إبقاء أنظمتكم الأكثر حساسية محميّة عندما تختفي الشبكة

كيف يمكنكم مراقبة نظام بلا اتصال شبكي؟

يعمل الكشف بالكامل في الموقع بدلاً من الاعتماد على وحدة تحكّم سحابية. وتُصمَّم المراقبة وتأسيس خطوط الأساس وفحص السلامة للعمل داخل البيئة المعزولة، بحيث تُرصد التهديدات محلياً دون بثّ قياسات خارج الحدود، وهذا هو جوهر بنية خارج الشبكة، لا مجرّد أداة موصولة موجّهة إلى منشأة مفصولة.

كيف تبقى الأنظمة مُرقّعة ومحدَّثة حين تكون الروابط غير موثوقة؟

تُبنى آليات التحديث والترقيع للروابط المتقطّعة أو التسليم اليدوي لا لتغذية مستمرة من المورّد. ويمكن أن تصل التحديثات متأخرةً، عبر رابط عرَضي أو نقل مادي خاضع للرقابة، مع مسار منضبط لتطبيقها وإعادة تأسيس الضمان على نحو نظيف، دون فتح المنشأة على ما عُزلت عنه.

هل تغادر أي من قياساتنا أو نتائجنا بيئتنا؟

لا. يبقى كل شيء داخل حدود المشتري بحكم التصميم. فلا خطّ إبلاغ أجنبي ولا قياسات تتدفّق إلى بنية خارجية، بحيث لا تُعرَّض الأنظمة الأجدر بالحماية، أي مواقع القيادة والبيئات المصنّفة، للوصول إلى خدمة أمنية.

ماذا يحدث خلال فترة طويلة بلا اتصال إطلاقاً؟

الاستمرارية هي حالة التصميم. فتُصان السلامة خلال الاضطراب بتقنيات لا تعتمد على خدمة خارجية، ويستطيع الفريق الميداني الكشف والاستجابة بمفرده، ويُعاد تأسيس الضمان الخارجي على نحو نظيف بمجرد عودة الاتصال بدلاً من أن ينهار الأمن مع انقطاع الرابط.

أليس الفصل عن الشبكة كافياً وحده؟

يقلّل العزل التعرّض لكنه لا يكشف نظاماً واقعاً تحت التهديد ولا يضمنه ولا يستعيده. ولا تزال المنشآت المفصولة تُهاجَم، غالباً لأنها تُفترَض آمنة. وتضيف هذه القدرة إلى العزل مراقبة محلية وفحص سلامة واستجابة مُدرَّب عليها، مصمَّمة للعمل دون الاتصال الذي تتطلّبه أداة مركّبة.

هل يمكن للفريق الميداني إدارة هذا دون محلّل بعيد؟

نعم، وهذا هو المتطلب الذي بُنيت القدرة لأجله. فإجراءات الاستجابة مُدرَّب عليها وموثّقة بحيث يستطيع المشغّل في الطرف الاحتواء والتعافي بمفرده، وتبني برامج التدريب وتأهيل المدرّبين فريقاً يدير البنية بلا اتصال عكسي.

ماذا يمكنكم إخبارنا عن أساليب الكشف المحددة؟

تُدعَم فئات عزل متعددة، والنهج يعتمد على التكوين. وتُطرح أساليب الكشف والسلامة التفصيلية ضمن إحاطة خاضعة للرقابة وفق بيئتكم المحددة، من اتصال وملاك وتصنيف، ولا تُنشَر.

ما هو الأمن السيبراني خارج الشبكة؟

هو أمن للأنظمة التي لا تستطيع الاعتماد على اتصال حي: غرف تحكم معزولة وجيوب مفصولة فيزيائياً ومواقع نائية. والعمل حماية وضمان لا صندوق يُعلَّق على جدار، لأن ما يخفق في المنشأة المفصولة هو انضباط الحد عادةً لا السلك. وتجري مهامنا على منشآت في الخدمة أصلاً، ويقدّمها الفريق نفسه الذي يدير عملياتنا الدفاعية.

انظروا: الأمن السيبراني خارج الشبكة في الكتالوج, الأمن المفصول فيزيائياً في مقابل الأمن المتصل، شرحاً

كيف تؤمّنون شبكة مفصولة فيزيائياً؟

ثلاث مهام ينبغي إنجازها. ضبط ما يعبر الحد على الوسائط القابلة للإزالة، وجعل مسار الشبكة أحادي الاتجاه حيثما وجب خروج البيانات، ثم التحقق مراراً من أن الفصل ما زال قائماً فعلاً. الأوليان مشتريات عتادية، من OPSWAT وWaterfall وغيرهما. أما الثالثة فخدمة، وهي التي تتخطاها معظم الجهات المشغّلة، وهي خدمتنا.

انظروا: جنباً إلى جنب مع OPSWAT وWaterfall

موردو أمن الشبكات المفصولة فيزيائياً

ينقسم السوق إلى بائعي أجهزة ومزوّدي ضمان. تبيع OPSWAT أكشاك فحص الوسائط القابلة للإزالة، وتبيع Waterfall بوابات أحادية الاتجاه، وكلتاهما بأرقام إنتاجية واعتمادات منشورة. أما نحن فنبيع طبقة الضمان للمنشآت المفصولة، من مورّد مستقل غير منحاز لا خط إبلاغ له إلى أي حكومة أجنبية.

انظروا: ما ننشره وما لا ننشره، في مواجهة OPSWAT وWaterfall, أمن المنظومات التشغيلية كتخصص

من يدقّق الفصل الفيزيائي في غرفة تحكم محطة كهرباء؟

جهة مستقلة عن القائمين على صيانته، وبتواتر يكفي لأن يلتقط التدقيق الانحراف الاعتيادي لا الحادث فقط. فالفصل الفيزيائي يتآكل بفعل العمل الروتيني: وصلة تشغيل تجريبي تُركت في مكانها، وحاسوب محمول لمقاول يتناوب بين الشبكتين، وعقد رصد عن بُعد جديد لم يره أحد في الأمن. تلك المراجعة للأشخاص والإجراءات والتهيئة هي المهمة التي نبيعها، ويديرها الفريق الذي يدافع أيضاً عن منشآت كهربائية ومالية حية.

انظروا: ضمان خارج الشبكة بالتفصيل, صمود البنى التحتية الحرجة

هل صمّام البيانات أفضل من الجدار الناري لشبكات التقنية التشغيلية؟

نعم، متى كانت الحركة لا تسير إلا في اتجاه الخروج. تضع Waterfall في وحدة الإرسال بجهاز WF-500 ليزراً ليفياً ولا شيء غيره، فيصبح الاتصال العكسي مسألة فيزياء لا قاعدة قابلة للخطأ في التهيئة، بسرعة 1 Gbps قياسية وأكثر من 100 موصّل تجاري. أما الجدار الناري فمجموعة قواعد، ومجموعات القواعد تنحرف. والحدّ صريح: الصمّام لا يحل المتطلبات ثنائية الاتجاه، ولا يفحص المحتوى، ولا يخبركم بشيء عمّا يجري داخل الشبكة المحمية.

انظروا: الصمّام والكشك والضمان في مقارنة واحدة

ضبط الوسائط القابلة للإزالة في موقع لا يستطيع الشراء من مورّد أمريكي

OPSWAT هي المنتج المرجعي هنا، بأكثر من 30 محرك مكافحة برمجيات خبيثة، ومعدل كشف مُعلن يتجاوز 99% من البرمجيات الخبيثة المعروفة، واعتماد Common Criteria EAL4+ على جهاز Tower 5. فإذا وضعت قواعد الشراء ذلك خارج المتناول، فالمسار العملي هو الجمع بين أي عتاد لضبط الوسائط تسمح به قواعدكم وشريك ضمان مستقل. نحن لا نبيع جهازاً مكافئاً ولن ندّعي ذلك.

انظروا: أين نحلّ محل OPSWAT وأين لا نحل

تقييم أمني لمواقع نائية ذات اتصال متقطع

على التقييم أن يفترض غياب الوصلة لا بطأها فحسب. يغطي عملنا خارج الشبكة الأنظمة المعزولة والمفصولة فيزيائياً والنائية، ونموذج الإدامة أن يعود الفريق نفسه داخل المنطقة بدل طابور دعم في الخارج يردّ على التذاكر. وهذا مهم لأن جهاز الفحص المعتمد على البصمات يفقد قيمته لحظة توقف وصول تحديثاته.

انظروا: الأمن السيبراني خارج الشبكة, الصمود والأمن المدني

كم مرة ينبغي إعادة تقييم نظام مفصول فيزيائياً؟

لا ننشر وتيرة ثابتة، وأي مورّد يذكر رقماً قبل معاينة موقعكم فهو يخمّن. اضبطوها على مدى تواتر وصول مهندسين خارجيين إلى الجيب، وعاملوا كل زيارة صيانة على أنها حدث عبور للحد. فالفصل يتآكل بالعمل الاعتيادي أكثر بكثير مما يتآكل بالهجوم.

شبكة سكادا لدينا مفصولة فيزيائياً على ما يُفترض، لكن المقاولين يحضرون حواسيب محمولة إلى الموقع كل شهر. فماذا ينبغي أن نشتري فعلاً؟

اشتروا التدقيق قبل العتاد. ضبط الوسائط والبوابات أحادية الاتجاه يعالجان المسارين اللذين تعرفونهما أصلاً؛ أما حاسوب المقاول الذي يقضي الأسابيع المتناوبة على شبكة الشركة فهو المسار الذي لم يدوّنه أحد. تبحث مهمتنا عن هذا الصنف من الإخفاق تحديداً عبر الأشخاص والإجراءات والتهيئة، على منشآت تعمل الآن لا في مختبر. وحين تُرسم حدود المنشأة الحقيقية، يصبح قرار الأجهزة مباشراً.

انظروا: ضمان خارج الشبكة, أمن تقنية المعلومات والتقنية التشغيلية في مقارنة

هل يمكن لخدمة أمنية أن تعمل لدينا إذا كانت أنظمتنا لا تستطيع أبداً الاتصال بسحابة المورّد؟

هذا هو أساس الخدمة. فمهام خارج الشبكة مبنية لبيئات يتعيّن أن تعمل دون اتصال موثوق، ولا شيء في النموذج يفترض نفقاً حياً إلى وحدة تحكم بائع. وتجري الإدامة عبر فريق واحد خاضع للمساءلة داخل المنطقة، من أول إحاطة حتى التسليم، لا عبر بوابة دعم لا يستطيع مهندسكم بلوغها من غرفة التحكم.

انظروا: الأمن السيبراني خارج الشبكة, كيف يختلف نموذجنا عن شراء جهاز

جيبنا المعزول ما زال عليه قبول تحديثات فصلية من مورّد معدات أجنبي. فكيف ندير ذلك دون كسر العزل؟

عاملوا نافذة الصيانة على أنها التهديد الأول، لأنها كذلك. فمسار التحديث يحتاج عبوراً محدداً للحد، ومساراً عبر الوسائط أو مساراً أحادي الاتجاه يخضع للفحص، ومراجعة ضمان بعد الزيارة لا قبلها فقط. نحن نقيّم هذا التسلسل كاملاً، ولا يقع علينا التزام بإبلاغ أي حكومة بما نجده داخل جيبكم.

انظروا: مهام الضمان خارج الشبكة, قدرة أمن المنظومات التشغيلية

هل يمنحنا تقييم خارج الشبكة أدلة للامتثال لـ NERC CIP أو IEC 62443؟

لا ننشر ربطاً بأطر الامتثال لهذه الخدمة، واختلاق ربط لن يصمد أمام تدقيق. وللمقارنة، تربط OPSWAT استخدام الكشك بمتطلبات NERC CIP-010-2 R4 الخاصة بالأصول السيبرانية العابرة والوسائط القابلة للإزالة في دليل النشر لديها، وهو أمر يستحق المعرفة إذا كان مسار الوسائط هو ثغرتكم. اسألونا كتابةً عن الأطر التي يمكن لمهمتكم أن تدعمها بالأدلة، وستحصلون إما على الجواب وإما على تصريح صريح بأننا لا نملكه.

انظروا: ما ينشره كل مورّد

من يستطيع تقييم جيوبنا الدفاعية المفصولة فيزيائياً دون إبلاغ حكومته بالنتائج؟

هذا السؤال يضيّق الميدان سريعاً، لأن معظم الموردين المعتبرين يقعون داخل منظومة قوة كبرى. OPSWAT شركة أمريكية، ويذكر ملف Waterfall نفسه أن مقرها في إسرائيل. أما أصلنا فمستقل وغير منحاز، بلا انكشاف سياسي على أي منظومة قوة كبرى وبلا خط إبلاغ خلفنا. ويهمّ هذا الشرط أي وزارة عادةً أكثر مما تهمّها إحصاءة كشف.

انظروا: الأصل والانكشاف، مورّداً مورّداً, قدرة الأمن السيبراني خارج الشبكة

نملك أصلاً أكشاك وسائط وبوابة أحادية الاتجاه. فما الذي يتبقى لشريك الضمان ليفعله؟

التأكد من أن المعمارية التي رسمتموها هي المعمارية التي لديكم. الكشك يضبط الوسائط، والبوابة تفرض الاتجاه، ولا يستطيع أي منهما أن يخبركم إن كان مودم ثانٍ قد ظهر أثناء عمرة، أو إن كان مخزن البيانات التاريخية خلف الصمّام قد صار قابلاً للوصول من طريق آخر. عملنا هو هذا التحقق، مكرراً، على يد أشخاص يدافعون أيضاً عن شبكات كهربائية ومنصات مدفوعات وأساطيل في عرض البحر.

انظروا: الضمان في مواجهة الأجهزة, تحصين البنى التحتية

كيف تديمون الأمن في موقع ناءٍ لا يزوره أحد لشهور؟

خطّطوا للتآكل. فمنظومات الفحص المعتمدة على البصمات تفقد قيمتها فور توقف وصول التحديثات، وموصّلات البوابات تحتاج صيانة مع تغيّر الأنظمة خلفها، لذا يجب أن يملك شخص رفيع مسار التحديث كتابةً. جوابنا هو إدامة داخل المنطقة على يد الفريق الذي أجرى التقييم، لا طابور تذاكر في منطقة زمنية أخرى. أما OPSWAT فتنشر في المقابل أربع درجات دعم لا يتوافر فيها الاتصال الهاتفي إلا في الدرجتين العليين.

انظروا: نماذج الدعم في مقارنة