إتقان NERC CIP-015: دليل لمراقبة أمن الشبكة الداخلية (INSM) لنظام الكهرباء الشامل

شبكة الكهرباء هي شريان حياة أساسي وتأمينها ضد التهديدات السيبرانية هو أمر لا يقبل التفاوض. تقع معايير حماية البنية التحتية الحيوية (CIP) التابعة لمؤسسة شمال أمريكا لأمن الكهرباء (NERC) في أساسيات هذا الدفاع. من بينها، NERC CIP-015-1: الأمن السيبراني، مراقبة أمن الشبكة الداخلية (INSM) هو طبقة حماية حيوية تركز على اكتشاف التهديدات التي اجتازت بالفعل الدفاعات المحيطية.

سيعمل نشرة اليوم كدليل وسيوضح أساسيات وضروريات NERC CIP-015، مع التركيز على كيفية اكتشاف وتقييم والاستجابة بشكل فعال للانحرافات في الشبكة لضمان الامتثال وتعزيز بيئة التكنولوجيا التشغيلية (OT) الخاصة بك.

كيف يمكن أن تقلل عمليات المخاطر على خطوط الأنابيب؟ اقرأ مقالنا لتتعرف على نهج شامل.

لِنبدأ على الفور.

ما هو NERC CIP-015؟

يفرض NERC CIP-015 أن تقوم الكيانات المسؤولة بتطوير وتنفيذ برنامج لـمراقبة أمن الشبكة الداخلية (INSM). الفكرة الرئيسية بسيطة لكنها قوية: لا يمكنك الاعتماد فقط على الدفاعات المحيطية. يجب أن تكون لديك رؤية داخلية في شبكتك لاكتشاف النشاط الخبيث الذي قد يكون تسلل.

ينطبق هذا المعيار على أنظمة السيبر ذات التأثير الكبير والمتوسط للنظام الكهربائي الشامل (BES). الهدف الأساسي هو ضمان أن الكيانات يمكنها اكتشاف والاستجابة لنشاط الشبكة الشاذ، بما في ذلك الاستطلاع المحتمل، والاتصالات والتحكم (C2)، والحركة الجانبية من قبل مهاجم داخل حدود الشبكة الموثوق بها.

يتطلب المعيار من الكيانات إنشاء خط أساس لحركة المرور الطبيعية للشبكة. هذا الخط الأساسي هو الأساس الذي يستند إليه استراتيجيتك الكاملة للمراقبة. بدون معرفة ما هو الطبيعي، من المستحيل تحديد ما هو غير طبيعي.

اكتشاف، تقييم، والاستجابة للانحرافات

تدور CIP-015 حول دورة من ثلاث خطوات: الاكتشاف، التقييم، والاستجابة. لِنستكشف كل مرحلة.

الاكتشاف: اكتشاف الأشياء غير المرئية

الخطوة الأولى هي مراقبة شبكتك الداخلية بشكل مستمر للنشاط الذي يختلف عن خط الأساس الذي أنشأته. يجب أن تكون استراتيجية الاكتشاف مصممة للكشف عن مجموعة متنوعة من التهديدات المحتملة.

· إنشاء خط أساس للشبكة: قبل أن تتمكن من اكتشاف الانحرافات، يجب عليك تعريف ما يبدو عليه "الطبيعي". يتضمن ذلك التقاط وتحليل حركة مرور الشبكة على مدى فترة لفهم الأنماط التقليدية للاتصالات، والبروتوكولات المستخدمة، واتصالات الأجهزة، وحجم تدفق البيانات بين أنظمة السيبر (BES) الخاصة بك.

· مراقبة الأحداث الأمنية: يجب أن يكون حلك لـ INSM قادرًا على اكتشاف أنواع معينة من الأحداث، بما في ذلك:

· الاستطلاع: مهاجم يقوم بمسح شبكتك لتحديد الأصول، المنافذ المفتوحة، والثغرات.

· الاتصالات الخارجية غير المتوقعة: جهاز مخترق يتواصل مع خادم أوامر وتحكم خارجي.

· الاتصالات الداخلية الشاذة: محطة عمل تحاول الاتصال بعنصر تحكم منطق قابل للبرمجة (PLC) لم تتواصل معه من قبل.

· استخدام بروتوكول غير مصرح به: وجود بروتوكولات مثل FTP أو Telnet في أماكن غير متوقعة أو غير مسموح بها.

· الاستفادة من أدوات المراقبة: استخدام أدوات مثل أنظمة اكتشاف التسلل مثل Shieldworkz (NDR)، وأنظمة إدارة معلومات وأحداث الأمن (SIEM) مع وصلات خاصة بالتكنولوجيا التشغيلية، ومنصات مراقبة أمن الشبكة (NSM) التي تفهم البروتوكولات الصناعية (مثل Modbus، DNP3، IEC 61850).

التقييم: عزل الضوضاء عن التهديدات

ليس كل انحراف يُعتبر هجومًا خبيثًا. يمكن لتغيير في الشبكة، أو جهاز جديد، أو خطأ في التكوين إثارة التنبيهات. مرحلة التقييم حيوية لفرز هذه التنبيهات لتحديد ما إذا كانت تشكل حادثة أمن سيبرانية حقيقية.

· فرز التحقيقات: عند اكتشاف انحراف، يجب أن تقوم فرق الأمن بإجراء التحقيقات. يتضمن ذلك تحليل حزم البيانات التي تم التقاطها (PCAPs)، مراجعة السجلات، وربط الحدث بنقاط بيانات أخرى لفهم السياق.

· تقييم التأثير: تحديد التأثير المحتمل أو الحالي للحدث. هل يؤثر على نظام واحد أو عدة أنظمة؟ هل يمثل خطرًا على التشغيل الموثوق للنظام الكهربائي الشامل (BES)؟

· الإعلان عن حادثة: بناءً على الأدلة التي تم جمعها خلال التحقيق، يجب أن يكون لديك عملية واضحة للإعلان رسمياً عن حادثة أمن سيبرانية، وهو ما سيؤدي إلى التعليق على خطة الاستجابة لديك.

الاستجابة: اتخاذ إجراءات سريعة وحاسمة

بمجرد الإعلان عن حادثة أمن سيبرانية، يكون من الضروري أن تتخذ استجابة سريعة ومنسقة لاحتواء التهديد واستعادة العمليات الطبيعية. يجب أن تتماشى استجابتك مع خطة الاستجابة للحوادث الخاصة بالكيان الخاص بك كما هو مطلوب من معايير NERC CIP الأخرى (مثل CIP-008).

· الاحتواء: الأولوية الأولى هي إيقاف النزيف. قد يتضمن ذلك عزل الأنظمة المتأثرة عن الشبكة، حجب عناوين IP الخبيثة، أو تعطيل حسابات المستخدم المخترقة.

· القضاء والاستعادة: بعد الاحتواء، يجب إزالة التهديد من بيئتك. قد يتضمن ذلك إعادة تجهيز الأنظمة، الاستعادة من نسخ احتياطية نظيفة، وتجميع الثغرات. الهدف هو إعادة الأنظمة بأمان إلى حالة جيدة معروفة.

· التبليغ: لدى NERC متطلبات تبليغ محددة. يجب توثيق الحادثة والتبليغ عنها إلى مركز مشاركة معلومات وتحليل الكهرباء (E-ISAC) والسلطات الأخرى ذات الصلة وفقًا للجدول الزمني التنظيمي.

قائمة تدقيق الامتثال بـ NERC CIP-015 INSM

يمكنك استخدام هذه القائمة كنقطة انطلاق لتطوير أو تدقيق برنامج NERC CIP-015 الخاص بك. لمزيد من المعلومات، تحدث إلى Shieldworkz.

1. تطوير البرنامج وتوثيقه

· [ ] هل لديك برنامج INSM موثق؟

· [ ] هل يُعرف في البرنامج نطاق الأصول المراقبة (جميع أنظمة السيبر المتوسطة والعالية التأثير للنظام الكهربائي الشامل)؟

· [ ] هل تمت الموافقة على البرنامج من قبل مدير CIP كبير؟

2. تحديد الأسس

· [ ] هل قمت بإنشاء خط أساس لحركة المرور الطبيعية للشبكة للبيئة التي يشملها؟

· [ ] هل هناك عملية لمراجعة وتحديث الخط الأساسي بشكل دوري أو بعد تغييرات كبيرة في الشبكة؟

3. المراقبة والاكتشاف

· [ ] هل هناك حل INSM (مثل IDS، NSM) موضوعة لمراقبة حركة المرور الداخلية للشبكة؟

· [ ] هل تم وضع قواعد واكتشافات لتحديد الاستطلاع المحتمل، والاتصالات غير المصرح بها والأنماط المرورية الشاذة؟

· [ ] هل يتم جمع السجلات والتنبيهات من حل INSM وإرسالها إلى منصة تحليل مركزية (مثل SIEM)؟

· [ ] هل هناك عملية محددة لمراقبة هذه التنبيهات على مدار الساعة طوال أيام الأسبوع؟

4. التقييم والاستجابة

· [ ] هل هناك إجراء موثق لتقييم الانحرافات المكتشفة؟

· [ ] هل يُعرّف الإجراء معايير لإعلان حادثة أمن سيبرانية؟

· [ ] هل تمت دمج عملية تقييم INSM مع خطة استجابتك الشاملة للحوادث (كما هو منصوص عليه في CIP-008)؟

· [ ] هل تم تدريب الأفراد على إجراءات التقييم والاستجابة؟

5. حفظ السجلات

· [ ] هل تحتفظ بسجلات لبرنامج INSM الخاص بك، وبيانات الخط الأساسي، والانحرافات المكتشفة كما هو مطلوب؟

· [ ] هل تحتفظ بسجلات لأفعال استجابة الحوادث لأغراض التدقيق؟

من خلال معالجة هذه النقاط بشكل منهجي عبر شريك أمني OT/ICS مثل Shieldworkz، يمكنك بناء برنامج INSM قوي لا يلبي فقط متطلبات NERC CIP-015 بل يقوي بشكل كبير أيضًا أمان ومرونة عملياتك الحرجة.

تحدث إلى خبير NERC CIP الخاص بنا للحصول على استشارة مجانية.