الأمس. والهدف ليس إعاقة الابتكار، بل التأكد من أن الأمان يتطور جنبًا إلى جنب معه. ولا يزال العزل مهمًا، لكنه يعمل كطبقة واحدة ضمن نموذج مرونة أوسع نطاقًا، وليس كحل شامل.

غالبًا ما يقيّم قادة الأمن خطورة التهديد من خلال طرح ثلاثة أسئلة: هل يمتلك الخصم النية والقدرة والفرصة؟ وبالنسبة للعديد من بيئات البنية التحتية الحيوية، فإن الإجابة على هذه الأسئلة الثلاثة هي «نعم» بشكل متزايد.

• الهدف: تُستهدف البنى التحتية الحيوية بشكل متعمد من قبل الأطراف المعادية التي تجري أبحاثًا عن ضحاياها، ومن المرجح أن تظل هذه البنى جذابة لأن المكاسب المحتملة تبرر بذل هذا الجهد.
• القدرة: تتزايد درجة التصنيع في الهجمات، حيث يساهم الذكاء الاصطناعي في خفض تكلفة إنشاء الحملات واختبارها وتبديلها.
• الفرصة: يتغير نطاق الهجوم مع قيام الابتكار بربط الأنظمة التي كانت تعمل في السابق بشكل مستقل، ومع استمرار المحتوى في عبور الحدود المتبقية.

وراء هذه العوامل الثلاثة يكمن نفس المبدأ الثابت: سيستمر الناس في الاعتماد على البريد الإلكتروني، لأنه ضروري لاستمرار سير العمليات، وسيستمر المحتوى في تجاوز العديد من الحدود التي نرسمها، لأن هذه هي الطريقة التي تسير بها الأعمال.

إن نظام الدفاع المصمم لمواجهة هذا الواقع يتخذ شكلاً مميزاً. فهو يتعامل مع أمن البريد الإلكتروني باعتباره أحد أكثر البوابات ازدحاماً في محيط الشبكة، ويخصص له الموارد وفقاً لذلك، باعتباره أحد أركان نموذج شامل. وهي تضع طبقات من الضوابط عند تلك البوابة، تؤدي كل منها مهمة مختلفة، بحيث يتم فحص المحتوى وتقليل المخاطر قبل أن يلمسه القارئ، سواء كان إنسانًا أو آلة. كما تستخدم التحليل المدعوم بالذكاء الاصطناعي داخل حلقة التشغيل من أجل ربط أسرع، وتصنيف أسرع، وتعلم أسرع من المحاولات المحظورة، لتقترب بذلك من الوتيرة التي يحددها المهاجمون. وتتعامل مع التحسين المستمر باعتباره جزءًا من التحديث المسؤول، لأن بيئة التهديدات تتغير باستمرار.

السؤال الذي يجدر بك طرحه في بيئتك الخاصة بسيط: عندما ينتقل المحتوى إلى الأنظمة التي لا يمكنك تحمل خسارتها بأي حال من الأحوال، فأين تكون آخر نقطة يتم فيها فحصه فعليًّا، وهل ستتمكن تلك النقطة من تمييز المحتوى المصمم ليبدو آمنًا وموثوقًا؟ بالنسبة للعديد من المؤسسات، غالبًا ما ينتهي تتبع مسار ذلك المحتوى إلى المكان الذي وصل إليه لأول مرة: صندوق الوارد.