المخاطر الخفية الكامنة في توزيع الملفات في بيئات تكنولوجيا التشغيل (OT)

في معظم بيئات تكنولوجيا التشغيل (OT)، يتبع إدخال ملف إلى نظام حيوي تسلسلاً محدداً من الخطوات. تبدأ العملية بوصول مورد يحمل برامج ثابتة، أو مقاول يجلب تصحيحاً برمجياً، أو فريق صيانة يقوم بتحديثات التهيئة. تخضع الملفات للفحص والموافقة ثم يتم تسليمها. ومع ذلك، في مرحلة ما بين هذه الإجراءات ولحظة وصول الملف إلى وحدة التحكم المنطقية القابلة للبرمجة (PLC) أو واجهة التفاعل بين الإنسان والآلة (HMI)، تفقد فرق الأمن تتبعها تماماً.

تُستخدم العديد من الأساليب لمواجهة هذا التحدي. فبوابات الامتثال ( حلول ) القائمة على الشبكة تتولى نقل الملفات بين أنظمة تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT)، بينما تقوم سير العمل القائمة على الأكشاك بفحص الوسائط القابلة للإزالة عند نقطة الدخول. لكن جزءًا واحدًا من المشكلة يظل دون حل بشكل مستمر، وهو ما يحدث للملف بعد التحقق منه، أثناء نقله إلى النظام الحيوي.

تطبق معظم مشغلي شبكات التشغيل (OT) إجراءات فحص مدمجة ومتينة. وعادةً ما يتم فحص الوسائط القابلة للإزالة والأجهزة المؤقتة قبل دخولها إلى بيئة شبكات التشغيل المعزولة، ويتم تسجيل الموافقات. هذه الضوابط ضرورية، لكنها تعاني من قيد مشترك، وهو أنها تخلق لحظة ثقة واحدة فقط.

لم تُصمم أنظمة OT القديمة للتحقق من محتوى ما يصل إليها. وعادةً ما تكون وحدات التحكم المنطقية القابلة للبرمجة (PLC) وواجهات المستخدم (HMI) ومحطات العمل الهندسية القديمة غير قادرة على تشغيل وكلاء EDR (Endpoint Detection and Response) أو التحقق من مطابقة الملفات الواردة للموافقات الأصلية. وعند توصيل جهاز ما، تصبح الملفات متاحة بشكل افتراضي.

تجعل هذه القيود أمن كل عملية توزيع للملفات في نظام حيوي مرهونًا بمدى التزام كل مشغل بخطوات التحقق اليدوية. والاعتماد على التزام كل مشغل باتباع كل خطوة في كل موقع هو افتراض إجرائي، وليس إجراءً أمنيًا.

ينبغي أن يتحول السؤال الآن من «هل كان هذا الملف خالياً من الفيروسات عند فحصه؟» إلى «هل يمكننا التأكد من أنه لا يزال هو نفسه عند نشره في النظام الحيوي؟»

يُعد التأكد من أن الملف لم يتغير منذ مرحلة الموافقة وحتى مرحلة النشر أمرًا ضروريًا في القطاعات الخاضعة للتنظيم. وبمجرد اجتياز الملف لنقطة الفحص، يجب أن تكون هناك آلية للتأكد مما إذا كان قد طرأت عليه أي تغييرات أم لا.

في بيئات التكنولوجيا التشغيلية (OT)، لا تزال المشكلة دون حل، حيث تفتقر غالبية سير العمل الحالي إلى آلية للكشف عن التعديلات التي تطرأ بعد عملية التحقق. فإذا تم تعديل ملف ما بعد التحقق، سواء بسبب خطأ أو تلاعب متعمد، فإن النظام المستهدف في بيئة التكنولوجيا التشغيلية (OT) لا يستطيع الكشف عن ذلك. ويظل سجل الفحص ساري المفعول، كما تظل الموافقة مسجلة. يبدو الملف الذي تم التحقق من سلامته قبل ثلاثة أيام وتم تعديله منذ ذلك الحين مطابقًا تمامًا للملف الذي اعتُبر آمنًا قبل ثلاثة أيام ولم يتم تعديله. ولا يملك المشغل الذي يقوم بتوزيعه أي وسيلة موثوقة للتمييز بينهما.

لا يقتصر التحقق على MetaDefender Kiosk . فإذا تم تعديل ملف تم التحقق منه بعد الفحص وقبل النشر، يتم حظره وإخفاؤه تلقائيًا. وفي هذه الحالة، يجب أن يجتاز هذا الملف عملية التحقق مرة أخرى قبل أن يصبح متاحًا.

تضمن هذه الآلية سلامة الملفات، وبالتالي لا يتعين على المشغل القيام بذلك يدويًّا. وهذا يغير نموذج الأمان من «الفحص مرة واحدة ثم التوزيع» إلى «التحقق المستمر حتى النشر».