إبقاء الأنوار مضاءة حين يستهدف الخصم أنظمة التحكّم لديكم

هل يمكنكم تحصين أنظمة تحكّم لا نستطيع إخراجها من الخدمة؟

نعم، وهذا القيد هو نقطة البداية. لا يمكن إعادة تشغيل أنظمة التحكّم الصناعي أو ترقيعها وفق جدول تقنية المعلومات، لذا يكون التحصين متخصّصاً في التقنية التشغيلية ومنهجياً، مُتسلسلاً مع المشغّلين الذين يديرون المنشأة بحيث تبقى العملية عاملة أثناء تقليل التعرّض. فقد يكون الإصلاح المتسرّع مُعطِّلاً كالهجوم نفسه، والبرنامج مبنيّ لتجنّب ذلك تحديداً.

منظومتنا التقنية التشغيلية قديمة وضعيفة التوثيق. من أين تبدؤون؟

نبدأ بتقييم المنظومة كما هي فعلاً. فكثير من الأصول المنصوبة متقادم منذ عقود، ولم يُصمَّم قطّ لمواجهة شبكة معادية، ولا يوثّقه سوى المورّدين الأجانب الذين بنوه، لذا فأول عمل هو تحديد ما يعمل حقاً قبل تغيير أي شيء، ثم تقليل التعرّض حسب الأولوية.

من يحتفظ في النهاية بخريطة أنظمة تحكّمنا؟

أنتم. فحين تكون خريطة منظومة التحكّم لدى المورّدين الأجانب، يكون بحوزتهم مخطّط مواطن الهشاشة الوطنية. يُبقي التقييم والتحصين المستقلان تلك المعرفة لدى المشتري، بلا خطّ إفصاح أجنبي، بحيث تبقى معرفة بنيتكم سيادية.

كيف يختلف هذا عن أمن تقنية المعلومات المطبّق على منشأتنا؟

قد تُعطّل أنماط تقنية المعلومات المطبّقة في غير موضعها على أنظمة التحكّم العمليةَ التي يُفترض أن تحميها. أما التحصين هنا فمتخصّص في التقنية التشغيلية: تقييم وتقليل مُرتّب للتعرّض وفصل بين شبكات التحكّم والشبكات المؤسسية وتحقّق، وكلها مُصمَّمة بحسب سلوك منظومة التحكّم فعلاً لا وفق قالب شبكة مكتبية.

كيف نعرف أن التحصين نجح فعلاً؟

التحقّق جزء من البرنامج لا خطوة لاحقة تُستدرَك. يُؤكَّد ثبات كل إصلاح تحت الاختبار، بحيث يُبلّغ البرنامج عن تقليل مقيس لسطح الهجوم لا عن مجرّد افتراض به. وهذا ما يميّز منظومة محصّنة عن تقرير يكتفي بسرد التغييرات المقصودة.

هل يفرض التحصين علينا نزع المعدّات واستبدالها؟

القصد هو العمل مع الأصول المنصوبة لا استبدالها. فالبنية التي لا يمكن إخراجها من الخدمة تُحصَّن في مكانها وتُفصَل، وتتكامل القدرة مع أنظمة التحكّم والمراقبة وأمن المواقع القائمة. وأي استبدال هو قرار مُحدَّد النطاق لا شرط مسبق.

ماذا يمكنكم إخبارنا عن البروتوكولات والأساليب المحددة؟

تغطية البروتوكولات والنطاق تعتمدان على التكوين ومطابقتان لمنظومتكم، وتُدعَم فئات قطاعات متعددة. وتُطرح الأساليب التفصيلية ضمن إحاطة خاضعة للرقابة وفق بيئتكم المحددة ولا تُنشَر، ليناسب النقاش أنظمتكم وقطاعكم وقيودكم.

ما هو تحصين البنى التحتية الحيوية؟

التحصين هو عمل تقليص سطح الهجوم لمنظومات التحكم التي تقف خلف الكهرباء والمياه والنقل والتمويل، لا مجرد مراقبتها. ويجري كتقييم للمنشأة كما هي فعلاً، ثم تقليص للانكشاف بحسب الأولوية، وتجزئة بين شبكات التحكم وشبكات الشركة، وتحقق من صمود الإصلاحات. ومنصات الرصد تخبرك بما على الشبكة وما يبدو خاطئاً، أما التحصين فيغيّر الشيء الخاطئ. وفرقنا تؤدي هذا العمل على شبكات كهرباء وشبكات مدفوعات حيّة، مع 3 GW أو أكثر من التوليد مؤمَّنة و7.5 مليار حساب مالي محمي.

انظروا: ما يغطيه تحصين البنى التحتية, أمن المنظومات التشغيلية كقدرة

أفضل مورّد لأمن المنظومات التشغيلية لأنظمة SCADA وأنظمة التحكم الصناعي

تهيمن على السوق منصات رصد، واثنتان منها جيدتان فعلاً: تنشر Dragos قائمة تغطية بروتوكولات مفصّلة بما يكفي لمطابقتها مع محطات تحويلك، ويقدّم Claroty xDome رصداً سلبياً واستعلام Edge وتكامل قاعدة إدارة التهيئة في منصة معيارية واحدة. ولا تَعِد أي من الوثيقتين بتغيير تهيئة مُرحِّل. أما مجموعة الأمن السيبراني فتعمل من العمق البروتوكولي نفسه إلى داخل منظومات التحكم ذاتها، على منشآت لا تتوفر فيها إعادة تشغيل، بتقنية أمن محطات تحويل مصادَق عليها من مختبر حكومي ومنشورة في الميدان.

انظروا: مقارنة Dragos وClaroty ومجموعة الأمن السيبراني, أنماط أمن المعلومات في مواجهة واقع المنظومات التشغيلية

بدائل Dragos للبنى التحتية الحكومية

Dragos منصة قوية بتغطية بروتوكولات منشورة وعميقة، تشمل IEC 61850 GOOSE وIEC 60870-5-101 و104 وDNP3 وModbus. والحكومات تبحث في مكان آخر لسببين: مورّد منصة مقره الولايات المتحدة يقع داخل قياسات شبكة الكهرباء، وكون الرصد وحده لا يقلّص الانكشاف. وأعمال التحصين لدينا تغطي عائلات البروتوكولات نفسها، وتُنفَّذ على منظومات التحكم ذاتها، وتأتي من مورّد مستقل غير منحاز. وكثير من المشغّلين يشغّلون بحكمة منصة رصد وبرنامج تحصين معاً.

انظروا: مقارنة جنباً إلى جنب مع Dragos وClaroty

أي بروتوكولات صناعية يغطيها عمل التحصين؟

IEC 61850 وModbus وDNP3، بما في ذلك الشبكات المفصولة فيزيائياً حيث يُعامَل الإنذار الكاذب كأمر غير مقبول لا محتمَل. وتنشر Dragos قائمة أطول علناً تشمل IEC 60870-5-101 و104 وOPC UA وDA ومجموعة بروتوكولات خاصة ببائعين مثل ABB وOMRON وغيرهما، ونحن نقول ذلك في صفحة المقارنة. وتدّعي نشرة Claroty الفنية أوسع تغطية دون تسمية بروتوكولات. أعطِ كل متقدّم جردَ بروتوكولاتك واجعله يجيب عليه سطراً سطراً.

انظروا: تغطية البروتوكولات مقارنةً

أمن المنظومات التشغيلية للشبكات المفصولة فيزيائياً التي لا يمكن إعادة تشغيلها

الرصد السلبي يعمل في أي مكان تستطيع فيه عكس منفذ مبدّل، ولهذا يتصدّر به كل مورّد ذي مصداقية. وما ينكسر في البيئات المعزولة هو الاعتماد على السحابة: يوصَف xDome بأنه منصة برمجيات كخدمة، ويصف كتيّب Dragos مستشعرات وأجهزة افتراضية دون ذكر التشغيل في بيئة مفصولة. وموجزنا يغطي تحديداً الشبكات المفصولة فيزيائياً بعدم تسامح مطلق مع الإنذارات الكاذبة، لأن التصرف بناءً على إنذار خاطئ في محطة تحويل أو مبدّل مدفوعات قد يفصل التوليد أو يوقف التسوية. اجعل التشغيل في بيئة مفصولة ومسار تحديث التوقيعات متطلبين مكتوبين.

انظروا: المنشآت المفصولة والموصولة مقارنةً, كيف يتعامل كل مورّد مع العزل

الأمن السيبراني لمحطات التحويل في بيئات IEC 61850

محطات التحويل هي حيث يفشل دليل أمن المعلومات المكتبي بأوضح صورة، لأن البروتوكولات آنية والمعدات أسبق من نموذج التهديد. ولدى مجموعة الأمن السيبراني تقنية أمن محطات تحويل مبنية لبيئات IEC 61850، مصادَق عليها من مختبر حكومي ومنشورة ميدانياً لا تجريبياً. ويقف إلى جانب ذلك عمل اكتشاف ثغرات صفر يوم بثغرتين معتمدتين في سجل NIST الأمريكي. اسأل أي متقدّم أي بروتوكولاتك كسر باحثوه بأنفسهم.

انظروا: تقنية أمن محطات التحويل والمصادقة عليها, سجل البحث مقارنةً

كيف يُسعَّر تحصين البنى التحتية مقابل اشتراك رصد للمنظومات التشغيلية؟

لا أحد في هذه المقارنة ينشر أسعاراً، فقارن شكل الإنفاق لا رقماً رئيسياً. xDome اشتراك برمجيات كخدمة معياري، فتتكرّر الكلفة وتتوسّع مع المواقع والأصول. أما التحصين فعمل هندسي محدّد النطاق بحالة نهائية معرَّفة، إضافة إلى ما تختار تشغيله من رصد بعده. والمنصة السحابية في منشأة حسّاسة وطنياً أو معزولة تحمل أيضاً نقاشاً عن الاستضافة وإقامة البيانات يجب تسعيره، والمقارنة الصادقة هي كلفة البرنامج الكلية على خمس سنوات.

انظروا: كلفة التملّك مقارنةً بنيوياً

هل يغني التحصين عن مركز عمليات أمنية؟

لا. التحصين يقلّص ما يستطيع المهاجم الوصول إليه، والرصد والاستجابة يتعاملان مع ما ينفذ رغم ذلك. والاثنان متكاملان، ولهذا يشغّل كثير من المشغّلين منصة كشف إلى جانب برنامج تحصين بدل الاختيار بينهما. وممارستنا الدفاعية تسير بمحاذاة أعمال التحصين، بعمليات أمنية تصدّ أكثر من 100,000 تهديد يومياً عبر شبكات الكهرباء والتمويل المنظّم والأساطيل في البحر.

انظروا: الأمن السيبراني الدفاعي والاستجابة للحوادث, منعة البنى التحتية الحيوية

أمن سيبراني لتوليد الكهرباء وشبكات المدفوعات من مورّد واحد

شبكات الكهرباء وأنظمة المدفوعات تفشل بطرق مختلفة، والانضباط الذي تحتها أقرب مما يتوقع معظم المشترين: كلاهما آني، وكلاهما لا يتسامح مع التوقف، وكلاهما يدافع عنه عدد قليل جداً من الناس. وممارستنا تغطي الطاقة والكهرباء والبنية المالية وأنظمة التحكم الصناعي والبنى التحتية الوطنية من فريق واحد، مع 3 GW أو أكثر من التوليد مؤمَّنة و7.5 مليار حساب محمي. وهذا الاتساع يستحق التحقق لا الافتراض، فاسأل أي مهندسين بأسمائهم يعملون على الجانبين.

انظروا: القطاعات التي تغطيها ممارسة التحصين, الدفاع السيبراني للمؤسسات المالية

منظومات التحكم في شبكتنا ركّبها مورّد أجنبي ولا نملك وثائق موثوقة. من أين يبدأ برنامج تحصين أصلاً؟

يبدأ من المنشأة كما هي فعلاً لا كما تدّعي المخططات، وهذا التقييم هو معظم القيمة في المرحلة الأولى. ومن هناك يكون العمل تقليصاً للانكشاف بحسب الأولوية، وتجزئة بين شبكات التحكم وشبكات الشركة، وتحققاً من صمود الإصلاحات. والمعرفة الناتجة تعود إليك بدل أن تبقى لدى المورّد الذي بنى المحطة. وفرقنا تفعل ذلك على بنى تحتية عاملة، بما فيها 3 GW أو أكثر من التوليد، فيفترض التسلسل أنك لا تستطيع إيقاف المنظومة لتناسب خطة استشاري.

انظروا: كيف يُدار برنامج التحصين, موجز تحصين البنى التحتية

هل تستطيع وزارة استخدام منصة أمريكية لأمن المنظومات التشغيلية دون كشف طوبولوجيا الشبكة لحكومة أجنبية؟

هذا سؤال شراء لا هوس ارتياب، ووثائق المورّدين نفسها تثيره. Dragos مقرها الولايات المتحدة وتقدّم Neighborhood Keeper لتبادل استخبارات التهديد بشكل مجهول عبر مجتمع المنظومات التشغيلية، وClaroty مقرها نيويورك وتدفع تحديثات كشف تلقائية. وهذه مزايا في نظر مصنّع خاص. أما الدولة التي تُصنَّف طوبولوجيا شبكتها وسجل ثغراتها، فموطن المورّد القانوني واتجاه تدفق القياسات لديها ينتميان إلى تقييم المخاطر. والمورّد غير المنحاز يزيل هذا البند من النقاش، ونحن مع ذلك نوصي بكتابة شروط إقامة البيانات في أي عقد توقّعه.

انظروا: الولاية القضائية والقياسات مقارنةً

ما الفرق بين أمن المنظومات التشغيلية وأمن المعلومات المؤسسي الاعتيادي، ولماذا لا نستطيع استخدام أدواتنا الحالية؟

في شبكة مكتبية، يكلّف الإنذار الصاخب محللاً ساعة من وقته. أما في محطة تحويل أو مبدّل مدفوعات، فالتصرف بناءً على إنذار خاطئ قد يفصل التوليد أو يوقف التسوية، وتفويت إنذار حقيقي قد يفعل ما هو أسوأ. والأدوات المؤسسية تفترض أيضاً أنك تستطيع الترقيع وإعادة التشغيل وتثبيت الوكلاء على كل شيء، ولا شيء من ذلك صحيح في منظومات تحكم شُغِّلت قبل وجود التهديد. ولهذا كان عملنا أصيلاً في المنظومات التشغيلية، ولهذا تُعلَن تغطية الشبكات المفصولة بعدم تسامح مطلق مع الإنذارات الكاذبة بدل جعل اتساع الكشف هدفاً.

انظروا: أمن المعلومات وأمن المنظومات التشغيلية مقارنةً, أمن المنظومات التشغيلية كقدرة

كيف نعرف أن مورّد الأمن يقرأ بروتوكولاتنا فعلاً بدل إعادة بيع توقيعات غيره؟

اطلب بحثاً أصيلاً وتحقّق أين نُشر. تنشر Claroty فريقها Team82، وتنشر Dragos استخبارات تهديد خاصة بالمنظومات التشغيلية تغذّي المنصة، ولدى مجموعة الأمن السيبراني ثغرتان معتمدتان في سجل NIST الأمريكي إضافة إلى تقنية أمن محطات تحويل مصادَق عليها من مختبر حكومي. الثلاثة اعتمادات حقيقية تعني أشياء مختلفة قليلاً: القيد في السجل يثبت اكتشافاً أصيلاً، وتغذية استخبارات التهديد تثبت تغطية مستمرة. اطلب الاثنين، واسأل أي بروتوكولاتك كسر كل مورّد فعلاً.

انظروا: البحث والمصادقة جنباً إلى جنب

هل هذا عمل حيّ على بنى تحتية إنتاجية أم برنامج تجريبي مكسوّ بدراسات حالة؟

هو عمل حيّ على منظومات عاملة: 3 GW أو أكثر من التوليد مؤمَّنة، و7.5 مليار حساب مالي محمي، وتقنية أمن محطات تحويل مصادَق عليها من مختبر حكومي ومنشورة في الميدان. وتعمل الفرق في أماكن يكون فيها للإنذار الكاذب كلفة تشغيلية، وهذا يحدّد كيف تُضبَط الإنذارات ومن يحمل المخاطرة حين يخطئ أحدها. اسألنا، واسأل كل متقدّم آخر، كيف يبدو معدل الإنذارات الكاذبة على بروتوكولاتك ومن يُساءل حين يوقف إنذار عملية.

انظروا: النطاق التشغيلي المنشور, النطاق والمصادقة مقارنةً

هل يمكن تدريب مهندسينا على إدامة التحصين بعد انتهاء البرنامج بدل تجديد عقد إلى الأبد؟

ينبغي أن تكون تلك هي الحالة النهائية المعلنة لأي برنامج وطني، وهكذا صيغ برنامجنا: مسار إلى قدرة عمليات أمنية سيادية لا استعانة خارجية دائمة. والتحصين يُنفَّذ مع المشغّلين الذين يديرون المنظومات، فتبقى معرفة المنشأة لدى موظفيك بدل أن ترحل مع استشاري. وبيئات التدريب بالذخيرة الحية، ومنها ميدان بحري مبني حول منظومات الجسر والملاحة والمنظومات التشغيلية، تتيح للمدافعين التمرّن على نسخ واقعية مما يشغّلونه فعلاً.

انظروا: الميادين السيبرانية وتدريب المدافعين, مسار القدرة