وصف مهندس تحكم في منشأة متوسطة الحجم لمعالجة المياه شبكتهم ذات مرة بالطريقة التي لا يزال معظم المشغلين الصناعيين يصفونها بها: "مسطحة وسريعة ومتسامحة". كان بإمكان كل جهاز PLC التحدث إلى كل نظام أرشفة تاريخي (historian). وكان بإمكان كل محطة عمل هندسية الوصول إلى كل وحدة طرفية عن بُعد. كان الأمر يعمل بنجاح، حتى اليوم الذي تمكن فيه كمبيوتر محمول خاص بمقاول، أصيب ببرمجيات خبيثة أثناء زيارة روتينية للبائع، من الوصول إلى نظام الأجهزة المقترن بالسلامة (SIS) دون أي عائق في طريقه. لم يكتشفه أي شيء في وقت مبكر بما يكفي لإحداث فارق، لأنه لم يكن هناك شيء يراقب المحادثات الداخلية بين الأصول التي لم يكن من المفترض أصلاً أن تتواصل فيما بينها.

يتكرر هذا السيناريو عبر مصانع التصنيع والمرافق وأنظمة المياه ومشغلي الطاقة كل عام. ونادراً ما يكون ذلك فشلاً لأداة واحدة، بل هو فشل في البنية الهندسية للشبكة. لقد أصبحت أنظمة كشف الشبكة والاستجابة لها (NDR) بمثابة العمود الفقري للرؤية والشفافية في بيئات التقنيات التشغيلية (OT)، ولكن حتى أكثر منصات NDR كفاءة لا تكون فعالة إلا بقدر فعالية الشبكة التي تراقبها. فعندما تكون تلك الشبكة مسطحة، وغير مجزأة، ومبنية على الثقة الضمنية، يصبح الكشف مليئاً بالضوضاء، وتصبح الاستجابة بطيئة، ويتسع نطاق تأثير أي اختراق فردي ليصبح أكبر بكثير مما يجب أن يكون عليه.

يستعرض هذا الدليل كيف تعمل مبادئ الثقة الصفرية (Zero Trust) وتجزئة الشبكة المنضبطة على تحويل NDR من أداة تنبيه سلبية إلى طبقة دفاع استراتيجية حقيقية للبيئات الصناعية. ويغطي الدليل ما يجعل كشف التهديدات في بيئات OT مختلفاً جوهرياً عن أمن تكنولوجيا المعلومات (IT)، وكيف تعزز التجزئة والثقة الصفرية بعضهما البعض، والمخاطر التشغيلية الحقيقية لعدم تطبيق ذلك بشكل صحيح، ومساراً عملياً مجرباً ميدانياً لقادة أمن OT الذين يحتاجون إلى تعزيز الكشف دون تعطيل الإنتاج.

بالنسبة لقادة أمن OT ومديري المصانع ورؤساء أمن المعلومات (CISOs) الذين يشرفون على العمليات الصناعية، فإن هذا الموضوع يستحق الاهتمام الآن وليس لاحقاً. إذ تطرح الهيئات التنظيمية وشركات التأمين ومجالس الإدارة أسئلة أكثر دقة حول مدى قدرة المؤسسة على كشف واحتواء الاختراق قبل أن يصل إلى العمليات المادية. ويستمر الاستثمار في NDR في النمو عبر قطاعات التصنيع والطاقة والمياه والبنية التحتية الحيوية، ومع ذلك تكتشف العديد من المؤسسات، غالباً أثناء وقوع حادث أو تدقيق، أن أدوات الكشف الخاصة بها تعمل تماماً كما هي مصممة ولكنها ببساطة لا تستطيع الرؤية بوضوح عبر شبكة تفتقر إلى هيكل داخلي. إن فهم سبب أهمية التجزئة والثقة الصفرية لنتائج الكشف، وليس فقط لقوائم مراجعة الامتثال، هو الفارق بين برنامج أمني يتفاعل مع العناوين الأخبارية وبرنامج يقلل حقاً من المخاطر التي تهدد الإنتاج والسلامة.

تم تنظيم الأقسام التالية للانتقال من المفاهيم الأساسية إلى خطة عمل ملموسة، بحيث يكون هناك إطار عمل واضح وقابل للاستخدام، سواء كان الهدف هو تقييم منصة NDR جديدة، أو تعزيز نشر المنصة الحالية، أو بناء دراسة جدوى لمشروع تجزئة الشبكة.

فهم أساسيات NDR في بيئات OT/ICS

إن كشف الشبكة والاستجابة لها (NDR) هو ممارسة المراقبة المستمرة لحركة مرور الشبكة لتحديد السلوكيات الضارة أو الشاذة أو المنتهكة للسياسات، ثم دعم استجابة منسقة. وفي بيئات تكنولوجيا المعلومات (IT)، نضجت أنظمة NDR حول برمجيات الأجهزة الطرفية، والقياسات البعيدة المستندة إلى السحاب، وتحليلات السلوك المخصصة لأنماط حركة المرور في المكاتب والمؤسسات. أما البيئات الصناعية فتتطلب نهجاً مختلفاً تماماً.

ما الذي يجعل كشف شبكة OT مختلفاً عن أنظمة NDR لتكنولوجيا المعلومات

تحمل شبكات التقنيات التشغيلية بروتوكولات لم تكن أدوات أمن تكنولوجيا المعلومات مصممة لفهمها بشكل صحيح، بما في ذلك Modbus وDNP3 وOPC UA وEtherNet/IP وبروتوكولات الموردين الخاصة التي تعمل عبر أجهزة PLC ووحدات RTU وواجهات HMI وأنظمة السلامة. ولا يمكن لهذه الشبكات تحمل الفحص النشط، أو برمجيات الأجهزة الطرفية الهجومية، أو أي شيء يهدد بمقاطعة حلقة التحكم. إن فقدان حزمة بيانات واحدة على نظام أجهزة مقترن بالسلامة يمثل مشكلة مختلفة تماماً عن فقدان حزمة بيانات على خادم بريد إلكتروني.

• يجب أن تعمل أنظمة OT NDR بشكل سلبي (غير فعال)، باستخدام ميزة محاكاة حركة المرور (traffic mirroring) أو نقاط الوصول إلى الشبكة (network taps) بدلاً من الفحص الاختراقي الذي قد يزعزع استقرار عمليات التحكم الحية.

• يجب أن تفهم البروتوكولات الصناعية على مستوى الأوامر، مع التمييز بين التغيير الهندسي المشروع وأمر الكتابة الضار إلى سجل PLC.

• يجب أن تأخذ في الاعتبار دورات حياة الأصول الطويلة للغاية، حيث تعمل العديد من الأجهزة الميدانية لمدة تتراوح بين خمسة عشر وخمسة وعشرين عاماً دون أي تحديث أمني.

• يجب أن تربط سياق العملية المادية بسلوك الشبكة، لأن شذوذ الشبكة الذي يتوافق أيضاً مع أمر غير معتاد لصمام أو توربين يحمل أهمية وخطورة مختلفة تماماً.

• يجب أن تحترم جدول العمليات التشغيلية، حيث يمكن أن تبدو نافذة الصيانة، أو تحديث البرامج الثابتة، أو تغيير الإنتاج الموسمي بمثابة سلوكيات شاذة لنموذج يفتقر إلى السياق، كما أن الإبلاغ عن كل منها يؤدي إلى إضعاف الثقة في النظام بسرعة.

هذه الاختلافات ليست مجرد جوانب نظرية. إن أداة الكشف التي تركز على تكنولوجيا المعلومات والتي يتم وضعها في شبكة OT دون وعي بالبروتوكولات الخاصة بها، إما ستفقد الأوامر الضارة المخفية داخل حركة مرور صناعية تبدو مشروعة، أو ستولد الكثير من التنبيهات الكاذبة من الأنشطة الهندسية العادية لدرجة تجعل المشغلين يتوقفون في النهاية عن الثقة في التنبيهات تماماً. وكلتا النتيجتين تتركان المؤسسة معرضة للخطر، ولهذا السبب فإن منصات NDR المصممة خصيصاً للبيئات الصناعية، والبنية الهندسية التي تدعمها، تكتسب أهمية أكبر بكثير من مجرد الادعاءات البراقة حول دقة الكشف.

لماذا لم يعد أمن المحيط التقليدي فعالاً

لعقود من الزمن، اعتمدت استراتيجية الأمن الصناعي بشكل كبير على فكرة "الفجوة الهوائية" (air gap)، وهي فصل مادي أو منطقي بين شبكة OT والعالم الخارجي. ولكن هذا الافتراض تآكل بهدوء. فقد أدى الوصول عن بُعد للبائعين، وأنظمة الأرشيف التاريخي المتصلة بالسحاب، ومشاريع تقارب IT/OT، وحتى التحديثات البسيطة للبرامج الثابتة باستخدام ذاكرة USB، إلى إنشاء عشرات الجسور غير الرسمية إلى بيئات تم تصميمها في الأصل على أساس العزل التام.

وبمجرد أن يتجاوز المهاجم ذلك المحيط، سواء من خلال بريد إلكتروني للتصيد الاحتيالي يصل إلى بيئة تكنولوجيا المعلومات أو جلسة وصول عن بُعد مخترقة، فإن الشبكة المسطحة لا توفر أي مقاومة داخلية تقريباً. وهنا تبرز الأهمية البالغة لتجزئة الشبكة والثقة الصفرية، ليس كبنود في قائمة مراجعة الامتثال، بل كبنية هندسية تحدد ما إذا كان بإمكان نظام NDR رؤية وإيقاف ما سيحدث بعد ذلك.

ومن الجدير بالذكر أن نكون صريحين بشأن المخاطر التي تهدد الأعمال هنا. إن توقف خط الإنتاج الناجم عن حادث أمني يُقاس بالإنتاج المفقود، والغرامات التعاقدية، والتزامات الإبلاغ الإلزامية في القطاعات الخاضعة للتنظيم. كما أن اختراق نظام السلامة يحمل عواقب تتجاوز الخسائر المالية تماماً. إن تأطير التجزئة والثقة الصفرية كمجرد مشاريع تقنية يقلل من دورها الحقيقي: فهي استثمارات لتقليل المخاطر تحمي بشكل مباشر وقت التشغيل والسلامة وقدرة المؤسسة على العمل.

ضرورة تطبيق الثقة الصفرية في أنظمة التحكم الصناعية

غالباً ما يُساء فهم الثقة الصفرية (Zero Trust) كفئة من فئات المنتجات. بل الأصح فهمها كمبدأ تشغيل: عدم افتراض الثقة أبداً بناءً على موقع الشبكة وحده، والتحقق المستمر من كل مستخدم وجهاز واتصال يحاول الوصول إلى مورد ما، بغض النظر عما إذا كان هذا الطلب ينشأ من داخل المحيط التقليدي أو خارجه.

المبادئ الأساسية للثقة الصفرية في بيئات OT

• التحقق بشكل صريح. يتم مصادقة وتفويض كل طلب وصول بناءً على الهوية، وحالة الجهاز، والسياق، وليس لمجرد أن الطلب جاء من داخل شبكة المصنع.

• تطبيق الوصول بالحد الأدنى من الصلاحيات. يجب ألا تصل محطة العمل الهندسية إلا إلى وحدات التحكم المحددة التي تديرها، وليس إلى كامل أجهزة خط الإنتاج.

• افتراض حدوث الاختراق. تصميم البيئة كما لو كان المهاجم موجوداً بالفعل في الداخل، وبناء مراقبة وتجزئة تحد من الأصول التي يمكن للمهاجم الوصول إليها والمدى الذي يمكنه التحرك فيه.

• الفحص والتسجيل المستمر للبيانات. يجب أن تكون كل جلسة، وخاصة جلسات الوصول عن بُعد وجلسات البائعين الخارجيين، مرئية ومسجلة ومتاحة للتحليل اللاحق.

من المهم معالجة مفهوم خاطئ شائع بشكل مباشر: لا تعني الثقة الصفرية إلغاء الثقة في المشغلين أو المهندسين أو الأشخاص الذين يحافظون على استمرار الإنتاج. بل تعني إلغاء الثقة العمياء من الشبكة نفسها. فالمهندس الذي لديه أسباب مشروعة للوصول إلى مجموعة معينة من وحدات التحكم يجب أن يكون قادراً على القيام بذلك بسرعة وبشكل موثوق. ما تلغيه الثقة الصفرية هو افتراض أنه لمجرد وجود جهاز على الشبكة الداخلية، فإنه يستحق تلقائياً الوصول إلى كل شيء آخر على تلك الشبكة. هذا التمييز مهم للغاية عند شرح هذا التحول لموظفي المصنع الذين قد يربطون هذا المصطلح بزيادة العقبات بدلاً من زيادة الحماية.

وعند تطبيقها بعناية، فإن الثقة الصفرية في سياق OT تميل إلى تقليل العقبات التشغيلية بمرور الوقت بدلاً من زيادتها، لأن الوصول يصبح متوقعاً وقابلاً للتدقيق ومرتبطاً بالوظيفة الفعلية بدلاً مما تسمح به الشبكة بالصدفة. كما تصبح التحقيقات في الحوادث أسرع بكثير، حيث يُظهر تسجيل البيانات المرتبط بالهوية بدقة من أو ما الذي وصل إلى نظام معين وفي أي وقت، بدلاً من مطالبة الفرق بإعادة بناء النشاط من لقطات حزم البيانات الخام وحدها.

الثقة الصفرية مقابل نماذج الثقة القديمة في الشبكات الصناعية

الجدول 1: كيف تعيد الثقة الصفرية تشكيل افتراضات الثقة مقارنة بأمن OT التقليدي القائم على المحيط.

لا يتطلب أي من هذا التخلي عن المعدات القديمة. يتم تطبيق الثقة الصفرية في البيئات الصناعية بشكل أساسي في طبقة الشبكة والوصول، من خلال التجزئة، وبوابات العبور المرتبطة بالهوية، والوصول المقيد عن بُعد، وذلك لأن العديد من الأجهزة الميدانية لا يمكنها دعم تقنيات المصادقة الحديثة بمفردها. تعمل هذه الاستراتيجية مع القيود القديمة بدلاً من محاربتها، وهو ما يجعلها قابلة للتحقيق للمؤسسات التي تشغل معدات ستظل في الخدمة لعقد آخر أو أكثر.

تجزئة الشبكة كأساس للدفاع

إذا كانت الثقة الصفرية هي الفلسفة، فإن التجزئة هي الآلية التي تجعلها حقيقة واقعة داخل الشبكة الصناعية. تقسم التجزئة الشبكة إلى مناطق متميزة بناءً على الوظيفة والأهمية والمخاطر، ثم تحكم بدقة حركة المرور المسموح بمرورها بينها، وهو ما يشار إليه عادة بالقنوات (conduits).

نموذج بيردو واستراتيجيات التجزئة الحديثة

لا يزال نموذج بيردو المرجعي للمؤسسات (Purdue Model) نموذجاً فكرياً مفيداً للشبكات الصناعية، حيث يقسم البيئة إلى مستويات تبدأ من الأجهزة والتحكم الميداني في الأسفل إلى أنظمة أعمال المؤسسة في الأعلى. تفرض التجزئة الفعالة حدوداً صارمة بين هذه المستويات، لا سيما بين أنظمة عمليات المستوى 3 وتكنولوجيا معلومات المؤسسة في المستوى 4، حيث تنشأ الغالبية العظمى من اختراقات OT الواقعية في الواقع.

ونادراً ما تتطابق البيئات الصناعية الحديثة تماماً مع مستويات بيردو الكلاسيكية الآن، وذلك بفضل أنظمة الأرشيف التاريخي السحابية، ومنصات المراقبة عن بُعد، ومستشعرات إنترنت الأشياء الصناعية (IIoT). وقد دفع هذا العديد من المؤسسات نحو نموذج هجين يحافظ على منطق "المنطقة والقناة" الخاص ببيردو مع دمج عناصر تحكم مرتبطة بالهوية للتوصيلات التي تعبر تلك الحدود حتماً.

التجزئة الدقيقة (Microsegmentation) في بيئات الإنتاج الحية

إلى جانب الفصل الواسع للمناطق، تعمل التجزئة الدقيقة على تضييق نطاق التحكم ليتصل بالأصول الفردية أو المجموعات الوظيفية الصغيرة، مثل عزل وحدات تحكم كل خط إنتاج عن خطوط الإنتاج الأخرى، أو فصل نظام الأجهزة المقترن بالسلامة تماماً عن شبكة التحكم الأساسية في العمليات التي يحميها.

• تجميع الأصول حسب الوظيفة والأهمية بدلاً من الموقع المادي وحده.

• عزل أنظمة الأجهزة المقترنة بالسلامة كمنطقة خاصة بها مع تطبيق قواعد القنوات الأكثر صرامة.

• التعامل مع محطات العمل الهندسية كأهداف عالية القيمة وتجزئتها بعيداً عن وصول المشغل العام.

• تطبيق التجزئة بشكل تدريجي، والتحقق من كل تغيير مقابل سلوك العملية الحية قبل تشديد الحد التالي.

  

غالباً ما تتردد المؤسسات في تطبيق التجزئة الدقيقة، خوفاً من أن يؤدي تشديد الحدود الداخلية إلى مخاطر تشغيلية جديدة. ومن الناحية العملية، فإن المسار الأكثر أماناً هو تدريجي وقائم على الأدلة: مراقبة حركة المرور الفعلية لفترة محددة، وتأكيد التوصيلات المطلوبة فعلياً لتشغيل العملية، وكتابة السياسة بناءً على ذلك الخط الأساسي المؤكد، ثم الانتقال بعد ذلك فقط من المراقبة إلى التنفيذ. إن تخطي مرحلة المراقبة هو السبب الفردي الأكثر شيوعاً لفشل مشاريع التجزئة التي تتسبب في توقف غير مخطط له عن العمل، ونتيجة لذلك، تفقد ثقة فرق عمليات المصنع لسنوات بعد ذلك.

كيف تعزز الثقة الصفرية والتجزئة نظام NDR معاً

تعد منصات NDR في الأساس أنظمة للتعرف على الأنماط. فهي تتعلم كيف تبدو الأنماط الطبيعية وتشير إلى ما ينحرف عنها. وتعتمد جودة هذا الخط الأساسي، والسرعة التي يظهر بها تهديد حقيقي فوق الضوضاء، بشكل كبير على بنية الشبكة التي تغذيها بالبيانات. وهنا تحول التجزئة والثقة الصفرية نشر NDR الجيد إلى نشر قوي للغاية.

تقليل مساحة الهجوم وتحسين جودة الإشارة

في الشبكة المسطحة، يرى مستشعر NDR الذي يراقب محولاً رئيسياً مزيجاً هائلاً من حركة المرور من عشرات أنواع الأصول ووظائف العمل، وكلها ممتزجة معاً. ويعد التمييز بين حقن الأوامر الضارة الدقيقة والثرثرة الروتينية في تلك البيئة أمراً صعباً للغاية، حتى بالنسبة للنماذج السلوكية المضبوطة جيداً.

غالباً ما تتم مناقشة تقليل مساحة الهجوم كمقياس أمني مجرد، ولكن بالنسبة لفرق OT فإن له معنى ملموساً للغاية: أجهزة أقل يمكن الوصول إليها من أي نقطة اختراق فردية، وبروتوكولات أقل مكشوفة عبر حدود المناطق، وبيانات اعتماد قائمة أقل تمنح المهاجم وصولاً واسعاً إذا سُرقت. وكل عملية تقليل من هذه العمليات تبسط أيضاً ما يجب على منصة NDR تحليله، ولهذا السبب فإن المؤسسات التي تسعى للتجزئة والكشف معاً تسجل باستمرار وقتاً أسرع لتحقيق القيمة من استثماراتها في المراقبة مقارنة بتلك التي تنشر الكشف على شبكة مسطحة دون تغيير.

كما تتضاعف جودة الإشارة بمرور الوقت أيضاً. فالخط الأساسي السلوكي المبني داخل منطقة محددة جيداً يظل دقيقاً لفترة أطول، لأن أجهزة الأصول وأنماط الاتصال داخل تلك المنطقة تتغير بمعدل أقل بكثير مما قد يحدث عبر شبكة مسطحة بأكملها. ويترجم هذا الاستقرار مباشرة إلى دورات إعادة تدريب أقل للخط الأساسي، وعواصف تنبيهات أقل بعد نوافذ الصيانة الروتينية، وفريق عمليات أمنية يثق في التنبيهات التي يتلقاها بدلاً من تجاهلها.

وتعزز التجزئة كل هذا من خلال منح مستشعرات NDR خطاً أساسياً أنظف وأكثر قابلية للتنبؤ داخل كل منطقة. على سبيل المثال، فإن المستشعر الذي يراقب فقط شبكة التحكم في خط التعبئة سيرى مجموعة ضيقة ومتكررة من أنماط الاتصال. وتصبح الانحرافات أسهل بكثير في تحديدها بثقة، وتنخفض معدلات التنبيهات الكاذبة بشكل ملموس، وهو أمر بالغ الأهمية لفرق أمن OT الصغيرة التي لا يمكنها تتبع التنبيهات غير المهمة طوال اليوم.

إيقاف الحركة الجانبية قبل أن تتحول إلى اختراق كامل

نادراً ما تنطوي الحوادث السيبرانية الصناعية الأكثر ضرراً على جهاز واحد مخترق. بل تشمل مهاجماً يتحرك بهدوء من موطئ قدم أولي نحو هدف عالي القيمة، سواء كان ذلك نظام أرشيف تاريخي يحتوي على بيانات اعتماد إضافية، أو محطة عمل هندسية تتمتع بصلاحية البرمجة، أو وحدة تحكم بنظام السلامة. وتحول التجزئة كل حد من حدود المناطق إلى نقطة تفتيش، وتضمن الثقة الصفرية أن عبور نقطة التفتيش تلك يتطلب تفويضاً صريحاً ومتحققاً منه بدلاً من مجرد إمكانية الوصول البسيطة عبر الشبكة.

وبالنسبة لـ NDR، يعد هذا تحولاً جذرياً. فبدلاً من محاولة العثور على إبرة في كومة قش ضخمة، يمكن للمنصة تركيز التدقيق المكثف على عدد أقل بكثير من القنوات المشروعة بين المناطق. وتصبح محاولة الاتصال غير المتوقعة عبر حدود التجزئة، لا سيما نحو منطقة السلامة أو التحكم في العمليات، واحدة من أعلى التنبيهات مصداقية التي يمكن أن يتلقاها الفريق الأمني.

وهناك أيضاً جانب سرعة الاستجابة الذي غالباً ما يتم إغفاله. ففي الشبكة المسطحة، غالباً ما يعني احتواء تهديد مؤكد اختياراً صعباً بين ترك جهاز مخترق متصلاً أثناء استمرار التحقيق، أو فصل جزء من الشبكة أكبر مما هو ضروري والمخاطرة بالتأثير على الإنتاج نفسه. وتسمح البيئة المجزأة للفريق الأمني بعزل المنطقة المتأثرة بدقة، مما يقطع مسار المهاجم إلى الأمام مع ترك خطوط الإنتاج والأنظمة غير المتصلة تعمل بشكل طبيعي. وغالباً ما يكون هذا التحديد الدقيق هو الفارق بين حادث تم احتواؤه يتطلب بضع ساعات من التحقيق، وإغلاق تشغيلي كامل يتصدر عناوين الأخبار.