The Evolving Threat Landscape for Industrial Control Systems

وتشكل نظم الرقابة الصناعية العمود الفقري للهياكل الأساسية الحيوية الحديثة، وإدارة العمليات الآلية في قطاعات مثل توليد الطاقة، ومعالجة المياه، وتكرير النفط والغاز، وصنع المواد الكيميائية، والنقل، وتشمل هذه النظم التي تشمل نظاماً لمراقبة المواد الكيميائية، ومنصات اقتناء البيانات، ونظماً لمراقبة التوزيع، وضوابط تنظيمية قابلة للبرمجة، ومع ذلك فإن شبكات الأمان التي تتعرض لها عقوداً من التقارب.

وعلى عكس الشبكات النموذجية لتكنولوجيا المعلومات، حيث تعطى السرية في كثير من الأحيان الأسبقية، فإن بيئات المركز الدولي للإحصاء تعطي الأولوية للتوافر والسلامة، ويمكن أن يكون التدبير الأمني الذي يستحدث التساهل أو يعطل منطق السيطرة أكثر خطورة من التهديد الذي يقصد به منعه، وهذا الفرق الأساسي يتطلب نموذجا أمنيا مصمما وفقا للخصائص والقيود التشغيلية الفريدة التي تتسم بها البيئات الصناعية، وتبحث الفروع التالية التحديات الرئيسية التي تجعل الأمن في المركز الدولي للإحصاء يتطلب بشكل خاص وضع إطار لحلول مثبتة للتخفيف من تلك المخاطر.

التحديات الأساسية في تأمين شبكات خدمات المؤتمرات الدولية

وتتطلب حماية شبكات المركز الدولي للسواتل الملاحة مجموعة من العقبات التي نادرا ما تجد في الأمن السيبراني التقليدي، وتنشأ أهم التحديات عن عصر المعدات، والطابع الامتلاكي للبروتوكولات، والضرورة التشغيلية لاستمرار العمل، وتقارب النظم التي كانت تستخدم في الهواء سابقا، ويمثل فهم هذه التحديات الخطوة الأولى نحو تصميم هيكل أمني مرن.

نظم الجراثيم والدين التكنولوجي

ومن السمات التي تحدد العديد من بيئات المركز الدولي للضمان الاجتماعي الاعتماد على المعدات والبرامجيات القديمة، إذ لا تزال المعدات التي تم تركيبها منذ 20 أو ثلاثين عاماً تجري عمليات حاسمة، حيث أن هذه النظم لم تكن مصممة في حقبة توفر فيها العزلة المادية ما يكفي من الأمن، ولم يكن من المتوقع أن تكون هناك قدرة على الاتصال الشبكي، وبالتالي فهي تفتقر إلى سمات أمنية أساسية مثل التوثيق، والتشفير، وقطع السجلات.

وعلاوة على ذلك، قد لا يدعم الباعة نسخا من البرمجيات القديمة، مما يترك أوجه الضعف المعروفة دون معالجة، وفي بعض الحالات، يتم الحصول على قطع غيار من المتحكمين المتقادمين من الأسواق الثانوية، مما يعرض مخاطر المزيفة أو العبث، ولا يقتصر التحدي على التقنية، بل هو أيضاً مالي وعملي، ويجب على المنظمات أن توازن بين تكلفة تحديث نظم الرقابة وبين متطلبات التأقلم وخطر وقوع حادث أمني.

العمليات في الوقت الحقيقي

فالعمليات الصناعية تتطلب في كثير من الأحيان توقيتا محددا، ويجب أن ينفذ التسلسل المغلق في غضون مليمترات من اكتشاف خطأ؛ ويجب أن يفتح الصمام بدقة كما يُحسب للحفاظ على الضغط، وأي رقابة أمنية تؤدي إلى تأخيرات غير متوقعة يمكن أن تؤدي إلى زعزعة استقرار العملية وتتسبب في أضرار المعدات أو مخاطر السلامة، ولهذا السبب، فإن أدوات الأمن التقليدية مثل مضادات الفيروسات التي تستخدم نقاط النهاية، وجداول الحماية، والمسح الشبكي، كثيرا ما تكون آثارا غير قابلة للاستعمال.

وبالإضافة إلى ذلك، يجب أن تكون حلول الرصد قادرة على معالجة حجم وسرعة حركة المرور الصناعي دون إدخال التحلي بالبطء، وقد يكون التفتيش العميق على شبكة مراقبة عالية السرعة غير قابل للتقصير، ويجب أن تعتمد أفرقة الأمن على رصد الشبكة السلبية، والكشف عن الشذوذ، والتجزؤ الدقيق بدلاً من الفحص النشط، كما أن الحاجة إلى استمرار التشغيل تعني أن إجراءات الاستجابة النموذجية للحادثات التي تحدث في تكنولوجيا المعلومات - مثل قطع جهاز متضرر - قد تكون مستحيلة.

محدودية الوعي الأمني والمهارات المتخصصة

فالموظفون العاملون في شبكات المركز الدولي للإحصاء والمحافظة عليهم هم خبراء في الهندسة، ومراقبة العمليات، والتوثيق، وليس أمن الفضاء الإلكتروني، ويركز تدريبهم على ضمان أهداف الإنتاج والسلامة، وليس على الاعتراف بالبريد الإلكتروني أو الكشف عن الحركة الأفقية من جانب أحد الخصوم، وعلى العكس من ذلك، فإن المهنيين في مجال أمن تكنولوجيا المعلومات كثيرا ما يفتقرون إلى الخبرة في مجال البروتوكولات الصناعية، وثغرات الرقابة في الوقت الحقيقي، والآثار المادية المترتبة على أعمالهم، مما يؤدي إلى حدوث أوجه سوء فهم وثبط في الإنتاجية بين العاملين في المجال الثقافي والمعا.

ويفاقم نقص الموظفين الفنيين الذين يفهمون كل من OT وأمن الفضاء الإلكتروني المشكلة، إذ تكافح المنظمات لتوظيف المواهب التي يمكن أن تسد الفجوة واستبقاؤها، فبدون التدريب الكافي والتعاون بين الوظائف، تظل السياسات الأمنية نظريا أو تقوضها الجهات التي تجتاز الضوابط اللازمة لإبقاء المصنع قيد التشغيل، ويجب أن يستثمر برنامج أمني شامل في التعليم المستمر لجميع أصحاب المصلحة، مما يعزز الفهم المشترك للمخاطر والاحترام المتبادل لاحتياجات كل مجال.

الصعوبات التي تواجه الشبكات والفصل

وقد أدى النموذج التقليدي لشبكات خدمات الاتصالات السلكية واللاسلكية التي تم فصلها عن تكنولوجيا المعلومات المؤسسية والشبكة الدولية إلى تدهور كبير، مما أدى إلى الحاجة إلى الرصد عن بعد، والصيانة التنبؤية، وتحليل البيانات، والتكامل مع نظم تخطيط موارد المؤسسة، إلى سد الفجوة بين شبكات تكنولوجيا المعلومات والاتصالات، ومن المؤسف أن العديد من هذه الروابط المثيرة للقلق لا تزال تفتقر إلى الاهتمام الأمني الكافي، وإلى وجود نظم لمراقبة النطاقات.

وحتى عندما يتم نشر جدران نارية، فإنها كثيرا ما تكون مهيأة بقواعد مرفوضة للغاية لتجنب كسر الاتصالات الصناعية، فبروتوكولات مثل مودبوس/تيبول، ومنظمة حظر الأسلحة الكيميائية - اللجنة الخاصة، وشركة S7comm قد تتطلب وصولا واسعا يبطل الغرض من التجزئة، وعلاوة على ذلك، فإن إدماج الخدمات القائمة على الغيوم، والمجسات التي تستخدم في استخدام تكنولوجيا المعلومات، وبوابات الدخول عن بعد، يساعد على زيادة سرعة الضبط.

سلسلة الإمدادات ومخاطر البائعين

وتعتمد بيئات المركز اعتمادا كبيرا على بائعين من أطراف ثالثة فيما يتعلق بالمعدات والبرامجيات والدعم، وكثيرا ما يتطلب البائعون الوصول عن بعد إلى عمليات فرز المشاكل وتحديث البرمجيات الثابتة، مما يخلق مكانا احتياطيا محتملا في الشبكة، وكثيرا ما يتم تأمين هذه الاتصالات عن بعد بضعف وثائق التفويض، أو ببروتوكولات شبكة البرامج الحاسوبية القديمة، أو الحسابات المشتركة، كما أن مجموعة الباحثين عن البرمجيات ومكتبات الاستعمارية قد تبرز كيفية استغلالها في سلسلة من البرامجيات المعروفة.

ويجب على المنظمات أن تنفذ سياسات صارمة لإدارة شؤون البائعين، بما في ذلك التوثيق المتعدد الأطراف للمرور عن بعد، وتسجيل الدورات، وامتيازات الدخول المحدودة زمنيا، وينبغي أن تحدد العقود المتطلبات الأمنية، والجداول الزمنية للإخطار بالحادثات، والمسؤولية عن الانتهاكات، وينبغي أن تشمل عمليات اقتناء البرامجيات والبرمجيات تقييمات أمنية والتحقق من سلامة الخدمات، وبدون هذه التدابير، يمكن أن تتعرض الشبكة الداخلية الأكثر صعوبة للخطر من خلال اتصال موثق بالبائعين.

الحلول الشاملة لأمن لجنة الأمن الدولي

ومعالجة التحديات المتعددة الجوانب لأمن المركز يتطلب استراتيجية دفاعية متعمقة مطبقة تجمع بين التكنولوجيا والعمليات والأشخاص، وقد تم التحقق من الحلول التالية وفقاً لمعايير الصناعة مثل [(]]] أفضل الممارسات التي تتبعها الهيئة الدولية لأفضل الممارسات و إطار الأمن السيبرلي التي ينبغي أن تُصمَّم خصيصاً لمرافق محددة.

الشبكة والنموذج المفرد

ويُعد العنصر الأساسي لأمن المركز الدولي لسواتل الملاحة قطاعاً قوياً على الشبكة يقوم على الهيكل المرجعي للشركات المحظورة أو المعيار الذي أحدثه IEC 62443، ويقسم هذا النموذج شبكة المركز إلى مستويات، من المستوى 0 (العملية الفيزيائية) إلى المستوى 4 (النظام الإلكتروني لتكنولوجيا المعلومات) ويخضع الاتجار بين المستويات لمراقبة صارمة بواسطة جدران نارية أو بوابات غير مباشرة.

وتشمل الأساليب الرئيسية ما يلي:

  • :: نشر جدران نارية صناعية قادرة على تفتيش عميق للحزمة من بروتوكولات المركز الدولي للضمان الاجتماعي للسماح فقط بالقيادات المتوقعة.
  • استخدام أجهزة ديوديسيا البيانات (بوابات غير مباشرة) لإرسال بيانات رصد من OT إلى تكنولوجيا المعلومات دون السماح بأي حركة عكسية.
  • إنشاء وحدة مشتركة بين الإدارة والتاريخ، وخواديم التطبيقات، وبوابات الدخول عن بعد.
  • - تشجيع سياسات صارمة في مجال الشبكات المحلية ورابطة الدول المستقلة، ومراجعة تدفقات المرور بانتظام لضمان الامتثال.

فالفصل لا يقلل سطح الهجوم فحسب بل يحد أيضا من نطاق الانفجار إذا حدث خرق، ويمكن أن تتضمن شبكة مجزأة جيدا تدخلا إلى المنطقة المهددة، مما يحول دون وصولها إلى ضوابط أمنية حرجة.

جرد الأصول وإدارة الضعف

ولا يمكن أن تحمي ما لا تعرفه، إذ يفتقر العديد من مواقع المركز إلى جرد كامل ومستكمل لجميع الأجهزة، بما في ذلك أجهزة التحكم، والمجسات، والمراكز الهندسية، والهياكل الأساسية للشبكات، وبدون قاعدة بيانات دقيقة للأصول، فإن التصحيح والرصد أمر مستحيل، كما أن أدوات الاكتشاف الآلية التي تكون سلبية وغير مقصودة (مثلا، استخدام نظام " نيتفلوف " أو " سبان " () يمكن أن تُنشأ وتُبقي على قائمة جرد.

(ج) إن إدارة القابلية للتأثر في النظام الدولي لمراقبة المناخ تتطلب نهجاً قائماً على المخاطر، ولا يمكن أو ينبغي تصحيح كل ضعف على الفور، وينبغي للمنظمات أن تعطي الأولوية على أساس القابلية للاستغلال، والأثر المحتمل على السلامة والإنتاج، ومدى توافر الضوابط التعويضية، وبالنسبة للأجهزة القديمة التي لا يمكن معالجتها، والربط الافتراضي عبر نظم منع التسلل على الحدود الشبكية أو القائمة البيضاء على مستوى المضيف يمكن أن يخفف من التعرض.

الرصد المستمر وكشف الشذوذ

ونظراً لأن شبكات خدمات المراقبة المتكاملة ذات أجهزة ثابتة نسبياً، فإنها تستخدم نفس البروتوكولات ذات الأنماط التي يمكن التنبؤ بها - الكشف عن الأمراض غير المعدية، فعالة للغاية، ويمكن أن تُعد نظم المعلومات الأمنية وإدارة الأحداث المصممة خصيصاً لـ " توت " أكثر من أي سجلات من الجدران النارية، والتحكم، والتطبيقات، ولكن يجب أن تُشكل لقمع معدلات الضوضاء وتسليط الضوء على الخيوط من خط الأساس.

وتشمل قدرات الرصد الرئيسية ما يلي:

  • رصد الشبكة السلبية باستخدام مرآة الموانئ أو صنابير الشبكة دون أي خطر من شأنه تعطيل حركة المرور.
  • جمع القروض من محطات العمل الهندسية وتاريخها، مقترنة ببيانات الإنذار من نظام المراقبة.
  • نشر بؤر العسل أو أجهزة الطفاف في أجزاء من OT لكشف نشاط الاستطلاع.
  • ويغذي الاندماج مع المعلومات الاستخباراتية عن التهديدات المحددة للتهديدات الصناعية، مثل المشورة الصادرة عن المؤتمر الدولي المعني بمكافحة الإرهاب.

ويجب تنسيق خطط التصدي للحوادث مسبقا مع أفرقة العمليات، وعندما يتم اكتشاف حالة شاذة، ينبغي أن يكون أول إجراء هو التحقق من أثرها على السلامة والعملية، وليس على قطع الجهاز، وينبغي للكتب أن تفصل كيفية عزل العناصر المهددة دون إثارة اضطراب نباتي، بما في ذلك إجراءات التراجع اليدوي.

مراقبة الدخول والتوثيق

ولا تزال الضوابط المتعلقة بالوصول إلى النفايات تشكل أحد أكثر مواطن الضعف استغلالا في بيئات المركز الدولي للضمانات، إذ إن كلمات السر غير المباشرة على المتحكمين، والحسابات المشتركة للمشغلين المتعددين، ونقاط الدخول عن بعد غير المضمونة، هي نقاط مشتركة، ولا بد من تحديث التوثيق، وحيثما أمكن، تنفيذ إجراءات التصديق المتعددة العوامل لجميع سبل وصول البشر إلى شبكات المركز الدولي للضمانات، ولا سيما فيما يتعلق بالوصلات النائية.

أما بالنسبة للأجهزة القديمة التي لا تدعم وزارة الخارجية أو برنامج العمل الدولي، فيستخدم خواديم القفز أو مضيفي العزل كنقطة لإنفاذ السياسات، وينبغي تسجيل كل دورة من الدورات لإجراء تحليل الطب الشرعي، ويجب تأمين الوصول المادي إلى غرف المراقبة، وغرف الخواديم، والأفرقة الميدانية بأقفال إلكترونية ومقطورات مراجعة الحسابات، ويمكن أن يتيح الوصول المادي غير المأذون به للمهاجم الاتصال المباشر بالأجهزة الحساسة، وذلك بتجاوز جميع أجهزة مراقبة الخزن.

تأمين الوصول عن بعد وإدارة شؤون البائعين

ويعد الوصول عن بعد ضرورة لعمليات المركز الدولي للاتصالات الحديثة، مما يتيح دعم البائعين، والعمل عن بعد للموظفين، والربط الموقعي، غير أنه أيضاً محرك رئيسي للهجمات، وينفذ شبكة اتصال من بعد مع وزارة الخارجية تنهي في صندوق قفزات في منطقة OT DMZ، ولا يجوز أن تُنشأ حسابات البائعين بشكل مباشر من دون أدنى امتيازات، أو في وقت محدد، ويُستعرض كل ثلاثة أشهر في نظام للقيادة.

وتمتد إدارة البائعين إلى ما هو أبعد من الوصول إلى الأسواق، وينبغي للمنظمات إجراء تقييمات مخاطر لأطراف ثالثة للموردين الرئيسيين، واستعراض ممارساتها الأمنية، وإدراج بنود الأمن السيبراني في العقود، وعند التسليم، ينبغي فحص معدات وبرامجيات المركز الدولي لسواتل الملاحة من أجل أخطاء في البرمجيات والتشكيل قبل وضعها في الإنتاج.() وتوفر موارد الأمن التابعة للشبكة الدولية لسواتل الملاحة توجيهات مفصلة بشأن بناء برنامج أمني بيئة مأمنية.

التوعية الأمنية والتدريب عبر الحدود

ولا يمكن للتكنولوجيا وحدها أن تضمن شبكة من خدمات المراقبة الدولية، ولا بد من معالجة العوامل البشرية من خلال برنامج تدريبي مستمر يستهدف موظفي تكنولوجيا المعلومات وتقنية المعلومات، ويتعين على المشغلين أن يعترفوا بمحاولات الهندسة الاجتماعية، وأن يفهموا السبب الذي يمنعهم من استخدام أجهزة الوصل أو ربط الأجهزة الشخصية بشبكات المراقبة، وأن يعرفوا كيف يبلغوا عن نشاط مريب، ويجب على موظفي تكنولوجيا المعلومات أن يتعلموا القيود التي تفرضها الرقابة في الوقت الحقيقي، وأهمية إدارة التغيير، وإجراءات اختبار الضوابط الأمنية بصورة آمنة.

ويمكن أن تسلط حملات التخمير المتزامنة المصممة خصيصاً للبيئات الصناعية الضوء على أوجه الضعف دون إثارة القلق، ويمكن أن تمارس عمليات التصفح التي تشمل أفرقة تكنولوجيا المعلومات والاتصالات سيناريوهات الاستجابة للحوادث، مما يكشف عن وجود ثغرات في الاتصالات واتخاذ القرارات، وتبني هذه الأنشطة بمرور الوقت ثقافة أمنية يفهم فيها كل موظف دوره في حماية الهياكل الأساسية الحيوية، والنظر في تعيين بطل أمني متفرغ يعمل كجهة اتصال بين المجموعتين والدعوة إلى إدخال تحسينات أمنية تحترم الاحتياجات التشغيلية.

تخطيط الاستجابة للحوادث واستردادها

وحتى أفضل وسيلة للدفاع يمكن خرقها، ويجب أن تكون خطة الاستجابة للحوادث الخاصة بدائرة المراقبة الدولية منفصلة عن خطة موحدة لتكنولوجيا المعلومات، وينبغي أن تشمل عتبات محددة لمتى تغلق العملية، وطرائق السلامة لكل حلقة مراقبة حرجة، وسلطة متفاوض عليها مسبقا لعمليات قطع الاتصال بالشبكة، ويجب اختبار الخطة بانتظام في بيئة غير منتجة أو من خلال المحاكاة.

وينبغي للمنظمات أيضا أن تنظر في طرق المراقبة الزائدة عن الحاجة لمهام بالغة الأهمية، مثل محطات التجاوز اليدوي أو أجهزة المراقبة الاحتياطية التي يمكن أن تعمل بدون وصلة شبكية، وفي حين أن هذه التدابير تضيف تكلفة، فإنها تقلل بدرجة كبيرة من خطر تمديد فترة العمل بعد وقوع حادث أمني، وينبغي إجراء استعراضات ما بعد الحوادث دون إلقاء اللوم، مع التركيز على التحسينات التي يمكن إدخالها لمنع تكرارها، وينبغي توثيق الدروس المستفادة وتبادلها في المنظمة.

خاتمة

إن تأمين شبكات نظم المراقبة الصناعية جهد معقد ومستمر يتطلب استراتيجية مكرسة تتناسب مع الاحتياجات التشغيلية والأمنية الفريدة للبيئات الصناعية، ويمكن أن تؤدي معدات الإرث، والقيود على الوقت الحقيقي، وثغرات المهارات، والتقارب بين الشبكات، ومخاطر البائعين إلى نتائج هائلة، ولكن من خلال تنفيذ نهج متعمّق في مجال الدفاع يشمل التجزّؤ، وإدارة الأصول، والرصد، ومراقبة الدخول، وتأمين الوصول عن بعد، والتدريب، والتصدي للحوادث بشكل كبير.

The key is to view security not as a one-time project but as a continuous process of improvement that aligns with business and safety goals. As threat actors become more sophisticated and industrial connectivity continues to grow, the organizations that invest in robust ICS security will be best positioned to protect their assets, their workforce, and the communities that depend on critical infrastructure. Adopting established frameworks such as NIST and IEC 62443, engaging with government resources like CISA and ICS-CERT, and fostering a collaborative culture between OT and IT are essential steps on this journey. The stakes have never been higher, but with the right approach, safe and resilient industrial operations remain achievable.