لقد واجه كل مدير مصنع هذا الموقف من قبل؛ حيث يصل المورد لإجراء الصيانة المجدولة، ويقوم بتوصيل محرك أقراص USB في واجهة الآلة البشرية (HMI) لتحميل تحديث برنامج ثابت (firmware)، ثم يغادر دون تفكير ثانٍ. لا أحد يتوقف ليتساءل عما قد يكون محمولاً على هذا المحرك. هذه اللحظة الروتينية البسيطة هي واحدة من أكثر نقاط الدخول استمراراً وتقليلاً من شأنها للحوادث السيبرانية في البيئات الصناعية اليوم.

لقد كانت الوسائط القابلة للإزالة هي طريقة التسليم وراء بعض أكثر الهجمات تدميراً على أنظمة التحكم الصناعية في التاريخ. وتظل واحدة من المسارات القليلة القادرة على سد فجوة الشبكة المعزولة (air-gapped)، وتجاوز الدفاعات المحيطية بالكامل. وهذا هو السبب الدقيق وراء تركيز معيار IEC 62443، وهو المعيار المعترف به دولياً لأمن أنظمة الأتمتة والتحكم الصناعية (IACS)، بشكل مباشر على التحكم في الوسائط المحمولة وفحصها قبل أن تلمس التكنولوجيا التشغيلية (OT).

قبل أن نمضي قدماً، لا تنسَ الاطلاع على منشور مدونتنا السابق حول إتقان معيار NIST SP 800-18 الإصدار الثاني: هنا

يستعرض هذا الدليل ما يعنيه فحص الوسائط فعلياً في سياق التكنولوجيا التشغيلية (OT)، ولماذا يعامله معيار IEC 62443 كعنصر تحكم أساسي وليس كفكرة ثانوية، وكيف يبدو برنامج التعامل مع الوسائط الناضج والمتوافق في الممارسة العملية. وسواء كنت تقوم بوضع خارطة طريق للامتثال، أو تستعد لعملية تدقيق، أو تحاول ببساطة سد ثغرة معروفة في دفاعاتك، فإن هذا هو الفهم الأساسي الذي يحتاجه كل قائد لأمن التكنولوجيا التشغيلية.

ما هو فحص الوسائط في الأمن السيبراني للتكنولوجيا التشغيلية (OT)؟

يشير فحص الوسائط، في سياق التكنولوجيا التشغيلية، إلى العملية المنظمة لفحص أجهزة التخزين القابلة للإزالة، ومحركات أقراص USB، وأقراص الصلب الخارجية، وبطاقات SD، والأقراص المضغوطة (CDs)، وأي جهاز محمول يحمل بيانات، قبل السماح بتوصيلها بشبكات أنظمة التحكم أو نقاط النهاية.

وعلى عكس الفحص النموذجي لتكنولوجيا المعلومات في المؤسسات (IT)، والذي يتم تشغيله عادةً بصمت في الخلفية على كمبيوتر محمول للشركة، فإن فحص وسائط التكنولوجيا التشغيلية (OT) يجب أن يأخذ في الاعتبار بيئة مختلفة تماماً. فغالباً ما تشغل أنظمة التحكم أنظمة تشغيل قديمة، وبروتوكولات ملكية خاصة، ومعدات لا تتحمل عمليات إعادة التشغيل غير المخطط لها أو التأثير على الأداء. لذا، يحتاج حل فحص الوسائط الخاص بالتكنولوجيا التشغيلية إلى اكتشاف البرامج الضارة، وأنواع الملفات غير المصرح بها، وانتهاكات السياسات دون تعريض التوفر أو السلامة للخطر على الإطلاق.

يتضمن فحص الوسائط في البيئات الصناعية في جوهره عادةً ما يلي:

• اكتشاف البرامج الضارة والتوقيعات - تحديد الكود البرمجي الضار المعروف، بما في ذلك عائلات البرامج الضارة الخاصة بالتكنولوجيا التشغيلية والمصممة لاستهداف أجهزة PLC، وRTU، وأنظمة SCADA.

• التحليل السلوكي والاستدلالي - تحديد سلوك الملفات المشبوهة حتى في حالة عدم وجود توقيع معروف.

• التحقق من نوع الملف ومحتواه - ضمان السماح فقط بتنسيقات وتكوينات الملفات المعتمدة.

• إنفاذ السياسة - حظر الأجهزة غير المصرح بها تماماً، بغض النظر عن نتائج الفحص.

• إنشاء سجلات ومسار تدقيق - تسجيل كل حدث فحص لأغراض الامتثال والتحليل الجنائي للبيانات.

الهدف بسيط في صياغته ولكنه صعب في تنفيذه بشكل جيد: لا يدخل أي شيء إلى بيئة التكنولوجيا التشغيلية من خلال الوسائط القابلة للإزالة ما لم يتم التحقق من سلامته، والترخيص له، وتسجيله.

سير عمل فحص الوسائط - إدخال الجهاز، العزل، الفحص، التحقق، التسجيل، والنقل المصرح به

لماذا يعامل معيار IEC 62443 الوسائط القابلة للإزالة كعنصر تحكم ذي أولوية

تم تطوير معيار IEC 62443 خصيصاً لأن أطر أمن تكنولوجيا المعلومات التقليدية لا تنطبق بدقة على البيئات الصناعية. وينقسم المعيار عبر عدة أجزاء تغطي الحوكمة (62443-2-1)، ومتطلبات النظام (62443-3-3)، والمتطلبات على مستوى المكونات (62443-4-2)، ويتغلغل التحكم في الوسائط القابلة للإزالة عبر طبقات متعددة من هذه الهيكلية.

السبب وراء ذلك واضح ومباشر؛ فالفجوات الهوائية (Air gaps)، التي لطالما اعتُبرت المعيار الذهبي لحماية التكنولوجيا التشغيلية، نادراً ما تكون مطلقة في الواقع العملي. حيث تخلق أنشطة الصيانة، وتحديثات البرامج الثابتة، وعمليات النقل من محطات عمل الهندسة، وزيارات الموردين من جهات خارجية، أسباباً مشروعة للوسائط المادية لعبور الحدود بين تكنولوجيا المعلومات والتكنولوجيا التشغيلية، أو بين شبكة تكنولوجيا تشغيلية معزولة والعالم الخارجي. وكل عملية عبور مشروعة من هذه العمليات هي أيضاً ناقل هجوم محتمل.

تتضمن المتطلبات الأساسية (FRs) لمعيار IEC 62443 الأكثر صلة بالتعامل مع الوسائط ما يلي:

بدلاً من فرض تقنية محددة بعينها، يركز معيار IEC 62443 على النتائج: التحكم في ما يدخل إلى بيئتك، والتحقق منه قبل توصيله، والاحتفاظ بمسار موثق يثبت اتباع العملية باستمرار. وهذا ما يجعل فحص الوسائط متطلباً للامتثال في جوهره، حتى في الحالات التي لا يتم فيها توضيح ذلك بالاسم الصريح في كل بند.

المخاطر والتحديات ورؤى القطاع الصناعي

سابقة من الواقع العملي: كيف شكلت الوسائط القابلة للإزالة تاريخ الأمن السيبراني الصناعي

التهديدات المنقولة عبر الوسائط ليست نظرية. فبعض من أكثر الأحداث الأمنية تأثيراً على أنظمة التحكم الصناعية (ICS) في العقدين الماضيين يعود تاريخها إلى أجهزة التخزين المحمولة.

تضمنت إحدى الحالات الأولى والأكثر دراسة على نطاق واسع برامج ضارة متطورة تم تصميمها خصيصاً لاستهداف أنظمة التحكم الصناعية، وتم اكتشافها في عام 2010 تقريباً. وقد تم تصميمها لتنتشر عبر محركات أقراص USB المصابة، مما سمح لها بالانتقال عبر الشبكات المعزولة التي لا تتمتع باتصال مباشر بالإنترنت. وكانت هذه الخاصية الفريدة، وهي القدرة على الانتقال مادياً بدلاً من الشبكة، هي ما جعل الهجوم فعالاً للغاية ضد المنشآت التي كانت تعتقد أن العزل بمفرده يمثل حماية كافية.

وبعد سنوات، أظهرت البرامج الضارة المصممة خصيصاً للتدخل في أنظمة السلامة الصناعية درساً مشابهاً: يدرك المهاجمون أن محطات عمل السلامة والهندسة، والتي غالباً ما تكون نفس الأجهزة المستخدمة لتحميل التكوينات من الوسائط القابلة للإزالة، هي أهداف عالية القيمة لأنها تقع عند تقاطع الراحة والوظيفة الحيوية.

وحتى خارج نطاق الحوادث المرتبطة بالبرامج الضارة، فإن الحوادث المدفوعة من الداخل والتي تنطوي على وصول غير مصرح به إلى أنظمة التحكم، مثل الحالة الموثقة جيداً لمتعاقد سابق ساخط تلاعب بنظام مياه الصرف الصحي في أستراليا في أوائل العقد الأول من القرن الحادي والعشرين، تعزز مبدأً ذا صلة: لا يمكن أن يكون التحكم في الوصول والمراقبة حول واجهات نظام التحكم، بما في ذلك الواجهات المادية والقابلة للإزالة، فكرة ثانوية.

تشترك هذه الحالات في قاسم مشترك. ففي كل منها، لم يبدأ الاختراق باختراق متطور للشبكة. بل بدأ بشيء مادي، شيء اعتبره الموظف أو المورد روتينياً، وشيء لم تكن هناك خطوة تحقق مطبقة عليه.

لماذا يستمر هذا الخطر في المنشآت الحديثة

على الرغم من الوعي الواسع بهذه الحوادث التاريخية، فإن مخاطر الوسائط القابلة للإزالة لم تختفِ. بل تطورت إن لم يكن أكثر من ذلك.

• الاعتماد على الموردين والشركات المصنعة للمعدات الأصلية (OEM): تعتمد معظم المنشآت الصناعية على موردين من جهات خارجية لتحديثات البرامج الثابتة والتشخيص والصيانة، ولا يزال العديد من هؤلاء الموردين يستخدمون محركات أقراص USB كطريقة نقل افتراضية لديهم.

• قيود الأنظمة القديمة: غالباً ما تفتقر أجهزة PLC، وHMI، ومحطات العمل الهندسية الأقدم إلى الدعم الأصلي لمكافحة الفيروسات أو القدرة المعالجة للفحص في الوقت الفعلي، مما يجعل نقل الوسائط أحد مسارات التحديث العملية القليلة المتاحة.

• افتراضات الفجوة الهوائية (Air-gap): لا تزال العديد من فرق العمل في المنشآت تتعامل مع عزل الشبكة كحدود أمنية كاملة، بينما في الممارسة العملية لا يعالج ذلك سوى التهديدات المستندة إلى الشبكة، وليس التهديدات المادية.

• إنفاذ السياسات بشكل غير متسق: حتى في حالة وجود سياسة للوسائط على الورق، غالباً ما يعتمد الإنفاذ على الامتثال اليدوي بدلاً من الضوابط التقنية.

• فجوات الرؤية: بدون بنية تحتية مخصصة للفحص، غالباً ما تفتقر فرق الأمن إلى أي سجل للأجهزة التي تم توصيلها، أو توقيت ذلك، أو من قام بذلك.

تأثير الأعمال الناتج عن عدم معالجة هذا الأمر بشكل صحيح

بالنسبة لصناع القرار الذين يقيمون مكان استثمار ميزانية الأمن المحدودة، فإنه من المفيد صياغة مخاطر الوسائط القابلة للإزالة من حيث العواقب التشغيلية والمالية بدلاً من المصطلحات التقنية البحتة.

لا تتطلب أي من هذه العواقب وجود مهاجم على مستوى دولة. فمحرك أقراص USB واحد مصاب، يتم إدخاله من قبل موظف أو مورد حسن النية، كافٍ للتسبب في أي منها.

مخطط شريطي يوضح متوسط تكلفة وقت التوقف عن العمل لكل ساعة عبر قطاعات التصنيع والطاقة والمرافق

توصيات عملية وأفضل الممارسات لأمن الوسائط القابلة للإزالة في التكنولوجيا التشغيلية (OT)

إن بناء برنامج لفحص الوسائط يلبي تطلعات معيار IEC 62443 لا يقتصر على شراء منتج واحد بل يتعلق أكثر بتصميم عملية متعددة الطبقات وقابلة للتنفيذ. وتعكس الممارسات التالية ما تطبقه عادةً برامج أمن التكنولوجيا التشغيلية الناضجة.

1. إنشاء محطة مخصصة لفحص الوسائط (نموذج الكشك)

بدلاً من السماح للوسائط القابلة للإزالة بالاتصال مباشرة بأي نقطة نهاية للتكنولوجيا التشغيلية، تنشر المؤسسات الرائدة أكشاك فحص مخصصة تقع عند الحدود بين العالم الخارجي وشبكة التكنولوجيا التشغيلية. ويتم فحص كل جهاز، سواء أحضره موظف أو مورد أو مدقق، في هذه المحطة قبل السماح للملف بالانتقال.

يعزل هذا النهج وظيفة الفحص عن أنظمة الإنتاج تماماً، مما يعني أنه حتى إذا كان الجهاز يحمل محتوى ضاراً، فإن محطة الفحص نفسها هي من تمتص الخطر بدلاً من نقطة النهاية التشغيلية.

2. فرض سياسة رفض الأجهزة افتراضياً (Default-Deny)

تفترض السياسة القوية للتحكم في الوسائط أنه لا يوجد جهاز موثوق به حتى يثبت العكس. وهذا يعني:

• تعطيل منافذ USB في محطات العمل الهندسية وواجهات الآلة البشرية (HMIs) وأجهزة PLC افتراضياً

• تطلب تفويضاً صريحاً لأي استثناء

• استخدام القائمة البيضاء للأجهزة بحيث لا يمكن توصيل سوى الأجهزة المسجلة وذات الأرقام التسلسلية المعروفة، حتى بعد الفحص

3. الجمع بين الكشف القائم على التوقيعات والكشف السلوكي

الفحص المستند إلى التوقيع وحده ليس كافياً ضد التهديدات الجديدة أو المستهدفة. وتعمل عملية فحص الوسائط المرنة على دمج الكشف عن التوقيعات مع التحليل السلوكي والاستدلالي، لالتقاط الأنشطة المشبوهة حتى عندما لا يتطابق أي توقيع برنامج ضار معروف.

4. التطهير والتعقيم، وليس الفحص فقط

في البيئات الأكثر عرضة للمخاطر، تذهب بعض المؤسسات إلى خطوة أبعد من الفحص من خلال تنفيذ عمليات نزع سلاح المحتوى وإعادة بنائه (CDR)، والتي تعيد بناء الملفات في نسخ نظيفة ومحقق منها بدلاً من مجرد وضع علامة على المحتوى الضار. وهذا ذو قيمة خاصة لملفات الهندسة وحزم البرامج الثابتة، حيث قد لا تراعي نتيجة الفحص "النظيفة" بالكامل مخاطر وحدات الماكرو المضمنة أو البرمجة النصية.

5. الاحتفاظ بسجلات تفصيلية مقاومة للتلاعب

إن تركيز معيار IEC 62443 على الاستجابة السريعة والمساءلة يعني أن كل حدث فحص، سواء كان ناجحاً أو فاشلاً، يجب تسجيله بالتفاصيل التالية:

• معرف الجهاز ومالكه

• الطابع الزمني والموقع

• نتيجة الفحص وأي حالات شاذة تم اكتشافها

• الموظف المصرح له الذي وافق على النقل

تصبح هذه السجلات أساسية أثناء عمليات تدقيق الامتثال، وفي حال وقوع حادث، أثناء التحقيق الجنائي الرقمي.

6. تدريب الموظفين والموردين كعنصر تحكم أساسي، وليس كفكرة ثانوية

التكنولوجيا وحدها لا يمكنها سد هذه الفجوة. ويحتاج الموردون والمتعاقدون والموظفون إلى تدريب واضح ومتكرر حول سبب أهمية فحص الوسائط وما تتطلبه العملية منهم. فكشك الفحص الذي يتجاوزه الموردون بشكل روتيني لأنه يبطئ من عملهم لا يوفر أي حماية حقيقية.

7. مواءمة سياسات الوسائط مع هندسة المناطق والقنوات (Zone and Conduit)

يقوم نموذج المناطق والقنوات في معيار IEC 62443 بتقسيم الشبكات بناءً على المخاطر والوظيفة. ويجب أن تعكس سياسات التعامل مع الوسائط هذا التقسيم، مما يعني أن الجهاز المصرح به لمنطقة منخفضة المخاطر لا ينبغي الوثوق به تلقائياً في منطقة حرجة للسلامة أو عالية العواقب دون إعادة التحقق منه.

8. اختبار البرنامج وتدقيقه بشكل دوري

لا ينبغي لبرنامج فحص الوسائط أن يكون ضابطاً من نوع "اضبطه وانسه". وتساعد عمليات التدقيق الداخلي المنتظمة، وتمارين المحاكاة الافتراضية لحادث منقول عبر الوسائط، والمراجعات الدورية لسجلات الفحص، في التأكد من أن البرنامج يعمل كما هو مخطط له ويتكيف مع التهديدات الجديدة.

كيف تدعم Shieldworkz المؤسسات

تعمل Shieldworkz جنباً إلى جنب مع قادة أمن التكنولوجيا التشغيلية (OT)، ومديري المصانع، وفرق الامتثال لتصميم وتنفيذ ضوابط الوسائط القابلة للإزالة التي تتوافق مباشرة مع متطلبات معيار IEC 62443، دون تعطيل الاستمرارية التشغيلية. وقد تم بناء نهجنا حول الواقع العملي للبيئات الصناعية، وليس حول افتراضات أمن تكنولوجيا المعلومات العامة.

• تقييمات شاملة لمخاطر التكنولوجيا التشغيلية (OT) التي تحدد كل نقطة تدخل منها الوسائط القابلة للإزالة حالياً إلى بيئتك، بما في ذلك المسارات غير الموثقة أو غير الرسمية.

• تصميم مخصص لبنية فحص الوسائط، ومصمم خصيصاً لتقسيم الشبكة الحالي لديك، وقيود المعدات القديمة، وسير العمل التشغيلي.

• تحليل الفجوات ووضع خارطة طريق للامتثال لمعيار IEC 62443، ومواءمة ممارسات التعامل مع الوسائط الحالية لديك مع المتطلبات الأساسية ومستويات الأمن ذات الصلة.

• تطوير السياسات وتوجيهات الإنفاذ، بما في ذلك أطر الرفض الافتراضي، واستراتيجيات القائمة البيضاء للأجهزة، وبروتوكولات وصول الموردين.

• برامج تدريب الموظفين والموردين المصممة خصيصاً لواقع أرض المصنع، وليس محتوى التوعية بالأمن السيبراني العام.

• دعم التوثيق الجاهز للتدقيق، مما يساعد فريقك في الحفاظ على سجلات التدقيق ومسار الأدلة اللازم لكل من الحوكمة الداخلية وعمليات تدقيق الشهادات الخارجية.

• الدعم الاستشاري المستمر، مما يضمن تطور وضعك الأمني للوسائط جنباً إلى جنب مع التهديدات الجديدة، والمعدات الجديدة، والتوقعات التنظيمية الجديدة.

هدفنا ليس تسليمك منتجاً والمغادرة. نحن نعمل كامتداد لفريقك، للمساعدة في بناء برنامج لأمن الوسائط يصمد في ظل الضغوط التشغيلية الحقيقية والتدقيق الرقابي الفعلي.

الخاتمة

ستظل الوسائط القابلة للإزالة جزءاً من العمليات الصناعية في المستقبل المنظور. وسيستمر الموردون في جلب محركات أقراص USB لتحديثات البرامج الثابتة. وسيستمر المهندسون في نقل ملفات التكوين بين الأنظمة. والسؤال ليس ما إذا كان هذا النشاط سيحدث أم لا، ولكن ما إذا كانت مؤسستك تمتلك الضوابط المناسبة لضمان حدوثه بأمان وبشكل مرئي وبما يتماشى مع توقعات معيار IEC 62443.

يسد برنامج فحص الوسائط المصمم جيداً واحدة من أكثر الثغرات التي تم استغلالها تاريخياً في أمن التكنولوجيا التشغيلية، بينما يبني في الوقت نفسه توثيقاً ونضجاً في العمليات تتوقعه أطر الامتثال وشركات التأمين وشركاء الأعمال بشكل متزايد. هذا ليس عنصراً للتحكم يمكن تأجيله إلى ما بعد وقوع حادث يفرض الأمر. إنه جزء أساسي من الوضع الأمني السيبراني الصناعي المرن، وهو ينعكس بشكل مباشر على مدى جدية مؤسستك في حماية عملياتها المادية.

المؤسسات التي تتفوق في مواجهة هذا الخطر ليست تلك التي تمتلك ميزانيات غير محدودة، بل هي تلك التي تتعامل مع كل محرك أقراص USB، وكل جهاز خارجي، وكل كمبيوتر محمول للمورد كإدخال محتمل يستحق التحقق منه، في كل مرة.

احجز استشارة مجانية مع خبرائنا

إذا كنت تقوم بتقييم ممارسات التعامل مع الوسائط الحالية في مؤسستك، أو تستعد لعملية تدقيق لمعيار IEC 62443، أو تريد ببساطة تقييماً صادقاً وخبيراً للمكان الذي تقف فيه مخاطر الوسائط القابلة للإزالة اليوم، فإن فريقنا مستعد للمساعدة.

احجز استشارة مجانية مع خبراء الأمن السيبراني للتكنولوجيا التشغيلية في Shieldworkz واتخذ الخطوة التالية نحو بيئة صناعية أكثر مرونة وامتثالاً ومحمية بثقة.

موارد إضافية:

تقرير استشاري لاستخبارات تهديدات التكنولوجيا التشغيلية (OT) السيبرانية - الشرق الأوسط هنا
توجيه NIS2 تحقيق الامتثال لتوجيه NIS2 من خلال معيار IEC 62443 هنا
ما هي الوسائط القابلة للإزالة؟ المخاطر والسياسات وحلول أمن التكنولوجيا التشغيلية الصناعية هنا
نموذج مجاني لسياسة الوسائط القابلة للإزالة لفرق التكنولوجيا التشغيلية وتكنولوجيا المعلومات هنا