لماذا أصبح الكشف والاستجابة العميقة للشبكة أمراً لا غنى عنه لأمن التكنولوجيا التشغيلية (OT) والبنية التحتية الحيوية

رؤية موحدة للشبكة قائمة على السلوك تغطي كلاً من أجهزة تكنولوجيا المعلومات (IT) والتكنولوجيا التشغيلية (OT)، بدءاً من أجهزة PLC وRTU وحتى جدران الحماية وأنظمة SIEM.

تمتلك معظم المؤسسات الصناعية بالفعل شكلاً من أشكال رؤية الشبكة. سجل جدار حماية هنا، أو تقرير مفتاح تبديل هناك، وربما لوحة معلومات توضح مقدار النطاق الترددي الذي يستهلكه مؤرخ SCADA هذا الاسبوع. هذه هي رؤية حركة المرور، ولفترة طويلة، كان ذلك يُعتبر كافياً.

لكنه لم يعد كذلك الآن.

تخبرك رؤية حركة المرور بما يتحرك عبر الأسلاك. لكنها لا تخبرك ما إذا كانت هذه الحركة منطقية أم لا. لا تخبرك ما إذا كان جهاز PLC يتواصل فجأة مع محطة عمل هندسية لم يتحدث إليها من قبل، أو ما إذا كان خادم المؤرخ يرسل البيانات بهدوء إلى عنوان خارجي في الساعة 2 صباحاً يوم الأحد. هذه الفجوة، بين رؤية حركة المرور وفهم السلوك، هي بالضبط المكان الذي ينشط فيه المهاجمون المعاصرون، وهي بالضبط ما تم بناء أنظمة الكشف والاستجابة للشبكة (NDR) لسده.

تتناول هذه المدونة المعنى الحقيقي لمراقبة شبكة NDR لبيئات OT وICS، وكيفية تصميم بنية NDR ونشرها في شبكات المصانع دون تعطيل العمليات، ولماذا يُعد السياق السلوكي، وليس حجم حركة المرور الخام، هو العملة الحقيقية للكشف عن التهديدات الصناعية.

ماذا تعني مراقبة شبكة NDR فعلياً في البيئات الصناعية

غالباً ما يتم وصف نظام الكشف والاستجابة للشبكة بأنه "رؤية الشبكة مع التحليلات". هذا الوصف صحيح من الناحية الفنية، ولكنه يقلل من قيمة ما تقدمه منصة NDR ناضجة داخل بيئة OT.

تجيب أداة المراقبة الأساسية عن أسئلة مثل: ما هو حجم حركة المرور التي مرت عبر مفتاح التبديل هذا؟ ما هي المنافذ المفتوحة؟ ما هو معدل استغلال النطاق الترددي في هذا القطاع؟ هذه مقاييس تشغيلية مفيدة، لكنها وصفية وليست تشخيصية. إنها تروي قصة عن الحجم، وليس عن النية.

تجيب منصة NDR المصممة للشبكات الصناعية عن مجموعة مختلفة تماماً من الأسئلة:

• هل يتوافق نمط الاتصال هذا مع سلوك هذا الجهاز المعتاد دائماً؟

• هل قام جهاز، يتواصل عادةً مع المؤرخ فقط، ببدء جلسة فجأة مع عنوان IP خارجي؟

• هل هناك نمط لفحص الشبكة أو سبر المنافذ يشبه عمليات الاستطلاع بدلاً من الاستعلام العادي؟

• هل هناك علامات على حركة جانبية بين طبقة محطة العمل الهندسية وطبقة التحكم في العمليات؟

• هل تتطابق حركة المرور هذه مع أنماط اتصالات التحكم والسيطرة المعروفة، حتى لو كانت الحمولة نفسها مشفرة أو مبهمة؟

هذا هو الفرق بين مراقبة كاميرا الطريق السريع لعد السيارات، ووجود محلل حركة مرور يعرف بالضبط السيارات التي تنتمي إلى هذا الطريق، والوقت الذي تمر فيه عادةً، ويلاحظ على الفور عندما تسلك مركبة غير مألوفة مخرجاً لم تسلكه من قبل قط.

رؤية حركة المرور الأساسية مقابل مراقبة شبكة NDR الحقيقية

بنية ونشر NDR: بناء الرؤية دون تعطيل العمليات

إن الشاغل الأكبر والوحيد الذي تثيره فرق التكنولوجيا التشغيلية (OT) عند اقتراح NDR هو التعطيل. لقد سمع مديرو المصانع ومهندسو التحكم قصصاً مرعبة عن أدوات أمن تكنولوجيا المعلومات التي تتسبب في توقف خاطئ للأنظمة، أو تؤدي إلى إشباع الوصلات التسلسلية، أو تتطلب برمجيات عميلة لا يمكن لأي جهاز PLC قديم دعمها. تم بناء بنية NDR المصممة جيداً لتراعي هذا الواقع منذ اليوم الأول.

1. النشر السلبي خارج المسار المباشر (Out-of-Band)

يتم نشر مستشعرات NDR لبيئات OT بشكل سلبي، عادةً من خلال محاكاة منافذ التبديل (SPAN ports) أو مآخذ توصيل الشبكة (network taps). وهذا يعني أن المستشعر يتلقى نسخة من حركة مرور الشبكة دون أن يكون في مسار البيانات المباشر ودون القدرة على إحداث زمن انتقال أو فقدان للحزم أو تداخل في اتصالات التحكم الحية. بالنسبة للبيئات التي تهم فيها حتى أجزاء من الثانية، فإن هذا النهج السلبي غير قابل للتفاوض.

2. وضع المستشعرات متعدد الطبقات عبر نموذج بيردو (Purdue Model)

بدلاً من نشر مستشعر واحد عند محيط الشبكة، تضع بنية NDR الفعالة مستشعرات في نقاط استراتيجية عبر طبقات نموذج بيردو، وشبكة المؤسسة، والمنطقة المعزولة (DMZ)، وطبقة التحكم الإشرافي، وطبقة التحكم في العمليات نفسها. يعني هذا الوضع متعدد الطبقات أن التهديد الذي يتجاوز الدفاعات المحيطية ويحاول الانتقال من المستوى 3 إلى المستوى 1 لن يمر دون اكتشافه لمجرد عدم وجود مستشعر يراقب هذا القطاع.

3. تحليل عميق للبروتوكولات الخاصة بالتكنولوجيا التشغيلية (OT)

غالباً ما تتعامل أدوات المراقبة العامة التي تركز على تكنولوجيا المعلومات مع البروتوكولات الصناعية كحركة مرور غير معترف بها، وتتجاهلها أو تضع عليها علامات تحذيرية بشكل عشوائي. تقوم منصات NDR المصممة خصيصاً لبيئات OT بتحليل بروتوكولات مثل Modbus وDNP3 وOPC-UA وPROFINET وEtherNet/IP على مستوى دقيق، لاتفهم فقط أنه تم إرسال أمر ما، بل تفهم أيضاً ما يوجه هذا الأمر الجهاز للقيام به، وهو تمييز بالغ الأهمية عند اكتشاف أشياء مثل تغييرات البرامج الثابتة غير المصرح بها أو تعديلات نقاط الضبط غير الآمنة.

4. وضع الخطوط السلوكية الأساسية بمرور الوقت

مباشرة بعد النشر، تدخل منصة NDR في فترة تعلم تقوم خلالها برسم خرائط لأنماط الاتصال العادية: أي الأجهزة تتحدث مع بعضها، وبأي وتيرة، وفي أي أوقات، وباستخدام أي بروتوكولات. يصبح هذا الخط الأساسي هو المرجع لكل ما يلي. وبمجرد تأسيسه، يمكن تقييم أي انحراف - مثل اتصال جديد، أو حجم بيانات غير معتاد، أو جلسة عمل في غير أوقات العمل - بناءً على ذلك السياق بدلاً من التعامل معه كحدث معزول لا معنى له.

5. التكامل مع المنظومة الأمنية الحالية

لا تعمل أنظمة NDR بمعزل عن غيرها. تشتمل بنية النشر عادةً على نقاط تكامل مع منصات SIEM للتسجيل المركزي، ومع جدران الحماية لإجراءات الاحتواء المؤتمتة، ومع سير عمل مركز العمليات الأمنية (SOC) بحيث تصل التنبيهات مصحوبة بسياق كافٍ للمحللين لاتخاذ إجراءات سريعة بدلاً من بدء التحقيق من نقطة الصفر.

توزيع المستشعرات متعدد الطبقات عبر مناطق شبكة المؤسسة، والمنطقة المعزولة (DMZ)، والتحكم الإشرافي، والتحكم في العمليات، لتغذية محرك التحليلات السلوكية المركزي.

المخاطر والتحديات ورؤى الصناعة

إن عواقب الاعتماد على رؤية حركة المرور وحدها، دون السياق السلوكي، ليست عواقب نظرية. لقد واجهت المؤسسات الصناعية ومؤسسات البنية التحتية الحيوية هذه الفجوة بشكل مباشر، والنمط السائد في الحوادث الكبرى متسق بشكل ملحوظ: كان نشاط شبكة المهاجم مرئياً من الناحية الفنية، ولكن لم يصنفه أي شيء على أنه غير طبيعي حتى كان التأثير قد بدأ بالفعل.

نمط الاستطلاع المؤدي إلى التعطيل

في هجوم عام 2015 على شبكة الكهرباء في أوكرانيا، أمضى المهاجمون أشهرًا داخل شبكات المرافق قبل التعطيل النهائي، باستخدام أدوات وصول عن بُعد وبيانات اعتماد مشروعة للتنقل بين أنظمة تكنولوجيا المعلومات والتكنولوجيا التشغيلية. بدت أحجام حركة المرور خلال مرحلة الاستطلاع تلك عادية على السطح، حيث اندمج النشاط في حركة المرور الإدارية العادية. وكان من شأن وجود خط أساس سلوكي يفهم الحسابات ومحطات العمل التي تتفاعل عادةً مع أنظمة التحكم في القواطع أن يصنف تلك الحركة على أنها غير طبيعية قبل وقت طويل من انقطاع الكهرباء.

وتكرر نمط مماثل في حادثة الشبكة اللاحقة عام 2016، حيث اعتمد المهاجمون مجدداً على بروتوكولات أصلية وجلسات تبدو مشروعة لإصدار أوامر غير مصرح بها، وهو تذكير بأن الهجمات الصناعية تعتمد بشكل متزايد على تقنيات "العيش على موارد البيئة المحلية" (Living off the Land) بدلاً من نشر برامج ضارة واضحة قد تكتشفها أداة قائمة على التوقيعات.

برمجيات ضارة تفهم العملية، وليس الشبكة فقط

أظهر حادث عام 2017 الذي تعرضت له منشأة بتروكيماويات سعودية، حيث استهدف إطار عمل البرمجيات الضارة TRITON/TRISIS خصيصاً أنظمة السلامة والأدوات (SIS)، شيئاً لا تزال فرق أمن OT تواجهه حتى اليوم: لم تكن البرمجيات الضارة مهتمة بسرقة البيانات أو تشفير الملفات. بل تم تصميمها للتلاعب بوحدات التحكم في السلامة التي توجد خصيصاً لمنع الأحداث الفيزيائية الكارثية. ويتطلب الكشف عن هذا النوع من التهديدات مراقبة تفهم اتصالات طبقة العمليات، وليس فقط مؤشرات الاختراق على نمط تكنولوجيا المعلومات.

تقارب تكنولوجيا المعلومات والتكنولوجيا التشغيلية (IT-OT) كمسار للهجوم

أظهرت حادثة برمجيات الفدية لعام 2019 في شركة كبرى لإنتاج الألمنيوم مدى السرعة التي يمكن أن يتطور بها اختراق بدأ في تكنولوجيا المعلومات إلى إغلاق عمليات OT عندما لا تكون البيئتان مجزأتين ومراقبتين بوضوح كنظام متصل. واضطرت خطوط الإنتاج عبر منشآت متعددة إلى التشغيل اليدوي، مما يؤكد أنه في البيئة المتقاربة، لم تعد حوادث أمن تكنولوجيا المعلومات وحوادث أمن التكنولوجيا التشغيلية فئات منفصلة من المخاطر.

مخاطر وصول الجهات الخارجية والوصول عن بُعد

أكد التعطيل الذي تعرض له مشغل خط أنابيب وقود رئيسي في عام 2021، والذي تم تحفيزه من خلال بيانات اعتماد وصول عن بُعد مخترقة، كيف يمكن لنقطة دخول واحدة مكشوفة - غالباً ما لا تكون حتى داخل شبكة OT نفسها - أن تفرض إغلاقاً تشغيلياً كاملاً بدافع الحذر عندما تكون الرؤية لما حدث بعد ذلك غير كافية. وبدون مراقبة سلوكية على مستوى الشبكة، غالباً ما تضطر المؤسسات إلى اتخاذ قرارات تشغيلية لأسوأ السيناريوهات لمجرد أنها لا تستطيع تأكيد النطاق الفعلي للاختراق بسرعة كافية.

وبرز موضوع مشترك عبر جميع هذه الأمثلة: كان المهاجمون على الشبكة، يولدون حركة مرور، لفترات طويلة قبل حدوث ضرر فعلي. كانت المؤسسات المعنية تمتلك جدران حماية، وكان لدى العديد منها شكل من أشكال المراقبة. وما كان ينقصها باستمرار هو السياق السلوكي - وهو نظام قادر على إدراك أن حركة المرور التي يراها، على الرغم من أنها صالحة من الناحية الفنية، لا تتطابق مع نمط العمليات العادية.

لماذا يتزايد هذا التحدي حدةً

• يؤدي تقارب تكنولوجيا المعلومات والتكنولوجيا التشغيلية (IT-OT) إلى توسيع سطح الهجوم بشكل أسرع من تحديث معظم البرامج الأمنية لمواكبته.

• لا يمكن لأجهزة PLC وRTU القديمة، التي يعود تاريخ بعضها إلى عقود مضت، دعم برمجيات العميل البرمجية، مما يجعل الرؤية القائمة على الشبكة هي طبقة الكشف الواقعية الوحيدة لأجزاء كبيرة من البيئة.

• يستخدم المهاجمون بشكل متزايد بيانات اعتماد مشروعة وبروتوكولات أصلية، وهي أمور لم تُصمم الأدوات القائمة على التوقيعات لتنبيه المستخدمين بشأنها.

• تضاعفت اتصالات الوصول عن بُعد وموردي الجهات الخارجية منذ التحول نحو دعم المصانع عن بُعد، مما أدى إلى توسيع عدد نقاط الدخول التي تبدو مشروعة.

• تتطلب الأطر التنظيمية عبر قطاعات الطاقة والتصنيع والمرافق بشكل متزايد قدرة واضحة على مراقبة الشبكة والاستجابة للحوادث، وليس فقط الدفاع المحيطي.

توصيات عملية وأفضل الممارسات لنشر NDR

تميل المؤسسات التي تحقق أقصى استفادة من مراقبة شبكة NDR إلى اتباع فلسفة نشر مماثلة - فلسفة تتعامل مع الرؤية كبرنامج مرحلي يراعي الجوانب التشغيلية وليس كعملية شراء تكنولوجيا لمرة واحدة.

ابدأ باكتشاف الأصول والاتصالات

قبل أن تعني التحليلات السلوكية أي شيء، تحتاج المؤسسة إلى صورة دقيقة لما يوجد بالفعل على الشبكة. وعادةً ما يكشف الاكتشاف السلبي، الذي يتم تشغيله على مدار عدة أسابيع، عن أجهزة ومسارات اتصال لم يتم توثيقها مطلقاً، وهو أمر شائع ومفاجئ غالباً حتى في المنشآت التي تُدار بشكل جيد.

أعطِ الأولوية للنشر السلبي للبيئات الحية

بالنسبة لأي قطاع يعتبر فيه وقت التشغيل والسلامة أمرين بالغي الأهمية، يجب أن تكون المراقبة السلبية خارج المسار المباشر هي الخيار الافتراضي. تنطوي أساليب الفحص المباشر أو النشط على خطر حقيقي لتعطيل اتصالات التحكم الحساسة ويجب الاحتفاظ بها للقطاعات التي تم فيها تقييم هذا الخطر وقبوله صراحةً.

قم ببناء الخط الأساسي قبل ضبط التنبيهات

قاوم الرغبة في تمكين التنبيهات العنيفة في اليوم الأول. إن فترة الخط الأساسي التي تتراوح من عدة أسابيع إلى بضعة أشهر، والمصممة لتناسب موسمية وأنماط نوبات العمل في المنشأة، تنتج كشفاً أكثر موثوقية بكثير من محرك تحليلات تم ضبطه بناءً على بيانات غير كاملة.

تجزئة أولويات المراقبة حسب المخاطر، وليس فقط طوبولوجيا الشبكة

لا تحمل جميع القطاعات نفس العواقب. تستحق أنظمة السلامة والأدوات، ومرحلات الحماية، ووحدات التحكم في العمليات المرتبطة بنتائج السلامة الفيزيائية حدود مراقبة أكثر صرامة من، على سبيل المثال، قطاع أتمتة المباني الذي ينطوي على مخاطر تشغيلية أقل.

تأسيس سير عمل واضح للتصعيد والاستجابة قبل بدء التشغيل الفعلي

التنبيه الذي لا يعرف أحد كيفية التصرف بناءً عليه هو مجرد ضوضاء. قبل النشر الكامل، حدد من يتلقى كل فئة من فئات التنبيهات، وما هو وقت الاستجابة المتوقع، وكيف ينسق موظفو عمليات OT ومحللو الأمن السيبراني عند الاشتباه في وقوع حادث حقيقي.

قائمة التحقق الموصى بها لنشر NDR

كيف يكمل NDR جدران الحماية، وIDS، وEDR، وSIEM، بدلاً من استبدالها

من المفاهيم الخاطئة الشائعة أن NDR يهدف إلى استبدال عناصر التحكم الأمنية الحالية. الأمر ليس كذلك. تجيب كل طبقة من المنظومة الأمنية عن سؤال مختلف، ويسد NDR فجوة لا يمكن للطبقات الأخرى سدها هيكلياً.

• تتحكم جدران الحماية فيما يُسمح له بعبور الحدود، ولكنها لا تستطيع تقييم ما إذا كانت حركة المرور المسموح بها تتصرف بشكل غير طبيعي بمجرد دخولها.

• تتميز أنظمة كشف التسلل (IDS) بقوتها في مطابقة توقيعات الهجمات المعروفة ولكنها تواجه صعوبة في مواجهة التقنيات الجديدة أو تقنيات "العيش على موارد البيئة المحلية" التي تستخدم بروتوكولات مشروعة.

• يعتمد الكشف والاستجابة لنقاط النهاية (EDR) على برنامج عميل يعمل على الجهاز، وهو أمر مستحيل بالنسبة لمعظم أجهزة PLC وRTU ووحدات التحكم المدمجة القديمة الشائعة في المصانع.

• تقوم منصات SIEM بمركزية السجلات وربطها ولكنها تكون ثاقبة فقط بقدر البيانات التي يتم تغذيتها بها؛ ويوفر NDR بيانات سلوك الشبكة العميقة التي تمنح ارتباطات SIEM قيمة تحليلية حقيقية.

تتوسط مراقبة شبكة NDR هذه المنظومة، حيث توفر الشيء الوحيد الذي لا يمكن لأي من الأنظمة الأخرى توفيره: رؤية مستمرة وخالية من البرمجيات العميلة وقائمة على السلوك لكل جهاز يتصل على الشبكة، سواء كان بإمكانه تشغيل برمجية عميل أم لا، وسواء كانت حركة المرور الخاصة به تتطابق مع توقيع هجوم معروف أم لا.

موقع NDR جنباً إلى جنب مع جدران الحماية، وIDS، وEDR، وSIEM ضمن بنية أمن OT موحدة.

كيف تدعم Shieldworkz المؤسسات

تعمل Shieldworkz مع المشغلين الصناعيين والمرافق ومؤسسات التصنيع لتصميم وتفعيل برامج مراقبة شبكة NDR التي تحترم واقع بيئات الإنتاج الحية. يتمحور نهجنا حول السلامة التشغيلية أولاً، والنتائج الأمنية ثانياً، لأن برنامج المراقبة الذي يعطل الإنتاج لن يُسمح ببقائه في مكانه لفترة كافية ليكون فعالاً.

• نشر مستشعرات NDR سلبي وغير تدخلي مصمم خصيصاً لقطاعات شبكات OT وICS، مع عدم التسامح مطلقاً مع التعطيل التشغيلي.

• رؤية عميقة على مستوى البروتوكول عبر Modbus وDNP3 وOPC-UA وPROFINET وEtherNet/IP ومعايير الاتصالات الصناعية الأخرى.

• استراتيجية وضع المستشعرات المتوافقة مع نموذج بيردو لضمان التغطية عبر طبقات المؤسسة، والمنطقة المعزولة (DMZ)، والتحكم الإشرافي، والتحكم في العمليات.

• وضع خط أساس سلوكي مصمم خصيصاً لأنماط التشغيل الفعلية لكل منشأة، وجداول الورديات، والتباين الموسمي، وليس حدوداً عامة تناسب الجميع.

• دعم التكامل مع أدوات SIEM وجدار الحماية وSOC الحالية، بحيث يعزز NDR الاستثمار الأمني الحالي بدلاً من تكراره.

• البحث المستمر عن التهديدات، وفرز التنبيهات، وإرشادات الاستجابة للحوادث من محللين يفهمون العمليات الصناعية، وليس فقط حركة مرور شبكة تكنولوجيا المعلومات.

• تقارير جاهزة للامتثال تتماشى مع الأطر المعترف بها للأمن السيبراني الصناعي والتوقعات التنظيمية عبر قطاعات الطاقة والتصنيع والمرافق.

والنتيجة هي برنامج مراقبة يثق به مديرو المصانع، ولا يعارضه مهندسو التحكم، ويمكن لقادة الأمن الدفاع عنه أمام مجلس إدارتهم، لأنه مبني على كيفية عمل العمليات الصناعية بالفعل، وليس على كيفية افتراض منتج أمن تكنولوجيا المعلومات العام لعملها.

الخاتمة

لم تُصمم رؤية حركة المرور مطلقاً للإجابة عن السؤال الأكثر أهمية في الأمن الصناعي: هل ما أراه على شبكتي طبيعي بالفعل؟ يمكن لرسوم النطاق الترددي البيانية وأعداد الاتصالات أن تؤكد أن البيانات تتحرك، لكنها لا يمكن أن تخبر مدير المصنع أو مدير أمن المعلومات (CISO) ما إذا كانت تلك الحركة تمثل عمليات روتينية أو المراحل الأولى لحادث خطير.

تسد مراقبة شبكة NDR هذه الفجوة من خلال منح بيئات OT وICS السياق السلوكي الذي لم تُبنَ أدوات الرؤية الأساسية لتقديمه مطلقاً، مما يحول نشاط الشبكة الخام إلى نظام إنذار مبكر للاستطلاع، والحركة الجانبية، وأنشطة التحكم والسيطرة، ومحاولات تسريب البيانات، قبل وقت طويل من تصاعدها إلى تعطيل تشغيلي.

بالنسبة للمؤسسات التي تدير البنية التحتية الحيوية، أو خطوط التصنيع، أو بيئات التحكم في العمليات حيث يحمل وقت التوقف عن العمل عواقب سلامة وعواقب مالية حقيقية، لم يعد هذا الانتقال من الرؤية إلى الفهم مجرد ميزة إضافية ممتعة. بل أصبح توقعاً أساسياً من المنظمين وشركات التأمين ومجالس الإدارة على حد سواء.

موارد إضافية  

تقرير قابل للتنزيل حول حادثة Stryker السيبرانية هنا  
قائمة التحقق لتقييم واختيار موردي حلول فحص الوسائط القابلة للإزالة هنا  
قائمة التحقق لتقييم مخاطر OT/ICS القائمة على معيار IEC 62443 لقطاع تصنيع الأغذية والمشروبات هنا 
أدلة معالجة الثغرات القائمة على معيار IEC 62443 هنا