الأمن السيبراني الصناعي: لماذا يخلق ربط مصنعك بالإنترنت فئة جديدة من المخاطر

يؤدي ربط أنظمة التحكم التشغيلي (OT) في المصنع بالإنترنت إلى تعريضها لمتجهات هجوم لم تُصمم أصلاً لمقاومتها. فأنظمة التقنية التشغيلية، بما فيها وحدات التحكم المنطقي القابلة للبرمجة (PLC) وأنظمة التحكم الإشرافي وجمع البيانات (SCADA) ومنصات التحكم الموزع (DCS)، بُنيت من أجل الموثوقية واستمرارية التشغيل، لا من أجل الأمان. ومعظمها يعمل بأنظمة تشغيل قديمة يتعذر تحديثها دون إيقاف الإنتاج، وتعمل على شبكات مسطحة بلا أي تجزئة. ويمكن لاختراق واحد أن ينتقل أفقياً من نظام تقنية المعلومات إلى أرضية المصنع خلال دقائق، فيوقف خطوط الإنتاج أو يتلف المعدات أو يتسبب في حوادث سلامة. يتناول هذا الدليل المخاطر المحددة لربط أنظمة التقنية التشغيلية، وشكل البنية الأمنية الأساسية المطلوبة، وما يجب على المصانع الفيتنامية معالجته قبل ربط أنظمتها التشغيلية بشبكات خارجية.

لماذا يُعد أمن التقنية التشغيلية مشكلة مختلفة عن أمن تقنية المعلومات

أمن تقنية المعلومات يحمي البيانات. أما أمن التقنية التشغيلية فيحمي العمليات الفيزيائية.

في بيئة تقنية المعلومات، يمكن إيقاف تشغيل نظام ما مؤقتاً لتحديثه، وإعادة تشغيله بعد أي حادث، واستعادته من نسخة احتياطية. أما في التقنية التشغيلية، فإن إيقاف وحدة PLC عن العمل يوقف خط الإنتاج بأكمله. وقد تتطلب إعادة تشغيل نظام SCADA إعادة تشغيل كاملة للإنتاج. فالتحمل تجاه فترات التوقف يكاد يكون معدوماً. لذلك لا تنطبق ممارسات أمن تقنية المعلومات المعتادة، مثل التحديثات المتكررة وبرامج نقاط النهاية وإعادة التشغيل الدوري، على بيئات التقنية التشغيلية بالشكل نفسه.

كما تتميز أنظمة التقنية التشغيلية بعمر تشغيلي طويل. فقد تعمل أرضية المصنع بوحدات PLC رُكّبت قبل خمسة عشر عاماً، على أنظمة تشغيل لم تتلقَّ تحديثات أمنية منذ عقد من الزمن. هذه الأنظمة لم تُصمم أصلاً لتكون متصلة بالإنترنت، بل قام نموذجها الأمني على افتراض العزل الفيزيائي الكامل. وهذا الافتراض لم يعد قائماً حين تحمل الشبكة نفسها حركة بيانات التحكم الإنتاجي إلى جانب تكامل أنظمة تخطيط الموارد المؤسسية (ERP)، أو المراقبة عن بُعد، أو تدفقات البيانات السحابية.

ما الذي يحدث عند تقارب شبكتي التقنية التشغيلية وتقنية المعلومات

تتطلب موجة اتصال الثورة الصناعية الرابعة، بما فيها مستشعرات إنترنت الأشياء الصناعي (IIoT) وتكامل أنظمة ERP والوصول عن بُعد للصيانة ومستودعات البيانات السحابية، تبادل البيانات بين شبكتي التقنية التشغيلية وتقنية المعلومات. هذا التقارب ضروري تشغيلياً، لكنه في الوقت نفسه يخلق سطح هجوم جديداً.

يكمن الخطر في الحركة الجانبية. فأي مهاجم يتمكن من الوصول إلى شبكة تقنية المعلومات عبر رسالة تصيّد احتيالي، أو بيانات اعتماد مورّد مخترقة، أو ثغرة في نظام متصل بالإنترنت، يمكنه الانتقال إلى شبكة التقنية التشغيلية إذا لم تكن الشبكتان مفصولتين بالشكل الصحيح. وبمجرد وصوله إلى شبكة التقنية التشغيلية، يصبح لديه إمكانية الوصول إلى أنظمة التحكم الإنتاجي.

تختلف عواقب هذا الاختراق جذرياً عن عواقب اختراق تقنية المعلومات. فهجوم برمجيات الفدية على نظام تقنية معلومات يقوم بتشفير الملفات، أما هجوم برمجيات الفدية على نظام تقنية تشغيلية فيوقف الإنتاج بالكامل. وإذا فهم المهاجم طبيعة العملية الإنتاجية، فبإمكانه إصدار أوامر تتلف المعدات أو تخلق مخاطر على السلامة. ويُقاس زمن التعافي حينها بالأيام أو الأسابيع، لا بالساعات.

تتكرر الحوادث الفعلية وفق هذا النمط نفسه. فهجوم خط أنابيب Colonial Pipeline عام 2021 بدأ ببيانات اعتماد VPN مخترقة. وهجوم برمجيات الفدية على شركة Nordex عام 2022 أوقف الإنتاج في واحدة من أكبر شركات تصنيع توربينات الرياح في أوروبا. وفي كلتا الحالتين، كانت نقطة الدخول نظام تقنية معلومات، بينما كان الأثر التشغيلي فيزيائياً بحتاً.

المخاطر المحددة لأنظمة التقنية التشغيلية في المصانع الفيتنامية

تواجه المصانع الفيتنامية التي تربط أنظمة التقنية التشغيلية بالشبكات لأول مرة مزيجاً خاصاً من المخاطر.

معدات قديمة يتعذر تحديثها: تعمل معظم أرضيات المصانع في القطاع الصناعي الفيتنامي بمزيج من المعدات ذات أعمار متفاوتة. فوحدات PLC ووحدات التحكم المصنّعة في العقد الأول ومطلع العقد الثاني من الألفية تعمل بأنظمة تشغيل لا تتوفر لها تحديثات أمنية. هذه الأنظمة لا يمكن تحديثها، بل يمكن فقط عزلها.

بنية شبكة مسطحة: بنت كثير من المصانع شبكات التقنية التشغيلية الخاصة بها من أجل الموثوقية، لا من أجل التجزئة. فمحطة عمل الهندسة التي تُبرمج وحدات PLC تقع على شريحة الشبكة نفسها التي يقع عليها نظام البريد الإلكتروني المؤسسي، دون أي جدار حماية يفصل بينهما.

وصول عن بُعد بلا ضوابط: يُعد الوصول عن بُعد للصيانة، الذي فُتح خلال جائحة كوفيد-19 وغالباً ما بقي دون تأمين، من أكثر نقاط دخول اختراقات التقنية التشغيلية شيوعاً. فكثير من المصانع لديها جلسات وصول عن بُعد نشطة دون مصادقة متعددة العوامل (MFA)، ودون تسجيل للجلسات، ودون تحديد زمني للوصول.

وصول أطراف ثالثة: غالباً ما يملك موردو المعدات ومكاملو الأنظمة ومقاولو الصيانة وصولاً عن بُعد دائماً إلى أنظمة التقنية التشغيلية. وكل واحد منهم يمثل نقطة دخول محتملة. والوصول الممنوح لمشروع محدد كثيراً ما يُترك مفتوحاً إلى أجل غير مسمى.

شكل البنية الأمنية الأساسية للتقنية التشغيلية

يُعد معيار ISA/IEC 62443 الإطار المرجعي للأمن السيبراني الصناعي. فهو يحدد مستويات الأمان حسب المنطقة (Zone) والقناة (Conduit). ولكل منطقة متطلب أمني محدد، ويمر التواصل بين المناطق عبر قناة تخضع لضوابط محددة.

من الناحية العملية، تتضمن البنية الأساسية لمصنع فيتنامي متصل بالشبكة ما يلي:

• تجزئة الشبكة: فصل شبكتي التقنية التشغيلية وتقنية المعلومات عبر جدار حماية أو منطقة مجردة (DMZ). كما تُجزَّأ الشبكات الفرعية للتقنية التشغيلية حسب الوظيفة، بحيث يكون التحكم الإنتاجي منفصلاً عن محطات عمل الهندسة، ومنفصلاً عن خوادم السجلّ التاريخي (historian). ولا تُسمح بأي حركة بيانات مباشرة بين تقنية المعلومات والتقنية التشغيلية دون فحص.
• مراقبة مخصصة للتقنية التشغيلية: أدوات أمن تقنية المعلومات لا تفهم بروتوكولات التقنية التشغيلية مثل Modbus وPROFINET وEtherNet/IP وDNP3. أما منصات مراقبة التقنية التشغيلية فترصد حركة البيانات بشكل سلبي دون تعطيل الإنتاج، وتكتشف الحالات الشاذة بناءً على سلوك العملية الإنتاجية.
• ضوابط الوصول عن بُعد: يمر كل وصول عن بُعد عبر خادم قفز (jump server) مزوّد بمصادقة متعددة العوامل (MFA)، مع تفعيل تسجيل الجلسات، ومنح وصول محدد زمنياً لكل جلسة بدلاً من بيانات اعتماد دائمة. كما تتم مراجعة وصول الموردين وإلغاؤه عند إغلاق المشاريع.
• جرد الأصول: جرد كامل لأصول التقنية التشغيلية يغطي كل وحدة PLC وواجهة تشغيل بشرية (HMI) ووحدة تحكم وجهاز شبكي. معظم المصانع لا تملك هذا الجرد أصلاً. ولا يمكنك حماية ما لا تراه.
• خطة استجابة للحوادث خاصة بالتقنية التشغيلية: من يُبلَّغ عند سلوك غير طبيعي لنظام إنتاجي؟ وما الإجراء المتبع لعزل شريحة مخترقة دون إيقاف الخط بأكمله؟ ومن يملك صلاحية إيقاف وحدة PLC عن العمل؟

ما الذي يجب على المصانع الفيتنامية فعله أولاً

قبل ربط أي نظام تقنية تشغيلية بشبكة خارجية، يجب إتمام ثلاث خطوات.

رسم خريطة الشبكة: تحديد كل جهاز وكل اتصال وكل نقطة تتقاطع فيها حالياً حركة بيانات التقنية التشغيلية وتقنية المعلومات. وتكتشف كثير من المصانع خلال هذه العملية اتصالات غير موثقة.

التجزئة قبل الربط: تركيب جدار حماية أو منطقة مجردة (DMZ) بين شبكتي تقنية المعلومات والتقنية التشغيلية قبل تفعيل أي اتصال بالثورة الصناعية الرابعة. فالبيانات يمكن أن تمر عبر المنطقة المجردة، أما الحركة المباشرة فلا يجوز أن تمر.

تدقيق الوصول عن بُعد: تحديد كل جلسة وصول عن بُعد نشطة إلى أنظمة التقنية التشغيلية، وإلغاء بيانات اعتماد الموردين الدائمة، وتطبيق المصادقة متعددة العوامل (MFA) على جميع مسارات الوصول المتبقية. هذه الخطوة وحدها تُزيل أكثر متجهات الدخول شيوعاً.

لا تتطلب هذه الخطوات الثلاث ميزانية أمنية كبيرة، بل تحتاج إلى وقت، ومخطط شبكة دقيق، وصلاحية لفرض ضوابط الوصول.

الأسئلة الشائعة

ما هي المخاطر السيبرانية لربط أنظمة التقنية التشغيلية في المصنع بالإنترنت؟

صُممت أنظمة التقنية التشغيلية من أجل العزل الفيزيائي، لا من أجل أمن الشبكات. وربطها بشبكات خارجية يعرّض وحدات PLC وأنظمة SCADA ومنصات DCS للحركة الجانبية من شبكات تقنية المعلومات، ولبرمجيات الفدية، ولاختراق الوصول عن بُعد. وتختلف العواقب عن اختراقات تقنية المعلومات: يتوقف الإنتاج، ويمكن أن تتلف المعدات، وقد تتأثر أنظمة السلامة. ويُقاس التعافي بالأيام أو الأسابيع.

ما الفرق بين أمن التقنية التشغيلية وأمن تقنية المعلومات؟

يحمي أمن تقنية المعلومات أنظمة البيانات التي يمكن تحديثها وإعادة تشغيلها واستعادتها من نسخة احتياطية بأثر تشغيلي محدود. أما أمن التقنية التشغيلية فيحمي العمليات الإنتاجية الفيزيائية حيث يعني التوقف خسارة في الإنتاج ومخاطر على المعدات. وتعمل أنظمة التقنية التشغيلية ببرمجيات قديمة على دورات تشغيلية طويلة، ولا تتحمل التوقف اللازم للتحديثات المعتادة، وتستخدم بروتوكولات صناعية لا تفهمها أدوات أمن تقنية المعلومات.

ما هي الحركة الجانبية في هجوم سيبراني على التقنية التشغيلية؟

الحركة الجانبية هي التقنية التي يستخدمها المهاجمون للانتقال من نقطة الدخول الأولى، وهي غالباً نظام تقنية معلومات، إلى شبكة التقنية التشغيلية المستهدفة التي تتحكم في الإنتاج. فإذا لم تكن شبكتا التقنية التشغيلية وتقنية المعلومات مفصولتين، فبإمكان مهاجم وصل عبر التصيّد الاحتيالي أو بيانات اعتماد مورّد مخترقة الوصول إلى أنظمة التحكم الإنتاجي دون الحاجة إلى أي ثغرة إضافية.

ما هو معيار ISA/IEC 62443 للأمن السيبراني الصناعي؟

معيار ISA/IEC 62443 هو المعيار المرجعي الدولي لتأمين أنظمة التحكم الصناعي. فهو يحدد مستويات الأمان حسب المنطقة، ويوضح الضوابط التي تحكم التواصل بين المناطق. وهو الإطار الأكثر استخداماً في تقييمات أمن التقنية التشغيلية، والأساس الذي تقوم عليه معظم برامج أمن أنظمة التحكم الصناعي (ICS) في قطاع التصنيع.

ما الذي يجب على المصنّع الفيتنامي فعله قبل ربط أنظمة التقنية التشغيلية بشبكات خارجية؟

ثلاث خطوات قبل أي اتصال خارجي: رسم خريطة كاملة لشبكة التقنية التشغيلية، وفصل شبكتي التقنية التشغيلية وتقنية المعلومات عبر جدار حماية أو منطقة مجردة (DMZ)، وتدقيق كل مسارات الوصول عن بُعد لإلغاء بيانات اعتماد الموردين الدائمة وتطبيق المصادقة متعددة العوامل. وتعالج هذه الخطوات أكثر متجهات الدخول شيوعاً دون الحاجة إلى ميزانية كبيرة.

ما أدوات مراقبة أمن التقنية التشغيلية المتاحة؟

ترصد منصات المراقبة المخصصة للتقنية التشغيلية، مثل Claroty وDragos وNozomi Networks، حركة بيانات شبكة التقنية التشغيلية بشكل سلبي باستخدام وعي كامل بالبروتوكولات الصناعية. وتكتشف هذه المنصات الحالات الشاذة بناءً على سلوك العملية الإنتاجية بدلاً من مطابقة التوقيعات، دون تعطيل الإنتاج. أما أدوات أمن تقنية المعلومات التقليدية فلا تناسب بيئات التقنية التشغيلية، وقد تسبب عدم استقرار عند نشرها على أجهزة التقنية التشغيلية القديمة.

اتخذ الخطوة التالية

تعمل Gradion مع الشركات الصناعية في فيتنام وجنوب شرق آسيا على تقييمات أمن التقنية التشغيلية، وتجزئة الشبكات، وتصميم برامج أمن أنظمة التحكم الصناعي (ICS). تواصل مع فريقنا للبدء بعملية رسم خريطة الشبكة.