كيفية إجراء تحليل لجدوى الأمن في النظم الهندسية

فهم تحليل الثغرات الأمنية في النظم الهندسية

تحليل الفجوة الأمنية عملية منهجية تقارن الوضع الأمني الحالي للمنظمة بمجموعة من المعايير الثابتة والمتطلبات التنظيمية وأفضل الممارسات في مجال الصناعة في النظم الهندسية التي كثيرا ما تشمل تكنولوجيا العمليات ونظم الرقابة الصناعية والرقابة الإشرافية وحيازة البيانات والأجهزة المدمجة ذات الصلة عالية جداً، وقد يؤدي الضعف في نظام هندسي إلى انخفاض الإنتاج، أو حتى إلى أضرار مادية، أو إلى مخاطر بيئية.

وليس الهدف من تحليل الثغرات الأمنية هو مجرد إيجاد قائمة من مواطن الضعف، بل هو وضع خريطة طريق ذات أولوية وقابلة للتنفيذ توازن بين الحد من المخاطر والاستمرارية التشغيلية، وخلافا لاختبار التغلغل الذي يسعى إلى استغلال مواطن الضعف بصورة فعالة، يركز تحليل الثغرات على تحديد الحالات التي تكون فيها الضوابط غير كافية أو غير كافية مقارنة بمستوى النضج المستهدف، وهذا التمييز حاسم بالنسبة للأفرقة الهندسية التي يجب أن تحافظ على توافر النظم وسلامتها قبل كل شيء.

وبالنسبة للمنظمات التي تدير بيئات هندسية معقدة، يوفر تحليل دقيق للفجوات وضوحاً بشأن كيفية استثمار موارد محدودة من أجل تحقيق أقصى قدر من التأثير الأمني، كما أنه يشكل خطوة أساسية نحو تحقيق الامتثال لأطر مثل إطار الأمن الإلكتروني للشبكة، والوثيقة IEC 62443، أو الأنظمة الخاصة بقطاعات معينة مثل نظام رصد الطاقة التابع للشبكة الأوروبية للطاقة.

لماذا تتطلب النظم الهندسية تحليلا أمنيا متخصصا

وتختلف النظم الهندسية اختلافاً جوهرياً عن الشبكات التقليدية لتكنولوجيا المعلومات في احتياجاتها التشغيلية ومدة دورة الحياة وملامح المخاطر، إذ يمكن أن يُعاد تصميم حاسوب خدمة تكنولوجيا المعلومات شهرياً ويُستعاض عنه كل ثلاث أو خمس سنوات، وعلى النقيض من ذلك، قد يُجرى نظام مراقبة منطقي قابل للبرمجة أو نظام مراقبة موزع لمدة عقد أو أكثر، ويدير في كثير من الأحيان نظم تشغيلية متبقية لا تتلقى معلومات مستكملة عن البائعين.

وتشمل الخصائص الرئيسية التي تجعل النظم الهندسية فريدة ما يلي:

Availability is paramount:] In most engineering environments, system uptime takes precedence over data confidentiality. Security controls such as aggressive patch cycles or frequent reboots can disrupt production in ways that are unacceptable. Any gap analysis must factor in the operational tolerance for disruption.
]Legacy and proprietary protocols:] Engineering systems often communicate using protocols like Modbus, Profibus, EtherNet/IP, or DNP3. These protocols were designed for reliable and determinism, not security. Many lack built-in authentication or encryption, creating inherent gaps that must be addressed through compensating controls.
Long system lifecycles:] Equipment may remain in service for 15 -30 years. Over that period, the threat landscapes dramatically, while the original security assumptions bata into the system become obsolete. Gap analyses must account for the difficulty of retrofitting security into grown systems.
Safety-critical implications:] A security vulnerability in an engineering system can directly affect physical safety. The gap analysis should consider not only cybersecurity best practices but also the intersection with functional safety standards such as IEC 61511.
Convergence of IT and OT:] As engineering systems become more connected to corporate networks and cloud platforms, the attack surface expands. The analysis must address both the traditional air-gapped assumptions and the realities of modern integrated buildingss.

ويعترف تحليل الثغرات الأمنية المصممة خصيصاً للنظم الهندسية بهذه الحقائق ويقيِّم الضوابط وفقاً لذلك، بدلاً من تطبيق قائمة مرجعية عامة مصممة لتكنولوجيا المعلومات في المؤسسة.

دور المعايير والأطر

لا يمكن أن يكون تحليل الثغرات الأمنية فعالاً بدون هدف واضح لقياس مدى تعارضها، فالمعايير والأطر توفر المعيار لما يبدو عليه "جيداً" بالنسبة للنظم الهندسية، هناك عدة أطر محددة ذات أهمية خاصة.

IEC 62443: The Leading Standard for Industrial Cybersecurity

ويمثل المجلس الدولي للتعليم 62443 المعيار الدولي لأمن الفضاء الإلكتروني في نظم التشغيل الآلي الصناعي والتحكم في النظم، وهو يوفر مجموعة شاملة من المتطلبات التي تُنظَّم في المبادئ العامة (الجزء 1)، والسياسات والإجراءات (الجزء 2)، والأمن على مستوى المنظومة (الجزء 3)، والأمن على مستوى العنصر (الجزء 4). ويحدد الإطار أربعة مستويات أمنية (من القانون الخاص إلى القانون الخاص 4) تتناسب مع زيادة مقاومة مختلف فئات المهاجمين، ويُستخدم المستوى الحالي الذي يسمح به المنظمات المعنية بالتقدير.

إطار أمن الفضاء الإلكتروني

The NIST Cysecurity Framework (CSF) provides a flexible, risk-based approach organized around five core functions: Identify, Protect, Detect, Respond, and Recover. While not specific to engineering systems, its adaptability makes it suitable for OT environments when properly interpreted. Many organizations use the NIST CSF as a high-rit and then layer IEC 62443 or other standards underneath for technical depth.

ISO 27001 إدارة أمن المعلومات

إن إصدار شهادات المنشأ 27001 يوفر معياراً لنظام الإدارة لأمن المعلومات، ومن المفيد إنشاء عمليات الإدارة وإدارة المخاطر والتحسين المستمر في جميع المنظمات، وبالنسبة للأفرقة الهندسية العاملة داخل المؤسسات الكبرى، كثيراً ما يدفع التصديق على المعيار 27001 إلى الحاجة إلى تحليلات دورية للفجوات، غير أن الطابع المركزي الموحد لتكنولوجيا المعلومات يعني أن ضوابطه (المرفق ألف) يجب أن تفسر بعناية بالنسبة لبيئات " أوت " .

المعايير القطاعية والإقليمية

ويمكن تطبيق أطر إضافية حسب الصناعة والجغرافيا، تشمل هذه الأطر برنامج تطوير تكنولوجيا المعلومات من أجل المرافق الكهربائية في أمريكا الشمالية، والمبادئ التوجيهية للأمن عن طريق خط الأنابيب للنفط والغاز، والتوجيه الخاص بشبكة الاتحاد الأوروبي وأمن المعلومات لمشغلي الخدمات الأساسية، ويجب أن يتضمن تحليل الثغرات جميع الالتزامات التنظيمية المنطبقة بالإضافة إلى أفضل الممارسات الطوعية.

الإعداد لتحليل الثغرات الأمنية

وقبل إجراء التقييم، تكفل مرحلة تخطيط واضحة أن يكون التحليل مركزاً وفعالاً وعملياً، وتشمل مرحلة الإعداد عادة أربعة أنشطة رئيسية.

تعريف النطاق

فبيئة الهندسة تكون واسعة النطاق في كثير من الأحيان، تحتوي على مئات أو آلاف الأصول، ويمكن محاولة تحليل كل شيء في وقت واحد أن تحجب الفريق وتخفف من نوعية النتائج، بل أن تحدد نطاق التركيز على النظم الأكثر أهمية للعمليات، وأكثرها تعرضا للوصل الخارجي، أو تعتمد على التكنولوجيا القديمة، وينبغي ألا يشمل النطاق معدات المراقبة (المركبات غير الرسمية، والوحدات الإقليمية، وأجهزة التحكم في الهياكل الأساسية الداعمة).

تحديد المعيار المرجعي

(ب) اختيار المعيار أو الإطار الذي سيكون بمثابة خط الأساس للتقييم: بالنسبة لمعظم النظم الهندسية، يوفر التصنيف الدولي الموحد 62443 أفضل ما يكون، وتحديد المستوى الأمني الذي تتطلع إليه المنظمة واستخدامها كهدف، وإذا ما احتاجت المنظمة أيضاً إلى تلبية المتطلبات التنظيمية، فإن هذه المعايير تتضمن معايير إضافية، وتوثيق الأساس المنطقي لكل خيار معياري حتى يفهم أصحاب المصلحة أساس المقارنة.

وثائق موجودة معا

جمع جميع السياسات الأمنية ذات الصلة، ورسومات الشبكة، ووثائق هيكل النظم، وقوائم جرد الأصول، وتقارير التقييم السابقة، وسجلات الحوادث، وخطوط الأساس للتشكيلات، وفي العديد من المنظمات الهندسية، يمكن أن توزع هذه الوثائق على مختلف الإدارات أو تخزن في أشكال قديمة، وتتوقف نوعية تحليل الفجوة اعتماداً كبيراً على دقة واكتمال هذه المعلومات، وإذا كانت الوثائق مفقودة أو غير موثوقة، ينبغي أن يشير التحليل إلى أن عدم وجود ثغرة في حد ذاتها.

فريق التقييم

ويتطلب تحليل الثغرات الناجحة التعاون بين أخصائيي أمن الفضاء الإلكتروني، ومهندسي المراقبة، ومديري الشبكات، وموظفي العمليات، والإدارة، وكل مجموعة تُقدِّم المعرفة الأساسية، ويفهم مهندسو المراقبة سلوك النظام وقيوده، في حين يفهم خبراء الأمن السيبراني أنماط التهديد وفعالية الرقابة، ويعرف موظفو العمليات سير العمل في العالم الحقيقي والتسامح، وبدون هذه المدخلات الشاملة لعدة وظائف، فإن التحليلات تُقدِّم مخاطر التوصية بضوابط تتعارض مع المتطلبات التشغيلية.

إجراء تحليل الثغرات الأمنية

ومع اكتمال عملية إعداد التقرير، يمكن أن يمضي التقييم نفسه، وتشمل هذه العملية تقييم الضوابط الأمنية الحالية وتحديد الثغرات وتحديد أولويات الإصلاح، وتوفر الخطوات التالية نهجا منظما.

جرد الأصول وتصنيفها

بداية من تجميع جرد كامل لكل موجودات في نطاق محدد، وبالنسبة لكل موجود، فإن تسجيل نوعه أو نموذجه أو برمجيته أو وصلات الشبكة أو البروتوكولات المدعومة أو المنطقة الأمنية المخصصة (إذا ما بعد تقسيم المنطقة إلى 6243)، ولأهمية العمليات، فالموجودات غير الموثقة أو التي لا تعرف تشكيلاتها تمثل ثغرات فورية، وتستخدم هذا المخزون لتصنيف الأصول وفقا لمتطلباتها الأمنية، مع مراعاة عوامل من قبيل تأثير السلامة والإنتاج.

التقييم الحالي للدولة

تقييم الضوابط الأمنية الحالية لكل مجال ذي صلة من مجالات المعيار المختار، ويشمل هذا التقييم عادة ما يلي:

Network segmentation:] Are engineering systems properly segregated from corporate networks? Are security zones and conduits defined according to the principle of least privilege? Review firewall rules, VLAN formations, and any one-way data dio implementations.
Access control:] Who can access engineering systems, and through what methods? Are user accounts and privileges managed with role-based access control? Evaluate physical access to control rooms, cabinets, and remote terminal units.
Patch and vulnerability management:] What is the current patching status for each asset? Are there documented processes for testing and deploying patches in operational environments? Identify any assets running unsupported or end-of-life software.
Monitoring and detection:] What visibility exists into network traffic, system logs, and anomalous behavior? Are there security information and event management (SIEM) systems that ingest OT data? Evaluate the coverage and alerting effectiveness.
Incident response:] Are there documented procedures for responding to security incidents in engineering systems? Have those procedures been tested through drills or tabletop exercises? Assess the integration between OT incident response and the broader corporate incident response plan.
Backup and recovery:] Are critical system formations, firmware images, and application software backed up? Are supportives stored offline or in a manner that is resilient to ransomware? Test the restoration process to ensure recoveryability.

إجراء المقابلات، واستعراض الوثائق، ومراجعة الحسابات في التشكيلات، والمسح التقني لجمع الأدلة، وتوثيق الدولة الحالية في كل مجال من مجالات الرقابة، وتحديد درجة نضج تتماشى مع المعيار المرجعي.

تحديد الثغرات

مقارنة مع الحالة الراهنة مع المعيار المستهدف، حيث تقصر الدولة الحالية، توجد فجوة، وتوثق كل فجوة الاحتياجات المحددة التي لم يتم الوفاء بها، والأدلة التي تدعم النتيجة، والعواقب المحتملة إذا استغلت الفجوة، وقد توجد ثغرات في السياسات (الأشياء التي ينبغي توثيقها ولكن لا توجد)، والضوابط التقنية (الأدوات أو التشكيلات التي تكون مفقودة أو غير كافية)، أو العمليات (الأنشطة التي لا تنفذ بشكل متسق).

(ب) تنظيم الثغرات حسب الفئة لتيسير التحليل - تشمل فئات الفجوة المشتركة في البيئات الهندسية تقسيم الشبكات، وأمن الوصول عن بعد، ودقة الموجودات، وتغطية مسح الضعف، والاستعداد للاستجابة للحوادث.

تحديد الأولويات

ولا تمثل جميع الثغرات نفس مستوى المخاطر، إذ تعطي الأولوية لكل فجوة قائمة على عاملين: احتمال الاستغلال والتأثير المحتمل على العمليات أو السلامة أو الامتثال، ويتوقف التماثل على تعرض النظام الضعيف للتهديدات (مثلاً، يكون احتمال وجود لجنة معنية بمكافحة التلوث الناجم عن استخدام شبكة الإنترنت على نحو مباشر أعلى من احتمال وجود جهة معزولة جسدياً)، ويتوقف الأثر على الأهمية الحاسمة للنظام ونتائج الحل التوفيقي الناجح.

ويسمح تحديد الأولويات بتخصيص الموارد - ينبغي معالجة الثغرات الحرجة التي تؤثر على النظم الحيوية للسلامة والتي يمكن استغلالها بسهولة على الفور، وقد تحدد الثغرات الأقل خطورة لمعالجة هذه الثغرات أثناء عمليات الصيانة المخططة أو تحديث النظام.

تطوير خارطة طريق الإصلاح

والقابلية النهائية لتحليل الثغرات الأمنية هي خطة عمل تُحدِّد الثغرات المحددة بطريقة واقعية ومحددة حسب الأولويات، وينبغي أن تحدد خارطة الطريق لكل فجوة:

Remediation:] A clear description of the control or process change needed to close the gap. Where multiple options exist, present alternatives with their trade-offs. For example, if a legacy tool cannot be fixed, the remediation might be network segmentation or the addition of a firewall.
Resource requirements:] The estimated effort, skills, tools, and budget needed to implement the remediation. For complex engineering systems, this may include buyer involvement, system downtime for changes, or equipment upgrades.
Timeline andmarks:] A phased schedule that respects operational constraints. Quick wins (such as changing default passwords or enabling logging) can be implemented in weeks while major infrastructure changes may require quarters or longer.
] الأطراف المسؤولة: ] معدّل المالكين لكل إجراء إصلاحي.
[يعطي معايير ويثبت: ] يحدد كيف ستؤكد المنظمة أن الفجوة قد أغلقت، وقد يشمل ذلك مراجعة متابعة، أو اختبار اختراق، أو فحص تشكيلي محدد.

وينبغي استعراض خارطة الطريق مع العمليات والإدارة لضمان الجدوى والمواءمة مع أولويات الأعمال، وليس من غير المعتاد أن تمتد خارطة الطريق سنوات متعددة، مع إجراء استعراضات مرحلية سنوية وتحديثات مع تطور مشهد المخاطر.

الأدوات والتقنيات الخاصة بتحليل الثغرات في النظام الهندسي

ويتطلب إجراء تحليل شامل للفجوة في البيئات الهندسية مزيجاً من الأدوات المتخصصة والتقنيات اليدوية، وخلافاً لشبكات تكنولوجيا المعلومات التي يمكن أن تُجرى فيها أجهزة المسح الآلي بأقل قدر من التعطل، فإن بيئات الطاقة الكهربائية تتطلب الحذر لتجنب توقف العمليات الحرجة.

أجهزة الكشف عن التعرض للإصابة بالمرض

ويمكن أن تتسبب أجهزة المسح القياسية للضعف في تكنولوجيا المعلومات في عدم استقرار في البلدان النامية غير الساحلية، وفي وحدات الإزالة، وغيرها من الأجهزة الصناعية بسبب الاختبارات العدوانية، واستخدام ماسحات المسح المصممة خصيصا لبيئة النقل، مثل تلك التي تستخدم تقنيات الرصد السلبي أو المسح الفعّال الآمن، وهذه الأدوات هي موجودات الجرد، وكشف نسخ البرمجيات الجاهزة، وتحديد مواطن الضعف المعروفة دون تعطيل العمليات. [FLT:]

مجموعة أدوات مراجعة الحسابات

وتحتفظ أجهزة هندسية كثيرة بملفات التشكيلات التي يمكن تحليلها خارج الشبكة، ويمكن أن تؤدي عمليات الدعم في تشكيلة التحميل من المراكز المحلية، والاتحادات الإقليمية، والأجهزة الشبكية، وأن تقارنها بنموذج خط الأساس المأمون، كما أن أدوات مثل تريبوير، أو الباحثين عن مصادر مفتوحة يمكن أن تُؤدّي هذه المقارنة وانحرافات العلم، وهذا النهج يتفادى أي خطر يُخل بالنظم الحية، بينما لا يزال يوفر رؤية عميقة في الوضع الأمني.

تحليل حركة المرور على الشبكة

ويلتقط رصد الشبكة السلبية أنماط المرور، واستخدام المراسم، والاتصالات بالأجهزة دون إدخال أي حمولة على الشبكة، ويمكن للمقيمين، عن طريق تحليل هذه البيانات، أن يحددوا الأجهزة غير المأذون بها، وأن يكتشفوا البروتوكولات القديمة المستخدمة، وأن يرسموا خرائط تدفق البيانات، وأن يحددوا التجزئة المفقودة، كما توفر هذه القدرة أدوات مثل ويريشرك، أو مولوك (أركيم)، أو برامج رصد النقل التجاري.

الدراسات الاستقصائية والقابلات

ويكتشف بعض أهم الثغرات من خلال المحادثات مع الأشخاص الذين يعملون ويحافظون على النظم، وإجراء مقابلات منظمة مع مهندسي المراقبة، ومشغلي النظم، وأخصائيي الصيانة، والاستفسار عن الإجراءات العملية، والوصلات غير الموثقة، والحلول الظلية لتكنولوجيا المعلومات، وأي ضوابط أمنية تُتجاوز عادة للحفاظ على تشغيل الإنتاج، ونادرا ما تُستَرَب هذه الرؤى في الوثائق، ولكنها حاسمة في إجراء تقييم واقعي للفجوة.

اختبار الاختراق (مراقب)

وفي حين لا يمكن استبدال تحليل الثغرات، فإن اختبار التغلغل يمكن أن يتأكد من صحة النتائج المحددة عن طريق إثبات إمكانية الاستغلال، ففي حالة النظم الهندسية، يجب إجراء اختبار الاختراق في بيئة مختبرية أو أثناء نوافذ الصيانة الخاضعة للرقابة بعناية، وينبغي أن يركز الاختبار على أهم الثغرات التي حددها التحليل لتأكيد مخاطرها في العالم الحقيقي.

الشلالات المشتركة في تحليلات الثغرات في النظام الهندسي

وحتى الأفرقة ذات الخبرة يمكن أن تسقط في فخ يقلل من قيمة تحليل الثغرات، ويساعد الوعي بهذه الثغرات على ضمان أن يسفر التقييم عن نتائج ذات مغزى.

معالجة تكنولوجيا المعلومات ورقم OT على نحو متطابق

ويؤدي تطبيق الأطر الأمنية لتكنولوجيا المعلومات دون تعديل إلى توصيات غير عملية أو خطرة في البيئات الهندسية، فعلى سبيل المثال، فإن اشتراط التصحيح الشهري لنظام لا يمكن إعادة تشغيله دون وقف مخطط له، سيُتجاهل، ويحترم تحليل الفجوة الصحيح الحقائق التشغيلية ويقترح ضوابط تعويضية حيثما تكون النُهج التقليدية غير قابلة للانتقاص.

إغفال العنصر البشري

وقد تراكمت على العديد من النظم الهندسية روابط غير موثقة، ووثائق تفويض مشتركة، وإجراءات غير رسمية على مدى سنوات من العمل، وتحليل للثغرات لا يفوت سوى استعراض السياسات الرسمية هذه المخاطر الخفية، إذ أن مشغلي المهندسين والمهندسين يتعاملون مباشرة، ويستعدون لإيجاد ثغرات في العمليات التي يعرفها الجميع، ولكن لا أحد قد وثقها.

النطاق دون تعديل الموارد

ومن الأفضل إجراء تحليل عميق لأهم 20 في المائة من النظم من المسح السطحي لكل شيء، وتحديد النطاق في المقدمة ومقاومة التوسع فيها دون مزيد من الوقت والموظفين.

عدم المساءلة عن الإصلاح

تحليل الثغرات الذي ينتج تقريراً ولكن لا يُنفذ من خلال جهود الجميع، وبدون التزام واضح بالملكية والإدارة، تُظهر النتائج، وتُنشئ المساءلة في خريطة الطريق منذ البداية، وتُنشئ كوادر استعراض منتظمة لتتبع التقدم المحرز، وللاطلاع على التوجيه بشأن بناء برنامج لإدارة المخاطر يقود العمل، يوفر إطار الأمن السيبرى مبادئ تحسينية مستمرة.

الرصد وإعادة التقييم المستمرين

ولا يعد تحليل الثغرات الأمنية حدثاً لمرة واحدة، إذ تتطور النظم الهندسية من خلال التغييرات في التشكيلات، وتحديثات البرمجيات، وإعادة تشكيل الشبكات، وإضافة معدات جديدة، كما أن مشهد الخطر يتطور باستمرار، وقد يكون تحليل الثغرات الذي يجري اليوم قد تجاوز في غضون أشهر مع ظهور مواطن ضعف جديدة وتقنيات هجومية.

وينبغي للمنظمات أن تهيئ فسحة لإعادة التقييم، وتُجرى تحليلات سنوية للثغرات في البيئات المستقرة، في حين قد تتطلب النظم التي تشهد تغيرات كبيرة إجراء استعراضات أكثر تواترا، بالإضافة إلى التقييمات الدورية، تنفيذ ممارسات الرصد المستمرة التي تكشف عن مواطن الضعف الجديدة عند ظهورها، ويشمل ذلك تقديم المشورة الأمنية للبائعين ورصد تنبيهات المجلس الدولي لأمن السفن التابع لمنظمة الأمن والتعاون في أوروبا، واستخدام رصد الشبكات السلبية لكشف التغيرات في سلوك الأجهزة.

والهدف النهائي هو إدراج تحليل الثغرات الأمنية في دورة الحياة الهندسية نفسها، وعندما يتم تصميم نظام جديد أو يجري تحديث نظام قائم، ينبغي تحديد الاحتياجات الأمنية في البداية والتحقق من صحتها من خلال تحليل الثغرات أثناء التكليف، وهذا النهج الاستباقي يقلل من الحاجة إلى إعادة استخدام مصاريف غالية وينتج في جوهره نظم هندسية أكثر أمنا.

وباعتماد نهج منظم يستند إلى المعايير في تحليل الثغرات الأمنية، يمكن للمنظمات الهندسية أن تنتقل من مكافحة الحرائق بأثر رجعي إلى إدارة المخاطر بصورة استباقية، وليس النتيجة مجرد تقرير، بل هي خطة عملية تعزز الدفاعات وتحمي العمليات الحاسمة، وتبني القدرة على التكيف مع تطور الظروف السائدة للتهديدات.