عندما يتخيل معظم الناس هجوماً سيبرانياً على البنية التحتية الحيوية، فإنهم يتصورون متسللين متطورين ترعاهم دول وينشرون ثغرات التصيد دون انتظار (zero-day) ضد شبكات حكومية محصنة. ولكن الواقع، كما تبين في أبريل 2025، يمكن أن يكون أكثر إثارة للقلق بكثير، ويمكن تلافيه.

فيما أصبح منذ ذلك الحين أحد أكثر حوادث الأمن السيبراني الصناعي مناقشةً على نطاق واسع هذا العام، تمكن المهاجمون من الوصول عن بُعد إلى نظام صمام مأخذ المياه في سد «ساندوي كرافت» الكهرومائي بالنرويج على بحيرة ريسيفاتنت. ولم يفعلوا ذلك باستخدام أدوات التهديد المستمر المتقدمة أو موارد تدعمها دول، بل فعلوا ذلك من خلال استغلال بسيط لواحدة من أقدم الثغرات الأمنية وأكثرها شيوعاً في بيئات التكنولوجيا التشغيلية (OT): كلمة مرور افتراضية ضعيفة على واجهة تفاعل بين الإنسان والآلة (HMI) متصلة بالإنترنت.

بالنسبة لقادة أمن التكنولوجيا التشغيلية (OT)، ومهندسي أنظمة التحكم الصناعية (ICS)، ومديري المصانع، ومديري أمن المعلومات (CISOs) المسؤولين عن البيئات الصناعية، تحمل هذه الحادثة رسالة لا يمكن المبالغة في التأكيد عليها: إن أخطر الثغرات الأمنية في بنيتكم التحتية الحيوية غالباً ما تكون هي تلك الكامنة في وضح النهار.

ماذا حدث في بحيرة ريسيفاتنت: نظرة عامة مفصلة على الحادثة

بحيرة ريسيفاتنت هي خزان مائي يقع في بلدية سونفيورد في غرب النرويج. وتعتمد منشأة «ساندوي كرافت» على هذا الخزان كجزء من عمليات توليد الطاقة الكهرومائية. ومثل آلاف المنشآت المماثلة في جميع أنحاء أوروبا وأمريكا الشمالية، يعتمد المصنع على أنظمة التحكم الآلي لإدارة تدفق المياه، وعمليات التوربينات، وتحديد مواقع الصمامات.

وفي أبريل 2025، تمكن طرف غير مصرح له، ولا تزال هويته قيد التحقيق وقت إعداد التقرير، من الوصول عن بُعد إلى لوحة HMI الخاصة بالسد. وهذه اللوحة هي الواجهة الرقمية التي يستخدمها المشغلون لمراقبة العمليات الفيزيائية والتحكم فيها، بما في ذلك فتح وإغلاق صمامات المآخذ التي تنظم كمية المياه التي تدخل نظام التوليد.

وقام المهاجم بالتحكم في صمامات المياه عن بُعد، مما أدى إلى ارتفاع منسوب مياه البحيرة بنحو أربعة أمتار فوق نطاق التشغيل الطبيعي. وتوضيحاً للأمر، فإن الارتفاع بمقدار أربعة أمتار في خزان مائي خاضع للتحكم ليس بالتقلب البسيط، بل إنه يشكل خطراً حقيقياً بحدوث فيضانات في مجرى النهر، وضغطاً هيكلياً محتملاً على البنية التحتية للسد، وخطراً كبيراً على المجتمعات والنظم البيئية المجاورة.

واستجابت السلطات النرويجية ومشغل المنشأة بسرعة كافية لمنع حدوث عواقب كارثية. وتم احتواء الحادثة، ولكن التحذير الذي وجهته إلى مجتمع البنية التحتية الحيوية العالمي لم يكن محتوياً بأي حال من الأحوال.

حادثة بحيرة ريسيفاتنت في لمحة سريعة

لماذا يجب على كل قائد لأمن التكنولوجيا التشغيلية (OT) الانتباه إلى هذه الحادثة

لا يعد هجوم سد ريسيفاتنت حالة استثنائية فردية، بل هو نموذج مكرر لنمط من التهديدات وثقه محللو الأمن لسنوات ولكنه يستمر في الظهور عبر قطاعات الطاقة والمرافق ومعالجة المياه والتصنيع والنقل على مستوى العالم.

افتراض وجود "الفجوة الهوائية" (Air Gap) هو وهم خطير

لعقود من الزمن، كان المشغلون الصناعيون يعتقدون أن أنظمة التكنولوجيا التشغيلية آمنة بطبيعتها لأنها معزولة مادياً، أو "مفصولة هوائياً"، عن الشبكات العامة. وبدأ هذا الافتراض يتلاشى مع تقارب شبكات تكنولوجيا المعلومات (IT) والتكنولوجيا التشغيلية (OT)، وقد تم دحضه الآن تماماً من خلال سلسلة مستمرة من الحوادث الواقعية.

وفي حالة ريسيفاتنت، كان من الممكن الوصول إلى واجهة HMI مباشرة عبر الإنترنت. وهذا ليس فريداً في النرويج وحده، إذ تظهر الأبحاث باستمرار أن عشرات الآلاف من أنظمة التحكم الصناعية، وواجهات SCADA، ولوحات HMI يمكن اكتشافها والوصول إليها عبر البنية التحتية العامة للإنترنت، والعديد منها محمي بمجرد بيانات الاعتماد الافتراضية للمصنع.

تظل كلمات المرور الضعيفة هي أكبر سطح هجوم فردي للتكنولوجيا التشغيلية

لقد أنفق مجتمع الأمن السيبراني العالمي موارد هائلة لتطوير منصات متقدمة للكشف عن التهديدات، وبنى الثقة الصفرية (Zero-Trust)، والأنظمة القائمة على الذكاء الاصطناعي لرصد السلوك الشاذ. ومع ذلك، تظل الهجمات المعتمدة على بيانات الاعتماد، والتي تستغل كلمات المرور الضعيفة أو الافتراضية أو المعاد استخدامها أو غير المدارة، هي ناقل الوصول الأولي الأكثر شيوعاً في حوادث التكنولوجيا التشغيلية الموثقة.

والسبب بسيط ومباشر: المهاجمون عقلانيون. فإذا كان الهجوم المتطور يتطلب أسابيع من الاستطلاع والخبرة المتخصصة، بينما لا يستغرق استغلال بيانات الاعتماد البسيط سوى دقائق ولا يتطلب معرفة متخصصة، فسيتم دائماً تفضيل الخيار الأخير عندما يكون متاحاً. لقد اختار مهاجم ريسيفاتنت الباب الأسهل المتاح.

العواقب الفيزيائية هي الفارق الحاسم في أمن التكنولوجيا التشغيلية (OT)

إن ما يجعل أمن التكنولوجيا التشغيلية (OT) مختلفاً جوهرياً عن أمن تكنولوجيا المعلومات (IT) في المؤسسات هو البعد الفيزيائي (المادي). فعندما يتم اختراق خادم بريد إلكتروني خاص بشركة ما، تكون العواقب الرئيسية هي فقدان البيانات، وتعطل الأعمال، وتضرر السمعة، وهي كلها أمور خطيرة، ولكنها نادراً ما تهدد الأرواح.

أما عندما يتم اختراق نظام تحكم صناعي، فإن العواقب قد تشمل أضراراً هيكلية للبنية التحتية المادية، وتسريب مواد خطرة، وفيضانات، وانفجارات، وانقطاع التيار الكهربائي الذي يؤثر على المستشفيات وخدمات الطوارئ، وتهديدات مباشرة لحياة الإنسان. وكان ارتفاع المياه بمقدار أربعة أمتار في بحيرة ريسيفاتنت دليلاً فيزيائياً صارخاً على هذا الواقع.

فهم مشهد ناقلات هجوم التكنولوجيا التشغيلية (OT) في عام 2025

تعد حادثة ريسيفاتنت بمثابة عدسة مفيدة لفحص المشهد الأوسع لناقلات الهجوم التي تواجه مشغلي البنية التحتية الحيوية اليوم. في حين كان الاستغلال المحدد عبارة عن كلمة مرور ضعيفة في واجهة HMI مكشوفة، فإن هذا النوع من الثغرات الأمنية يقع ضمن منظومة أوسع من المخاطر التي يجب على المؤسسات الصناعية فهمها ومعالجتها.

ناقلات هجوم التكنولوجيا التشغيلية (OT) الشائعة ودرجة خطورتها

إن فهم الناقلات الموجودة في بيئتك، وتلك التي يتم استغلالها بنشاط في الواقع، هو الخطوة الأولى نحو تحديد أولويات استثماراتك الأمنية بفعالية.

خمس فجوات أمنية أساسية جعلت هجوم ريسيفاتنت ممكناً

يكشف التحقيق في حوادث مثل هجوم ريسيفاتنت عن نمط ثابت من الفجوات الأمنية التأسيسية. وفهم هذه الفجوات، والتعرف عليها في بيئتك الخاصة، أمر ضروري للوقاية.

1. أصول التكنولوجيا التشغيلية (OT) المكشوفة على الإنترنت

ربما تكون النتيجة الأكثر أهمية في حادثة ريسيفاتنت هي إمكانية الوصول إلى واجهة HMI من الإنترنت العام. وفي بيئة صناعية مؤمنة بشكل صحيح، لا ينبغي أن تكون أي واجهة للتكنولوجيا التشغيلية سهلة الوصول مباشرة من الإنترنت دون ضوابط وصول قوية، وفرض المصادقة، والمراقبة النشطة. ووضع أصول التكنولوجيا التشغيلية خلف جدران حماية مهيأة بشكل صحيح، مع تقييد الوصول للمستخدمين المعينين عبر مسارات وصول آمنة عن بُعد، هو خط أساس لا يقبل التفاوض.

2. غياب المصادقة متعددة العوامل (MFA)

تعد كلمة المرور الواحدة، بغض النظر عن مدى تعقيدها، حاجزاً غير كافٍ لأنظمة البنية التحتية الحيوية. تضيف المصادقة متعددة العوامل (MFA) طبقة ثانية من التحقق تزيد بشكل كبير من صعوبة الوصول غير المصرح به. وبالنسبة للأنظمة التي تتحكم في العمليات الفيزيائية ذات الآثار المتعلقة بالسلامة العامة، يجب اعتبار المصادقة متعددة العوامل إلزامية وليست اختيارية.

3. إدارة بيانات الاعتماد الافتراضية والضعيفة

تشحن المعدات الصناعية، وأجهزة PLC، وRTU، وHMI، وخوادم SCADA، وقواعد بيانات المؤرخين (historian) من الشركات المصنعة بأسماء مستخدمين وكلمات مرور افتراضية موثقة علناً. وفي عدد هائل من عمليات النشر، لا يتم تغيير هذه البيانات أبداً. إن اتباع برنامج منظم لتدقيق وإدارة بيانات الاعتماد، إلى جانب نظام إدارة الوصول المميز، يقضي مباشرة على فئة الهجوم هذه بالكامل.

4. عدم كفاية تقسيم شبكة التكنولوجيا التشغيلية (OT)

تعد الشبكات المسطحة، حيث يمكن لكل جهاز الاتصال بكل جهاز آخر دون قيود، شائعة في البيئات الصناعية القديمة ولكنها تمثل فشلاً أمنياً أساسياً. فعندما يتمكن المهاجم من الوصول إلى نظام واحد على شبكة مسطحة، يصبح التحرك الجانبي إلى الأنظمة الأخرى أمراً سهلاً للغاية. ويساهم التقسيم الصحيح للشبكة، مسترشداً بنماذج مثل نموذج بيردو (Purdue Model) أو بنية المنطقة والقنوات ISA/IEC 62443، في احتواء الاختراقات والحد من تأثيرها التشغيلي.

5. محدودية أو غياب المراقبة الخاصة بالتكنولوجيا التشغيلية

تفتقر العديد من البيئات الصناعية إلى قدرات المراقبة المستمرة التي تكشف الأوامر غير الطبيعية، أو محاولات المصادقة غير المعتادة، أو تغييرات التكوين غير المصرح بها في الوقت الفعلي. وفي غياب المراقبة، يمكن للمهاجم العمل دون اكتشافه لدقائق أو ساعات أو أيام. وتوفر حلول مراقبة التكنولوجيا التشغيلية غير النشطة (Passive OT monitoring)، والتي تراقب حركة مرور البروتوكول الصناعي دون تعطيل العمليات، الرؤية المطلوبة للكشف عن هجمات مثل هجوم ريسيفاتنت قبل حدوث العواقب الفيزيائية.

السياق التنظيمي والامتثال: ما تقوله المعايير بشأن النظافة الأساسية للتكنولوجيا التشغيلية

لم يحدث هجوم ريسيفاتنت في فراغ تنظيمي. فالإجراءات التي انتهكها، أو على الأقل، سلط الضوء عليها، راسخة في معايير وأطر الأمن السيبراني الصناعي العالمي.

• IEC 62443 (ISA 62443): المعيار المعترف به دولياً لأمن أنظمة الأتمتة والتحكم الصناعي. وهو يتطرق صراحة إلى تقسيم الشبكة، ومراقبة الوصول، ومتطلبات المصادقة، والمراقبة الأمنية لبيئات التكنولوجيا التشغيلية. وتتم معالجة الفجوات المستغلة في ريسيفاتنت مباشرة من خلال هذا المعيار.

• إطار عمل الأمن السيبراني NIST (CSF): تتماشى وظائف تحديد الهوية والحماية والكشف والاستجابة والاسترداد الخاصة بإطار NIST CSF مباشرة مع الإخفاقات الملحوظة في حادثة ريسيفاتنت، لا سيما في فئتي الحماية (التحكم في الوصول، وإدارة الأصول) والكشف (المراقبة المستمرة).

• توجيه أمن الشبكات والمعلومات التابع للاتحاد الأوروبي (NIS2): بدءاً من أكتوبر 2024، يوسع توجيه NIS2 بشكل كبير نطاق مشغلي البنية التحتية الحيوية المطالبين بتلبية التزامات الأمن السيبراني في الاتحاد الأوروبي. وتخضع منشآت الطاقة النرويجية لأطر وطنية مماثلة. وتثبت حوادث مثل ريسيفاتنت بالضبط نوع الفشل الأساسي في ممارسات الحماية الأمنية الذي تستخدم الجهات التنظيمية سلطتها الإلزامية لمعالجته بشكل متزايد.

• معايير NERC CIP: بالنسبة لمرافق الكهرباء في أمريكا الشمالية، توفر معايير NERC CIP متطلبات مفصلة لمحيط الأمن الإلكتروني، والأمن المادي، وإدارة أمن النظام، والإبلاغ عن الحوادث. وتعد متطلبات التحكم في الوصول بموجب معايير CIP-005 وCIP-007 ذات صلة مباشرة بنوع التعرض للأخطار الذي شهدته ريسيفاتنت.

إن الامتثال لهذه الأطر ليس مجرد التزام تنظيمي، بل هو مخطط عملي لمنع نفس نوع الحادث الذي وقع في بحيرة ريسيفاتنت.

توصيات عملية لمشغلي البنية التحتية الحيوية

إذا كانت حادثة ريسيفاتنت قد دفعتك إلى فحص الوضع الأمني للتكنولوجيا التشغيلية لديك، فإن التوصيات التالية توفر نقطة انطلاق عملية. هذه ليست مجرد أفكار نظرية، ولكنها تدابير قابلة للتنفيذ تعالج مباشرة أنواع الثغرات الأمنية المستغلة في الهجوم.

• إجراء جرد كامل لأصول التكنولوجيا التشغيلية وتقييم التعرض للمخاطر: لا يمكنك حماية ما لا يمكنك رؤيته. حدد كل مكون من مكونات HMI وPLC وRTU وSCADA في بيئتك، وحدد المكونات التي يمكن الوصول إليها عبر الإنترنت، وقم بمعالجة التعرض غير المصرح به على الفور.

• تطبيق برنامج تدقيق ومعالجة بيانات الاعتماد: تحديد جميع الأنظمة التي تستخدم بيانات اعتماد افتراضية أو مشتركة أو ضعيفة. وإنشاء نظام رسمي لإدارة الوصول المميز مع تدوير دوري لبيانات الاعتماد والمساءلة.

• فرض المصادقة متعددة العوامل على جميع مسارات الوصول عن بُعد: لا ينبغي السماح بالمصادقة أحادية العامل للوصول إلى أنظمة التكنولوجيا التشغيلية، لا سيما تلك التي تتحكم في العمليات الفيزيائية.

• تقسيم شبكات التكنولوجيا التشغيلية بشكل مدروس: ارسم بنية شبكتك الصناعية بما يتماشى مع نموذج المنطقة والقنوات. ونفذ جدران الحماية وصمامات البيانات عند الحدود المناسبة لاحتواء الاختراقات المحتملة.

• تأسيس مراقبة غير نشطة للتكنولوجيا التشغيلية والكشف عن الأنشطة الشاذة: انشر الحلول التي يمكنها مراقبة حركة مرور البروتوكولات الصناعية، والكشف عن الأوامر غير المصرح بها، وتنبيه فرق العمليات في الوقت الفعلي دون تعطيل الإنتاج.

• تطوير واختبار خطة استجابة للحوادث خاصة بالتكنولوجيا التشغيلية بشكل دوري: تعد تمارين المحاكاة والتدريبات الحية التي تحاكي سيناريوهات سيبرانية فيزيائية، بما في ذلك التحكم في الصمامات عن بُعد، استعداداً ضرورياً للغاية.

• مراجعة وتقييد الوصول عن بُعد للموردين والجهات الخارجية: تأكد من أن جميع طرق الوصول المتاحة للموردين محددة بوقت ومراقبة وتخضع لسياسات وصول واضحة ومحددة.

كيف تدعم Shieldworkz المؤسسات الصناعية في تأمين بيئات التكنولوجيا التشغيلية (OT)

في Shieldworkz، نعمل حصرياً في مجال التكنولوجيا التشغيلية والأمن السيبراني الصناعي. ونحن نتفهم القيود الفريدة لبيئات التكنولوجيا التشغيلية، والحاجة إلى تقييمات أمنية دون أي تعطيل لمهام العمل، وتحدي حماية المعدات القديمة التي لا يمكن ببساطة ترقيعها أمنياً أو استبدالها، والواقع التشغيلي الذي يفرض أن تظل السلامة والاستمرارية هما الأولوية دائماً.

ويؤكد هجوم ريسيفاتنت ما يلاحظه خبراؤنا في البيئات الصناعية كل يوم: إن التحسينات الأمنية الأكثر تأثيراً نادراً ما تكون هي الأكثر تكلفة أو تعقيداً. بل هي تلك التي تسد الفجوات التأسيسية، مثل اللوحات المكشوفة، وكلمات المرور غير المغيرة، والشبكات غير المراقبة، والتي يبحث عنها المهاجمون بنشاط ويستغلونها.

خدمات أمن التكنولوجيا التشغيلية/أنظمة التحكم الصناعية (OT/ICS) من Shieldworkz، مصممة لمواجهة المخاطر الواقعية

لماذا تختار المؤسسات الصناعية Shieldworkz؟

خبرة متخصصة ومصممة خصيصاً للتكنولوجيا التشغيلية/أنظمة التحكم الصناعية (OT/ICS): يضم فريقنا مهندسين صناعيين سابقين، ومتخصصين في أنظمة التحكم، وممارسين لأمن التكنولوجيا التشغيلية يتمتعون بخبرة عملية في قطاعات الطاقة والمرافق والتصنيع والنقل.

• منهجية تقييم غير معطلة للعمل: تجرى جميع التقييمات الأمنية باستخدام تقنيات غير نشطة للقراءة فقط، ولا تتدخل في الإنتاج الفعلي أو الاستمرارية التشغيلية.

• توصيات عملية ومحددة الأولويات: نقدم النتائج بلغة ملائمة للأعمال مع تقييمات واضحة للمخاطر وخرائط طريق متسلسلة للمعالجة، وليس مجرد تقارير فنية تظل دون قراءة.

• تصميم برامج متوافقة مع المعايير: تتماشى جميع مشاريع Shieldworkz مع معايير IEC 62443 وNIST CSF ومعايير البنية التحتية الحيوية الوطنية ذات الصلة.

• نموذج شراكة طويل الأمد: نعمل جنباً إلى جنب مع فرقكم الداخلية كامتداد لقدراتكم الأمنية، وليس كمجرد مدقق لمرة واحدة.

الخلاصة: الدرس القاسي من بحيرة ريسيفاتنت

ستتم دراسة هجوم أبريل 2025 على سد بحيرة ريسيفاتنت الكهرومائي في برامج الأمن السيبراني الصناعي لسنوات قادمة، ليس بسبب تعقيده الفني، بل بسبب بساطته المتناهية.

فلم يكن المهاجم بحاجة إلى ثغرة أمنية دون انتظار (zero-day)، ولا إلى موارد تدعمها دول، ولا إلى أدوات متطورة. بل كل ما كان يحتاجه هو شاشة يمكن الوصول إليها علناً، وكلمة مرور يمكن تخمينها، والرغبة في التنفيذ. وارتفعت مياه البحيرة بمقدار أربعة أمتار، وواجهت المجتمعات الواقعة في مجرى النهر خطراً حقيقياً، وانكشف الوضع الأمني للبنية التحتية في البلاد على الساحة العالمية.

بالنسبة لقادة أمن التكنولوجيا التشغيلية، ومديري أمن المعلومات، ومديري المصانع، والمهندسين الصناعيين الذين يقرأون هذا: الدرس ليس أن بيئتكم تواجه السيناريو نفسه تماماً. الدرس هو أن نفس الفئة من الثغرات الأمنية من أصول مكشوفة، وبيانات اعتماد ضعيفة، وغياب المراقبة، وعدم كفاية التقسيم موجودة بالتأكيد تقريباً في بيئتكم الآن. والسؤال ليس ما إذا كان المهاجم سيبحث عنها، بل السؤال هو هل ستجدونها أنتم أولاً.

توجد Shieldworkz لمساعدتكم في القيام بذلك بالضبط، بشكل منهجي وشامل، وبدون تعطيل العمليات التي تعتمد عليها مؤسستكم ومجتمعاتكم.

هل بيئة التكنولوجيا التشغيلية (OT) لديكم آمنة حقاً؟

لقد كشف هجوم بحيرة ريسيفاتنت عن حقيقة واحدة مقلقة: لا توجد دائماً حاجة إلى تهديدات متطورة عندما يغيب الأمن الأساسي. فكل ما تطلبه الأمر لتعريض سد ومجتمع وسمعة البنية التحتية لبلد كامل للخطر هو كلمة مرور ضعيفة وشاشة مكشوفة.

تساعد Shieldworkz المؤسسات الصناعية على سد الفجوات قبل أن يجدها المهاجم. ويقدم متخصصو أمن التكنولوجيا التشغيلية/أنظمة التحكم الصناعية (OT/ICS) لدينا خبرة مجربة ميدانياً في قطاعات الطاقة والمرافق والتصنيع والبنية التحتية الحيوية.

احجز استشارتك المجانية مع خبراء SHIELDWORKZ الآن 

لا يتطلب ذلك أي التزام. خدمة سرية. ومخصصة لبيئتكم الصناعية.

مصادر إضافية:

تعمق في تفاصيل هجوم Stryker السيبراني والبقعة العمياء التي لا يتحدث عنها سوى القليل هنا.

لماذا قد يكون الهجوم السيبراني على مركز البحوث النووية في بولندا عملية تضليل مموهة (false flag) هنا.

الهجوم الذي فشل: دروس مستفادة من حادثة التكنولوجيا التشغيلية الوشيكة في السويد هنا.