ما هو أمن إنترنت الأشياء الصناعي؟

أمن إنترنت الأشياء الصناعي هو العمل على حماية المستشعرات ووحدات التحكم والبوابات والمنصات السحابية التي تربط المعدات المادية بالشبكات، حتى يمكن الوثوق بالقراءات ولا يستطيع أحد تغيير عملية مادية دون إذن. وهو يشمل أرضية المصنع ونظام التحكم بقدر ما يشمل الخدمات السحابية التي باتت بيانات المصنع تنتقل إليها اليوم.

وربط المعدات بالسحابة أمر يستحق العناء، لكنه يغيّر أيضًا من يستطيع الوصول إلى تلك المعدات. ويحتاج مسؤول OT أو IT الذي يخطط لهذا الربط إلى صورة واضحة عما يفعله المهاجمون في البيئات الصناعية، والثغرات التي يستغلونها، والضوابط التي تُحدث فرقًا فعلًا. ويستعرض هذا المقال كلًا منها، من شبكات SCADA وصولًا إلى المنصة السحابية.

باختصار

• تبدأ أكثر الحوادث الصناعية شيوعًا في بيئة IT، عبر التصيّد الاحتيالي (phishing)، أو بيانات اعتماد الوصول عن بُعد المسروقة، أو برامج الفدية، ثم تصل إلى العمليات التشغيلية لأن الشبكات غير مفصولة.
• أنظمة SCADA معرّضة للخطر بسبب البروتوكولات القديمة التي تفتقر إلى المصادقة، والشبكات المسطحة (flat networks)، والحسابات المشتركة، والبرمجيات التي لا يمكن تحديثها بسرعة.
• يبدأ تأمين نظام SCADA بجرد الأصول وتقسيم الشبكة إلى مناطق (segmentation)، ثم ضبط الوصول عن بُعد والحسابات والنسخ الاحتياطية.
• IEC 62443 وNIST SP 800-82 هما الإطاران الرئيسيان؛ وعلى الجانب السحابي، أهم ما في الأمر صلاحيات الوصول لكل شخص، والمفاتيح محددة النطاق، وسجل للوصول.

ما أكبر تهديدات أمن إنترنت الأشياء الصناعي؟

تحظى الحوادث الصناعية بالاهتمام حين تكون مثيرة، لكن التهديدات التي تسبب معظم الضرر عادية. ولكل تهديد من تهديدات أمن إنترنت الأشياء الصناعي أدناه سابقة حقيقية.

وبرامج الفدية التي تبدأ في بيئة IT هي المشكلة الأكثر تكرارًا. ففي مايو 2021، أصابت برامج الفدية أنظمة الأعمال لدى Colonial Pipeline في الولايات المتحدة. ولم تُفِد التقارير بتشفير أنظمة التحكم في خط الأنابيب، ومع ذلك أوقفت الشركة تشغيل خط الأنابيب عدة أيام كإجراء احترازي، لأنها لم تكن متأكدة من أن الهجوم لن ينتشر، ولم تستطع تشغيل الفوترة بشكل طبيعي. وتبع ذلك نقص في الوقود على امتداد الساحل الشرقي للولايات المتحدة، وكل ذلك من حادث في أنظمة IT المكتبية.

ويأتي الوصول عن بُعد المسروق أو الضعيف بعده مباشرة. فكثيرًا ما يحتاج المورّدون ومُكاملو الأنظمة إلى الوصول إلى المعدات، فتصبح أداة سطح مكتب بعيد أو حساب VPN بكلمة مرور مشتركة أسهل طريق للدخول بالنسبة إلى المهاجم أيضًا.

وبيانات الاعتماد الافتراضية على الأجهزة المتصلة طريق شائع آخر للدخول. ففي 2016، استولت شبكة الروبوتات Mirai (botnet) على مئات الآلاف من الكاميرات وأجهزة التوجيه وغيرها من أجهزة إنترنت الأشياء بمجرد تجربة أسماء المستخدمين وكلمات المرور الافتراضية من المصنع، ثم استخدمتها في هجمات حجب خدمة (denial-of-service) ضخمة. والبوابات والمستشعرات الصناعية التي تُشحن ببيانات دخول افتراضية تحمل الخطر نفسه.

أما الهجمات الموجّهة إلى أنظمة التحكم فهي أندر وأخطر. فقد تلاعب Stuxnet، الذي اكتُشف في 2010، بوحدات PLC من Siemens لإتلاف أجهزة الطرد المركزي لتخصيب اليورانيوم في إيران، بينما كان يعرض على المشغّلين قيمًا طبيعية. واستهدف Triton، الذي اكتُشف في 2017 في مصنع للبتروكيماويات في المملكة العربية السعودية، نظام السلامة الآلي (safety instrumented system) من طراز Triconex التابع لـ Schneider Electric، وهو الطبقة المخصصة لإيقاف العملية بأمان.

وأخيرًا، هناك المطّلع من الداخل والخطأ غير المقصود: مقاول لديه صلاحيات وصول أكثر من حاجته، أو مهندس يوصل حاسوبه المحمول بشبكة التحكم «ليتحقق من شيء ما فقط».

وتضيف الأجهزة المتصلة فئة أخرى: الوصول المادي. فالبوابة المثبتة في خزانة خارجية غير مقفلة، أو المستشعر الذي يمكن الوصول إلى منفذ إعداده بمفك براغي، يمكن إعادة ضبطه أو استبداله أو استخدامه طريقًا إلى داخل الشبكة. والمواقع البعيدة مثل محطات الضخ والمحطات الفرعية نادرًا ما يزورها أحد، لذا قد يمر العبث بها دون أن يُلاحظ أسابيع، ما لم تبلّغ عنه مستشعرات الأبواب أو مفاتيح الخزائن.

الثغرات الأمنية الشائعة في أنظمة SCADA

أمن أنظمة SCADA صعب لأسباب بنيوية، لا لأن المشغّلين مهملون. والثغرات الشائعة تتكرر في مختلف القطاعات.

والبروتوكولات التي تفتقر إلى المصادقة هي أقدم الثغرات. فقد صُمم Modbus التقليدي وDNP3 الأصلي لشبكات تسلسلية مغلقة؛ وأي جهاز يستطيع الوصول إلى وحدة تحكم يمكنه أن يرسل إليها أمرًا صالحًا. وتوجد نسخ آمنة منهما، لكن المعدات الأقدم كثيرًا ما لا تستطيع استخدامها.

والشبكات المسطحة تزيد الأمر سوءًا. ففي كثير من المصانع، تقع شبكة المكاتب وخوادم SCADA ووحدات PLC في شبكة واحدة دون جدار حماية بينها، فيستطيع حاسوب محمول مصاب واحد الوصول إلى كل شيء.

والحسابات المشتركة على واجهات HMI ومحطات العمل الهندسية تعني أن كل مشغّل يسجّل دخوله باسم «operator»، ما يجعل من المستحيل معرفة من فعل ماذا.

والتحديث بطيء. فكثيرًا ما تعمل خوادم SCADA بأنظمة تشغيل قديمة لأن برنامج SCADA أو أحد برامج التشغيل (drivers) معتمد لهذا الإصدار وحده، ولا يستطيع المصنع إعادة تشغيل عملية جارية كل شهر.

والانكشاف على الإنترنت نتيجة تتكرر في عمليات الفحص. فمحركات البحث التي تمسح الإنترنت، مثل Shodan، تعثر بانتظام على واجهات HMI ووحدات PLC وبوابات وصول عن بُعد يمكن الوصول إليها مباشرة من أي مكان.

والوسائط القابلة للإزالة والحواسيب المحمولة الهندسية طريق أقل لفتًا للانتباه. فمحطات العمل الهندسية تحتوي على البرمجيات القادرة على إعادة برمجة كل وحدة تحكم في المصنع، وكثيرًا ما تكون هي الأجهزة التي يتصل بها المقاولون بحواسيبهم المحمولة وذواكر USB الخاصة بهم. ويُعتقد أن Stuxnet وصل إلى شبكته المستهدفة المعزولة عبر وسائط قابلة للإزالة، ولهذا تفحص مصانع كثيرة اليوم أجهزة USB في كشك مخصص قبل السماح باقترابها من نظام تحكم.

واستخدم الهجوم الذي استهدف شركات توزيع الكهرباء الأوكرانية في ديسمبر 2015 عدة ثغرات من هذه في آن واحد. فقد دخل المهاجمون عبر رسائل تصيّد احتيالي على شبكات المكاتب، وجمعوا بيانات الاعتماد، وانتقلوا إلى بيئة التحكم، وفتحوا قواطع الدوائر عن بُعد، فقطعوا الكهرباء عن نحو 225,000 مشترك لعدة ساعات.

كيف تؤمّن نظام SCADA؟

لا يوجد منتج واحد يؤمّن نظام SCADA. والخطوات أدناه تتبع الترتيب الذي توصي به معظم الأطر، لأن كل خطوة تسهّل التي تليها.

1. أنشئ جردًا للأصول. اذكر كل وحدة تحكم وخادم ومحطة عمل وبوابة واتصال شبكي، مع إصدارات البرامج الثابتة.
2. قسّم الشبكة. افصل شبكة الأعمال عن شبكة التحكم، مع منطقة DMZ (منطقة عازلة) بينهما لكل ما يحتاجه الجانبان، مثل نسخة من قاعدة البيانات التاريخية (historian). واسمح فقط بحركة البيانات اللازمة، وفي الاتجاه اللازم.
3. أزل الانكشاف المباشر على الإنترنت. لا ينبغي أن يكون أي شيء في شبكة التحكم قابلًا للوصول من الإنترنت. والبيانات المتجهة إلى الخدمات السحابية ينبغي أن تخرج عبر اتصالات صادرة من بوابة في منطقة DMZ.
4. اضبط الوصول عن بُعد. استخدم نقطة دخول واحدة مُدارة مع مصادقة متعددة العوامل، وحسابات فردية للمورّدين، ووصولًا لا يُفعَّل إلا عند الحاجة.
5. امنح كل شخص حسابه الخاص. استبدل بيانات الدخول المشتركة بحسابات شخصية، مع أقل الصلاحيات التي تحتاجها كل وظيفة.
6. حدّث حيث تستطيع، وعوّض حيث لا تستطيع. اختبر التحديثات على نظام احتياطي؛ وحيث يتعذر تحديث جهاز ما، قيّد ما يمكنه التواصل معه.
7. راقب الشبكة. تتعلم أدوات كشف التسلل الصناعية حركة البيانات الطبيعية بين وحدات التحكم، وتنبّه إلى الأجهزة الجديدة أو الأوامر غير المعتادة.
8. احتفظ بنسخ احتياطية وتدرّب على الاستعادة. احتفظ بنسخ غير متصلة بالشبكة من برامج PLC وإعدادات SCADA وصور الخوادم، واختبر استعادتها.

ويعتمد الأمن السيبراني لأنظمة SCADA أيضًا على الأشخاص. فينبغي أن يعرف المشغّلون والمهندسون كيف يبلّغون عن رسالة بريد إلكتروني مريبة أو ذاكرة USB عُثر عليها في موقف السيارات، وينبغي أن تحدد خطة الاستجابة للحوادث من يقرر ما إذا كانت العملية ستستمر في العمل.

ومع ميزانية محدودة، يهم الترتيب أكثر من الشمول. فالمصنع الذي لديه جرد للأصول، وجدار حماية بين شبكتي المكاتب والتحكم، ولا انكشاف مباشر على الإنترنت، وحسابات شخصية مع وصول عن بُعد بمصادقة متعددة العوامل، يكون قد أغلق المسارات المستخدمة في معظم الحوادث الموصوفة أعلاه. وتستحق مراقبة الشبكة ومستويات الأمان الرسمية أن تُضاف بعد ذلك، لا بدلًا منه.

معايير أمن إنترنت الأشياء الصناعي

يهيمن إطاران على معايير أمن إنترنت الأشياء الصناعي. فـ IEC 62443 سلسلة من المعايير الدولية لتأمين أنظمة الأتمتة والتحكم الصناعية. وهي تقدّم مفهوم المناطق (zones)، أي مجموعات الأصول ذات الاحتياجات الأمنية نفسها، والقنوات (conduits)، أي الاتصالات المضبوطة بينها، وتحدد مستويات أمان من 1 إلى 4 في مواجهة مهاجمين تتزايد قدراتهم، وفيها أجزاء منفصلة لمالكي الأصول ومُكاملي الأنظمة ومورّدي المنتجات.

أما NIST SP 800-82، الصادر عن المعهد الوطني الأمريكي للمعايير والتقنية (NIST)، فهو دليل لأمن التقنيات التشغيلية (OT). وقد وسّعت المراجعة 3، الصادرة في سبتمبر 2023، نطاقه من أنظمة التحكم الصناعية إلى التقنيات التشغيلية عمومًا، وربطت توصياته بإطار NIST للأمن السيبراني (Cybersecurity Framework).

والتشريعات تتحرك أيضًا. ففي الاتحاد الأوروبي، يغطي توجيه NIS2 قطاعات الطاقة والمياه والتصنيع وغيرها، وكان على الدول الأعضاء تطبيقه اعتبارًا من أكتوبر 2024. ويضيف قانون المرونة السيبرانية الأوروبي (Cyber Resilience Act) متطلبات أمنية للمنتجات ذات العناصر الرقمية، وتسري معظم التزاماته اعتبارًا من ديسمبر 2027، وهو ما سيؤثر في المستشعرات والبوابات المتصلة التي تُباع في الاتحاد الأوروبي.

ومن المفيد أيضًا معرفة علاقة هذه المعايير بـ ISO/IEC 27001، المعيار الواسع الاستخدام لأنظمة إدارة أمن المعلومات. فـ ISO/IEC 27001 يصف كيف تدير المؤسسة المخاطر الأمنية عمومًا، بينما يضيف IEC 62443 المتطلبات التقنية والتنظيمية الخاصة بأنظمة التحكم. وتستخدم شركات صناعية كثيرة الاثنين معًا: 27001 للشركة وأنظمة IT فيها، و62443 للمصانع.

أفضل ممارسات أمن إنترنت الأشياء الصناعي

يحتاج الجانب السحابي من اتصال إنترنت الأشياء الصناعي إلى الانضباط نفسه الذي يحتاجه جانب المصنع. وهناك بعض أفضل ممارسات أمن إنترنت الأشياء الصناعي التي تصح على أي منصة. فينبغي أن تخرج البيانات من المصنع عبر اتصالات صادرة ومشفّرة تبدأها البوابة، فلا يكون هناك منفذ وارد مفتوح. وشبكات المستشعرات اللاسلكية تأتي بحمايتها الخاصة: فـ LoRaWAN مثلًا يشفّر كل رسالة بمفاتيح جلسة AES-128، وهذا لا يفيد إلا إذا جرى التعامل بعناية مع المفاتيح المستخدمة في تهيئة المستشعرات (provisioning). وتحتاج كل بوابة وكل اتصال إلى بيانات اعتماد خاصة بها بدلًا من بيانات واحدة مشتركة بين المواقع. وينبغي تخزين مفاتيح التهيئة هذه مشفّرة، وألا يطّلع عليها إلا من يحتاج إليها. والبرامج الثابتة للبوابة تستحق الاهتمام نفسه بالتحديث الذي تحظى به وحدة PLC، لأن البوابة تقع تمامًا على الحد الفاصل بين المصنع والإنترنت.

وعلى جانب المنصة، تعمل ضوابط الوصول في Kilo لكل شخص ولكل صفحة، بخيارات Edit أو View أو No access، فيستطيع المقاول متابعة لوحات المعلومات دون أن يتمكن من المساس بالقواعد أو الموصّلات. ومفاتيح API محددة النطاق لكل مجال بصلاحيات قراءة وكتابة منفصلة، ويمكن أن تحمل تاريخ انتهاء صلاحية، وتتوقف عن العمل فورًا عند تدويرها. ويسجّل Audit Trail الدعوات وتغييرات الصلاحيات وعمليات الإزالة، فتستطيع أن تبيّن من كان لديه حق الوصول ومتى.

أسئلة شائعة عن أمن إنترنت الأشياء الصناعي

ما الفرق بين أمن إنترنت الأشياء الصناعي وأمن تقنية المعلومات؟

في تقنية المعلومات، تأتي السرية عادةً أولًا؛ أما في الأنظمة الصناعية فالأولوية للتوافر والسلامة، لأن إيقاف عملية ما قد يكون خطيرًا أو مكلفًا. كما أن المعدات الصناعية كثيرًا ما تبقى في الخدمة من 10 إلى 15 عامًا، وأحيانًا أكثر من 20 عامًا، أي أطول بكثير من أنظمة IT المكتبية، لذا يجب أن يتكيّف الأمن مع أجهزة لا يمكن استبدالها بسرعة.

من المسؤول عن الأمن السيبراني لأنظمة SCADA؟

مالك الأصول، أي المؤسسة التي تشغّل المصنع، هو المسؤول عن أمنها. ويوزّع IEC 62443 العمل: فمورّدو المنتجات يبنون أجهزة آمنة، ومُكاملو الأنظمة يهيئونها بشكل آمن، ومالك الأصول يشغّل النظام ويصونه بشكل آمن طوال عمره.

ما هي الثقة الصفرية في أمن إنترنت الأشياء الصناعي؟

الثقة الصفرية (zero trust) نهج، موصوف في NIST SP 800-207، لا يُمنح فيه أي مستخدم أو جهاز الثقة بسبب موقعه على الشبكة. فكل طلب تجري مصادقته وتفويضه. وفي المصانع، يُطبَّق عادةً بالتدريج، بدءًا من الوصول عن بُعد والحد الفاصل بين IT وOT.

قبل أن تربط أي شيء من خط إنتاج، جرّب نموذج الوصول على إشارة غير ضارة. ضع مستشعر حرارة واحدًا في غرفة معدات بالمصنع على الخطة المجانية في Kilo، التي لا تتطلب بيانات دفع، وادعُ زميلًا بصلاحية View فقط، وأنشئ مفتاح API واحدًا بنطاق قراءة وتاريخ انتهاء صلاحية. ثم دوّر هذا المفتاح، وتحقق من أن أي سكربت يستخدم القيمة القديمة يتوقف عن العمل.