لماذا يُعد الوصول Secure أمرًا صعبًا في بيئات تكنولوجيا التشغيل
لم يكن الخطر الأكبر هو الوصول عن بُعد بحد ذاته، بل كان عدم وجود الرقابة والرؤية بمجرد دخول المستخدمين إلى شبكة التكنولوجيا التشغيلية
يعد دعم الوصول عن بُعد في بيئة تكنولوجيا التشغيل (OT) أمرًا معقدًا بطبيعته. فهناك حاجة إلى تحقيق التوازن بين وقت التشغيل والأمان والسرعة، مع حماية أنظمة التحكم القديمة التي لم تُصمم أبدًا لتتوافق مع وسائل الاتصال الحديثة. وكان المهندسون الداخليون وموردو الخدمات الخارجيون بحاجة إلى الوصول المتكرر لإجراء عمليات التهيئة والصيانة والاستجابة للحوادث، لكن كل اتصال ببيئة تكنولوجيا التشغيل كان يزيد من نطاق التعرض للهجمات.
5 أسباب أدوات شبكات VPN أدوات الوصول عن بُعد العامة في شبكات تكنولوجيا التشغيل
كانت المؤسسة تعتمد على شبكات VPN قديمة أدوات وصول عن بُعد عامة أدوات توسيع نطاق الثقة على مستوى الشبكة ليشمل مناطق التشغيل (OT) الحساسة. وبمجرد اتصال المستخدمين، غالبًا ما كان يتمتعون بقدرة رؤية ووصول أوسع نطاقًا مما هو مطلوب، مما أدى إلى ظهور مخاطر لم يتمكن فريق الأمن من احتوائها أو مراقبتها بسهولة.
5 تحديات رئيسية
- الوصول المفرط: أتاح الاتصال عبر شبكة VPN وصولاً واسعاً إلى الشبكة بدلاً من قصر وصول المستخدمين على أصول أو شاشات معينة تابعة لنظام التشغيل التشغيلي (OT)
- رؤية محدودة لجلسات العمل: لم تتمكن فرق الأمن من معرفة ما يفعله المستخدمون أثناء جلسات RDP النشطة أو التدخل في الوقت الفعلي
- خطر الانتقال الجانبي: بمجرد دخول الشبكة، قد يتمكن المستخدمون من التنقل عبر شرائح شبكات تكنولوجيا التشغيل (OT)، مما يزيد من نطاق التأثير
- فتح منافذ جدار الحماية: أدت متطلبات الوصول الوارد إلى ظهور نقاط ضعف مستمرة في البنية التحتية الحيوية
- الضغوط المتعلقة بالتدقيق والامتثال: كان إثبات هوية من قام بالوصول إلى أي نظام، ومدة هذا الوصول، والإجراءات التي تم اتخاذها، يتطلب جهدًا يدويًا وسجلات غير مترابطة
التأثير على الأعمال والعمليات
- تزايد المخاطر السيبرانية التي تهدد بيئات SCADA وDCS وHMI وPLC
- تباطؤ الاستجابة خلال فترات الصيانة والحوادث بسبب الحلول البديلة للوصول
- تزايد الضغوط على رئيس قسم أمن المعلومات لإثبات وجود ضوابط أكثر صرامة واستعداداً للتدقيق
- تراجع الثقة في توافق الوصول عن بُعد مع مبادئ "أقل الامتيازات"
ما الذي يجب أن يوفره حل الوصول عن بُعد Secure لنظم Secure غيل Secure ؟
كنا بحاجة إلى الوصول عبر بروتوكول RDP دون التعرض للمخاطر التي تنطوي عليها بكشف شبكة OT.
كانت المؤسسة بحاجة إلى حل مخصص للوصول عن بُعد إلى شبكات التشغيل (OT) يفرض مبدأ "أدنى مستوى من الامتيازات"، ويقضي على المخاطر الناجمة عن الدخول إلى الشبكة، ويوفر إمكانية تدقيق كاملة دون إبطاء العمليات. وقد اتفق فريقا الأمن وشبكات التشغيل (OT) منذ البداية على مبدأ واضح: يجب أن يدعم الوصول عن بُعد الأعمال الهندسية اليومية دون منح ثقة مطلقة لشبكة التشغيل (OT) نفسها. وكان على أي حل أن يقلل من المخاطر السيبرانية بشكل افتراضي، مع الحفاظ في الوقت نفسه على طابعه العملي للمهندسين والمشغلين وموردي الخدمات الخارجيين الذين يعملون عبر مواقع متعددة.
Core
من أجل استبدال الوصول القائم على شبكة VPN بأمان، حددت الأداة المعايير التالية:
- التحكم الدقيق في بروتوكول RDP: يتيح للمهندسين الوصول إلى واجهات المستخدم البشرية (HMI) أدوات التشخيص التي تعمل بنظام Windows أدوات منحهم إمكانية الرؤية على مستوى الشبكة أو امتيازات غير مقيدة
- تطبيق مبدأ "أدنى مستوى من الامتيازات": يجب ألا يرى المستخدمون ويتفاعلوا إلا مع الأصول التي تمت الموافقة عليها صراحةً، دون أي إمكانية للتنقل الأفقي
- إمكانية التتبع القوية: يجب تسجيل كل جلسة، وتسجيلها إذا لزم الأمر، وربطها بمستخدم معين، وأصل معين، وفترة زمنية محددة
- عدم تعريض جدار الحماية للخطر من الخارج: يجب أن يعمل الوصول عن بُعد دون فتح منافذ في شبكات التكنولوجيا التشغيلية
- التوافق التشغيلي مع تقنية OT: يجب أن يدعم الحل الأنظمة القديمة، ويقلل من التغييرات في البنية إلى أدنى حد، ويتجنب فترات التعطل أثناء النشر
ما أرادوا تجنبه
شكلت التجارب السابقة ما لم ترغب الشركة في تكراره:
- أدوات الوصول عن بُعد الخاصة بتكنولوجيا المعلومات العامة أدوات في مجال تكنولوجيا التشغيل
- وصول على مستوى الشبكة أدى إلى توسيع نطاق التأثير
- التحضير اليدوي للتدقيق باستخدام السجلات المجزأة
- الإجراءات الأمنية التي أدت إلى إبطاء عمليات الصيانة أو الاستجابة للحوادث
بالنسبة للإدارة، كان نقطة التحول هي إدراك أن الوصول عن بُعد في حد ذاته لم يكن هو المشكلة. بل كانت المشكلة تكمن في كيفية منح حق الوصول وتطبيقه ومراقبته.
طرق Secure الوصول Secure إلى أنظمة التكنولوجيا التشغيلية دون تعريض الشبكة للخطر
كان نقطة التحول هي الانتقال من الوصول إلى الشبكة إلى جلسات خاضعة للرقابة دون تعطيل العمليات.
نجحت المؤسسة في الحد من مخاطر الوصول عن بُعد إلى شبكات التكنولوجيا التشغيلية (OT) وتحسين التحكم التشغيلي من خلال التحول من الوصول على مستوى الشبكة إلى اتصال RDP قائم على الجلسات ومُطبق وفقًا للسياسات. وأصبح الوصول عن بُعد إلى بيئات التكنولوجيا التشغيلية (OT) خاضعًا للرقابة وقابلًا للتدقيق ومعزولًا بحكم تصميمه. وأصبح بإمكان المهندسين والموردين الاتصال بالأنظمة المحددة التي يحتاجون إليها، في الوقت الذي يحتاجون إليه، دون تعريض شبكة التكنولوجيا التشغيلية (OT) الأوسع نطاقًا للخطر أو فتح منافذ جدار الحماية الواردة.
كيف تمكنوا من تحقيق ذلك
قامت الشركة بتطبيق MetaDefender Access™ كبوابة وصول آمنة عن بُعد مصممة خصيصًا لبيئات تكنولوجيا التشغيل (OT). وبدلاً من توسيع نطاق الوصول عبر الشبكة الافتراضية الخاصة (VPN) ليشمل شبكات التحكم، فرضت المنصة الوصول على مستوى الجلسة مع توفير رؤية شاملة وضوابط سياسات صارمة مصممة خصيصًا لتناسب الأدوار التشغيلية.
العناصر الخمسة الرئيسية للحل
- وصول RDP محدد بدقة إلى أنظمة التكنولوجيا التشغيلية (OT)
تم منح المهندسين حق الوصول عبر RDP فقط إلى واجهات المستخدم البشرية (HMIs) المعتمدة التي تعمل بنظام Windows، أو محطات العمل الهندسية، أو أنظمة التشخيص. وحددت السياسات الإجراءات المسموح بها خلال كل جلسة، مما قلل من مخاطر سوء الاستخدام أو التغييرات العرضية. - تطبيق مبدأ "نطاق الرؤية" و"أقل الامتيازات"
لا يمكن للمستخدمين سوى رؤية الأصول المخصصة لهم صراحةً والتفاعل معها. ولا توجد أي إمكانية لتصفح شبكة العمليات التشغيلية (OT) أو التنقل أفقياً بين الأنظمة. - اتصال آمن للاتصالات الصادرة فقط
قامت بوابة الوصول إلى أنظمة التشغيل (OT) بإنشاء اتصالات TLS للاتصالات الصادرة فقط، مما ألغى الحاجة إلى فتح منافذ الوارد في جدار الحماية وقلل من نقاط الضعف التي يمكن استغلالها في البنية التحتية الحيوية. - مراقبة الجلسات وتسجيلها وتوثيقها
تم توثيق جميع الجلسات عن بُعد، وتسجيلها عند الضرورة. ويمكن لفرق تكنولوجيا التشغيل (OT) والأمن الإشراف على الجلسات مباشرةً أو مراجعة الأنشطة لاحقًا لدعم عمليات التدقيق والتحقيقات. - نقلSecure إلى بيئات التكنولوجيا التشغيلية (OT)
عندما كانت هناك حاجة إلى ملفات التكوين أو البرامج النصية أو التصحيحات، تم دمج عمليات نقل الملفات مع نظام نقل الملفات المُدار وفحص البرامج الضارة متعدد المحركات لمنع دخول المحتوى الضار إلى أنظمة التكنولوجيا التشغيلية (OT).
لماذا نجح هذا النهج
بدلاً من مطالبة فرق العمليات بالتغيير في أسلوب عملها، تكيفت الحلول مع الواقع التشغيلي مع تطبيق الضوابط الأمنية بشفافية في الخلفية. ولم يعد الوصول يعتمد على الثقة في الشبكة، بل على المستخدمين المصرح لهم بناءً على أدوار وسياسات محددة.
من الوصول المحفوف بالمخاطر إلى التحكم القابل للقياس
تحول الوصول عن بُعد من مخاطرة لا مفر منها إلى قدرة تشغيلية يمكن التحكم فيها
استطاعت المؤسسة تحقيق سيطرة تشغيلية فعلية على الوصول عن بُعد إلى أنظمة التكنولوجيا التشغيلية (OT)، مما أدى إلى تقليل المخاطر مع جعل عمليات التدقيق والصيانة والاستجابة للحوادث أسرع وأكثر قابلية للتنبؤ. وكانت التحسينات التشغيلية فورية وواضحة للعيان على مستوى فرق الأمن والتكنولوجيا التشغيلية والامتثال. ولم يعد الوصول عن بُعد نقطة عمياء، بل أصبح عملية خاضعة للرقابة وقابلة للتكرار.
التحسينات التشغيلية
- تقليل التعرض لوقت العمل الإضافي: تم إلغاء منافذ جدار الحماية الواردة من خلال أنفاق TLS المخصصة للاتصال الخارجي فقط، مما أدى إلى تقليص نطاق التعرض للهجمات الخارجية
- حوكمة وصول أكثر صرامة: لم يُسمح للمهندسين والموردين بالوصول إلا إلى الأنظمة المعتمدة، دون أي تنقل أفقي
- عمليات تدقيق أسرع: استُبدل جمع الأدلة يدويًا بسجلات الجلسات والتسجيلات
- تحسين الاستجابة للحوادث: يمكن لفرق العمل منح صلاحيات وصول محددة المدة بسرعة دون التخفيف من إجراءات الأمان
التأثير على الفرق
- اكتسبت فرق الأمن الثقة في أن الوصول عن بُعد يتوافق مع مبدأ "أقل الامتيازات" و"عدم الثقة" في تطبيق سياسات الوصول
- قضت فرق تكنولوجيا التشغيل وقتًا أقل في معالجة حالات الاستثناء المتعلقة بالوصول، ووقتًا أطول في صيانة الأنظمة
- أصبحت الإدارة أكثر ثقةً بأن مخاطر الوصول عن بُعد قد تمت السيطرة عليها دون التأثير على وقت التشغيل
قبل وبعد OT Access عن بُعد OT Access
قبل | بعد |
الوصول إلى الشبكة عبر شبكة افتراضية خاصة | الوصول عبر بروتوكول RDP القائم على الجلسة |
رؤية واسعة بمجرد الاتصال | الرؤية المباشرة للأصول المعتمدة فقط |
رؤية محدودة للأنشطة | تسجيل وتسجيل كامل للجلسة |
فتح منافذ جدار الحماية الواردة | اتصالات آمنة للاتصال الخارجي فقط |
التحضير اليدوي للتدقيق | سجلات الوصول جاهزة للتدقيق بشكل افتراضي |
توسيع Secure عبر بيئة تكنولوجيا التشغيل (OT) المتنامية
كيف يمكن لشركات المرافق العامة توسيع نطاق الوصول الآمن عن بُعد إلى شبكات التشغيل (OT) مع نمو عملياتها؟
وبفضل تطبيق نظام الوصول عن بُعد الخاضع للرقابة في نظام التشغيل (OT)، أصبحت المؤسسة في وضع يسمح لها بتوسيع نطاق الوصول الآمن عبر بروتوكول RDP ودمج سجلات جلسات RDP وتسجيلاتها في عمليات أمنية أوسع نطاقًا. ومع استمرار المؤسسة في تحديث عملياتها ورقمنتها، من المتوقع أن تزداد متطلبات الوصول عن بُعد، سواء من حيث الحجم أو النطاق. وبدلاً من إدخال حلول جديدة محدودة النطاق، تخطط المؤسسة للبناء على نفس الأساس الخاص بالتحكم في الوصول للحفاظ على الاتساق وتقليل التعقيد التشغيلي.
فرص التوسع قيد الدراسة
- توسيع نطاق تغطية بروتوكول RDP ليشمل أصول تكنولوجيا التشغيل (OT)
قم بتوسيع نطاق الوصول الآمن عبر بروتوكول RDP ليشمل أنظمة إضافية تعمل بنظام Windows، مثل خوادم السجلات التاريخية ومحطات العمل الهندسية ووحدات التحكم الطرفية، مع الحفاظ على نفس معايير "أقل الامتيازات" و"الرؤية المباشرة".
- تكامل أعمق بين العمليات الأمنية
ربط سجلات جلسات RDP وتسجيلاتها بمنصات SIEM وSOAR لتوفير سياق أكثر ثراءً أثناء التحقيقات واستجابة أسرع للحوادث.
- دعم المبادرات الرقمية المستقبلية
استخدم نفس إطار الوصول لتأمين الاتصال بمنصات التحليلات المستضافة على السحابة أو بوابات رقمنة تكنولوجيا التشغيل (OT)، مما يضمن اتساق السياسات مع تطور البنى التحتية.
سد الفجوة بين الوصول والضمان
إن الوصول الخاضع للرقابة، وليس الاتصال، هو ما يحمي العمليات الحيوية.
من خلال إعادة النظر في نهج الوصول عن بُعد إلى شبكات التشغيل (OT)، تمكنت المؤسسة من الحد من المخاطر السيبرانية، وتحسين جاهزيتها للتدقيق، وتمكين المهندسين من العمل بكفاءة دون المساس بالبنية التحتية الحيوية. وبفضل تطبيقOT Access MetaDefender OT Access انتقلت المؤسسة من نهج الثقة على مستوى الشبكة إلى جلسات RDP خاضعة للرقابة ومبنية على سياسات محددة.
أصبح الوصول عن بُعد محدداً ومخضعاً للتدقيق ومتوافقاً مع مبادئ "أقل الامتيازات"، دون أي عوائق تشغيلية. وكانت النتيجة نموذج وصول عن بُعد أكثر أماناً ويمكن التنبؤ به، مما ساهم في ضمان استمرارية الخدمة والامتثال للمعايير والمرونة التشغيلية على المدى الطويل.
النقاط الرئيسية
- لا يتطلب الوصول عن بُعد إلى نظام التشغيل التشغيلي (OT) زيادة المخاطر من أجل دعم العمليات
- يوفر التحكم القائم على الجلسات أمانًا أقوى من الثقة على مستوى الشبكة
- يتحسن الاستعداد للتدقيق عندما يتم تسجيل الوصول إليه وتنظيمه بشكل افتراضي
- تتميز حلول الوصول إلى تكنولوجيا التشغيل (OT) المصممة خصيصًا لهذا الغرض حلول أفضل حلول مقارنة أدوات تكنولوجيا المعلومات (IT) التي أعيد تخصيصها
إذا كنت تعمل على تأمين الوصول عن بُعد إلى أنظمة SCADA أو DCS أو HMI أو غيرها من أنظمة التكنولوجيا التشغيلية (OT)، وتواجه تحديات مماثلة تتعلق بالمخاطر والرؤية والامتثال، فتواصل مع أحد OPSWAT لتتعرف على كيفيةOT Access MetaDefender OT Access تحديث اتصالات التكنولوجيا التشغيلية (OT) لديك.
