في أواخر أغسطس 2026، تمكنت جهات تهديد أجنبية من الوصول غير المصرح به إلى شبكات التكنولوجيا التشغيلية (OT) التابعة لشركتي مياه صغيرتين تداران بشكل خاص في كولورادو. وتم الكشف عن ذلك علناً في منتصف سبتمبر 2026 من قبل مسؤولي الولاية. وشملت عمليات الاختراق تفاعلاً مباشراً مع معدات التحكم الصناعي: حيث قام المهاجمون بتعديل دورات الضخ المادية، وتغيير معايير الأجهزة، وإلغاء تنشيط إنذارات النظام، وتعطيل بروتوكولات الوصول عن بعد.

وبينما كشف مشغلو المحطة بسرعة عن النشاط غير الطبيعي، واستعادوا التحكم اليدوي/المحلي، ومنعوا أي تدهور في جودة المياه أو الإضرار بالصحة العامة، فإن هذه الحوادث تمثل تصعيداً كبيراً في استهداف قطاع المياه. حيث انتقلت جهات التهديد من الوصول السلبي للشبكة أو تشويه المواقع الإلكترونية إلى التلاعب المباشر بمعايير العمليات السيبرانية الفيزيائية وضوابط وضوح السلامة.

إن الحقيقة الأكثر أهمية بشأن حوادث كولورادو ليست اختراق شركتي مياه صغيرتين. بل إن النشاط المُبلغ عنه تضمن تغييرات غير مصرح بها للمعدات التشغيلية، ودورات الضخ، والإنذارات، والوصول عن بعد، في حين احتفظت المرافق بفرص تحكم تشغيلي كافية لمنع حدوث أي تأثير على المعالجة أو جودة المياه. وبالتالي، تقف هذه الحادثة عند حد فاصل مهم: بين الاختراق السيبراني والعواقب السيبرانية الفيزيائية. والأدلة العامة تثبت الأولى وليس الأخيرة.

إن تحديد ما إذا كانت هذه الحوادث تمثل حملة إيرانية، أو استغلالاً انتهازياً للتكنولوجيا التشغيلية المكشوفة، أو شكلاً آخر من أشكال الاستهداف يتطلب أدلة جنائية رقمية لم يتم الكشف عنها بعد.

يقدم هذا التقرير تحقيقاً دقيقاً ومستنداً إلى الأدلة في حوادث كولورادو. ومن خلال تقييم الإفصاحات الرسمية المؤكدة للولاية، والتحذيرات الفيدرالية، ومعلومات التهديدات التقنية من عام 2024 حتى عام 2026، يحدد هذا التحليل ما حدث بالفعل، ويفحص فرضية الإسناد المدعوم من الدولة الإيرانية، ويستكشف المنطق الاستراتيجي لاستهداف المرافق الصغيرة، ويقدم خارطة طريق دفاعية تشغيلية لحماة البنية التحتية الحيوية.

أبرز النتائج وتصنيف الأدلة

للحفاظ على دقة تحليلية صارمة، يتم تصنيف جميع النتائج في هذا التقرير باستخدام تصنيف الأدلة التالي:

• مؤكد: مدعوم بشكل مباشر ببيانات رسمية من مصادر أولية موثوقة (على سبيل المثال، مكتب حاكم كولورادو، وإدارة الصحة العامة والبيئة في كولورادو [CDPHE]، ووكالة الأمن السيبراني وأمن البنية التحتية [CISA]).

• مُبْلغ عنه: موثق من قبل جهات أمن سيبراني مرموقة أو وسائل إعلام رئيسية ولكن يفتقر إلى القياس التقني البعيد العام أو السجلات الرسمية الخام.

• مزعوم: مدعوم من قبل باحثين غير حكوميين أو بائعين أو كيانات سياسية دون وجود أدلة خام عامة.

• مُقيّم: استنتاج تحليلي مستخلص من خلال تطبيق الخبرة في مجال التكنولوجيا التشغيلية/أنظمة التحكم الصناعي (OT/ICS) على الأدلة المتاحة.

• غير معروف: معلومات لا يمكن تحديدها من المصادر العامة.

 ملخص نتائج الأدلة

الجدول الزمني للحادث

يدمج الجدول الزمني التالي حوادث كولورادو ضمن البيئة الأوسع لتهديدات قطاع المياه لعام 2026 عبر الولايات المتحدة.

صدور تحذير فيدرالي موسع

يوليو 2026

أصدرت CISA ومكتب التحقيقات الفيدرالي تحذيرات مشتركة تنذر بزيادة استهداف أجهزة التحكم المنطقي القابلة للبرمجة (PLCs) الضعيفة والمكشوفة على الإنترنت وأجهزة المودم الخلوية في قطاع معالجة المياه ومياه الصرف الصحي في الولايات المتحدة.

حملة قطاع المياه في مينيسوتا

26–27 يوليو 2026

شهد أكثر من 30 نظام مياه مجتمعي في مينيسوتا عمليات اختراق سيبراني منسقة استهدفت أجهزة PLC وواجهات التحكم بين الإنسان والآلة (HMIs)، مما تسبب في فقدان مؤقت لضغط المياه وفيضان موضعي للخزانات في مناطق قضائية محددة (مثل ساوث سانت بول، وبلايموث). وحذرت السلطات الفيدرالية من موجة من الأنشطة السيبرانية التي تؤثر على أنظمة المياه ومياه الصرف الصحي في العديد من الولايات الأمريكية. وأفاد مكتب التحقيقات الفيدرالي بأن بعض الحوادث أدت إلى فقدان الرؤية، وفي بعض الحالات، تعطل وظائف المعدات المتصلة. ووصفت CISA لاحقاً حوالي 100 كيان مياه في حوالي اثنتي عشرة ولاية بأنها كانت مستهدفة.

CISA تكشف عن استهداف أكثر من 100 نظام مكشوف

أوائل أغسطس 2026

وصفت التقارير الفيدرالية في أغسطس 2026 استهدافاً شمل حوالي 100 كيان مياه في حوالي اثنتي عشرة ولاية. ولم يتم إثبات العلاقة بين تلك الحوادث وحالات كولورادو اللاحقة علناً.

حدوث اختراقات مرافق المياه في كولورادو

أواخر أغسطس 2026

جهات تهديد أجنبية تتمكن من الوصول إلى أنظمة التكنولوجيا التشغيلية في مرفقين صغيرين خاصين للمياه في كولورادو. وقام المهاجمون بتعديل معايير المضخات، وتغيير إعدادات الأجهزة، وإغلاق الوصول للإدارة عن بعد، وإلغاء تنشيط إنذارات النظام.

الكشف والتعافي المحلي

أواخر أغسطس 2026

يكتشف مشغلو المنشأة اختلالات تشغيلية، ويعيدون فرض التحكم اليدوي المحلي، ويعيدون تكوين الإعدادات المخترقة، ويخطرون ولاية كولورادو كما تقتضي لوائح مياه الشرب.

التحقق من الولاية والمساعدة التقنية

أواخر أغسطس – أوائل سبتمبر 2026

تتحقق إدارة الصحة العامة والبيئة في كولورادو (CDPHE) من أن جودة المياه وعمليات المعالجة لا تزال آمنة، وتؤكد معالجة الحوادث، وتقدم المساعدة التقنية للإصلاح.

الكشف العلني عن اختراقات كولورادو

18–21 سبتمبر 2026

يؤكد مكتب حاكم كولورادو جاريد بوليس الهجمات السيبرانية لوسائل الإعلام (KRDO، وThe Denver Post، وSecurityWeek)، مشيراً إلى تورط "جهات أجنبية" مع الإشارة إلى الوعي الوطني الأوسع باستهداف قطاع المياه المدعوم من إيران.

التحقيق التقني وآليات هجوم التكنولوجيا التشغيلية (OT)

تحديد ما حدث

تمثل الهجمات السيبرانية في كولورادو تفاعلاً سيبرانياً فيزيائياً مباشراً مع معدات توزيع المياه بدلاً من اختراق بيانات تكنولوجيا المعلومات التقليدي أو حادثة فيروسات الفدية. وبناءً على الإفصاحات الرسمية المؤكدة وتحليل Shieldworkz:

• ملف تعريف الهدف: كان الضحايا مقدمي خدمات مياه مختلفين ومملوكين للقطاع الخاص يعملان في كولورادو، ويخدم كل منهما أقل من 200 نسمة (~ 400 إجماليًا).

• قدرات التكنولوجيا التشغيلية المستخدمة: نفذت جهات التهديد أوامر كتابة إلى المعدات التشغيلية (النشاط الذي تم الكشف عنه والذي درسته Shieldworkz يظهر تغييرات غير مصرح بها في إعدادات المعدات التشغيلية، ودورات الضخ، والإنذارات، ووظائف الوصول عن بعد للتأثير على العمليات). وقاموا بتعديل إعدادات المعدات المادية، وتغيير دورات عمل وتوقيت مضخات المياه، وتعطيل وظائف الإنذار المصممة لإخطار المشغلين بالحالات غير الطبيعية، وإنهاء مسارات الوصول عن بعد.

• التأثير التشغيلي: شهدت العمليات الفيزيائية انحرافات قصيرة، لكن التجاوزات التلقائية أو اليدوية سمحت للمشغلين باستعادة التحكم بسرعة. وأكد اختبار جودة المياه من قبل CDPHE عدم حدوث أي خلل كيميائي أو تلوث.

إعادة بناء مسار هجوم التكنولوجيا التشغيلية (OT)

على الرغم من أن حزم البيانات الخام والصور الجنائية الرقمية من المرفقين لم يتم إصدارها علناً (لم يتم العثور على أدلة عامة موثوقة لإثبات سجلات النظام الدقيقة)، فإن تقييم الحادث مقارنة بأنماط التهديد التاريخية لقطاع المياه يكشف عن مسار هجوم محتمل:

الخطوة 1: الوصول الأولي وتجاوز حدود الشبكة

• الآلية: غالباً ما تنشر مرافق المياه الصغيرة أجهزة مودم خلوية أو محولات تسلسلية إلى إيثرنت مباشرة لنقل القياسات عن بعد من محطات الضخ البعيدة أو مواقع الخزانات إلى واجهة HMI مركزية.

• التعرض: غالباً ما يتم تخصيص عناوين IPv4 عامة لأجهزة المودم الخلوية هذه دون نفق VPN أو جدار حماية. ويحدد المهاجمون نقاط النهاية هذه باستخدام محركات فحص آلية تستمع إلى البروتوكولات الصناعية مثل Modbus TCP (المنفذ 502)، أو EtherNet/IP (المنفذ 44818)، أو Siemens S7 (المنفذ 102)، أو واجهات إدارة HTTP/HTTPS.

• فشل المصادقة: يتم تحقيق الوصول عادةً من خلال بيانات الاعتماد الافتراضية للمصنع، أو بوابات إدارة الويب غير المصادق عليها، أو ثغرات تنفيذ التعليمات البرمجية عن بُعد غير المرقعة في برامج المودم الثابتة.

الخطوة 2: التفاعل مع معايير ومنطق جهاز التكنولوجيا التشغيلية (OT)

• تنفيذ البروتوكول: بمجرد تحقيق الوصول إلى الشبكة لواجهة التحكم، لا يحتاج المهاجم إلى برامج ضارة مخصصة ومعقدة (مثل Stuxnet أو PIPEDREAM). تفتقر البروتوكولات الصناعية بطبيعتها إلى المصادقة الأصلية حسب التصميم. وقد يتمكن المهاجم الذي يتمتع بوصول كافٍ إلى وحدة تحكم مكشوفة أو واجهة إدارة من التلاعب بالمعايير التشغيلية باستخدام وظائف التحكم المشروعة أو الأصلية. وتفاصيل استخدام هذه الآلية في كولورادو غير معروفة حالياً.

• تعديل المعايير: يمكن للمهاجم الذي يصدر رموز وظائف قياسية (مثل Modbus Function Code 06 "كتابة سجل فردي" أو FC 16 "كتابة سجلات متعددة") إعادة كتابة كتل ذاكرة وحدة التحكم مباشرة:

  • دورات الضخ: يؤدي تعديل سجلات عتبة التشغيل/الإيقاف (مثل تغيير نقاط ضبط مستوى الخزان من 80% إلى 10% أو تغيير ملفات مؤقت العمل) إلى إجبار المضخات على العمل لفترات قصيرة، أو العمل الجاف، أو الفشل في العمل عندما تنخفض مستويات المياه.

  • إعدادات الجهاز: يؤدي تغيير معايير حلقة التحكم (ثوابت كسب PID أو المؤقتات) إلى زعزعة استقرار التحكم الآلي في العمليات.

الخطوة 3: كتم الإنذارات وقطع الوصول عن بعد

• كتم الإنذارات: انتقل المهاجمون إلى سجلات إدارة الإنذارات أو تكوينات شاشة HMI وكتموا تنبيهات العتبة المرئية/المسموعة. في بيئات التكنولوجيا التشغيلية، تحدد الإنذارات وعي المشغل. ويؤدي كتم الإنذار إلى تحويل انحراف العملية العاجل إلى خلل غير مرئي.

• قطع الوصول عن بعد: قام المهاجمون بتعديل كلمات مرور الإدارة، أو تغيير تكوينات IP الخاصة بالبوابة، أو تعطيل واجهات إدارة SSH/Telnet/HTTP على البوابة البعيدة. وحرمت هذه الخطوة المشغلين عن بعد ومقدمي الهندسة الخارجيين من الوصول إلى النظام، مما أجبر المدافعين على القيادة الفعلية إلى غرف المضخات البعيدة لإعادة فرض التحكم اليدوي.

العواقب المحتملة لإجراءات الهجوم المرصودة

لفهم التهديد التشغيلي في العالم الحقيقي، تم ربط الإجراءات السيبرانية المرصودة في كولورادو بعواقبها التقنية والفيزيائية والسلامة المحتملة أدناه:

التحليل الاستراتيجي: حوادث كولورادو

تكشف هجمات كولورادو عن رؤى تكتيكية تميزها عن الجرائم السيبرانية الانتهازية النموذجية.

لماذا يتم استهداف المرافق البالغة الصغر؟

لماذا قد تستهدف جهة تهديد أجنبية مرفقين بعيدين وخاصين يخدم كل منهما أقل من 200 شخص؟

• المسار الأقل مقاومة لاختبار القدرات السيبرانية الفيزيائية: تستخدم المرافق البلدية الكبيرة تجزئة تكنولوجيا المعلومات/التكنولوجيا التشغيلية متعددة الطبقات، والمراقبة المستمرة للشبكة، وفرق هندسية مخصصة. بينما تعتمد المرافق البالغة الصغر على شبكات مسطحة، ومقاولين من جهات خارجية، ووصول مباشر إلى الإنترنت عبر أجهزة المودم الخلوية. بالنسبة لجهات التهديد التي تسعى لاختبار القدرات السيبرانية الفيزيائية على البنية التحتية الحية، تعمل المرافق الصغيرة كحقول تجارب منخفضة التكلفة والمخاطر.

• الفحص الآلي على مستوى القطاع: نادراً ما يستهدف الخصوم المرافق البالغة الصغر بالاسم. بدلاً من ذلك، يقومون بفحص نطاقات IPv4 واسعة مخصصة لشركات الاتصالات الخلوية الكبرى بحثاً عن منافذ صناعية مفتوحة. وكان اكتشاف هذين المرفقين شبه مؤكد نتيجة لعملية استطلاع آلية واسعة الطيف بدلاً من جمع معلومات استخباراتية مخصصة. يعد الاكتشاف الآلي للأنظمة الصناعية المكشوفة تفسيراً معقولاً، لا سيما بالنظر إلى الاستهداف الأوسع لأجهزة التكنولوجيا التشغيلية التي يمكن الوصول إليها عبر الإنترنت والتي وثقتها السلطات الأمريكية. ومع ذلك، لا تثبت الأدلة العامة كيفية اكتشاف هذين المرفقين في كولورادو.

• التأثير النفسي والتنظيمي: إن ضرب البنية التحتية الحيوية في المجتمعات الصغيرة يخلق تأثيراً نفسياً هائلاً. فهو يثبت أنه لا يوجد مجتمع صغير جداً أو معزول بحيث لا يمكنه الإفلات من التدخل السيبراني الأجنبي، مما يضغط على المنظمين في الولايات والمنظمين الفيدراليين لتوجيه الموارد لحماية المناطق الريفية.

تخريب مزدوج المسار: التلاعب بالعمليات مقابل تعمية المدافعين

يمثل الجمع بين تغيير دورات المضخة وتعطيل الإنذارات والوصول عن بعد مهارة تكتيكية متطورة:

• مهاجمة التوافر مقابل السلامة مقابل الرؤية:

  • يؤدي تغيير دورات المضخة إلى مهاجمة سلامة العمليات.

  • يؤدي تعطيل الوصول عن بعد إلى مهاجمة توافر النظام.

  • يؤدي كتم الإنذارات إلى مهاجمة رؤية المشغل.

• نقطة المدافع العمياء: من خلال تعطيل الوصول عن بعد والإنذارات في آن واحد، يقوم المهاجم بنزع سلاح المدافع. وعندما يبدأ تعديل دورة المضخة في التسبب في إجهاد فيزيائي (مثل استنفاد الخزان أو اهتزاز الأنابيب)، تعرض وحدة تحكم SCADA حالة "طبيعية" لأن الإنذارات مكتومة. وعندما يلاحظ المشغل الاختلالات الفيزيائية ويحاول تسجيل الدخول عن بعد لفحص جهاز PLC، يفشل الاتصال عن بعد.

• الخلاصة: لم يكن الخطر الأساسي في نمط الهجوم هذا هو حجم تغيير دورة المضخة نفسه، بل الكتم المتعمد لحلقات التغذية الراجعة التي تسمح للمشغلين البشر بالكشف عن اختلالات العمليات وإصلاحها.

تحقيق الإسناد: فرضية إيران

السؤال التحليلي المركزي هو ما إذا كان يمكن إسناد اختراقات كولورادو إلى جهات تهديد ترعاها الدولة الإيرانية أو تابعة لإيران (مثل CyberAveng3rs أو المجموعات التابعة للحرس الثوري الإيراني [IRGC]).

السياق المقارن: النشاط الموثق المرتبط بإيران (2024–2026)

تعد إيران فرضية إسناد ذات صلة لأن السلطات الأمريكية وثقت سابقاً جهات سيبرانية تابعة للحرس الثوري الإيراني تستهدف أجهزة PLC التي يمكن الوصول إليها عبر الإنترنت والمستخدمة في منشآت المياه ومياه الصرف الصحي. ووثقت CISA والوكالات الشريكة لها نشاط CyberAv3ngers الذي يشمل أجهزة Unitronics PLCs، بما في ذلك الوصول غير المصرح به إلى الأجهزة المتصلة بالإنترنت، والتلاعب بمنطق السلم، والإجراءات الرامية إلى تعطيل وظائف الجهاز أو منع وصول المشغل المشروع.

• معدات الاستهداف: ركزت تاريخياً على أجهزة Unitronics Vision PLCs إسرائيلية الصنع، وتوسعت في عامي 2025–2026 لتشمل أجهزة التحكم من Rockwell Automation (Allen-Bradley) وSchneider Electric وSiemens S7 المكشوفة على الإنترنت العام.

• التكتيكات والتقنيات والإجراءات (TTPs):

• فحص شامل للمنافذ الصناعية (TCP 502، و44818، و22826).

• استغلال كلمات المرور الافتراضية (مثل 1111 أو الإعدادات الافتراضية للبائع).

• إعادة الكتابة على شاشات عرض PLC برسائل سياسية معادية لإسرائيل/معادية للولايات المتحدة.

• تعديل تكوينات PLC، وتغيير كلمات مرور المسؤول، وإعادة تعيين عناوين IP للأجهزة لحظر المشغلين الشرعيين.

• تعطيل القياس عن بعد لفرض التشغيل اليدوي.

تقييم الأدلة  

 الأدلة الداعمة لفرضية إيران

1. توافق التكتيكات والتقنيات والإجراءات (TTPs): التقنية المحددة المتمثلة في تعديل معايير PLC مع تغيير بيانات الاعتماد/عناوين IP في الوقت نفسه لحظر المشغلين تعكس مباشرة التكتيكات والتقنيات والإجراءات الموثقة في استشاري CISA AA23-335A وتحذيرات CISA لعام 2026 بشأن العمليات السيبرانية التابعة للحرس الثوري الإيراني.

2. توافق الضحايا: استهدفت المجموعات الإيرانية باستمرار كيانات المياه البلدية والخاصة الصغيرة إلى المتوسطة حيث ينتشر التعرض المباشر لأجهزة PLC للإنترنت عبر أجهزة المودم الخلوية.

3. السياق الزمني: وقعت الهجمات خلال حملة نشطة شنتها جهات إيرانية استهدفت البنية التحتية للمياه في الولايات المتحدة عبر 12 ولاية، كما حذرت CISA في يوليو وأغسطس 2026.

الأدلة التي تضعف فرضية إيران

• غياب العلامة التجارية للنشطاء المخترقين: تنشر الحملات الإيرانية الموثقة (مثل CyberAveng3rs) بشكل روتيني أدلة فيديو أو شاشات تشويه أو إعلانات على وسائل التواصل الاجتماعي تعلن مسؤوليتها لتحقيق قيمة دعائية. ولم يتم ربط أي من هذه الادعاءات بحوادث كولورادو.

• عمومية الناقلات القابلة للاستغلال: يمكن استغلال أجهزة PLC المتصلة بالإنترنت والتي تحتوي على بيانات اعتماد افتراضية من قبل الشركات التابعة لفيروسات الفدية أو مجرمي الإنترنت العامين أو الدول القومية المنافسة باستخدام أدوات بسيطة للمبتدئين. والتقنية المماثلة لا تعني تطابق الإسناد.

• رفض الولاية الصريح للإسناد: صرح مكتب حاكم كولورادو صراحةً: "لا يمكننا تأكيد الجهات الأجنبية التي قد تكون متورطة..." وحجب محققو الولاية والمحققون الفيدراليون الإسناد الرسمي.

تقييم الإسناد التحليلي

الحكم المُقيّم: تقييم بدرجة ثقة عالية بأن التكتيكات المستخدمة في كولورادو تتوافق مع أساليب العمل المعروفة التي ترعاها الدولة الإيرانية؛ وثقة منخفضة إلى متوسطة بشأن الإسناد الحاسم إلى مجموعة إيرانية محددة بسبب غياب الآثار التقنية (مثل توقيعات البرامج الضارة الفريدة، أو تداخل البنية التحتية، أو الادعاءات العامة) (هذه الخصائص ليست فريدة بالنسبة للجهات الإيرانية، والأدلة العامة المتاحة لا تدعم إسناد حوادث كولورادو إلى جهة أو مجموعة إيرانية محددة). ولا يزال النشاط رسمياً غير مؤكد ومصنفاً تحت نشاط التهديد العام لجهات أجنبية.  

نموذج الضعف الهيكلي للمرافق الصغيرة

تؤكد حوادث كولورادو على نقاط الضعف النظامية المتأصلة في عمليات مياه الشرب ومياه الصرف الصحي الصغيرة.

لماذا تواجه المرافق الصغيرة مخاطر هائلة

• عدم تناظر الموارد: تعمل المرافق الصغيرة التي تخدم أقل من 1,000 نسمة بميزانيات محدودة. وتفتقر إلى موظفي أمن تكنولوجيا المعلومات/التكنولوجيا التشغيلية المخصصين، وتعتمد على مشغلي مياه عامين يديرون الكيمياء الفيزيائية والبنية التحتية التقنية معاً.

• عمومية أجهزة المودم الخلوية: غالباً ما تكون محطات الضخ البعيدة ورؤوس الآبار وخزانات التخزين المرتفعة على بعد أميال من منشآت المعالجة المركزية. ويعد تركيب الألياف المؤجرة أو خطوط الراديو الخاصة مكلفاً للغاية. ويتم نشر أجهزة المودم الخلوية ذات عناوين IP العامة الثابتة كبديل منخفض التكلفة، مما يخلق مسارات مباشرة من الإنترنت العام إلى الآلات المادية.

• الاعتماد على مدمجي الأنظمة الخارجيين: غالباً ما ينشر مدمجو الأنظمة الهندسية تكوينات أساسية متطابقة عبر العشرات من عملاء المرافق الصغيرة. ويؤدي إعداد وصول عن بعد ضعيف واحد أو بيانات اعتماد مشتركة يستخدمها مدمج الأنظمة إلى تعريض كل مرفق في محفظة عملائه للخطر.

• شبكات تكنولوجيا تشغيلية مسطحة: بمجرد أن يعبر المهاجم البوابة الخلوية، لا توجد جدران حماية داخلية أو أجهزة قفز. وتقع البوابة على نفس شبكة الطبقة الثانية (Layer 2) غير المجزأة مثل جهاز PLC وHMI ومعدات التسجيل المحلية.

تحليل المخاطر الفيزيائية وتأثير العمليات

يجب أن يميز تحليل تهديدات البنية التحتية الحيوية بين الاختراق السيبراني، والتلاعب بالتحكم، والتأثير على الصحة العامة للحفاظ على الموضوعية.

سلسلة المخاطر السيبرانية الفيزيائية للمياه

• الوصول السيبراني: يدخل المهاجم إلى واجهة PLC/HMI عبر بوابة خلوية مخترقة.

• تنفيذ التحكم: يقوم المهاجم بالكتابة فوق ملفات المنطق، أو يغير مؤقتات العمل، أو يفرض بتات الإخراج.

• انحراف العملية: تغير المضخات المادية سرعتها، أو تفتح/تغلق الصمامات خارج التسلسل، أو تغير مضخات الجرعات الكيميائية معدلاتها.

• تنشيط قفل الأمان: تعمل أجهزة السلامة المستقلة السلكية (مثل صمامات تخفيف الضغط العالي المادية، ومرحلات الحمل الزائد الحراري، ومفاتيح تعويم المستوى الميكانيكية) بشكل مستقل عن منطق برنامج PLC.

• تدخل المشغل البشري: يكتشف المشغلون الفروق عبر المقاييس المادية، أو زجاج الرؤية، أو ضوضاء المحرك غير العادية، ويقومون بتحويل لوحات التحكم من التلقائي (AUTO) إلى اليدوي (HAND).

• التأثير على السلامة العامة: فقط في حال فشل أقفال الأمان وغياب المشغلين تماماً، يمكن أن يتسبب انحراف العملية في حدوث أضرار فيزيائية، أو انهيار الأنابيب، أو التلوث الكيميائي، أو فقدان إمدادات المياه.

بناءً على التقرير العام وتقييم Shieldworkz، تم الكشف عن الحوادث ومعالجتها قبل أن يحدد المسؤولون أي تأثير على المعالجة أو جودة المياه أو السلامة العامة. ولم يتم تفصيل التسلسل الدقيق لكشف المشغل والتدخل المحلي واستعادة النظام علناً.

تحليل شامل لسطح هجوم التكنولوجيا التشغيلية (OT) للمياه

يوضح الجدول أدناه تفاصيل سطح الهجوم الكامل النموذجي لمرافق المياه في الولايات المتحدة، موضحاً الأهمية التشغيلية، ونقاط التعرض الشائعة، والتأثير المحتمل للمهاجم، وضوابط الدفاع الرئيسية.

البنية الدفاعية والتحصين التشغيلي

يتطلب الدفاع عن بيئات التكنولوجيا التشغيلية للمياه تدابير عملية للدفاع المتعمق مصممة للمشغلين ذوي الموارد المحدودة.

1. ضوابط إصلاح فورية عالية التأثير

• القضاء على التعرض المباشر للإنترنت: افصل فوراً جميع أجهزة PLC، ووحدات RTU، وHMIs من عنونة IPv4 العامة المباشرة. وتأكد من توجيه أجهزة المودم الخلوية لحركة المرور عبر أسماء نقاط الوصول الخاصة (APNs) وأنفاق IPsec VPN المشفرة التي تنتهي عند جدار حماية مركزي.

• تحصين بيانات اعتماد PLC: غير كلمات المرور الافتراضية للمصنع على جميع واجهات الويب لأجهزة PLC، وخدمات FTP، وبوابات البرمجة. وتمكين حماية كلمة المرور الإدارية لوظائف تنزيل/تحميل منطق السلم حيثما تدعم الأجهزة ذلك.

• تعطيل البرامج الثابتة والواجهات: عطل البروتوكولات وخدمات الإدارة غير المستخدمة على أجهزة PLC والبوابات (مثل HTTP، وHTTPS، وTelnet، وFTP، وSNMP) إذا لم تكن مطلوبة بشكل صارم لعمليات التحكم.

• إدارة الصورة الذهبية: استخرج النسخ غير المتصلة بالإنترنت ("الصور الذهبية") لجميع ملفات مشاريع PLC (.ACD، و.L5X، و.SBS، إلخ) وتكوينات المنطق وتحقق منها وخزنها لتمكين إعادة الوميض اليدوي السريع أثناء وقوع حادث.

2. هندسة الشبكة والتجزئة (التوافق مع معيار ISA/IEC 62443)

• فرض نموذج بوردو: فرض فصل صارم بجدار الحماية بين المستوى 2 (HMI/SCADA)، والمستوى 1 (PLCs/أجهزة التحكم)، والمستوى 0 (المستشعرات/المشغلات الميكانيكية).

• تنفيذ منطقة منزوعة السلاح (DMZ) للتكنولوجيا التشغيلية: انشر منطقة منزوعة السلاح (DMZ) للتكنولوجيا التشغيلية بين تكنولوجيا معلومات الشركات ومنطقة تحكم التكنولوجيا التشغيلية. ويجب أن يمر كل وصول عن بعد عبر جهاز قفز (Jump Host) بمصادقة متعددة العوامل (MFA) يقع في المنطقة المنزوعة السلاح للتكنولوجيا التشغيلية. ويجب حظر التوجيه المباشر من تكنولوجيا المعلومات إلى التكنولوجيا التشغيلية صراحةً.

• التحكم في وصول البائعين: يجب أن تظل اتصالات مدمجي الأنظمة من الجهات الخارجية معطلة افتراضياً (مغلقة عادةً). ويجب تفعيل أنفاق الوصول عن بعد فقط عند الطلب لفترات صيانة معتمدة وإلغاؤها تلقائياً فور الانتهاء.

هندسة كشف التكنولوجيا التشغيلية وحالات استخدام مركز العمليات الأمنية (SOC)

يجب على مراكز العمليات الأمنية (SOCs) التي تراقب بيئات التكنولوجيا التشغيلية للمياه نشر قواعد كشف متخصصة تستهدف اختلالات بروتوكول نظام التحكم وتحولات التكوين.

جدول هندسة الكشف

حالة الاستخدام 1: تعديل غير مصرح به لكلمة مرور PLC أو بيانات الاعتماد

• الإشارة: حدث Syslog أو سجل تدقيق يشير إلى تغيير كلمة مرور إدارية أو تحديث بيانات الاعتماد على جهاز PLC أو بوابة أو HMI.

• سبب الأهمية: يشير إلى محاولة مهاجم حظر المشغلين وتأمين الاستمرار.

• مصدر البيانات: سجلات تدقيق وحدة التحكم، وسجلات جدار الحماية، وسجلات الوصول إلى واجهة ويب البوابة.

• خطوات التحقيق: قارن الطابع الزمني للحدث بتذاكر التغيير الهندسي المعتمدة. وحدد عنوان IP المصدر. وإذا كان عنوان IP المصدر خارجياً أو غير معتمد، فقم بعزل الجهاز فوراً.

• النتائج الإيجابية الكاذبة المحتملة: تدوير كلمات المرور المجدول من قبل الموظفين الهندسيين المعتمدين.

حالة الاستخدام 2: تنزيل تكوين / منطق PLC خارج فترة الصيانة

• الإشارة: أمر بروتوكول يشير إلى تنزيل/تحميل منطق السلم. والكشف عن نشاط برمجة وحدة التحكم أو تكوينها أو نقل المنطق خارج الفترات الهندسية المعتمدة. ويجب أن يعتمد الكشف على قياسات بروتوكول محددة للبائع، وسجلات تدقيق وحدة التحكم، ونشاط محطة العمل الهندسية بدلاً من توقيع بروتوكول عالمي واحد.

• سبب الأهمية: يقوم المهاجم بتعديل منطق السلم التشغيلي، أو نقاط الضبط، أو عتبات السلامة.

• مصدر البيانات: فحص نظام كشف تسلل شبكة التكنولوجيا التشغيلية (NIDS) (مثل Shieldworkz)

• خطوات التحقيق: تحقق مما إذا كان عنوان IP لمحطة العمل التي تصدر الأمر ينتمي إلى محطة عمل هندسية (EWS) معتمدة. وتأكد مما إذا كانت هناك فترة صيانة نشطة مفتوحة.

• النتائج الإيجابية الكاذبة المحتملة: إصلاحات طارئة أجراها مهندسون مناوبون.

  
  

حالة الاستخدام 3: تعطيل أو كتم عتبات إنذار SCADA

• الإشارة: حدث كتابة علامة HMI يغير سجلات حالة الإنذار من 1 (مفعّل) إلى 0 (معطّل)، أو يغير حدود إنذار الضغط العالي إلى ما بعد حدود المستشعر الفيزيائي.

• سبب الأهمية: يقوم المهاجم بكتم الإنذارات المرئية/المسموعة لإخفاء تعطل العملية.

• مصدر البيانات: مسارات تدقيق خادم SCADA، وسجلات قاعدة بيانات أحداث HMI.

• خطوات التحقيق: حدد حساب المشغل الذي سجل الدخول إلى واجهة HMI. وتأكد مما إذا كانت هناك صيانة فيزيائية (مثل معايرة المستشعر) تجري وتتطلب كتم الإنذار مؤقتاً.

• النتائج الإيجابية الكاذبة المحتملة: قيام المشغل بكتم الإنذارات المزعجة أثناء صيانة المعدات المشروعة.

حالة الاستخدام 4: جلسة واردة غير متوقعة لبوابة ميدانية من عنوان IPv4 خارجي

• الإشارة: محاولة اتصال TCP واردة بمودم خلوي أو PLC على منافذ صناعية (502، 44818، 102، 22826) تنشأ من عنوان IP للإنترنت العام.

• سبب الأهمية: يشير إلى فحص نشط للمنافذ الخارجية أو محاولة وصول أولي غير مصرح بها.

• مصدر البيانات: سجلات جدار حماية المودم الخلوي، وبيانات NetFlow/IPFIX للموجه الطرفي.

• خطوات التحقيق: تحقق من عنوان IP المستهدف مقابل جرد الأصول. واحظر عنوان IP المصدر عند مستوى المشغل/جدار الحماية الرئيسي. وحدد ما إذا كان الاتصال قد نجح أم تم إسقاطه.

• النتائج الإيجابية الكاذبة المحتملة: فحوصات صحية آلية من موفري القياس عن بعد المعتمدين القائمين على السحابة.

حالة الاستخدام 5: اتصال مباشر لجهاز PLC عبر بوابة خلوية يتجاوز جدار حماية التكنولوجيا التشغيلية

• الإشارة: بدء جهاز PLC داخلي أو استقباله لحركة مرور الشبكة مباشرة إلى/من عنوان IP للبوابة الخلوية دون المرور عبر بوابة أمن التكنولوجيا التشغيلية الداخلية.

• سبب الأهمية: يشير إلى مسار وصول عن بعد غير مصرح به أو مارق (تكنولوجيا معلومات/تكنولوجيا تشغيلية ظل) يتجاوز الدفاعات المحيطية.

• مصدر البيانات: قياسات منفذ SPAN للمحول الرئيسي، وتنبيهات اكتشاف أصول NIDS للتكنولوجيا التشغيلية.

• خطوات التحقيق: تتبع منفذ الشبكة المادية للبوابة الخلوية. وافحص تكوينات جدار الحماية لتحديد سبب تجاوز حركة المرور لضوابط التجزئة.

• النتائج الإيجابية الكاذبة المحتملة: إعادة تفعيل قناة اتصالات احتياطية قديمة أثناء فشل الرابط الأساسي.

إطار عمل مؤشرات الأداء الرئيسية (KPIs) ومؤشرات المخاطر الرئيسية (KRIs) للأمن السيبراني للتكنولوجيا التشغيلية للمياه

لتقييم حالة أمن التكنولوجيا التشغيلية، يجب على مرافق المياه الابتعاد عن مقاييس تكنولوجيا المعلومات العامة (مثل عدد التصحيحات المثبتة) نحو مؤشرات الأداء الرئيسية (KPIs) ومؤشرات المخاطر الرئيسية (KRIs) التي تركز على التكنولوجيا التشغيلية.

مستكشف لوحة معلومات المخاطر ومقاييس التكنولوجيا التشغيلية للمياه التفاعلية

توضح الأداة المفهومية التفاعلية أدناه كيف يمكن لقيادة مرافق المياه ومديري أمن التكنولوجيا التشغيلية تتبع مقاييس الحالة، والتعرض، والمرونة في الوقت الفعلي.

تعريفات المقاييس الأساسية

دليل الاستجابة لحوادث التكنولوجيا التشغيلية للمياه

عند اكتشاف سلوك غير طبيعي للتكنولوجيا التشغيلية أو تغييرات غير مصرح بها في التكوين، يجب على المشغلين والمستجيبين اتباع بروتوكول استجابة منضبط.

المرحلة 1: أول 30 دقيقة (السلامة والاحتواء)

1. منح الأولوية للسلامة الفيزيائية: تحقق من معايير العملية الفيزيائية (مستوى المياه، ضغط النظام، المتبقي من المطهر) باستخدام المقاييس الفيزيائية المحلية، وزجاج الرؤية، والمؤشرات الميكانيكية.

2. تفعيل التجاوز اليدوي للتحكم: حول لوحات المعدات الحيوية من وضع التلقائي (AUTO) إلى اليدوي (HAND). وافصل مخرجات PLC الآلية إذا انحرفت معايير العملية بشكل كبير.

3. عزل أنفاق الوصول عن بعد: افصل روابط الشبكة الخارجية، والبوابات الخلوية، وجدران حماية WAN. أمر بالغ الأهمية: لا تقم بإعادة تشغيل أجهزة PLC/HMIs أو فصل الطاقة عنها، لأن ذلك يمسح الذاكرة المتطايرة (RAM) التي تحتوي على أدلة جنائية رقمية بالغة الأهمية.

المرحلة 2: أول ساعتين (التصنيف وحفظ الأدلة)

1. حفظ الأدلة الرقمية: اجمع لقطات حركة مرور الشبكة (PCAPs) من المحولات المدارة. وأمن سجلات جدار الحماية، وسجلات أحداث المودم الخلوي، ومسارات تدقيق قاعدة بيانات SCADA.

2. تقييم حالة المنطق والمعايير: قارن تكوينات PLC الجارية بملفات مشاريع "الصورة الذهبية" غير المتصلة بالإنترنت لتحديد نقاط الضبط التي تم تغييرها، أو الملفات المعدلة، أو كلمات المرور المحدثة.

3. الإخطار التنظيمي: أخطر الهيئات التنظيمية ذات الصلة (مثل CDPHE في كولورادو، ومكتب المياه التابع لوكالة حماية البيئة EPA، ومركز CISA المركزي، ومراكز دمج المعلومات المحلية) كما تقتضي لوائح مياه الشرب في الولاية.

المرحلة 3: أول 24 ساعة (الإصلاح والاستعادة)

1. استعادة المنطق والتكوين: استعد منطق وتكوين وحدة التحكم من خط أساس موثوق وصحيح عندما يحدد التحقيق والهندسة التشغيلية أن الاستعادة مطلوبة. وتحقق من حالة العملية قبل إعادة المعدات إلى التشغيل الآلي.

2. إعادة تأسيس وصول عن بعد محصن: أعد تكوين البوابات البعيدة لتتطلب أسماء نقاط وصول خاصة (APNs) ومصادقة متعددة العوامل (MFA) مدعومة بالأجهزة قبل إعادة الاتصال بالشبكات المركزية.

3. إجراء اختبار شامل لجودة المياه: نفذ اختبارات معملية كيميائية وميكروبيولوجية كاملة للتحقق بشكل مستقل من سلامة المياه قبل إعادة الأنظمة إلى التشغيل الآلي.

4. 
   

تحذير تشغيلي: خطر فصل النظام المفاجئ

تنبيه حاسم: قد يؤدي سحب كابلات الشبكة عشوائياً أو قطع الطاقة عن شبكات التكنولوجيا التشغيلية أثناء وقوع حادث نشط إلى توقف مفاجئ للعمليات، أو حدوث مطرقة مائية شديدة، أو انفجار أنابيب التوزيع، أو إيقاف الجرعات الكيميائية. ويجب إجراء عزل الشبكة بشكل منهجي، مع ضمان تواجد المشغلين فيزيائياً عند لوحات المعدات للحفاظ على استمرار التحكم اليدوي في العمليات.

النتائج الأمنية في التكنولوجيا التشغيلية للمياه

تكشف حوادث كولورادو عن العديد من الثغرات التقنية الدقيقة التي لا تحظى باهتمام كافٍ في إرشادات الأمن السيبراني السائدة:

1. أجهزة المودم الخلوية كنقاط دخول خفية: غالباً ما تتتبع جرود أصول المرافق أجهزة PLC وخوادم SCADA بينما تتجاهل تماماً البوابات الخلوية غير المدارة التي ينشرها المقاولون الميدانيون.

2. التلاعب بالإنذارات كاستراتيجية تهرب: يدرك المهاجمون أن تعطيل الإنذارات يمنحهم وقتاً أطول للتواجد، مما يحول انحراف العملية الهادئ إلى تدهور تشغيلي غير مراقب.

3. عدم تناظر أمن البروتوكولات: تفتقر البروتوكولات الصناعية القياسية (Modbus، وEtherNet/IP) إلى المصادقة. ويتمتع المهاجم الذي يصل إلى منفذ TCP 502 بالتحكم الإداري الكامل في العملية الفيزيائية دون الحاجة إلى ثغرة استغلال.

4. هشاشة الاستجابة للحوادث عن بعد: يمنع تعطيل بروتوكولات الوصول عن بعد المدافعين عن بعد من تشخيص الهجمات أو التخفيف منها، مما يحول الحادث السيبراني إلى عملية نشر ميدانية تتطلب جهداً لوجستياً كبيراً.

5. العجز عن إثبات سلامة الحالة السابقة: تفتقر معظم المرافق الصغيرة إلى قياسات تاريخية كافية وخطوط أساس للتكوين لتحديد ما إذا كانت التغييرات غير المصرح بها قد حدثت قبل الكشف عنها.

6. تشتت بيانات اعتماد مدمجي الأنظمة: غالباً ما يعيد مقاولو الهندسة استخدام كلمات مرور الصيانة المتطابقة عبر العشرات من العملاء البلديين، مما يخلق نقاط فشل فردية عبر مناطق بأكملها.

7. تراجع مهارات التشغيل اليدوي: مع زيادة أتمتة المرافق، قد يفتقر المشغلون الأصغر سناً إلى الخبرة العملية في تشغيل محطات المعالجة في الوضع اليدوي (HAND) الخالص أثناء انقطاع الخدمة السيبرانية الطويل.

8. نقص قدرات حفظ الأدلة الجنائية الرقمية: تفشل أدلة الاستجابة لحوادث تكنولوجيا المعلومات القياسية في بيئات التكنولوجيا التشغيلية عندما يقوم المستجيبون بإعادة تشغيل أجهزة PLC دون قصد، مما يمسح الذاكرة المتطايرة والأدلة الجنائية.

9. عجز سلامة البرامج الثابتة: تفتقر أجهزة PLC القديمة إلى آليات التمهيد الآمن، مما يسمح للمهاجمين بتحميل برامج ثابتة معدلة أو تعديل كتل الذاكرة دون توليد أخطاء تجزئة تشفيرية.

10. الشعور الزائف بالأمان في الأهداف متناهية الصغر: غالباً ما تفترض الفرق التشغيلية أن صغر حجم السكان يجعلهم غير مثيرين لاهتمام الخصوم الأجانب، دون إدراك أن الفحص الآلي يستهدف عناوين IP المكشوفة وليس أعداد السكان.

الفرضيات التحليلية الاستراتيجية

بعيداً عن التقارير الأساسية عن الحوادث، يجب على كبار محللي التهديدات تقييم أسئلة استراتيجية أوسع تتعلق بنوايا المهاجمين:

1. هل كان هذا تخريباً للعملية أم نزعاً لسلاح المشغل؟ تشير الأدلة إلى أن الجهد التكتيكي الأساسي كان موجهاً نحو تعطيل رؤية المشغل والتحكم فيه (كتم الإنذارات وحظر الوصول عن بعد) بدلاً من التدمير الكارثي الفوري. وعمل تعديل العملية (دورة المضخة) على اختبار ما إذا كان يمكن إحداث تأثيرات فيزيائية بهدوء أثناء كتم حلقات التغذية الراجعة.

2. حقل تجارب للقدرات: تقدم المرافق الصغيرة بيئات منخفضة العواقب للخصوم لتدريب المشغلين، واختبار أدوات فحص التكنولوجيا التشغيلية الآلية، والتحقق من أوامر كتابة البروتوكول ضد الأجهزة التشغيلية دون المخاطرة برد انتقامي عسكري أو دبلوماسي فوري.

3. سلاح سيبراني فيزيائي منخفض التكلفة: تمثل البنية التحتية للمياه بيئة منخفضة التكلفة بشكل استثنائي لعرض القدرات السيبرانية الفيزيائية. ولا يتطلب استغلال وحدة تحكم Modbus مكشوفة أي ثغرات يوم الصفر، أو حداً أدنى من الاستثمار المالي، مع مهارات تقنية أساسية، ومع ذلك يسفر عن تغطية إعلامية وطنية واهتمام حكومي.

   
   

مقارنة البنية التحتية الحيوية عبر القطاعات

تبرز مقارنة قطاع المياه بقطاعات البنية التحتية الحيوية الأخرى القيود التشغيلية الفريدة وملفات المخاطر الخاصة بكل قطاع.

مصفوفة التوافق مع اللوائح والمعايير

يوضح الجدول أدناه نقاط الضعف التشغيلية المحددة المرصودة في حوادث كولورادو مقارنة بمعايير وأطر الأمن السيبراني الصناعي المعمول بها.

خارطة طريق الإصلاح الدفاعي لمدة 30-60-90 يوماً

توفر خارطة الطريق العملية هذه جدولاً زمنياً مهيكلاً لمرافق المياه التي تسعى للقضاء بشكل منهجي على نقاط الضعف التي كشفت عنها حوادث كولورادو.

المرحلة 1: الأيام 0–30 — تقليل التعرض وتحصين الحدود

• الهدف: القضاء على إمكانية الوصول المباشر عبر الإنترنت وتأمين الوصول الإداري عن بعد.

• الإجراءات التقنية:
  
  
  

  1. إجراء عمليات فحص خارجي للتعرض لعنوان IPv4 عبر جميع نطاقات عناوين IP المملوكة للمرافق ومقدمي الخدمة الخلوية باستخدام أدوات مثل Shodan وCensys.

  2. فصل أي جهاز PLC، أو RTU، أو HMI متصل مباشرة بمساحة IPv4 العامة. وإعادة توجيه الاتصالات عبر أسماء نقاط وصول خلوية خاصة (APNs) أو شبكات VPN مشفرة ببروتوكول IPsec.

  3. فرض مصادقة متعددة العوامل الإلزامية (MFA) عبر جميع بوابات الوصول عن بعد وبوابات صيانة البائعين.

  4. تغيير بيانات الاعتماد الإدارية الافتراضية على كل موجه خلوي، وجدار حماية، وجهاز تحكم صناعي.

• الفريق المسؤول: هندسة شبكات التكنولوجيا التشغيلية / عمليات تكنولوجيا المعلومات.

• مؤشر الأداء الرئيسي: 0 أجهزة PLC مكشوفة على الإنترنت؛ وحماية قنوات الوصول عن بعد بنسبة 100% بمصادقة متعددة العوامل.

المرحلة 2: الأيام 31–60 — تجزئة الشبكة وسلامة التكوين

• الهدف: إنشاء حدود رسمية لمناطق الشبكة وتأمين التكوينات الأساسية لوحدة التحكم.

• الإجراءات التقنية:
  
  

  1. تنفيذ تجزئة جدار الحماية لفصل شبكات تكنولوجيا المعلومات الخاصة بالشركات، وإدارة SCADA/HMI، وشبكات PLC الميدانية (نموذج المنطقة/القناة لمعيار ISA/IEC 62443).

  2. استخراج ملفات المنطق من جميع أجهزة PLC النشطة، والتحقق من سلامتها مقارنة بمواصفات خط الأساس، وأرشفة "صور ذهبية" نظيفة في وحدة تخزين آمنة غير متصلة بالإنترنت.

  3. تقييد اتصالات البائعين من الجهات الخارجية بفترات وصول مقيدة زمنياً وعند الطلب تتطلب موافقة صريحة من المشغل.

     
     

• الفريق المسؤول: مدمج الأنظمة / الهندسة في المنشأة.

• مؤشر الأداء الرئيسي: نسخ احتياطي لأجهزة PLC بنسبة 100% بصور ذهبية مؤكدة؛ و0 اتصالات مستمرة ومستمرة للبائعين غير المجزأين.

المرحلة 3: الأيام 61–90 — هندسة الكشف والتحقق من المرونة

• الهدف: نشر مراقبة مدركة للعمليات والتحقق من قدرة التشغيل اليدوي.

• الإجراءات التقنية:
  
  

  1. تفعيل التسجيل على جدران الحماية والمحولات المدارة لالتقاط أوامر كتابة البروتوكول الصناعي (Modbus، وCIP، وS7).

  2. تنفيذ قواعد تنبيه مركز العمليات الأمنية (SOC) للتغييرات غير الطبيعية في تكوين PLC، وتحديثات كلمات المرور، وكتم الإنذارات.

  3. إجراء تمرين طاولة واختبار تشغيلي يختبر قدرة المنشأة على العمل في الوضع اليدوي (HAND) لمدة 48 ساعة متتالية دون أنظمة SCADA الآلية.

• الفريق المسؤول: فريق SOC / مشغلو المنشأة / رئيس أمن المعلومات (CISO).

• مؤشر الأداء الرئيسي: التحقق من MTTMT (متوسط وقت الاستحواذ اليدوي) في أقل من 15 دقيقة؛ وتطبيق دليل الاستجابة للحوادث عملياً.

الآثار المترتبة على التنفيذيين وأصحاب المصلحة

تتطلب الهجمات السيبرانية التي تستهدف التكنولوجيا التشغيلية الحيوية قيادة منسقة عبر الأدوار التقنية والتشغيلية والتنفيذية.

إرشادات للمسؤولين التنفيذيين وأعضاء مجلس الإدارة

• المدير العام / المدير التنفيذي: يجب إدراك أن الأمن السيبراني للتكنولوجيا التشغيلية هو مسؤولية سلامة عامة أساسية، وليس مجرد نفقات تكنولوجيا معلومات. وتأكد من أن ميزانيات المرافق الصغيرة تمنح الأولوية للوصول الآمن عن بعد والشبكات الخلوية الخاصة.

• رئيس أمن المعلومات (CISO): يعد سد الفجوة بين تكنولوجيا المعلومات والتكنولوجيا التشغيلية أمراً أساسياً. وتأكد من امتداد مراقبة أمن تكنولوجيا المعلومات إلى شبكات التكنولوجيا التشغيلية من المستوى 1 والمستوى 2 دون إدخال آليات حظر آلي معطلة قد تؤدي إلى زعزعة استقرار العمليات الفيزيائية.

• مدير عمليات المنشأة: حافظ على قدرة التشغيل اليدوي. الأتمتة هي أداة كفاءة، لكن التجاوزات اليدوية هي شبكة أمان أساسية. ودرب المشغلين بانتظام على الجرعات الكيميائية اليدوية وإدارة الصمامات.

التقييم التحليلي النهائي

تركيب التقييم الشامل

• ما حدث بالتأكيد: في أواخر أغسطس 2026، اخترقت جهات تهديد سيبراني أجنبية أنظمة التكنولوجيا التشغيلية لمرفقين صغيرين للمياه يداران بشكل خاص في كولورادو. وتفاعل المهاجمون مباشرة مع معدات التحكم، حيث قاموا بتعديل دورات المضخات، وتغيير الإعدادات، وكتم إنذارات النظام، وإنهاء الوصول الإداري عن بعد. واكتشف المشغلون الاختلالات بسرعة، وفرضوا التحكم اليدوي المحلي، واستعادوا التكوينات دون أي تأثير على الصحة العامة أو تدهور جودة المياه.

• ما حدث على الأرجح: من المرجح أن الاختراقات تمت عبر أجهزة مودم خلوية مكشوفة على الإنترنت أو واجهات تحكم مباشرة تركت دون مصادقة على عناوين IPv4 عامة، وتم تحديدها عبر فحص آلية واسع للمنافذ. ونفذ المهاجمون أوامر كتابة بروتوكول صناعي قياسية غير مصادق عليها لتغيير معايير التحكم مع نزع سلاح رؤية المدافع والوصول عن بعد بشكل منهجي.

• ما يزال مجهولاً: لم يتم العثور على أدلة عامة موثوقة لتحديد الهوية المحددة للدولة الراعية للمهاجمين، أو طرازات أجهزة PLC/HMI الخاصة بالبائعين المعنيين، أو سجلات الأدلة الجنائية الدقيقة من شبكات الضحايا.

• تقييم الإسناد: على الرغم من أن تقنيات الهجوم تشبه إلى حد كبير الأساليب الموثقة التي تنفذها المجموعات المدعومة من إيران (مثل CyberAveng3rs) والتي تستهدف البنية التحتية للمياه في الولايات المتحدة طوال عامي 2024–2026، فإن الإسناد التقني المباشر لاختراقات كولورادو لا يزال غير مؤكد. ويجب على المدافعين التركيز على إصلاح الضعف الهيكلي الأساسي، وهو أجهزة التحكم المكشوفة على الإنترنت، بدلاً من الاعتماد فقط على توقيعات جهات التهديد.

• الخلاصة الاستراتيجية: تؤكد حوادث كولورادو أن جهات تهديد البنية التحتية الحيوية قد انتقلت من الاستطلاع السلبي واختراقات تكنولوجيا المعلومات الإدارية إلى التلاعب المباشر بالمعايير السيبرانية الفيزيائية ونزع سلاح المدافعين. ومن خلال استهداف مرافق المياه الصغيرة، يستغل الخصوم قيود الموارد النظامية لإجراء اختبارات تشغيلية منخفضة التكلفة. ويجب على مدافعي البنية التحتية الحيوية إزالة أجهزة PLC فوراً من الوصول العام إلى الإنترنت، وفرض مصادقة متعددة العوامل على جميع قنوات الوصول عن بعد، والحفاظ على قدرات تشغيل يدوية قوية.

نقدم أداة فريدة لمرافق المياه لتقييم حالتها الأمنية في أقل من 24 ساعة.

مراجع إضافية

1. SecurityWeek: تعرض مرافق المياه في كولورادو لهجمات سيبرانية تستهدف أنظمة التكنولوجيا التشغيلية (نُشر في 21 سبتمبر 2026). تقارير أولية عن إفصاحات الولاية بشأن تعديلات دورة المضخة، وقطع الوصول عن بعد، وكتم الإنذارات.

2. مكتب حاكم كولورادو جاريد بوليس / إدارة الصحة العامة والبيئة في كولورادو (CDPHE): بيانات رسمية من الولاية صدرت لقناة KRDO News وصحيفة The Denver Post تؤكد تورط جهات أجنبية في مرفقين خاصين يخدمان أقل من 200 مقيم لكل منهما، مع عدم وجود تأثير على جودة المياه.

3. تحذيرات الأمن السيبراني المشتركة بين CISA / FBI / EPA لعامي (2024–2026): الدفاع عن التكنولوجيا التشغيلية ضد نشاط التهديد المدعوم من إيران وأبرز نقاط التعرض السيبراني في أنظمة المياه ومياه الصرف الصحي، مع تفصيل مخاطر أجهزة PLC المكشوفة على الإنترنت، وأجهزة المودم الخلوية، وبيانات الاعتماد الافتراضية.

4. FacilitiesDive: ما نعرفه عن حملة الاختراق ضد أنظمة المياه في الولايات المتحدة (نُشر في 25 أغسطس 2026). تغطية لهجمات المياه على مستوى البلاد في شهري يوليو وأغسطس 2026 والتي أثرت على أكثر من 100 نظام مكشوف عبر 12 ولاية (بما في ذلك مينيسوتا وميشيغان وجورجيا).

5. مستودع معلومات التهديدات / Infracritical: بيانات التتبع التشغيلي ومؤشرات تقنية مجمعة بشأن تعرض أجهزة PLC لقطاع المياه عبر البوابات الخلوية (2026).

6. سلسلة معايير ISA/IEC 62443: الأمن لأنظمة الأتمتة والتحكم الصناعي — مبادئ تصميم المنطقة والقناة ومتطلبات أمن النظام (SRs).

7. NIST SP 800-82 المراجعة 3: دليل أمن التكنولوجيا التشغيلية (OT)، المعهد الوطني للمعايير والتكنولوجيا.