تستبدل المحطات الفرعية الرقمية القائمة على معيار IEC 61850 الأسلاك النحاسية ببروتوكولات معتمدة على شبكة الإيثرنت (Ethernet) - مثل GOOSE، والقيم المعينة (Sampled Values - SV)، وMMS - والتي جرى تصميمها لتحقيق السرعة وقابلية التشغيل البيني، وليس للأمان السيبراني. لا يوفر أي من هذه البروتوكولات مصادقة أو تشفيراً لحركة البيانات افتراضياً، مما يعني أن المهاجم الذي يتمكن من الوصول إلى قطاع الشبكة المناسب يمكنه استراق رسائل GOOSE لرسم خريطة القواطع الكهربائية، أو حقن أوامر فصل (trip) مزيفة، أو إعادة تشغيل بيانات الأعطال الملتقطة، أو إغراق ناقل المعالجة (process bus) لتعطيل مرحلات الحماية (protection relays). إن طبقة الأمان المصممة لمعالجة هذا الخلل - سلسلة معايير IEC 62351 - متوفرة، ولكن دراسة محكمة أُجريت عام 2026 تؤكد أنها "نادراً ما تُطبَّق بالكامل في الأنظمة الواقعية"، مما يجعل معظم المحطات الفرعية محمية بشكل أساسي من خلال هندسة الشبكات بدلاً من أمان البروتوكولات بحد ذاتها. والحل العملي يكمن في تطبيق بنية دفاعية متعددة الطبقات ومتعمقة (Defense-in-depth): تجزئة صارمة بين تقنية المعلومات (IT) والتقنية التشغيلية (OT)، وبوابات أحادية الاتجاه، وأنظمة كشف التسلل المدركة لطبيعة البروتوكولات، وتطبيق معيار IEC 62351-6 حيثما تدعم الأجهزة ذلك، والمراقبة المستمرة لأي سلوك غير طبيعي في GOOSE/SV، فضلاً عن الحوكمة الصارمة للوصول عن بُعد للموردين. 

لماذا أصبحت المحطات الفرعية - ومعيار IEC 61850 على وجه التحديد - أهدافاً ذات أولوية 

عند دخولك أي محطة فرعية بُنيت خلال العقد الماضي، ستجد ما كان يصعب تصوره قبل عشرين عاماً: بنية إيثرنت تتبادل فيها مرحلات الحماية ووحدات الدمج (merging units) ووحدات التحكم في الخلية (bay controllers) إشارات الفصل في أجزاء من الألف من الثانية عبر الألياف الضوئية بدلاً من الأسلاك النحاسية. هذه البنية يحددها معيار IEC 61850، وقد حققت مكاسب تشغيلية حقيقية - مثل التوافقية التشغيلية بين الموردين، ومخططات حماية أسرع، وإمكانية الوصول الهندسي عن بُعد، وخفضاً كبيراً في تكاليف التمديدات السلكية. غير أنها في الوقت نفسه أزالت بهدوء العزل المادي الذي كان يحمي المحطات الفرعية بصورة افتراضية. 

"لم تكن البنى التحتية للمحطات الفرعية الكهربائية متصلة في الأصل بالشبكات الخارجية، ما يعني أنها لم تُصمم مع مراعاة قضايا الأمن السيبراني." 

تلك الملاحظة - المستقاة من تحليل شركة Stormshield للوضع الأمني لمعيار IEC 61850 - تظل المشكلة المحورية في هذا القطاع. فكل رسالة كانت تنتقل في السابق عبر زوج نحاسي مخصص ومعزول مادياً باتت تسري الآن عبر شبكة مشتركة وقابلة للتوجيه (routable). وتستند البروتوكولات الحاملة لتلك الرسائل إلى ثلاثة افتراضات لم تعد صالحة اليوم: 

1. الشبكة موثوقة. لا تحمل إطارات GOOSE وSV أي مصادقة على هوية المرسل، أو تشفير، أو تدقيق سلامة البيانات افتراضياً. 

   
   

2. المشتركون شرعيون. يمكن لأي جهاز موجود على نطاق البث المتعدد (multicast domain) نشر إطارات ستستجيب لها الأجهزة الإلكترونية الذكية (IEDs) المشتركة وتتصرف بناءً عليها. 

   
   

3. السرعة تتفوق على الأمان. يجب أن تصل رسائل الحماية في غضون 3 أجزاء من الألف من الثانية أو أقل. وتاريخياً، لم تتمكن خوارزميات التشفير من استيفاء هذا المتطلب الزمني الصارم، ولذلك تم التخلي عنها. 

والنتيجة: بمجرد حصول الخصم على موطئ قدم في أي مكان داخل الشبكة المحلية (LAN) للمحطة الفرعية، فإن الحاجز التقني أمام إحداث تأثير مادي - مثل فتح قواطع الدائرة، أو إطلاق عمليات فصل خاطئة، أو تعطيل الحماية المشروعة - ينخفض إلى الصفر تقريباً. 

المشهد العام في 2026: ما تكشفه أحدث الأبحاث والحوادث 

قبل الخوض في آليات التهديد، يجدر بنا ربط ذلك بما يحدث فعلياً على أرض الواقع في الوقت الراهن؛ إذ انتقل مشهد التهديدات الموجهة لمحطات IEC 61850 الفرعية من النطاق النظري إلى النطاق العملياتي الفعلي. 

1. هجمات "الاعتماد على موارد النظام المتاحة" (Living off the land) ضد بروتوكول MMS باتت مثبتة عملياً وليست مجرد افتراض 

في يوليو 2026، نشر باحثون دراسة محكمة قائمة على محاكاة البرمجيات ضمن الحلقة (Software-in-the-Loop) تثبت أن المهاجم الذي يمتلك فقط وصولاً إلى الشبكة المحلية يمكنه تنفيذ سلسلة هجوم كاملة عبر بروتوكول IEC 61850 MMS - وهو بروتوكول العميل/الخادم المستخدم للتحكم والمراقبة والعمليات الهندسية: 

• الاستطلاع عبر الاستراق: يلتقط المهاجم حركة مرور البث المتعدد لـ GOOSE بشكل سلبي لاستخراج معرفات التطبيقات (Application IDs)، ومعرفات GoIDs، وأسماء الأجهزة المنطقية والعقد المنطقية (مثل CSWI للتحكم في المفاتيح وXCBR لقواطع الدائرة)، ثم يطابق عناوين MAC مع حركة بيانات بروتوكول ARP لتحديد الأجهزة الإلكترونية الذكية (IEDs) المستهدفة. 

• حقن الأوامر الصالحة: يفتح المهاجم جلسة TCP إلى المنفذ 102 على الجهاز الإلكتروني الذكي المستهدف، ويرسل طلب SelectWithValue يتبعه فوراً أمر تشغيل (Operate) - وكل ذلك باستخدام خدمات MMS المشروعة تماماً. 

• التأثير المادي: يُفتح قاطع الدائرة، ويتأكد المهاجم من ذلك عبر مراقبة تغير قيمة stVal في دفق بيانات GOOSE. 

لا برمجيات خبيثة، لا ثغرات استغلال، ولا ثغرات يوم الصفر (zero-days)؛ بل مجرد أوامر بروتوكول صالحة أُرسلت من جهاز غير مصرح له. هذه هي السمة المميزة لهجمات التقنية التشغيلية (OT) الحديثة: يتحول البروتوكول نفسه إلى سلاح. 

2. هجوم سد بريمانجر غيّر الحسابات الأمنية لقطاع التقنية التشغيلية 

في عام 2025، تلاعب مهاجمون بضوابط التقنية التشغيلية في سد يقع في بريمانجر بالنرويج، ففتحوا بوابات الفيضان متسببين في فيضانات بمجاري الأنهار - وهو عمل نسبته الشرطة النرويجية إلى مجموعة قرصنة موالية لروسيا. وتحذر التقييمات الأمنية الصادرة عن استخبارات الدفاع الدنماركية لعام 2025 بوضوح من أن شبكات البنية التحتية الحيوية لا تزال تشكل أهدافاً ذات أولوية قصوى لمثل هذا النوع من عمليات الحرب الهجينة. 

وبالنسبة لمشغلي المحطات الفرعية، فإن الدرس شديد الوضوح: هجمات التلاعب بالتقنية التشغيلية لم تعد تجارب نادرة؛ بل أصبحت قدرة هجومية راسخة لدى جهات مدعومة من دول، وتتصدر شبكات الكهرباء قائمة هذه الأهداف. 

3. تطور "سلالة إندستروير" (Industroyer) إلى برمجيات خبيثة متوافقة أصلاً مع البروتوكولات 

عائلة الهجمات التي بدأت مع Industroyer (عام 2016، محطة نقل الكهرباء في أوكرانيا عبر معيار IEC 104) وتطورت إلى INCONTROLLER/Pipedream - وهي برمجية خبيثة معيارية مزودة بوحدات مخصصة لبروتوكولات OPC UA وModbus وIEC 61850 GOOSE/SV - أسست النموذج المتبع: أدوات قابلة لإعادة الاستخدام ومتوافقة أصلاً مع البروتوكولات وقادرة على استهداف المحطات الفرعية باختلاف الموردين والمناطق الجغرافية. كانت وحدات 61850 التابعة لـ INCONTROLLER قادرة على استكشاف الأجهزة الإلكترونية الذكية (IEDs)، وحصر العقد المنطقية، وإصدار أوامر التحكم - وهو نفس نمط استغلال الأدوات المتاحة (LOTL) الذي أكدته أبحاث عام 2026. وأي مؤسسة مرافق تفترض أن محطاتها الفرعية مغمورة ولا تستحق تطوير أدوات خاصة لاستهدافها عليها إعادة النظر في ذلك.

4. تحديث معيار IEC 62351 في عام 2026 - ولكن العائق يكمن في التبني وليس في المواصفات 

حصلت سلسلة معايير IEC 62351 (أمن البيانات والاتصالات لأنظمة الطاقة) على إصدار عام 2026، ويواصل المعيار IEC 62351-6 تحديد آلية مصادقة الرسائل المستندة إلى HMAC لبروتوكولي GOOSE وSV. المواصفة الفنية ليست هي المشكلة؛ بل تكمن المشكلة، كما وثقتها باستمرار الأوراق البيضاء للموردين ودراسات CIGRE والأبحاث الأكاديمية، فيما يلي: 

• يطبق الموردون معيار IEC 62351 بأشكال متباينة أو جزئية فقط، مما يضر بالتوافقية التشغيلية. 

• تتسبب عمليات حساب رمز مصادقة الرسالة (MAC) في زيادة زمن الاستجابة، وهو ما يتعارض تاريخياً مع متطلب الحماية البالغ 3 أجزاء من الألف من الثانية، لذا يعمد المشغلون إلى تعطيلها. 

• إدارة المفاتيح (توزيع وتدوير المفاتيح المتماثلة عبر مئات الأجهزة الإلكترونية الذكية من عدة موردين) معقدة تشغيلياً وغالباً ما يتم التخلي عنها بهدوء. 

وتلخص دراسة أجرتها CIGRE عام 2026 حول تهديدات المحطات الفرعية الرقمية ذلك بوضوح: تفتقر بروتوكولات IEC 61850 إلى "المصادقة والتشفير القويين، مما يجعلها عرضة لهجمات مثل الانتحال (spoofing) وإعادة الإرسال (replay)" - ويظل هذا واقعاً ملموساً في الأجهزة المنشورة فعلياً حتى في الحالات التي تسد فيها المعايير هذه الفجوة نظرياً. 

5. حتى بروتوكول GOOSE المتوافق مع IEC 62351 يمكن استهدافه 

لعل أكثر النتائج إثارة للقلق في الأبحاث الحالية: اختبار تحليل أمني دقيق لنقاط الضعف في بروتوكول GOOSE (نُشر في مجلة Sensors عام 2021) أداء البروتوكول مع وبدون مخطط SHA-256 HMAC التابع للمعيار IEC 62351، وذلك باستخدام التحقق الآلي من المطالبات الأمنية ومحاكاة الأجهزة ضمن الحلقة (Hardware-in-the-loop). النتيجة: قلل تطبيق معيار IEC 62351 من مساحة الهجوم، ولكن حقن أوامر الفصل المزيفة نجح على الرغم من ذلك - نظراً لأن GOOSE يبث المعلومات نفسها بصورة متكررة عبر البث المتعدد، ويمتلك المهاجمون الداخليون على الشبكة المحلية مسارات هجوم متعددة صالحة للاستخدام. تحصين المعيار أمر ضروري، لكنه ليس كافياً بمفرده.

6. الأبحاث تسلح فرق الدفاع أيضاً 

تتحرك جبهة الأبحاث الدفاعية بسرعة أيضاً: 

• مجموعات بيانات التوأم الرقمي الهجينة (IEEE DataPort، 2026) توفر الآن حزم بيانات ملتقطة ومصنفة لبروتوكولي GOOSE/SV من محطة فرعية محاكاة تضم 14 قضيب توصيل (14-bus) تحت ظروف طبيعية وهجومية - بما في ذلك سيناريو مهاجم "مدرك للإجراءات الدفاعية" ينتحل معرفات MAC OUI المشروعة ويكيف زيادات أرقام الحالة لتفادي الكشف. وهذا بدوره يعزز أنظمة كشف التسلل المعتمدة على التعلم الآلي للمحطات الفرعية. 

• تقنيات التخفيف الفوري للمحطات الفرعية المعتمدة على IEC 61850/IEC 62351 قُدمت في ندوة "شبكة المستقبل" التابعة لـ CIGRE لعام 2025، مركزةً على كشف الهجمات المنسقة واعتراضها قبل وصولها إلى نظام الأتمتة. 

• أدوات الاختبار الآلية للأمن السيبراني (أبحاث منصات HIL التجريبية) أظهرت أن معظم الأجهزة الإلكترونية الذكية التجارية تفشل في اكتشاف الحقن المتفرق لـ SV والهجمات المنسقة متعددة الأجهزة أثناء الاختبار - مما يشكل حجة قوية لفرض اختبارات القبول الأمني عند الشراء والتوريد. 

7. التزامن الزمني هو مساحة هجوم لا تحظى بالتقدير الكافي 

تعتمد المحطات الفرعية الرقمية على بروتوكول IEEE 1588 PTP لتحقيق التزامن في أجزاء من الميكروثانية لتدفقات بيانات SV. وتظهر الأبحاث المحكمة حول هجمات PTP ضد محطات IEC 61850 الفرعية (Electronics، 2023) أن التلاعب بالنطاق الزمني يمكن أن يؤدي إلى إلغاء تزامن وحدات الدمج ومرحلات الحماية - متسبباً في تشغيل خاطئ للحماية التفاضلية وفصل وهمي دون الحاجة إلى إرسال إطار واحد خبيث من إطارات GOOSE أو SV. كما أن انتحال إشارات GPS أو التشويش عليها يحقق تأثيراً مشابهاً من خارج محيط المحطة الفرعية. الوقت هو مدخل أساسي للحماية، ويجب التعامل معه كأصل أمني بالغ الأهمية.

تشريح هجوم IEC 61850: التهديدات الفعلية البارزة 

التهديد 1: انتحال GOOSE وحقن البيانات الزائفة 

يعد GOOSE بروتوكول نشر واشتراك يعمل بتقنية البث المتعدد على الطبقة الثانية (Layer 2). عندما يكتشف المرحل عطلاً، فإنه ينشر رسالة GOOSE للفصل؛ فيتفاعل كل قاطع مشترك معها في غضون أجزاء من الألف من الثانية. ونظراً لعدم وجود مصادقة على الإطارات، يمكن للمهاجم الذي يستنسخ عنوان MAC الخاص بالناشر حقن إطار GOOSE مزور برقم حالة متزايد (stNum، مع تصفير sqNum) - وهو النمط المتطابق تماماً لحدث جديد مشروع. فتتقبله الأجهزة الإلكترونية الذكية المشتركة وتفصل القواطع فوراً. 

مكمن الخطر: يمكن لإطار واحد أن يفتح قاطع دائرة. ويمكن لرشقة إطارات تحتوي على بيانات منطقية (Boolean) متلاعب بها أن تؤدي إلى سلسلة من العمليات الخاطئة عبر مخططات التعشيق (interlocking) ومخططات فشل القواطع - كل ذلك دون الحاجة لأي برمجيات استغلالية ومعتمدة على أدوات بسيطة مثل Scapy وWireshark. 

ما تغفله معظم التحليلات: هجمات الانتحال الدلالي التي تعمل وفق قواعد البروتوكول - مثل التلاعب بتسلسلات أوامر مغير الجهد (tap-changer) حيث يتم تعديل أحداث GOOSE الفردية دون انتهاك النوافذ الزمنية المحددة - تتسم بالتخفي الشديد تحديداً لأنها لا تخالف نصوص البروتوكول إطلاقاً. 

التهديد 2: حقن القيم المعينة (SV) وإعادة تشغيلها 

تنقل تدفقات SV قياسات التيار والجهد الرقمية من وحدات الدمج إلى مرحلات الحماية عبر ناقل المعالجة بمعدلات تصل إلى 4800 عينة في الثانية. ويؤدي حقن إطارات SV متلاعب بها تحتوي على تيارات بمستوى الأعطال إلى فصل الحماية من زيادة التيار أو الحماية التفاضلية بناءً على عطل وهمي. كما تؤدي إعادة تشغيل سيناريو عطل تم التقاطه مسبقاً إلى إعادة تشغيل الحماية استجابة لحدث لا وجود له في الواقع. 

الواقع الملموس للاختبارات: في دراسات محاكاة الأجهزة ضمن الحلقة (HIL) باستخدام نموذج محطة فرعية بجهد 500 كيلوفولت، فشلت معظم الأجهزة الإلكترونية الذكية التجارية الخاضعة للاختبار في اكتشاف حزم SV المصطنعة والمحقونة بشكل متفرق، وقامت بفصل القواطع على أية حال. فالحقن المتفرق - إطار خبيث واحد بين آلاف الإطارات - هو النمط الأكثر ترجيحاً للتهرب من أنظمة كشف الشذوذ البسيطة. 

التهديد 3: إساءة استخدام أوامر التحكم في MMS (العنوان الأبرز لعام 2026) 

كما وُضح أعلاه، فإن قيام أجهزة دخيلة بإصدار أوامر تشغيل (Operate) مشروعة عبر بروتوكول MMS يمثل التهديد الأكثر واقعية من الناحية التشغيلية اليوم. يعمل بروتوكول MMS فوق شبكات TCP/IP، مما يجعله يعبر الشبكات الافتراضية (VLANs) ويمكن الوصول إليه من أعماق الشبكة - بما في ذلك قطاعات تقنية المعلومات (IT) في حال وجود بوابات غير مضبوطة التكوين. وهذا هو ناقل الهجوم الذي يجب أن يقلق مسؤولي أمن المعلومات (CISO) أكثر من غيره، لأنه لا يتطلب أي استغلال لثغرات في البروتوكول أصلاً. 

التهديد 4: حجب الخدمة وتشبع الشبكة 

يؤدي إغراق شبكة GOOSE بنسبة تتراوح بين 40 إلى 85% من سعتها إلى فقدان ملحوظ للحزم، وفوات عمليات إعادة الإرسال، واضطراب سلوك الأجهزة المشتركة. ولأن التوافرية في المحطات الفرعية تتفوق على السرية (فالمرحل المحجوب سيعجز عن الفصل عند وقوع عطل حقيقي)، فإن هجمات حجب الخدمة (DoS) على ناقل المعالجة ليست مجرد إزعاج عابر - بل هي فشل في منظومة الحماية ينطوي على مخاطر حدوث انقطاع شامل في التيار الكهربائي (blackout). وتعتبر الأجهزة الإلكترونية الذكية ذات القدرات الحوسبية المحدودة معرضة بشكل خاص لحركة البيانات الكثيفة والمصممة بعناية. 

التهديد 5: اختراق قنوات الوصول عن بُعد للموردين 

نقطة الدخول الأكثر شيوعاً في الواقع لا تتمثل في اختراق جدار الحماية - بل في جهاز محمول لمقاول، أو جلسة صيانة للمورد، أو اتصال هندسي مؤقت تُرك نشطاً بعد الانتهاء من تدشين المحطة. إن اختراق سلاسل التوريد لمورد يمتلك وصولاً مشروعاً إلى المحطة يختصر مسار الهجوم بالكامل: إذ يجد المهاجم نفسه داخل الشبكة الفرعية للتقنية التشغيلية (OT) مسبقاً، متجاوزاً كل الضوابط المحيطية التي أُنفقت الأموال لتطبيقها. 

التهديد 6: هجمات التزامن الزمني (PTP/GPS) 

تم تفصيل ذلك أعلاه - ولكن تجدر الإشارة إليه باستمرار في أي خطة دفاعية، نظراً لضعف الميزانيات المخصصة له مقارنة بحجم تأثيره البالغ. 

التهديد 7: التحرك الجانبي من شبكة تقنية المعلومات (IT) إلى التقنية التشغيلية (OT) 

لم تعد محطات IEC 61850 الفرعية جزر معزولة؛ إذ تشكل محطات العمل الهندسية، وبوابات أنظمة SCADA، وخوادم تجميع البيانات التاريخية (Historians)، وأنظمة إدارة الأصول جسوراً ممتدة من بيئة تقنية المعلومات المؤسسية. ونادراً ما تنطبق افتراضات أمن المؤسسات التقليدية (مثل وتيرة تحديث الأنظمة، وتغطية برمجيات الكشف والاستجابة لنقاط النهاية EDR، والانضباط في إدارة الهويات) داخل بيئات المحطات الفرعية، وبالتالي يمكن لبيانات اعتماد هندسية واحدة مسروقة عبر التصيد أن تتحول إلى موطئ قدم مباشر على ناقل المعالجة.

المخطط الدفاعي: بنية أمان متعددة الطبقات لمعيار IEC 61850 

لا يمكن لضابط أمني منفرد حماية محطة فرعية رقمية؛ فالحل يكمن في الدفاع المتعمق (Defense in Depth)، بحيث تعوض كل طبقة الثغرات ونقاط الضعف في الطبقات الأخرى. فيما يلي البنية التي نوصي بها، والمتوافقة مع المناطق والقنوات (Zones and Conduits) للمعيار IEC 62443 ومتطلبات NERC CIP. 

الطبقة 1: التجزئة المعمارية (مناطق وقنوات IEC 62443) 

• تجزئة المحطة الفرعية إلى مناطق أمنية مميزة: ناقل المحطة (station bus)، وناقل المعالجة (process bus)، والمنطقة الهندسية، ومنطقة أنظمة SCADA/البوابات، مع استخدام القنوات لفرض تدفقات البيانات وفق مبدأ الامتيازات الأقل (Least privilege). 

  
  

• نشر جدران نارية/بوابات صناعية معتمدة وفق معيار IEC 61850-3 تدعم الفحص العميق للحزم (DPI) وتفهم بروتوكولات GOOSE بمحدد نوع EtherType رقم (0x88B8)، وSV برقم (0x88BA)، وMMS عبر (TCP/102)، وبروتوكول SNTP - دون الاكتفاء بقواعد المنافذ فقط. 

  
  

• استخدام بوابات أحادية الاتجاه/صمامات البيانات (Data Diodes) لحركة البيانات التي لا ينبغي أن تعود أبداً (مثل تصدير البيانات التاريخية من شبكة OT إلى IT)؛ فكل رابط ثنائي الاتجاه يمثل جسراً محتملاً للتحرك الجانبي. 

الطبقة 2: التحصين على مستوى البروتوكول (تطبيق معيار IEC 62351 بصورة انتقائية) 

• تمكين مصادقة الرسائل IEC 62351-6 المعتمدة على HMAC لبروتوكولي GOOSE وSV حيثما تدعم عتاد الأجهزة الإلكترونية الذكية ذلك ضمن الحدود المسموحة لزمن الاستجابة - مع التحقق من توقيتات الحماية الشاملة قبل التفعيل في بيئة الإنتاج. 

  
  

• بالنسبة لبروتوكول MMS، يجب فرض التحكم في الوصول القائم على الأدوار، والمصادقة القوية، وتشفير TLS حيثما كان مدعوماً، وحظر الاقتران المجهول (anonymous associations) نهائياً. 

  
  

• التعامل مع إدارة المفاتيح كعملية تشغيلية من الدرجة الأولى: التوزيع المركزي للمفاتيح، وجداول التدوير، والملكية الموثقة - فالكثير من مشاريع تطبيق 62351 تفشل عند هذه النقطة، لذا ينبغي التخطيط لها بشكل دقيق وصريح. 

الطبقة 3: ضوابط هندسة الشبكات 

• تجزئة الشبكات الافتراضية (VLAN) لفئات حركة البيانات؛ وتعطيل منافذ المحولات (Switches) غير المستخدمة؛ وتطبيق أمان المنافذ وتقييد عناوين MAC على المنافذ المتصلة بالأجهزة الإلكترونية الذكية. 

  
  

• تحديد المعدل (Rate limiting) والتحكم في عواصف البيانات (Storm control) بما يتوافق مع الأنماط المعتادة والمشروعة لـ GOOSE/SV، حتى تتراجع كفاءة الشبكة تدريجياً وبشكل منظم عند التعرض لهجوم إغراق بدلاً من الانهيار الكارثي. 

  
  

• دراسة تكرارية PRP/HSR لضمان التوافرية - مع مراعاة ضرورة تأمين المسارات المكررة بنفس القدر من الصرامة؛ فالتكرارية التي لا تخضع للمراقبة تتحول إلى مساحتي هجوم بدلاً من واحدة. 

  
  

• تأمين الوصول الهندسي عبر أجهزة القفز الوسيطة (Jump hosts) مع فرض المصادقة متعددة العوامل (MFA)، وتسجيل الجلسات، واستخدام بيانات اعتماد مؤقتة محددة بوقت محدد (Just-in-time) - وتجنب الربط المباشر لحواسيب الموردين بشبكات الأجهزة الإلكترونية الذكية الفرعية. 

الطبقة 4: المراقبة المستمرة لشبكة التقنية التشغيلية (OT) وكشف الشذوذ 

تعتبر هذه النقطة الأضعف لدى معظم مؤسسات المرافق، وهي النقطة التي تمنح فيها أبحاث عام 2026 أدوات جديدة للمدافعين: 

• وضع خط الأساس (Baseline)، ثم رصد أي انحراف عنه. تحليل وتوصيف سلوك كل ناشر لـ GOOSE (معرف التطبيق APPID، ومجموعة البيانات، ونسق stNum/sqNum، ومنحنى إعادة الإرسال) وكل تدفق لـ SV (معدل أخذ العينات، وسلوك smpCnt). وتعتبر الانحرافات - مثل انتحال OUI، أو القفزات غير المنطقية في التسلسل، أو عناوين MAC غير المتوقعة للناشر، أو الاضطرابات الزمنية - تنبيهات عالية الدقة في بيئة تتسم بالحتمية والتوقع الدقيق مثل المحطات الفرعية. 

  
  

• نشر أنظمة كشف تسلل مدعومة بالتعلم الآلي ومدرّبة على مجموعات بيانات التوأم الرقمي والتي تتضمن أنماط هجومية مدركة للتحصينات؛ فالأنظمة الكاشفة البسيطة يمكن التهرب منها بشكل مثبت علمياً. 

  
  

• مراقبة المجال الزمني: سلامة الساعة الرئيسية (PTP Grandmaster)، وتنبيهات وضع الحفاظ على الوقت (Holdover)، وموثوقية إشارات GPS بالتوازي مع البيانات المجمعة عن أداء الشبكة. 

  
  

• ربط التنبيهات وإدراجها في كتيبات إجراءات الاستجابة للحوادث التي تتضمن إجراءات التشغيل المادي - لأن انتحال رسائل GOOSE المؤكد أثناء العواصف يمثل حادثاً سيبرانياً وحدثاً يمس موثوقية الشبكة الكهربائية في آن واحد. 

الطبقة 5: حوكمة الأصول والموردين وسلسلة التوريد 

• الاحتفاظ بـ سجل أصول محدث باستمرار للأجهزة الإلكترونية الذكية وإصدارات البرامج الثابتة (Firmware) وإمكانيات البروتوكولات - فلا يمكنك حماية أو معالجة ما لم تقم بحصره وتحديده. وتعد ملفات IEC 61850 SCL (من نوع ICD/CID) سجلاً بيانياً مجانياً للأصول إذا قمت بتحليلها وقراءتها منهجياً. 

  
  

• إلزام الموردين تعاقدياً بإجراء اختبارات القبول الأمني للأجهزة الإلكترونية الذكية قبل إدخالها الخدمة - بما في ذلك سيناريوهات حقن SV، وانتحال GOOSE، والهجمات المنسقة (منهجية الاختبار متوفرة؛ فاجعلها ضمن مخرجات التوريد الإلزامية). 

  
  

• حوكمة وصول الموردين عن بُعد كبرنامج دائم ومستمر: حسابات مخصصة بالاسم، والموافقة المسبقة على الجلسات، والتسجيل الكامل لها، وانتهاء الصلاحية التلقائي. فالدرس المستفاد من حادثة بريمانجر هو أن الخصم غالباً ما يدخل منتحلاً هوية مشروعة ومصرحاً لها. 

الطبقة 6: التوافق مع المعايير واللوائح التنظيمية - بعيداً عن الامتثال الشكلي 

• مطابقة الضوابط الأمنية مع معايير NERC CIP (للمنشآت في أمريكا الشمالية)، ومعيار IEC 62443، واللوائح الوطنية المماثلة (مثل توجيه NIS2 في الاتحاد الأوروبي الذي يغطي قطاع الطاقة بالتقنية التشغيلية بصورة متزايدة). 

  
  

• التعامل مع الامتثال كحد أدنى للمتطلبات وليس سقفاً لها: فالامتثال لمعايير CIP وحدها ما كان ليكتشف سلسلة هجوم MMS المعتمدة على أدوات النظام (LOTL) الموضحة أعلاه - بينما المراقبة السلوكية كانت كفيلة بذلك. 

أحدث التطورات (من عام 2025 إلى أكتوبر 2026) 

تحولت الهجمات الموجهة لشبكات الكهرباء من مجرد تعطيل لتقنية المعلومات إلى التدمير المادي للأجهزة. وتعد الحادثة التي وقعت في بولندا والمذكورة أعلاه أوضح مثال حديث على ذلك. وإلى جانب هجوم أوكرانيا عام 2015، حيث استغل المهاجمون بيانات اعتماد مسروقة واتصالات VPN لفتح قواطع الدوائر عن بُعد في المحطات الفرعية (يشير ملخص شركة Hitachi Energy الأخير إلى خروج 30 محطة فرعية عن الخدمة وتأثر نحو 225,000 مشترك)، فإن ذلك يوضح أسلوبين مختلفين في الهجوم: التلاعب بتشغيل الشبكة، أو تدمير الأجهزة المشغلة لها. ويجب على القائمين على الدفاع وضع خطط للتصدي لكلا السيناريوهين. 

تدفق مستمر للتحذيرات الأمنية المتعلقة بمرحلات حماية المحطات الفرعية. 

• في سبتمبر 2026، أصدرت شركة Siemens التحذير الأمني SSA-142885 وأعادت وكالة CISA نشره تحت المعرف ICSA-26-258-05 لمرحلات الحماية Reyrolle 7SR5. وتتمثل الثغرة الأخطر، CVE-2026-62645 (بتقييم خطورة CVSS 9.8)، في تجاوز للمصادقة عبر واجهة الويب يتيح للمهاجم استنتاج معرفات جلسات صالحة. والحل يكمن في التحديث إلى البرنامج الثابت V2.70 أو أحدث. وأشارت التقارير إلى عدم رصد استغلال فعلي لها وقت النشر، ولكن مسار الهجوم يعتمد على الشبكة ولا يتطلب أي بيانات اعتماد. 

  
  

• كما نشرت وكالة CISA التحذير ICSA-26-169-07 الذي يغطي ثغرة أمنية عبر منتجات Schneider Electric من سلاسل Easergy وEcoStruxure وPowerLogic، بما في ذلك مرحلات حماية Easergy MiCOM ووحدات التحكم في المحطات الفرعية. احرص على جلب ملف CSAF الصادر عن المورد ومطابقته مع سجل الأصول لديك بدلاً من مراجعة وثائق PDF يدوياً. 

القاسم المشترك في هذه التهديدات هو مستوى الإدارة (Management plane). فغالباً ما تغفل الفرق واجهات الويب، والمنافذ الهندسية، والبوابات الموجودة على المرحلات عند تركيز تفكيرها على حركة بيانات المعيار 61850 فقط.

اللوائح التنظيمية تفرض رقابتها على ناقل المحطة. 

• يقدم معيار NERC CIP-015-1 متطلبات إلزامية لمراقبة أمان الشبكة الداخلية (INSM) ضمن النطاقات الأمنية الإلكترونية، لتغطية حركة المرور الداخلية بين الأنظمة (East-West traffic). وتفيد شركة Dragos بأن تاريخ سريان المعيار هو 1 أكتوبر 2028، ومن المتوقع أن يوسع المعيار CIP-015-2 نطاق التغطية ليشمل أنظمة مثل EACMS وPACS خارج النطاق الأمني الإلكتروني (ESP). 

  
  

• نُشرت لوائح هيئة الكهرباء المركزية في الهند (الأمن السيبراني في قطاع الطاقة) لعام 2026 في الجريدة الرسمية بتاريخ 31 يوليو 2026، وستدخل حيز التنفيذ الكامل في 1 أبريل 2027، لتحل محل إرشادات عام 2021. وتلزم هذه اللوائح بتعيين مسؤول لأمن المعلومات (CISO) وإنشاء قسم لأمن المعلومات يعمل على مدار الساعة طوال أيام الأسبوع، والفصل الصارم للتقنية التشغيلية عن تقنية المعلومات والإنترنت، وحصر الوصول عن بُعد للأصول الحيوية في حالات استكشاف الأعطال الطارئة مع فرض المصادقة متعددة العوامل (MFA) وتسجيل العمليات، وإبلاغ فريقي CSIRT-Power وCERT-In بالحوادث في غضون ست ساعات (وخلال 24 ساعة في حالات التخريب السيبراني للأنظمة الحيوية). كما تفرض التزامات على الموردين أيضاً، بما في ذلك تقديم تحديثات موقعة رقمياً وقائمة بمكونات البرمجيات (SBOM). 

  
  

• تشير التقارير الحديثة أيضاً إلى أن شركات المرافق الصغيرة ومحطات التوليد الموزعة غالباً ما تقع خارج نطاق القواعد التنظيمية الأكثر صرامة على الرغم من استمرار استهدافها، وهو أمر بالغ الأهمية إذا كنت تدير مواقع تقع تحت العتبات والحدود التنظيمية الإلزامية. 

بنية دفاعية تصمد في المحطات الفرعية الحقيقية 

لا يوجد ضابط أمني منفرد قادر على حماية محطة فرعية تعتمد على معيار IEC 61850؛ فالنموذج الناجح هو نموذج متعدد الطبقات يتوافق تماماً مع وظائف إطار عمل الأمن السيبراني NIST CSF. 

خطة عمل مسؤول أمن المعلومات (CISO) لمدة 90 يوماً 

إذا كنت تدير محطات فرعية اليوم، فرتب أولوياتك وفقاً للتسلسل التالي: 

1. الأيام 1–30 - الرؤية الشاملة: الاستكشاف السلبي للأصول والتقاط خط الأساس لبيانات GOOSE/SV عبر كافة المحطات الفرعية. دون برمجيات وكيلة (agents)، ودون مخاطر على أنظمة الحماية - مجرد الاستماع والتحليل لحركة البيانات. 

   
   

2. الأيام 30–60 - إدارة الوصول: إحكام السيطرة على الوصول عن بُعد للموردين (وفق مبدأ الوصول في الوقت المحدد JIT، والمصادقة متعددة العوامل MFA، وتسجيل الجلسات). وتدقيق جميع الحسابات الدائمة وقواعد جدار الحماية الفاصلة بين IT وOT. 

   
   

3. الأيام 60–90 - آليات الكشف: نشر أنظمة كشف الشذوذ المدركة للبروتوكولات ومقارنتها بخطوط الأساس؛ وتنفيذ تدريب مكتبي (tabletop exercise) يحاكي سيناريو هجوم MMS بالاعتماد على أدوات النظام (LOTL) الموضح في هذا المقال كأداة اختبار. 

   
   

4. الربع الثاني - التحقق والتقييم: إجراء اختبارات محاكاة هجومية مستقلة (حقن SV، وانتحال GOOSE، والتلاعب بـ PTP) على نماذج ممثلة للأجهزة الإلكترونية الذكية قبل أن يقوم المهاجمون بذلك عملياً. 

الأسئلة الشائعة 

هل صُمم معيار IEC 61850 ليكون آمناً بطبيعته؟ كلا؛ إذ جرى تصميم IEC 61850 لتحقيق التوافقية التشغيلية والأداء الحتمي في الوقت الفعلي. وتم إرجاء آليات الأمان عمداً إلى سلسلة معايير IEC 62351 المصاحبة، والتي ما زال تطبيقها غير مكتمل وغير متسق عبر الأجهزة المنشورة فعلياً. 

ما الفرق بين هجمات GOOSE وهجمات MMS؟ تحدث هجمات GOOSE/SV على مستوى الطبقة الثانية Layer 2 (عبر البث المتعدد لشبكة الإيثرنت، وداخل شبكة LAN الخاصة بالمحطة، وفي أجزاء من الألف من الثانية، ودون بروتوكول TCP/IP) وتستهدف سلوك الحماية بشكل مباشر. أما هجمات MMS فتعمل فوق بروتوكول TCP/IP وتستهدف وظائف التحكم والمراقبة والعمليات الهندسية - مما يجعل الوصول إليها ممكناً من قطاعات شبكية أعمق ويسهل على المهاجمين بلوغها عملياً. 

هل يضمن تطبيق معيار IEC 62351 أمان المحطة الفرعية بالكامل؟ يقلل المعيار بشكل جوهري من مخاطر الانتحال وإعادة الإرسال، وينبغي تطبيقه حيثما تدعم الأجهزة ذلك وضمن الحدود الزمنية المقبولة. غير أن الاختبارات العلمية المحكمة تظهر أن بروتوكول GOOSE المتوافق مع IEC 62351 يظل عرضة لبعض أنماط الحقن، ولذلك يجب دمج 62351 ضمن بنية متعددة الطبقات - تشمل التجزئة، والمراقبة، وحوكمة الوصول - بدلاً من الاعتماد عليه كحل دفاعي وحيد. 

ما الذي حدث في سد بريمانجر عام 2025؟ تلاعب مهاجمون بضوابط التقنية التشغيلية لفتح بوابات الفيضان، مما تسبب في فيضانات بمجاري الأنهار. ونسبت السلطات النرويجية الهجوم إلى جماعة موالية لروسيا. ويُنظر إلى هذا الحادث على نطاق واسع باعتباره نقطة تحول تثبت أن التلاعب بالتقنية التشغيلية بات قدرة عملياتية للجهات المدعومة من دول، وليس مجرد خطر نظري. 

هل المحطات الفرعية الرقمية أكثر عرضة للمخاطر من المحطات التقليدية؟ تمتلك المحطات الرقمية مساحة هجوم سيبراني أكبر - نظراً لزيادة الأجهزة المتصلة بالشبكة، واستخدام بروتوكولات قابلة للتوجيه، ومسارات الوصول المتعددة عن بُعد. ولكن الميزة الإيجابية المعوضة تكمن في الرؤية الشاملة للشبكة: فكل قرار فصل يترك أثراً في حزم البيانات، وهو ما يمكن للمحطة الفرعية المزودة بأنظمة المراقبة المناسبة استغلاله لاكتشاف هجمات كان يستحيل رصدها في البيئات التقليدية المعتمدة على الأسلاك النحاسية. 

الخلاصة 

جعل معيار IEC 61850 المحطات الفرعية أكثر ذكاءً وسرعة وتوافقية، لكنه لم يجعلها آمنة سيبرانياً - وقد بددت أحداث عامي 2025 و2026، بدءاً من هجمات MMS المثبتة بالاعتماد على أدوات النظام ووصولاً إلى التخريب المادي للتقنية التشغيلية في سد بريمانجر، أي شكوك متبقية حول الجهات المهتمة بمساحة الهجوم هذه وما يمكنها تنفيذه. إن شركات المرافق التي ستكون الأوفر حظاً في الصمود خلال العقد القادم ليست تلك التي تملك أكبر عدد من شهادات الامتثال؛ بل تلك التي تتعامل مع كل دفق بيانات لـ GOOSE، وكل جلسة وصول لمورد، وكل حزمة بيانات PTP كإشارة أمنية تستحق المراقبة والتدقيق المستمر. 

في Shieldworkz، نبني حلول الأمن السيبراني للتقنية التشغيلية (OT) من البداية إلى النهاية للتعامل مع هذا الواقع بدقة - بدءاً من استكشاف الأصول ورؤيتها الشاملة، والمراقبة المدركة لطبيعة البروتوكولات، والبنى المتوافقة مع معيار IEC 62443، ومحاكاة الهجمات، وصولاً إلى خدمات الكشف المُدارة والمخصصة لمحطات IEC 61850 الفرعية، وأنظمة SCADA، وبيئات إنترنت الأشياء الصناعية (IIoT). فالقاطع الكهربائي لا يميز ما إذا كان الأمر الذي تسبب في فتحه مشروعاً أم خبيثاً - بل إن دفاعاتك هي التي يتعين عليها رصد هذا الفارق والتصدي له.