ناقوس خطر لقطاع الطاقة المتجددة 

لقد تجاوز قطاع الطاقة المتجددة عتبة حرجة. لسنوات عديدة، تعامل مهندسو تكنولوجيا التشغيل (OT) ومدراء أمن المعلومات (CISOs) في مجال طاقة الرياح والطاقة الشمسية مع الأمن السيبراني باعتباره شأناً ثانوياً - مشكلة تخص شركات المرافق والمحطات النووية، وليس العاكسات (inverters) الموجودة على الأسطح أو التوربينات في الحقول. هذا التفكير أصبح الآن قديماً وخطيراً بشكل كبير. 

فيما صنفه باحثو الأمن على أنه أول هجوم سيبراني منسق واسع النطاق على موارد الطاقة الموزعة (DERs)، استهدف المهاجمون أكثر من 30 محطة لطاقة الرياح والطاقة الشمسية متصلة بالشبكة الوطنية البولندية. لم تكن النتيجة انقطاعاً كاملاً للكهرباء على طريقة هوليوود، بل كانت أمراً أسوأ بكثير: حيث فقد المشغلون الرؤية والقدرة على مراقبة بنيتهم التحتية في حين كانت البرمجيات الخبيثة المخفية تلحق الضرر بالأجهزة بهدوء عبر عشرات المواقع في وقت واحد. 

إذا كنت تدير محطة لطاقة الرياح، أو تشغل أصول توليد طاقة شمسية، أو تشغل منصب مدير أمن المعلومات لشركة طاقة، فإن هذا الهجوم يمثل المخطط الأولي لما سيأتي لاحقاً. في هذا المنشور، سنقوم بتفصيل ما حدث بالضبط، وما يعنيه ذلك بالنسبة إلى الأمن السيبراني للشبكات الموزعة، والأهم من ذلك - ما يمكنك فعله الآن لحماية بنيتك التحتية. 

ما حدث بالفعل: تشريح الهجوم 

الهدف: لماذا طاقة الرياح والطاقة الشمسية؟ 

تختلف موارد الطاقة الموزعة مثل محطات طاقة الرياح ومنشآت الطاقة الشمسية هيكلياً عن محطات الفحم أو الغاز التقليدية. فبدلاً من وجود منشأة واحدة كبيرة تخضع لحراسة مشددة، تتوفر لديك عشرات - وأحياناً مئات - من المواقع الموزعة جغرافياً، والتي يعمل كل منها بأجهزة طرفية (edge devices) مثل العاكسات، ووحدات التحكم الطرفية عن بعد (RTUs)، وأجهزة التحكم المنطقية القابلة للبرمجة (PLCs). وتتصل هذه الأجهزة بنظام إدارة توزيع مركزي (DMS) أو منصة SCADA عبر مزيج من الاتصالات الخلوية والألياف الضوئية وشبكة الإنترنت العامة. 

هذا الهيكل الموزع يمثل ميزة لمرونة الشبكة وتحدياً في الوقت نفسه، فهو بمثابة حلم للمهاجمين. كل موقع عن بعد هو نقطة دخول محتملة، وكل جدار حماية متصل بالإنترنت هو سطح هجوم معرض للخطر. وتاريخياً، كانت ميزانيات الأمن لهذه المواقع الطرفية تمثل جزءاً بسيطاً مما يتم إنفاقه على منشآت التوليد الأساسية. 

الخط الزمني للهجوم 

بدأ المهاجمون المدعومون من دول حملتهم من خلال تحديد واستغلال الثغرات الأمنية غير المرقّعة في جدران الحماية الطرفية في مواقع متعددة عن بعد. وبمجرد الدخول، تحركوا بشكل جانبي عبر شبكة تكنولوجيا التشغيل (OT) - منتقلين من أنظمة تكنولوجيا المعلومات (IT) إلى قطاعات تكنولوجيا التشغيل (OT) - ونشروا سلالة مخصصة من برمجيات التدمير الخبيثة (wiper malware) أطلق عليها الباحثون اسم DynoWiper. وقد تم تصميم هذه البرامج الضارة خصيصاً لتخريب البرامج الثابتة (firmware) على الأجهزة الصناعية، مما يجعلها غير قابلة للتشغيل. 

وفي الوقت نفسه، قطع المهاجمون قنوات الاتصال بين كل محطة طاقة ومشغل الشبكة. واستمر توليد الكهرباء في العديد من المواقع - واصلت التوربينات الدوران، وظلت الألواح تنتج الطاقة - ولكن لم تكن لدى المشغلين أي رؤية للمخرجات، ولا قدرة على إصدار أوامر التحكم، ولا وسيلة لإجراء إيقاف تشغيل منظم. في مصطلحات أمن تكنولوجيا التشغيل (OT)، يُطلق على هذا اسم "فقدان الرؤية" (loss of view)، وهو أحد أخطر الحالات التي يمكن أن يجد مشغل الشبكة نفسه فيها. 

ناقلات الهجوم المرصودة في الهجوم السيبراني المنسق على موارد الطاقة الموزعة (DER) 

خمسة دروس بالغة الأهمية لمديري المحطات، ومهندسي تكنولوجيا التشغيل، ومدراء أمن المعلومات 

الدرس الأول: حماية الأطراف - وليس النواة فقط 

ركز الأمن السيبراني الصناعي التقليدي على حماية الأصول الأكثر قيمة: غرفة التحكم المركزية، والمؤرخ لنظام SCADA، ونظام إدارة الطاقة (EMS). ولكن عندما تكون بنيتك التحتية موزعة على أكثر من 30 موقعاً عن بعد، فإن هذا النموذج يترك معظم ممتلكاتك بلا حماية. 

كل وحدة تحكم طرفية (RTU)، وكل عاكس، وكل جدار حماية طرفي يمثل الآن نقطة دخول محتملة لخصم متطور. يتطلب الأمن السيبراني للشبكات الموزعة نموذجاً أمنياً موزعاً - نموذجاً يمد نطاق الرؤية، والكشف، والقدرة على الاستجابة وصولاً إلى مستوى الأجهزة الحقلية. 

خطوات عملية يمكنك اتخاذها اليوم: 

• إجراء جرد كامل لأصول تكنولوجيا التشغيل (OT) عبر جميع المواقع الموزعة - لا يمكنك حماية ما لا يمكنك رؤيته 

• نشر مراقبة الشبكة غير الفعالة (passive monitoring) في كل موقع لاكتشاف حركة المرور غير الطبيعية دون التأثير على العمليات 

• وضع خط أساس للاتصالات "المعروفة بأنها سليمة" بين الأجهزة الحقلية ومنصة SCADA الخاصة بك، والتنبيه عند حدوث أي انحراف 

الدرس الثاني: تقارب تكنولوجيا المعلومات وتكنولوجيا التشغيل (IT/OT) يخلق مخاطر ثنائية الاتجاه 

في هذا الهجوم، حدث الاختراق الأولي على شبكة تكنولوجيا المعلومات (IT) - من خلال رسالة بريد إلكتروني احتيالية أو نظام معرض للخطر ومتصل بالإنترنت. ومن هناك، انتقل المهاجمون عبر حد فاصل ضعيف التجزئة بين تكنولوجيا المعلومات وتكنولوجيا التشغيل، وبدأوا في إصدار أوامر تدميرية للمعدات المادية. هذه ليست مخاطر نظرية؛ بل هي الآن نمط هجوم موثق في العالم الحقيقي. 

لا تزال العديد من شركات الطاقة تتعامل مع أمن تكنولوجيا المعلومات وأمن تكنولوجيا التشغيل كمسارين منفصلين بفرق عمل وميزانيات منفصلة. هذا الفصل لم يعد مقبولاً. عندما تتعرض شبكة تكنولوجيا المعلومات للاختراق، تكون توربينات الرياح وعاكسات الطاقة الشمسية الخاصة بك في خطر. 

ما يجب عليك فعله: 

• رسم خريطة لجميع مسارات الاتصال بين تكنولوجيا المعلومات وتكنولوجيا التشغيل، وفرض قواعد قائمة سماح صارمة (allowlisting) عند الحدود الفاصلة 

• تنفيذ بوابات أمنية أحادية الاتجاه (data diodes) في قطاعات تكنولوجيا التشغيل الحساسة 

• ضمان حصول محللي مركز العمليات الأمنية (SOC) لتكنولوجيا المعلومات على إمكانية رؤية قياسات شبكة تكنولوجيا التشغيل عن بعد - حتى لو لم يتمكنوا من اتخاذ إجراء دون مشاركة فريق تكنولوجيا التشغيل 

• إجراء تمارين محاكاة مشتركة (tabletop exercises) بين تكنولوجيا المعلومات وتكنولوجيا التشغيل لمحاكاة سيناريو تحرك جانبي للمهاجمين 

الدرس الثالث: البرامج الثابتة هي خط الدفاع الأخير - والمهاجمون يدركون ذلك 

لم يستهدف DynoWiper ملفات البيانات أو العمليات التشغيلية، بل استهدف البرامج الثابتة (firmware) - وهي البرمجيات منخفضة المستوى المدمجة في العاكسات، ووحدات RTUs، ولوحات واجهة المستخدم الرسومية (HMI). وبمجرد تلف البرنامج الثابت، لا يمكن للجهاز عادةً الإقلاع أو الاسترداد عن بعد، وقد يتطلب استبدالاً مادياً. وعبر أكثر من 30 موقعاً، يترجم هذا إلى أسابيع من التوقف وتكاليف استبدال أجهزة باهظة. 

سلامة البرامج الثابتة ليست مجرد مظهر ثانوي، بل هي عنصر تحكم أساسي. إليك قائمة التحقق الخاصة بحماية البرامج الثابتة: 

حماية سلامة البرامج الثابتة 

الدرس الرابع: تجزئة الشبكة وبنية الثقة الصفرية ليست اختيارية 

تحرك المهاجمون بحرية عبر مواقع متعددة ومتباعدة جغرافياً لأن الشبكة سمحت لهم بذلك. وتعد الشبكات المسطحة - حيث يمكن لاختراق في الموقع (أ) أن يصل إلى الموقع (ب) دون قيود - هي السائدة في البنية التحتية الموزعة للطاقة المتجددة. ويجب أن يتغير هذا الأمر. 

تعتمد بنية الثقة الصفرية (Zero-trust architecture) على مبدأ بسيط: لا يتم الوثوق بأي جهاز أو مستخدم أو نظام بشكل افتراضي، بغض النظر عن مكانه في الشبكة. ويجب التحقق من صحة كل اتصال، وترخيصه، وتوثيقه باستمرار. بالنسبة للبنية التحتية للطاقة الموزعة، يعني هذا: 

• التجزئة الدقيقة لشبكة كل موقع عن بعد بحيث لا ينتشر الاختراق تلقائياً إلى المواقع المجاورة 

• فرض المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول عن بعد - بما في ذلك حسابات صيانة الموردين 

• تطبيق التحكم في الوصول المستند إلى الأدوار (RBAC) بحيث لا يمكن للمورد الذي يقدم الخدمة لعاكس معين الوصول أيضاً إلى مؤرخ SCADA الخاص بك 

• تسجيل وتدقيق جميع الجلسات ذات الامتيازات العالية التي تتضمن وصولاً عن بعد إلى أنظمة تكنولوجيا التشغيل (OT) 

• نشر خوادم القفز (bastion hosts) كنقطة دخول وحيدة وخاضعة للرقابة لأي وصول عن بعد إلى تكنولوجيا التشغيل 

تذكر: استغل المهاجمون نقاط الوصول غير الآمنة عن بعد كآلية انتشار رئيسية. إذا كان بإمكان بائع الصيانة الاتصال مباشرة بجهاز حقلي من كمبيوتر محمول شخصي دون مصادقة ثنائية، فأنت تعاني من نفس هذه الثغرة الأمنية. 

الدرس الخامس: فقدان الرؤية لا يقل خطورة عن فقدان الطاقة 

من النتائج التي لم تحظَ بالتقدير الكافي لهذا الهجوم هي أن التوليد لم يتوقف - ولكن المشغلين لم يتمكنوا من رؤية أو التحكم فيما يحدث. في عمليات الشبكة، يعني "فقدان الرؤية" عدم قدرتك على موازنة العرض والطلب، وعدم قدرتك على الاستجابة للأعطال، وعدم إمكانية إجراء إيقاف تشغيل آمن إذا لزم الأمر. وهذا يمثل خطراً على استقرار الشبكة بالكامل، وليس مجرد حادث أمن سيبراني. 

للحماية من هجمات فقدان الرؤية: 

• تنفيذ مسارات مراقبة خارج النطاق (out-of-band) لا تشارك نفس الشبكة مع اتصالات SCADA الرئيسية الخاصة بك 

• نشر أنظمة ذكاء محلية طرفية يمكنها الحفاظ على التشغيل الذاتي الآمن في حال انقطاع الاتصالات مع المشغل المركزي 

• وضع إجراءات تراجع يدوية لكل موقع حساس - وتدريب المشغلين على تنفيذها تحت الضغط 

• تحديد مهل زمنية صارمة للمدة التي يمكن للموقع أن يعمل فيها دون رؤية نظام SCADA قبل تفعيل بروتوكول إيقاف التشغيل إلى الحالة الآمنة 

بناء بنية أمنية مرنة لموارد الطاقة الموزعة 

إطار عمل أمن تكنولوجيا التشغيل خماسي الطبقات للطاقة المتجددة 

لا يوجد عنصر تحكم واحد يمنع كل الهجمات. ما ينجح فعلياً هو استراتيجية الدفاع متعدد الطبقات - عناصر تحكم متعددة متداخلة بحيث عندما تفشل طبقة واحدة (وهذا أمر متوقع تحت هجوم متطور مدعوم من دولة)، تقوم الطبقة التالية باكتشاف التهديد قبل حدوث ضرر كارثي. 

جاهزية بنية أمن تكنولوجيا التشغيل (OT) - الشبكة الموزعة 

السياق التنظيمي: ما يجب على مشغلي الشبكات معرفته 

تتسارع صرامة البيئة التنظيمية المحيطة بالأمن السيبراني للطاقة المتجددة بشكل متزايد. سواء كنت تعمل في أمريكا الشمالية بموجب معايير NERC CIP، أو في أوروبا بموجب توجيه NIS2، أو في أي سلطة قضائية تطبق تشريعات سيبرانية ناشئة لقطاع الطاقة، فإن التوقعات واحدة: أنت مطالب بإثبات تحديدك للأصول الحساسة، وتقييمك للمخاطر السيبرانية، وتطبيقك للمهام الرقابية المقررة. 

ما يبحث عنه المنظمون بشكل متزايد في مراجعات ما بعد الحوادث وتدقيق الامتثال لمشغلي الطاقة الموزعة هو: 

• جرد محدث لجميع أصول تكنولوجيا التشغيل، بما في ذلك الأجهزة الطرفية في المواقع النائية 

• أدلة على تجزئة الشبكة بين بيئات تكنولوجيا المعلومات وتكنولوجيا التشغيل 

• إجراءات موثقة ومختبرة للاستجابة للحوادث خاصة ببيئات تكنولوجيا التشغيل ونظم التحكم الصناعية (OT/ICS) 

• ضوابط وإجراءات إدارة وصول الموردين والأطراف الخارجية مع سجلات تدقيق دقيقة 

• عمليات منهجية رسمية لإدارة مخاطر سلسلة التوريد لشراء الأجهزة والبرمجيات 

إن الهجوم على شبكة بولندا يؤثر بالفعل على الكيفية التي يعيد بها المشرعون ومشغلو الشبكات في جميع أنحاء أوروبا وأمريكا الشمالية صياغة متطلباتهم الأمنية لمشغلي موارد الطاقة الموزعة (DER). المبادرة الآن ليست مجرد ممارسة أمنية ذكية، بل هي طريقك للبقاء في صدارة متطلبات الامتثال الإلزامية. 

كيف تساعدك Shieldworkz في تأمين شبكتك الموزعة 

في Shieldworkz، نتخصص حصرياً في الأمن السيبراني لتكنولوجيا التشغيل (OT)، وأنظمة التحكم الصناعية (ICS)، وإنترنت الأشياء (IoT) للبيئات الصناعية - بما في ذلك البنية التحتية لتوليد طاقة الرياح والطاقة الشمسية. إننا ندرك تماماً أنه لا يمكنك ببساطة تطبيق أدوات أمن تكنولوجيا المعلومات الخاصة بالمؤسسات على العاكسات ووحدات التحكم الطرفية (RTUs). تتميز بيئات تكنولوجيا التشغيل ببروتوكولات فريدة، ومتطلبات توفر خاصة، ومخاطر استثنائية تتطلب حلولاً مصممة خصيصاً وخبرة صناعية ميدانية وعملية. 

خدمات Shieldworkz المصممة لمعالجة دروس الهجوم 

نحن نعمل مباشرة مع مديري المحطات ومهندسي تكنولوجيا التشغيل على مستوى الموقع - وليس فقط مع مدراء أمن المعلومات في المقر الرئيسي. نتفهم جداً جداول نوبات العمل، وفترات الصيانة، والواقع التشغيلي لإدارة أصول التوليد الموزعة. تقييماتنا لا تسبب أي انقطاع في التشغيل، ومراقبتنا تتم بشكل غير فعال، ويمتلك فريق الاستجابة للحوادث لدينا خبرة عملية في بروتوكولات الصناعة التي تستخدمها أجهزتك بالفعل. 

الخاتمة 

أهم الوجبات المستفادة 

أول هجوم سيبراني منسق على البنية التحتية لطاقة الرياح والطاقة الشمسية لم يكن سيناريواً افتراضياً من تقرير استخبارات التهديدات. بل لقد حدث بالفعل، وتسبب في أضرار مادية حقيقية للأجهزة، ويجب أن يكون بمثابة دافع قوي لكل مؤسسة تدير موارد طاقة موزعة لإعادة تقييم وضعها الأمني. 

إليك الأمور الخمسة التي يجب أن تستخلصها من هذا الحادث: 

1. احمِ الأطراف. كل موقع عن بعد، وعاكس، ووحدة تحكم طرفية يمثل نقطة دخول. مد نطاق نموذجك الأمني إلى ما هو أبعد من غرفة التحكم. 

2. جسر الهوة بين أمن تكنولوجيا المعلومات وتكنولوجيا التشغيل. سيتحول اختراق تكنولوجيا المعلومات إلى حادث في تكنولوجيا التشغيل إذا سمحت له بذلك. افرض تجزئة صارمة ورؤية موحدة. 

3. احفظ نسخة احتياطية من برامجك الثابتة - دون اتصال بالإنترنت. تستهدف البرمجيات التدميرية الخبيثة البرامج الثابتة على وجه التحديد. النسخ الاحتياطية غير القابلة للتغيير وغير المتصلة بالإنترنت وخطط الاسترداد المختبرة هي أمور غير قابلة للتفاوض. 

4. انشر نظام وصول عن بعد قائم على الثقة الصفرية. يجب أن يخضع كل اتصال مورد، وكل جلسة عمل عن بعد، وكل حساب صيانة للمصادقة وللترخيص وللتدقيق. 

5. خطط لحالات فقدان الرؤية. الرؤية التشغيلية هي وظيفة سلامة، وليست مجرد رفاهية. ابنِ أنظمة مراقبة احتياطية وإجراءات تراجع يدوية. 

لا يتعين عليك حل هذه المشكلات بمفردك. تمتلك Shieldworkz الخبرة في مجال الأمن السيبراني الصناعي، والأدوات الخاصة بتكنولوجيا التشغيل (OT)، والخبرة الواقعية في الاستجابة للحوادث لمساعدتك في بناء برنامج أمني يتناسب مع مشهد التهديدات الذي يواجه مشغلي الطاقة الموزعة اليوم. 

هل أنت مستعد لتأمين شبكتك الموزعة؟ اطلب تقييماً لأمن تكنولوجيا التشغيل لمدة 30 دقيقة مع خبرائنا في الأمن السيبراني الصناعي. 

مصادر إضافية:

قائمة مراجعة تشخيص فجوات أمن NERC CIP هنا
تقييم فجوات الأمن السيبراني وتوجيهات قائمة مراجعة الضوابط لتوجيه NIS2 هنا
قائمة مراجعة معالجة NERC CIP باستخدام حلول الكشف والاستجابة لشبكات تكنولوجيا التشغيل هنا
أدلة المعالجة والحلول هنا