لم يكن الأمن السيبراني أبدًا تحديًا يسهل حله، ولكن في قطاعات البنية التحتية الحيوية، يعمل المدافعون عن الأمن في فئة خاصة بهم.
يبدأ الأمر بالمنافسين، الذين ليسوا مجرمين انتهازيين يبحثون عن مكسب سريع.
نحن نتحدث عن جماعات مدعومة من الدولة تعمل باستخدام موارد حكومية، أو شبكات الجريمة الإلكترونية المنظمة التي تتراوح أهدافها بين برامج الفدية والتجسس طويل الأمد.
والقول إن المخاطر كبيرة هو أقل ما يمكن قوله؛ فقد سجل تقرير مكتب التحقيقات الفيدرالي (FBI) لعام 2024 حول جرائم الإنترنت أكثر من 4,800 شكوى من مؤسسات البنية التحتية الحيوية. وقد لا يبدو هذا الرقم كبيرًا، إلى أن تنظر إليه في سياق عام كامل؛ فمن الناحية الإحصائية، يمكن أن يعني هذا الرقم وقوع 13 هجومًا يوميًا، أي هجوم واحد كل ساعتين. وبالنسبة لمؤسسات الدفاع على وجه التحديد، فإن أي هجوم ناجح يمكن أن يقوض السيادة الوطنية بشكل مباشر.
ليس من المستغرب أن تعمل بيئة التهديدات الشديدة هذه في ظل أطر امتثال صارمة وغير قابلة للتفاوض، مثل المركز الوطني للأمن السيبراني ( NCSC ) في المملكة المتحدة.
وفي الوقت نفسه، يجب أن تكون حلول الأمنية حلول مع معايير المركز الوطني للأمن السيبراني (NCSC) قابلة للتطبيق على مستوى النظام بأكمله. فالمؤسسات الدفاعية تتسم بتعدد المستويات، لذا يجب أن تكون الحماية التي توفرها ذات طابع معياري وقابلة للتطبيق على مستوى المؤسسة بأكملها، وليس فقط على الأقسام التي حددت الحاجة إلى ذلك في البداية.
وفي هذا السياق، تعاونت إحدى القوى البحرية الرائدة التابعة لحلف الناتو مع OPSWAT واضح: تطوير «حل متعدد المجالات» (CDS) معتمد ومتوافق مع معايير NCSC، يمكن توسيع نطاقه ليتجاوز حدود فرقة واحدة ويشكل أساسًا لتطبيقه على نطاق واسع.
تصميم بنية CDS قابلة للتوسع لتناسب أنواع الملفات والفروع المتعددة، في ظل انعدام المرونة التنظيمية
واجه عميلنا تحديًا بدا في البداية مستحيلًا حله.
إنشاء حل CDS لتدفقات بيانات الاستيراد والتصدير (IMPEX) بين مستويات التصنيف المختلفة، بما يتوافق مع متطلبات الفصل الشبكي الصارمة التي يفرضها المركز الوطني للأمن السيبراني (NCSC). وكان من الضروري أن يكون الحل قابلاً للتوسع وقابلاً للتكرار عبر فروع الدفاع المتعددة، وأن يدعم مجموعة واسعة من أنواع الملفات، وأن يحافظ على أعلى مستوى ممكن من المرونة في مواجهة التهديدات السيبرانية.
دعونا نلقي نظرة على كل طبقة على حدة.
لا توجد بوابة IMPEX معتمدة عبر المجالات
تحتاج الشبكات السرية داخل المؤسسات الحكومية والدفاعية إلى قواعد معتمدة رسميًا لتدفقات بيانات IMPEX، يتم تطبيقها عبر بوابة IMPEX عبر المجالات. ولم تكن هذه البوابة موجودة في البداية ضمن أنظمة عملائنا.
في الواقع، يعني هذا أنه لم تكن هناك أي عملية رقمية معتمدة لعمليات IMPEX على الإطلاق. وبدونها، لم يكن بإمكان العميل نقل البيانات عبر حدود التصنيف بطريقة قابلة للتتبع وجاهزة للتدقيق.
القدرات الفحصية اللازمة لدعم أنواع ملفات متعددة
كانت أنواع متعددة من البيانات تنتقل عبر شبكات مصنفة على مستويات مختلفة: فملفات المستخدمين، والتصحيحات الأمنية، وتحديثات البرامج الثابتة للأجهزة، والتطبيقات المعبأة في حاويات، والبرامج العسكرية المخصصة، كلها كانت بحاجة إلى عبور نفس الحدود. وكان لا بد من فحص البيانات بدقة، لضمان عدم تمكن أي عناصر خبيثة من اختراق البيئات شديدة السرية.
ومع ذلك، كلما زاد حجم البيانات وتعقيدها، زادت صعوبة التحقق من خلوها من العيوب. ولا يمكن التعامل مع بعض أنواع الملفات على أنها مستندات عادية. فالرقع البرمجية، وبرامج التثبيت، والبرامج الثابتة، والنصوص البرمجية، والبرامج العسكرية المخصصة تتطلب فحصًا سلوكيًّا، لأن الفحص الثابت وحده لا يكفي لإثبات كيفية تصرفها بمجرد إدخالها إلى بيئة سرية. وفي الوقت نفسه، كان من الممكن لأي ثغرة في التغطية أن تعرض الحدود نفسها للخطر.
تتطلب المعايير الصارمة فصلًا تامًا بين الشبكات
يأتي إطار عمل NCSC مصحوبًا بأنماط صارمة تحدد كيفية انتقال البيانات بين مستويات التصنيف. وتُعد «وظائف فرض الأمان» (SEFs) عنصرًا أساسيًّا في هذا الإطار؛ وهي عبارة عن فحوصات أمنية تغطي كل شيء بدءًا من الكشف عن البرامج الضارة وصولاً إلى التحقق من صحة التنسيق.
بموجب معايير NCSC، كان على العميل وضع قواعد صارمة لفصل الشبكات (تصنيف «سري»/«مفتوح»). ويجب ألا يكون هناك أي تواصل على الإطلاق بين البيئات المصنفة وغير المصنفة، حيث تعمل بوابة CDS كحاجز مطلق.
قد يؤدي الفشل في اجتياز فحص SEFs إما إلى وصول ملف ضار إلى شبكة سرية، أو إلى استخراج معلومات حساسة.
تطوير حل مناسب لتوسيع نطاق اعتماده
لم يكن الهدف أبدًا مجرد حل مشكلة واحدة.
تشمل هذه الإدارة الحكومية عدة فروع ووكالات ومواقع وقيادات، وكان لا بد أن يعمل الحل «Cross Domain» الذي نفذه العميل عبر جميع هذه العناصر.
فإن أي حل لا يعمل إلا في سياق واحد سيؤدي إلى بقاء جزء آخر من القسم يعاني من نفس النقص. وكان على العميل إنشاء نظام يمكن أن يصبح معيارًا موحدًا ويمكن توسيع نطاقه ليشمل المؤسسة بأكملها.
عندما لا يكون هناك مجال للخطأ: بنية متعددة المستويات ومشتركة بين المجالات وحاصلة على شهادة NCSC
لم يكن من الممكن حل التحدي الذي طرحه العميل باستخدام منتج واحد.
بدلاً من ذلك، OPSWAT بنية متعددة الأوجه، مدعومة بعدة منتجات وتقنيات، حيث تعمل كل طبقة على تحقيق الهدف الأوسع نطاقاً: ضمان ألا يتجاوز أي شيء حدود التصنيف دون فحص.
الفصل المادي للشبكة من خلال تقنية MetaDefender Optical DiodeDiode™
اعتمدت البنية الأساسية لهذا النظام على صمامات ثنائية للبيانات مدمجة في الأجهزة، والتي تفرض تدفق البيانات في اتجاه واحد على مستوى الشبكة. وعلى عكس آليات التحكم القائمة على البرامج، التي قد تتعرض لخطأ في التهيئة أو يمكن تجاوزها، فإن الصمام الثنائي المدمج في الأجهزة يجعل التدفق العكسي مستحيلاً من الناحية المادية.
تضمن القيود المادية الفصل المطلق بين الشبكة السرية والشبكة العامة، وهو ما يشترطه المركز الوطني للأمن السيبراني (NCSC).
Optical Diode MetaDefender لتمكين نقل البيانات الآمن أحادي الاتجاه، الذي يتم فرضه عبر الأجهزة، بين شبكات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT)، مما يجعل انتقال حركة المرور من المستويات ذات التصنيف الأمني الأقل إلى البيئات المحمية أمراً مستحيلاً من الناحية المادية.
معالجة الملفات متعددة الطبقات عبر منصة MetaDefender Core™
يتم اعتراض كل ملف يعبر الحدود وفحصه بواسطة MetaDefender Core مع ضبط دقة الفحص وفقًا لبيئة الوجهة.
تمر الملفات التي تدخل شبكة SECRET عبر المكدس الكامل: حيث تخضع لفحص متعدد باستخدام محركات فحص متنوعة لتوسيع نطاق معدلات الكشف، بالإضافة إلى تقنية Deep CDR™ لإزالة أي تهديدات خفية.Sandbox Adaptive Sandbox تحليل ديناميكي قائم على المحاكاة على الملفات المشبوهة، مما يجبر البرامج الضارة المراوغة على الكشف عن سلوكيات قد لا تظهر في الفحص الثابت أو في بيئات الحماية الرملية التقليدية القائمة على الأجهزة الافتراضية.
لا يتم فحص الملفات التي تنتقل إلى بيئات ذات تصنيف أقل إلا باستخدام محركات متعددة لمكافحة البرامج الضارة، مما يضمن حماية متسقة في كل مسار.
MetaDefender Core منصة OPSWATالمتطورة للكشف عن التهديدات والوقاية منها؛ وهي تجمع بين تقنية Deep CDR™، ووظيفة Metascan™ Multiscanning، Adaptive Sandbox سير عمل الملفات عبر البنية التحتية الحيوية.
النقل الآلي للملفات باستخدام تقنية MetaDefender Managed File TransferTransfer™
تعملManaged File Transfer MetaDefender Managed File Transfer على أتمتة عمليات استيراد وتصدير جميع أنواع البيانات المختلفة التي يتعامل معها العميل، مما يؤدي إلى إنشاء مسار نقل خاضع للرقابة وقابل للتدقيق.
لا شيء يتحرك يدويًّا، ولا شيء يتحرك دون تتبع، ولا شيء يتجاوز طبقات الفحص.
Managed File Transfer MetaDefender Managed File Transfer ضوابط قائمة على السياسات ونظامًا متكاملًا للوقاية من التهديدات، وذلك لنقل الملفات الحساسة بأمان بين المؤسسات أو الأنظمة أو المناطق الأمنية.
هندسة معتمدة من NCSC
تلتزم البنية المبنية على منتجات OPSWATبأنماط الأمان التي وضعها المركز الوطني للأمن السيبراني (NCSC) فيما يتعلق بتدفقات البيانات عبر المجالات. وقد أصبحت أول حل IMPEX معتمد من الحكومة، مما يعني أنه يمكن اعتمادها كمعيار موحد في جميع فروع المؤسسة الأخرى دون الحاجة إلى إعادة تصميمها من الصفر.
بناء النظام مرة واحدة، وبشكل صحيح، وتوسيع نطاقه ليشمل أكثر من مليون ملف يوميًا
في جوهرها، تمثل CDS مشكلة تتمثل في تجميع العناصر المناسبة لتشكيل نظام يلتزم بأشد اللوائح صرامةً، ويشمل جميع أنواع الملفات، وعلى النطاق الذي تتطلبه العمليات الدفاعية الفعلية.
البيئة قاسية: أعداء ذوو خبرة عالية ومتحمسون للغاية، وعدم التسامح مطلقًا مع أي ثغرات في الامتثال، وعدم وجود أي هامش للخطأ.
بالنسبة لعملائنا، فإن تطبيق نظام CDS على نطاق واسع هو مسألة تم حلها بالفعل. فقد عملنا معًا على بناء بنية معتمدة وقابلة للتوسع، قادرة على معالجة ما يزيد عن مليون ملف يوميًا.
وإذا بدا الأمر بسيطًا، فذلك فقط لأن OPSWAT على أمن الملفات منذ أكثر من عشرين عامًا، وذلك في أكثر البيئات صعوبةً التي تضمها البنية التحتية الحيوية.
سواء كانت شركتك تواجه تحديًا مشابهًا يتخطى نطاق المجال الواحد، أو مشكلة أكثر عمومية تتعلق بأمن ملفات البنية التحتية الحيوية، OPSWAT الخبرة اللازمة لمساعدتك؛ فلنتحدث.
