يُعد استبدال جدار الحماية الصناعي الذي انتهى عمره الافتراضي قرارًا يُفضل اتخاذه بناءً على نموذج النشر، وتغطية البروتوكولات، وطريقة إنشاء السياسات، و الاعتمادات ، وشروط الترخيص، وليس بناءً على اسم العلامة التجارية وحده. فهذه العوامل الخمسة هي التي تحدد ما إذا كان الاستبدال سيحافظ على بنية الشبكة الموجودة بالفعل، ويحمي الأجهزة الصناعية المحددة قيد التشغيل، ويتوافق مع متطلبات الامتثال والميزانية الخاصة بالبيئة. ويُعد الجهاز البديل الذي يقترحه المورد نقطة انطلاق معقولة للبحث، ولكنه لا يُعد بديلاً عن مراجعة هذه القائمة المرجعية.
الماخذ الرئيسية
- يحدد نموذج النشر حجم الشبكة التي يتعين عليك إعادة تصميمها. فجدار الحماية الشفاف المدمج الذي لا يحتوي على عنوان IP يحافظ على نظام العنونة الحالي؛ أما جدار الحماية الموجه فيغيره.
- يجب أن يتوافق دعم البروتوكولات مع بيئتك، وليس مع القائمة الرئيسية الخاصة بالمورد. فبعض الموردين يقصرون الوصول إلى مجموعات بروتوكولات معينة على مستويات ترخيص منفصلة ومتنافية، لذا تأكد بالضبط من رمز المنتج (SKU) الذي يتم تقديم عرض السعر بشأنه.
- إن الطريقة التي تُوضع بها السياسات لا تقل أهمية عن ما يحجبه جدار الحماية. فجدار الحماية القادر على مراقبة حركة المرور في الوقت الفعلي ووضع أساس سياسي باستخدام التعلم الآلي، يتجنب نمط الفشل الشائع المتمثل في كتابة القواعد استنادًا إلى مخطط شبكة قديم.
- الاعتمادات تختلف باختلاف الطراز المحدد، وليس فقط حسب المورد. فالمعايير الرائدة الخاصة بالمورد الاعتمادات ، مثل المعيار IEC 61850-3 الخاص بالمحطات الفرعية، لا تنطبق تلقائيًا على كل طراز من الأجهزة في مجموعة منتجات ذلك المورد.
- تعد عبارات «يدعم الامتثال» و«حاصل على شهادة» ادعاءين مختلفين. فمعظم جدران الحماية الصناعية ليست معتمدة بشكل مستقل كأجهزة بموجب أطر عمل مثل IEC 62443 أو NERC CIP؛ بل إنها تدعم عمليات التقسيم وتسجيل البيانات التي تتطلبها تلك الأطر. لذا، يجب التعامل مع أي ادعاء بخصوص حصول الجهاز على شهادة لأي من هذين الإطارين على أنه علامة تحذير تستدعي التحقق منها مباشرةً.
ابدأ بنموذج النشر، لا بالاسم التجاري
يتم نشر جدار الحماية الصناعي بإحدى طريقتين، ويؤثر الاختيار على حجم التغييرات التي يتعين إجراؤها على الشبكة الحالية. حيث يتم وضع جهاز شفاف مدمج في مسار حركة المرور دون أن يكون له عنوان IP خاص به، مما يحافظ على نظام العنونة والتوجيه المعمول به بالفعل. أما الجهاز الموجه فيمتلك عنوان IP خاصًا به ويشارك في طبقة الشبكة مباشرةً، وهو ما قد يضيف قدرات إضافية ولكنه يتطلب أيضًا إجراء أعمال إعادة تصميم.
لا يُعتبر أي من النموذجين أفضل بشكل عام. فالنشر الشفاف يقلل من أثر عملية الترحيل إلى أدنى حد، وهو ما يكتسب أهمية قصوى عند استبدال جدار حماية ظل قيد الاستخدام لسنوات، مثل جهاز «Tofino Xenon» من شركة «Belden». أما النشر عبر التوجيه فيمكن أن يوفر مرونة أكبر للبيئات الجديدة التي يتم فيها تصميم الشبكة حول جدار الحماية، وليس العكس.
تكييف بروتوكول المطابقة مع بيئتك الفعلية
إن الفحص العميق للحزم الخاصة بالبروتوكولات الصناعية، مثل Modbus وDNP3 وEtherNet/IP وIEC 61850، هو ما يميز جدار الحماية الصناعي عن جدار الحماية الشبكي العام المستخدم في شبكة التكنولوجيا التشغيلية (OT). والسؤال المهم هنا ليس عدد البروتوكولات التي يذكرها المورد، بل ما إذا كانت البروتوكولات المحددة التي تعمل في البيئة مشمولة في وحدة التخزين (SKU) التي يتم تقديم عرض السعر لها.
- اطلب قائمة البروتوكولات حسب رمز SKU، وليس حسب فئة المنتج. حيث يقوم بعض الموردين بترخيص فئات البروتوكولات — مثل مجموعة البروتوكولات ذات الأغراض العامة مقابل مجموعة البروتوكولات الخاصة بمورد معين، مثل بروتوكولات GE — كخيارات منفصلة ومتنافية يتم فرضها في البرامج الثابتة.
- تأكد مما إذا كان الفحص يشمل الأنفاق المشفرة. إذا كانت البيئة تستخدم بروتوكول IPsec أو OpenVPN للوصول إلى الموردين أو للاتصال بين مواقع متعددة، فاسأل بشكل محدد عما إذا كان فحص البروتوكول ينطبق داخل تلك الأنفاق أم يقتصر على حركة المرور غير المشفرة فقط. احرص على الحصول على تأكيد كتابي بهذا الشأن بدلاً من الافتراض بناءً على قائمة الميزات.
تقييم كيفية وضع سياسة الأمن وصيانتها
السبب الأكثر شيوعًا الذي يجعل جدران الحماية الصناعية تظل في وضع «المراقبة فقط» إلى أجل غير مسمى هو عدم وجود صورة واضحة ومحدثة لدى أي شخص عن شكل حركة المرور المشروعة. وهناك نهجان يعالجان هذه المشكلة بطريقتين مختلفتين.
- يتطلب إعداد السياسات يدويًّا أن يقوم شخص ما بكتابة قواعد جدار الحماية استنادًا إلى مخطط شبكي، وهو مخطط يكون دقيقًا في يوم كتابته، لكنه يبتعد عن الواقع بعد ذلك.
- تقوم أوضاع «خط الأساس» التعلمية أو السلوكية بمراقبة حركة المرور الحية خلال فترة زمنية محددة، وتضع مسودة سياسة استنادًا إلى ما هو قيد التشغيل حاليًا، ثم تضع علامة على أي انحرافات عن خط الأساس هذا في المستقبل. وهذا يقصر المسافة بين التثبيت وبدء التنفيذ الفعلي.
تأكد من ملاءمة موقع الاعتمادات لقطاعك ونموذجك المحدد
الاعتمادات يتم الحصول على هذه الشهادات لكل طراز من الأجهزة على حدة، ولا يتم توريثها عبر مجموعة منتجات المورد بأكملها. فقد يحمل الطراز الأعلى في فئة منتجات المورد شهادة معينة، مثل IEC 61850-3 أو IEEE 1613 المخصصة لبيئات المحطات الفرعية وشركات الكهرباء، في حين لا يحملها طراز أصغر حجمًا أو أقل عددًا من المنافذ ضمن نفس العائلة. لذا، يجب دائمًا مراجعة ورقة البيانات الخاصة بالطراز المحدد قيد الدراسة.
عمودي / المتطلبات | شهادة للتأكيد | ما أهمية ذلك |
محطات التحويل الكهربائية | IEC 61850-3، IEEE 1613 | ينظم التوافق الكهرومغناطيسي والتحمل البيئي لمعدات المحطات الفرعية |
المواقع الخطرة أو المصنفة | C1D2 | مطلوب للاستخدام في البيئات التي تنطوي على مخاطر الغازات القابلة للاشتعال أو الغبار |
الأجهزة العامة الاعتمادات | CE، FCC | التوقعات الأساسية للموثوقية في البيئات الصناعية غير الخاضعة للرقابة |
Industrial الأمن السيبراني | IEC 62443-4-2 (SL2، SL3) | يقوم بالتحقق بشكل مستقل من القدرات الأمنية لجدار الحماية وعملية التطوير الآمنة التي يتبعها المورد، بدلاً من الاعتماد على الإقرار الذاتي |
عبارة «يدعم الامتثال» تختلف عن عبارة «معتمد»
تنظم الأطر مثل IEC 62443 وNERC CIP البرامج التنظيمية وبنية الأنظمة، وليس جهازًا واحدًا بمعزل عن غيره؛ لذا فإن معظم جدران الحماية الصناعية ليست معتمدة بشكل مستقل بموجب أي من هذين الإطارين كمنتج قائم بذاته. ويمكن لجدار الحماية أن يدعم التقسيم، والتحكم في الوصول، وتسجيل التدقيق التي تتطلبها هذه الأطر دون أن يكون هو نفسه «معتمدًا وفقًا لمعيار IEC 62443» أو «معتمدًا وفقًا لمعيار NERC CIP». إذا ادعى أحد الموردين حصول الجهاز نفسه على تلك الشهادة المحددة، فاسأل عن الجهة التي أصدرتها وعن نطاقها.
فهم نموذج الترخيص والملكية
Industrial تُباع جدران الحماية في إطار هياكل ترخيص متعددة: الأجهزة ذات الترخيص الدائم (تكلفة الأجهزة تُدفع مرة واحدة)، وتجديدات الاشتراكات (رسوم متكررة)، والترخيص القائم على الميزات (إضافات البروتوكولات أو القدرات)، والترخيص القائم على السعة (مستويات عرض النطاق الترددي)، والترخيص القائم على البروتوكولات (الترخيص لكل بروتوكول على حدة)، وترخيص الإدارة المركزية (منصات الرؤية متعددة المواقع). يؤثر كل نموذج على التكلفة الإجمالية للملكية بشكل مختلف على مدار العمر التشغيلي للجهاز. ويؤدي التحول من الترخيص الدائم إلى الاشتراك، أو إضافة طبقات من الترخيص القائم على الميزات أو السعة أو الإدارة، إلى التزامات مالية مستمرة يستحق فهمها بوضوح أثناء التقييم بدلاً من اكتشافها أثناء التنفيذ أو التجديد.
خطة للإدارة المركزية عبر مواقع متعددة
إن أي حل بديل يتطلب تسجيل الدخول إلى كل جهاز على حدة لا يمكن توسيع نطاقه ليتجاوز عددًا قليلاً من المواقع. أما الإدارة المركزية، سواء كانت مستضافة محليًّا أو في السحابة، فيجب أن تكون قادرة على توزيع السياسات، وجمع بيانات الحالة، ودعم إعداد التقارير عبر كل وحدة تم نشرها من مكان واحد.
اطلب إجراء تجربة محدودة النطاق قبل الالتزام على نطاق العقار بأكمله
إن تنفيذ مشروع تجريبي في منطقة واحدة، يتم تشغيله في وضع المراقبة قبل بدء التطبيق الفعلي، مع تحديد معايير نجاح متفق عليها مسبقًا، يقلل من مخاطر أن يتسبب تغيير في البنية التحتية في حدوث توقف غير مخطط له. أما الاستبدال على نطاق المنشأة بأكملها فهو موضوع نقاش ثانٍ، وليس الأول.
قائمة مراجعة لتقييم قطع الغيار
- نموذج النشر: شفاف/مضمن أو موجه، وأيهما يحافظ على بنية الشبكة الحالية لديك
- نطاق البروتوكول: تم التأكيد عليه وفقًا لبيئتك الفعلية ورمز المنتج (SKU) المحدد الوارد في عرض الأسعار، وليس وفقًا لقائمة عامة لفئة المنتجات
- طريقة وضع السياسات: صياغة القواعد يدويًّا أو استخدام خط أساس تعليمي/سلوكي
- الاعتمادات: تم التحقق من ذلك بالنسبة للطراز المحدد قيد الدراسة، ولم يتم افتراضه استنادًا إلى المنتج الرئيسي للشركة المصنعة
- الصياغة المتعلقة بالامتثال: «يدعم» متطلبات إطار العمل مقابل ادعاء غير مُثبت بشأن اعتماد الجهاز
- نموذج الترخيص: جهاز بدعم دائم أو اشتراك، والتكلفة الإجمالية للملكية التي ينطوي عليها كل منهما
- الإدارة المركزية: توزيع السياسات وإعداد التقارير عبر جميع المواقع من مكان واحد
- نطاق التجربة التجريبية: تجربة إثبات المفهوم في منطقة واحدة وبوضع «وضع المراقبة»، مع تحديد معايير نجاح متفق عليها قبل اتخاذ أي قرار على مستوى المؤسسة بأكملها
كيف تنطبق MetaDefender Industrial Firewall على قائمة المراجعة هذه
MetaDefender Industrial Firewall™ هو جدار الحماية الصناعي من شركة « OPSWAT » المخصص لشبكات التكنولوجيا التشغيلية (OT)، وقد تم تصميمه خصيصًا للتكنولوجيا التشغيلية والأنظمة السيبرانية-الفيزيائية، وليس مجرد تعديل لمنتج تكنولوجيا المعلومات. بالرجوع إلى قائمة المراجعة أعلاه: يدعم الجهاز كلاً من النشر الشفاف المباشر (inline) والنشر عبر التوجيه (routed)؛ ويقوم «وضع التعلم» (Learning Mode) الخاص به بصياغة سياسة الأمان استنادًا إلى حركة المرور المراقبة بدلاً من الحاجة إلى مجموعة قواعد يدوية؛ وهو متوفر في أجهزة ذات أربعة منافذ وثمانية منافذ، حيث يدعم الطراز ذو الثمانية منافذ معايير IEC 61850-3 و IEEE 1613 للاستخدام في المحطات الفرعية ومرافق الكهرباء؛ كما يتكامل مع My OPSWAT™ Central Management لإدارة السياسات وإعداد التقارير عبر مواقع متعددة. وهي تدعم تقسيم الشبكة بما يتوافق مع متطلبات IEC 62443 وNERC CIP، بما يتسق مع التمييز المذكور أعلاه بشأن الامتثال: أي أن هذا ادعاء بالدعم، وليس ادعاءً بشهادة الجهاز. كما أنها حاصلة على شهادة C1D2 للبيئات القاسية.
قم بإجراء تقييم الاستبدال الخاص بك استنادًا إلى قائمة المراجعة هذه، ثم اطلع على مدى توافق MetaDefender وIndustrial وFirewall معها في بيئتك المحددة.
الأسئلة المتداولة
ما الفرق بين النشر الشفاف للنظام الحاجز الصناعي والنشر المُوجَّه؟
جدار الحماية الشفاف المدمج هو في الأساس جسر من الطبقة الثانية لا يمتلك عنوان IP ويقع مباشرة في مسار حركة المرور، مما يحافظ على نظام العنونة الحالي للشبكة. أما جدار الحماية الموجه فيعمل كجهاز من الطبقة الثالثة؛ فهو يمتلك عنوان IP خاصًا به ويشارك في طبقة الشبكة، مما يضيف قدرات إضافية ولكنه يتطلب إعادة تصميم أكبر للشبكة من أجل نشره.
هل يجب أن يكون جدار الحماية الصناعي معتمدًا وفقًا لمعيار IEC 62443 أو NERC CIP؟
معظم جدران الحماية الصناعية ليست معتمدة بشكل مستقل بموجب أي من هذين الإطارين كجهاز قائم بذاته، لأن كلا الإطارين ينظمان البرامج المؤسسية وبنية النظام بدلاً من منتج واحد. ابحث عن جدار حماية يدعم متطلبات التقسيم والتدقيق التي ينص عليها هذان الإطاران، وتعامل مع أي ادعاء غير مؤهل بشأن اعتماد الجهاز على أنه أمر يجب التحقق منه مباشرةً.
لماذا يُعدّ الأسلوب الذي يتبعه جدار الحماية الصناعي في إنشاء سياسته الأمنية أمرًا مهمًّا؟
إن دقة جدار الحماية الذي يتطلب كتابة القواعد يدويًّا استنادًا إلى مخطط شبكي لا تتجاوز دقة ذلك المخطط نفسه، الذي غالبًا ما يصبح قديمًا. أما جدار الحماية القادر على مراقبة حركة المرور في الوقت الفعلي وصياغة أساس سياسة الأمان، فيقصر المسافة بين التثبيت والتطبيق الفعلي، ويعكس الوضع الفعلي للشبكة.
لماذا تختلف ميزات « الاعتمادات » باختلاف الطرازات من نفس المورد؟
الاعتمادات فمثل معايير IEC 61850-3 أو IEEE 1613 يتم الحصول عليها ونشرها لكل طراز من الأجهزة على حدة، ولا يتم توريثها عبر مجموعة المنتجات بأكملها. وقد يحمل الطراز الأعلى مستوى لدى أحد الموردين شهادة لا يحملها طراز أصغر حجمًا أو أقل عددًا من المنافذ ضمن نفس المجموعة؛ لذا يجب التحقق من الطراز المحدد قيد الدراسة بالرجوع إلى ورقة البيانات الخاصة به.
ما هي المدة التي ينبغي أن يستمر فيها النشر التجريبي قبل البدء في النشر الكامل؟
لفترة كافية لمراقبة مجموعة تمثيلية من العمليات العادية، مع تشغيل النظام في «وضع المراقبة» وفقًا لمعايير نجاح محددة ومتفق عليها مسبقًا، على أن يقتصر ذلك على منطقة واحدة. والهدف من ذلك هو التأكد من صحة خط الأساس للسياسة قبل تطبيقها، وليس الوصول إلى عدد محدد من الأيام.
هل يؤثر نموذج الترخيص على التكلفة الإجمالية للملكية؟
نعم. الجهاز الذي يُشترى لمرة واحدة يمثل تكلفة مادية تُدفع مرة واحدة مع إمكانية تجديد الدعم بشكل اختياري، في حين أن نموذج الاشتراك يدمج الترخيص في دفعات متكررة. ولا يعتبر أي منهما أرخص بطبيعته؛ فالمقارنة الصحيحة تعتمد على العمر التشغيلي المتوقع للجهاز وكيفية تخصيص المؤسسة لميزانيتها بين النفقات الرأسمالية والنفقات المتكررة.
