في بيئات تقنية المعلومات، يُعد التغيير الأمني الذي يسبب انقطاعًا لخمس دقائق إزعاجًا عابرًا. أما في بيئات التقنيات التشغيلية (OT)، فقد يوقف خط إنتاج، أو يُتلف دفعة كاملة، أو يُفعّل نظام سلامة.
وهذا الفارق وحده يحدد كل ما يتعلق بتأمين الشبكات الصناعية؛ فقاعدة الجدار الناري التي تعمل بكفاءة في بيئة مكتبية قد توقف مصنعًا إذا طُبّقت بمنطق تقنية المعلومات.
لماذا لا تصلح منهجية تقنية المعلومات لبيئات OT
تعمل البيئات الصناعية وفق افتراضات مختلفة:
التوافر أولًا. تقيس المصانع استمرارية التشغيل بالسنوات، ونوافذ الصيانة نادرة، تُجدول قبل أشهر، ولا تتسع للتجربة والخطأ.
الأنظمة لا تُحدَّث عند الطلب. تعمل كثير من وحدات PLC وواجهات HMI ومحطات العمل الهندسية بأنظمة تشغيل أو برمجيات ثابتة توقف المصنّع عن تحديثها. وبعضها لا يُحدَّث إلا بموافقة المصنّع، لأن التغيير غير المعتمد قد يُبطل عقد الدعم أو شهادة السلامة.
البروتوكولات تثق بكل شيء. صُممت Modbus وDNP3 وكثير من البروتوكولات الصناعية الأخرى لشبكات معزولة، ومعظمها لا يتضمن أي آلية مصادقة. فأي جهاز يستطيع الوصول إلى وحدة التحكم يستطيع عادةً إرسال الأوامر إليها.
الظروف قاسية. تعمل المعدات في محطات التحويل ومحطات الضخ وأرضيات المصانع، وسط حرارة وغبار واهتزازات وتشويش كهربائي كفيلة بإتلاف الأجهزة القياسية.
الشبكات لم تعد معزولة. ربطت الصيانة عن بُعد وتقارير الإنتاج وتكامل أنظمة تخطيط الموارد كثيرًا من شبكات OT بشبكات تقنية المعلومات المؤسسية، ومن خلالها بالإنترنت. فالعزل الذي كان يحميها قد اختفى في الغالب، سواء وُثّق ذلك أم لا.
نموذج Purdue مستوى بمستوى
يمنح نموذج Purdue شبكات OT هيكلًا واضحًا للتجزئة؛ إذ يقسّم البيئة إلى مستويات، مع ضوابط أمنية على الحدود الفاصلة بينها. ويقوم معيار IEC 62443 على الفكرة ذاتها من خلال نهج المناطق والقنوات (Zones and Conduits)، بينما تحدد ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) الصادرة عن الهيئة الوطنية للأمن السيبراني متطلبات محددة لبيئات OT في المملكة العربية السعودية.
وفيما يلي طريقة عمل كل مستوى عمليًا، بدءًا من أرضية المصنع:
المستويان 0 و1: العملية الفيزيائية والتحكم الأساسي. المستشعرات والمشغلات ووحدات PLC التي تتحكم بها، وهنا تجري العملية الفيزيائية ذاتها. ويتركز الأمن في هذا المستوى على حماية وحدات التحكم من الأوامر غير المصرح بها.
المستوى 2: التحكم الإشرافي. واجهات HMI وأنظمة SCADA التي يستخدمها المشغلون لمراقبة العملية والتحكم بها. واختراق هذا المستوى يمنح المهاجم رؤية المشغل وصلاحياته.
المستوى 3: عمليات الموقع. خوادم Historian ومحطات العمل الهندسية وأنظمة إدارة الإنتاج على مستوى الموقع. ويجمع هذا المستوى البيانات من المستويات الأدنى ويمررها إلى أنظمة الأعمال.
المستوى 3.5: المنطقة الصناعية منزوعة السلاح (IDMZ). الحد الأهم في النموذج بأكمله. إذ لا ينبغي أن تمر أي حركة مباشرة بين شبكة المؤسسة وشبكة التحكم، بل يتواصل الطرفان مع خدمات وسيطة داخل هذه المنطقة، مثل نسخة متماثلة من Historian، أو خادم تحديثات، أو خادم وسيط للوصول عن بُعد.
المستويان 4 و5: تقنية المعلومات المؤسسية. أنظمة الأعمال وتخطيط الموارد والبريد الإلكتروني والإنترنت. ومن منظور OT، تُعد هذه منطقة غير موثوقة.
والهدف واضح: المهاجم الذي يخترق حاسوبًا مكتبيًا يجب أن يصطدم بحاجز تلو الآخر قبل أن يقترب من أي وحدة تحكم.
وتنفذ بناة الأنظمة (IT Builders) مشاريع الأمن السيبراني للتقنيات التشغيلية وفق متطلبات الهيئة الوطنية للأمن السيبراني. ومن واقع خبرتنا، نادرًا ما يكون ضبط الجدار الناري الجزء الأصعب في هذه المشاريع؛ فالتحدي الحقيقي هو اكتشاف ما يوجد فعلًا على الشبكة وكيف يتواصل، لأن الوثائق نادرًا ما تطابق الواقع.
هل تبدأون مشروعًا لتجزئة شبكات OT؟
تبدأ التجزئة الآمنة بتقييم سلبي لأصول OT وتدفقات الاتصال بينها، يُنجز دون المساس بأنظمة الإنتاج.
قواعد العمل في فحص بيئات OT
تتطلب تجزئة مصنع قيد التشغيل انضباطًا صارمًا، وتضمن المبادئ التالية استمرار الإنتاج:
المراقبة قبل التدخل. البداية بالمراقبة السلبية عبر منفذ SPAN أو جهاز TAP، ورسم خريطة لكل أصل وكل اتصال بين الأصول قبل كتابة أي قاعدة حظر. ويصبح هذا الأساس المرجع الذي تُبنى عليه السياسات.
النشر دون تغيير العناوين. قد يعني تغيير مخطط عناوين IP في شبكات OT إعادة برمجة وحدات التحكم. ولذلك يستطيع FortiGate العمل في وضع Transparent Mode، فيُركَّب على المسار كجسر يفحص الحركة ويصفّيها دون أي تغيير في عناوين الأجهزة.
فهم البروتوكولات لا المنافذ فحسب. تستطيع القاعدة المبنية على المنفذ السماح بحركة Modbus أو حظرها، لكنها لا تميّز بين عملية قراءة روتينية وأمر يغيّر نقطة ضبط. أما فحص البروتوكولات الصناعية في FortiGate، المدعوم بخدمة FortiGuard لمعلومات تهديدات OT، فيقرأ الأوامر داخل بروتوكولات مثل Modbus وDNP3، ما يتيح السماح بحركة المراقبة مع حظر أوامر الكتابة غير المصرح بها.
التحديث الافتراضي حيث يتعذر التحديث الفعلي. بالنسبة إلى وحدات التحكم التي لن تتلقى أي تحديث مستقبلًا، تحظر بصمات IPS الخاصة بالثغرات المعروفة محاولات الاستغلال على مستوى الشبكة قبل وصولها إلى الجهاز (Virtual Patching).
التنبيه أولًا ثم الحظر. تشغيل السياسات الجديدة في وضع المراقبة لدورة إنتاج كاملة على الأقل، وعدم الانتقال إلى الحظر الفعلي إلا بعد مراجعة فرق التشغيل والهندسة لكل ما كانت السياسة ستحظره.
استخدام عتاد مصمم لهذه البيئة. تتحمل طرازات FortiGate Rugged ظروف الحرارة والاهتزاز والطاقة في محطات التحويل وأرضيات المصانع، وتحمل شهادات صناعية لا تتوفر في الجدران النارية القياسية.
الخلاصة
يُخفق أمن OT حين يتعامل مع المصنع كأنه مكتب، وينجح حين يحترم قيود البيئة: التجزئة وفق مستويات Purdue، والمراقبة قبل التطبيق، وفحص البروتوكولات الصناعية على مستوى الأوامر، وحماية الأنظمة العاجزة عن حماية نفسها.
بناة الأنظمة شريك معتمد ضمن برنامج Fortinet Engage، ويحمل تخصص Operational Technology. ويتولى مهندسونا إجراء التقييمات السلبية لبيئات OT، وتصميم التجزئة وفق واقع الإنتاج ومتطلبات ضوابط OTCC، ونشر الضوابط على مراحل تضمن استمرار تشغيل المصنع.
هل تخططون لتجزئة شبكات OT أو تستعدون لتقييم الالتزام بضوابط OTCC؟
