الدروس المستفادة من الهجوم السيبراني على المطارات الأوروبية: لقد تجنبنا مصيبة كبيرة

كشفت الهجمات الأخيرة على المطارات الأوروبية عن نقاط ضعف في النظم والإجراءات والاستجابة للحوادث، وهي لا تقتصر على المطارات في أوروبا وحدها، بل تتشاركها العديد من المطارات حول العالم. اليوم، لم يعد بإمكاننا أن نرى حماية البنية التحتية الحساسة من منظور اكتشاف التهديدات والمرونة فحسب. بدلاً من ذلك، تحتاج البنى التحتية مثل المطارات إلى إدارة التهديدات والاستجابة للحوادث والعودة إلى العمل بأقل قدر من التعطيل في أقصر فترة زمنية ممكنة.

في شيلدوركز، تحدثنا سابقًا عن الجهة المهاجمة والقوى الجيوسياسية وراء الهجوم. هذا المنشور ليس عن ذلك. بدلاً من ذلك، نقدم في هذا المقال نظرة على نقاط الضعف النظامية التي تعرض البنية التحتية الحساسة لمثل هذه الهجمات في المقام الأول. يهدف هذا المنشور إلى التعلم معًا حول كيفية عمل النظام البيئي معًا لمنع مثل هذه الحوادث من خلال التعلم من الماضي. ولا يهدف هذا المنشور إلى لوم أي طرف ولكن بدلاً من ذلك للعمل معًا لمنع تكرار مثل هذه الحوادث في المستقبل.

الأعطال النظامية

تسبب الهجوم السيبراني في فشل في نظام بيئة مستخدم متعدد (Muse) الذي أدى إلى سلسلة من الإغلاق أثرت على العديد من الأنظمة المهمة مثل العمليات الأرضية وتسجيل الركاب والسيور الناقلة. يعتبر اضطراب بهذا الحجم عبر 4 مطارات رئيسية ذا تكلفة اقتصادية ويمكن أن يتسبب أيضًا في حدث حركي أو حتى هجوم إرهابي أو عدة اختراقات غير مصرح بها أثناء انشغال الموظفين بالتعامل مع عواقب الحادث الأصلي.

هذه ليست إمكانية بعيدة المنال أو غير قابلة للتصور. أيام معارك الطائرات الفردية أو الفضاء قد انتهت منذ زمن طويل. اليوم، تتفاعل القوى الجيوسياسية عبر مستويات متعددة في نفس الوقت لتجاوز الدفاعات واستغلال الفجوات الأصغر لإحداث حدث كبير. كما أظهرنا في تقريرنا السابق عن الهجوم السيبراني الأخير، تمتد جذور هذا الحادث بعمق إلى الأحداث التي وقعت في المنطقة قبل أيام قليلة. يجب علينا أن ننظر إلى الحوادث السيبرانية من خلال تخصيص السياق المناسب لفهم أهداف ودوافع الجهات المهددة.

تشمل العيوب النظامية التي تعرضت لها الحادثة:

· تأخر في الاستجابة للحوادث

· عدم وجود أنظمة احتياطية ودعم تشغيلي لمواصلة العمليات

· انعدام رؤية التشغيل وسلسلة التوريد

· انعدام أنظمة الطُعم لتشتيت الهجمات الواردة وتشويش الموجهات السيئة والفاعلين الخطرين

الآن دعونا نلقي نظرة على كل من هذه الجوانب بالتفصيل.

تأخر الاستجابة للحوادث

جميع المطارات المعنية لم تستجب للحوادث بسرعة مما أدى إلى الفوضى التي أدت إلى توقف حوالي 140 رحلة. إذا كانت المطارات المعنية قد قامت بتقييم جاهزيتها للتعامل مع مثل هذا الحادث ومعالجة الثغرات، كان من الممكن احتواء هذا الحادث بشكل أسرع.

يجب على الاستجابة للحوادث النظر في نقطة فشل واحدة بالإضافة إلى الفشل المتسلسل، ويجب على دليل الإجراءات أن يتضمن استجابات تشغيلية وخطط بديلة لكلاهما. في الحالة الأولى، يجب التعرف على جميع البرامج والعمليات وتحديدها لإجراءات IR محددة في حالة الفشل. يجب أن تُجرى استجابة IR بشكل أسرع في مثل هذه الحالات حيث أن أي تأخير يمكن أن يؤدي إلى تأثر المزيد من الأنظمة والعمليات.

في حالة الفشل المتسلسل حيث تستهدف أنظمة متعددة، يجب أن يكون التركيز على إعادة الأنظمة للخدمة تدريجياً مع التأكيد الكامل على السيطرة على التهديد. في كلا الحالتين، نوصي بتجربة استراتيجيات الاستجابة للحوادث، والأدلة، والإجراءات عبر السيناريوهات والتوقيتات لبناء ذاكرة عضلية للاستجابة للحوادث (سنغطي هذا بالتفصيل في منشور مدونة لاحق). كما ستساعد التدريبات المتكررة في القضاء على الذعر أو السلوك المندفع للموظفين. علاوة على ذلك، مع تحديد واضح للأدوار والمسؤوليات، ستتمكن الفرق من تصنيف الحوادث والاستجابة لها بدقة أكبر وفي الوقت المناسب.

لهذا السبب توصي Shieldworkz بمحاكاة استجابة الحوادث الغامرة. هنا تُختبر كل جانب من جوانب استجابة الحوادث في بيئة تستمر بالتفاقم لاختبار عمق استراتيجيات وإجراءات استجابة الحوادث. دعني أعرف إذا كنت مهتمًا بمعرفة المزيد عن تمرين استجابة الحوادث المصمم خصيصًا لأعمالك.

نقص الأنظمة الاحتياطية والدعم التشغيلي لمواصلة العمليات

كما رأينا، حاولت المطارات المتضررة بذل قصارى جهدها لمواصلة العمل إلى أقصى حد ممكن أثناء الحادث لكنها لم تكن قادرة على ذلك. كان يفتقرون إلى الأنظمة الاحتياطية والبدائل التي يمكن تشغيلها لتحويل الخدمات إليها. يمكن لمثل هذه الأنظمة أن تساعد فرق الاستجابة للحوادث على التركيز أكثر على الاحتواء وإجراءات التصحيح وتقليل الفوضى. هذا التركيز يمكن أن يثبت أنه أصل لا يقدر بثمن عند التعامل مع أي منظمة مع حادث سيبراني والأزمة التي تليه.

عدم وجود رؤية تشغيلية وسلسلة توريد

هذه مشكلة شائعة تفاقم التحديات الأمنية. بدون وجود رؤية كافية تتجاوز قائمة المواد البرمجية (SBoM) وقائمة المواد المادية (HBoM) من حيث ممارسات الأمن السيبراني الفعلية التي يتبعها نظام البائع وعدم توفر مجموعة أساسية من الممارسات الأمنية يتبعها النظام البيئي ككل، يصبح من الصعب تأمين الأصول والبنية التحتية.

انعدام أنظمة الطُعم لتشتيت الهجمات الواردة وتشويش الموجهات السيئة والفاعلين الخطرين

من خلال نشر أنظمة الطُعم، يمكن تشتيت وتحويل الهجمات إلى بيئات محاكاة حيث يمكن دراسة تقنيات التكتيكات والإجراءات والتهديدات (TTPs) والموجهات الخطرة بالتفاصيل. تضمن هذه البيئات أمان النظام الأساسي وتقلل العبء على فرق الأمان من خلال:

· منع الهجمات على الأنظمة الفعلية

· تمكين دراسة الهجمات. يمكن استخدام التكتيكات والإجراءات والتهديدات (TTPs) التي يتم تحقيقها لإضافة ممارسات الاستجابة للحوادث إلى دليل إجراءات الاستجابة (IR playbook)

· إحباط الفاعلين الخطيرين من خلال إجبارهم على إهدار دورات الهجوم على أهداف زائفة

سيكون تقييم المخاطر والفجوات المستند إلى IEC 62443 لتقييم حالة أمن البنية التحتية ومستوى الأمان السائد مفيدًا جداً أيضًا.

أخيرًا، لا شيء يمكن أن يتفوق على مراقبة البنية التحتية المستندة إلى الذكاء الاصطناعي الوكيل والتي تقدمها الجهات المزودة لحماية التكنولوجيا التشغيلية كـ Shieldworkz.

من خلال الاعتماد على مجموعة من هذه التكتيكات والاستراتيجيات، يمكن لمشغلي البنية التحتية الحساسة التأكد من أن استراتيجيات الاستجابة للحوادث لديهم تبقى في أفضل حالاتها وأفضل الظروف للدفاع ضد الهجمات السيبرانية المتقدمة.