اختلافات أمن OT وIT

غالبًا ما يسبب تطبيق ممارسات أمن IT مباشرةً على OT ضررًا أكبر من نفعه. فالمجالان يحسّنان أهدافًا مختلفة، ويشغّلان تقنيات مختلفة، ويتعرضان للأعطال بطرق مختلفة. ويجب على المختص الذي ينتقل إلى OT أن يتخلّى عن عدة ردود فعل تلقائية.

يقارن هذا الدرس بين الأولويات والقيود والتهديدات التي تجعل أمن OT مجالًا مستقلًا.

تعطي IT الأولوية لثلاثية CIA: السرية، وسلامة البيانات، والتوافر. أما OT فتنقلب فيه هذه الأولويات عمليًا.

• التوافر أولًا — يجب أن تستمر العملية في العمل؛ فقد يكون التوقف خطيرًا أو مكلفًا للغاية
• سلامة البيانات ثانيًا — يجب أن تكون القراءات والأوامر جديرة بالثقة
• السرية أخيرًا — نادرًا ما تكون قيم المستشعرات سرية

وتعلو هذه الأولويات جميعًا مسألة لا يشاركها IT بالقدر نفسه: السلامة. فحماية حياة البشر والبيئة تتقدم على كل شيء.

في OT، قد يكون إجراء أمني قادر على دفع العملية إلى سلوك غير متوقع أسوأ من التهديد. فإجراء آلي يؤدي إلى إيقاف توربين أو إغلاق صمام في اللحظة الخطأ قد يعرّض الأشخاص للإصابة.

• يجب ألا تعرّض التغييرات الأمنية وظيفة السلامة للخطر أبدًا
• يجب أن يعتمد المهندسون التغييرات، لا موظفو الأمن وحدهم
• يجب أن يظل SIS مستقلًا وجديرًا بالثقة

ولهذا تحتاج أساليب IT الحادة، مثل العزل التلقائي، إلى تكييف دقيق في OT.

في IT، يُعدّ تثبيت الرقع سريعًا أمرًا لا جدال فيه. أما في OT، فهو مقيّد.

• قد يتطلب تثبيت الرقع توقف المصنع، ولا يمكن جدولة ذلك إلا بفواصل زمنية تمتد لأشهر
• قد تمنع شهادة المورّد تثبيت رقع غير معتمدة
• قد توقف رقعة سيئة الإنتاج أو تفسد حجة السلامة

وبما أن تثبيت الرقع بطيء، تعتمد OT بدرجة أكبر على الضوابط التعويضية، مثل التقسيم إلى مناطق، والمراقبة، والتحكم في الوصول، لحماية الأنظمة التي لا يمكن تحديثها بسرعة.

تعمل معدات OT لعقود. ومن الشائع العثور على وحدات تحكم وأنظمة تشغيل تجاوزت دعم المورّد بوقت طويل وما زالت قيد التشغيل، لأن استبدالها يعني إعادة بناء خط الإنتاج المادي.

• إصدارات أنظمة تشغيل غير مدعومة لا تتوفر لها رقع
• أجهزة لا يمكنها تشغيل وكلاء الأمان الحديثة
• بروتوكولات صُمّمت في عصر كان يفترض وجود شبكة معزولة

يجب تأمين الموجود، لا ما تتمنون وجوده.

صُمّمت بروتوكولات صناعية كثيرة لشبكات موثوقة ومعزولة ماديًا، ولذلك لا توفر افتراضيًا مصادقة أو تشفيرًا. وعلى مثل هذه الشبكة، يستطيع أي جهاز يمكنه الوصول إلى وحدة تحكم أن يصدر إليها أوامر.

• تُقبل الأوامر من دون إثبات هوية المرسل
• تكون حركة المرور غالبًا بنص صريح ويسهل تزويرها
• هذا افتراض تصميم، وليس عيبًا يمكن إصلاحه، في الإصدارات القديمة

تأتي الحماية من التحكم في الجهات التي يمكنها الوصول إلى الشبكة، وهو ما سنتناوله لاحقًا.

في IT، يُعدّ فحص الثغرات أمرًا روتينيًا. أما في OT، فقد يؤدي الفحص العدواني إلى تعطيل الأجهزة الهشة. إذ قد تتعطل بعض PLCs أو تتوقف عند تلقي حركة مرور غير متوقعة، وهو أمر قد يكون خطيرًا أثناء تشغيل العملية.

• فضّلوا مراقبة الشبكة السلبية على الفحص النشط
• اختبروا أي أداة نشطة أولًا في مختبر أو أثناء نافذة صيانة
• نسّقوا مع فرق التشغيل قبل لمس شبكات الإنتاج

الشعار: في OT، يجب ألا يتحول التقييم إلى حادث.

تعمل حلقات التحكم وفق توقيت صارم. وقد تؤدي إضافة زمن استجابة أو تذبذب إلى زعزعة استقرار العملية.

• يجب ألا تضيف أجهزة الأمان الموضوعة داخل المسار تأخيرًا ضارًا
• قد تحرم البرامج الوكيلة الثقيلة المهام الآنية من وقت المعالج
• قد تؤدي تغييرات الشبكة إلى تعطيل الاتصالات ذات التوقيت الدقيق

يجب أن يندمج الأمن ضمن الحتمية التي تتطلبها العملية، وهو ما يستبعد غالبًا حلولًا بسيطة في IT.

الفرق الجوهري هو أن حوادث OT تخلّف آثارًا مادية واقعية. فقد يسرّب خادم IT مخترق بيانات، بينما يمكن لنظام OT مخترق أن يفيض بخزان، أو يتلف توربينًا، أو يلوّث المياه، أو يعرّض العمال للخطر.

يرفع هذا مستوى المخاطر ويغيّر طريقة تقييمها. فالنتيجة الأسوأ ليست مالية أو متعلقة بالسمعة فحسب؛ بل قد تكون فقدان أرواح. ويجب أن تراعي نمذجة التهديدات في OT الأثر المادي وأثر السلامة، لا البيانات فحسب.

تتميز OT بملف تهديدات مختلف.

• الدول القومية التي تسعى إلى تعطيل البنية التحتية الحيوية لأغراض استراتيجية
• مهاجمون هدفهم التعطيل المادي لا سرقة البيانات
• حتى برمجيات الفدية غير الموجّهة في IT يمكن أن تمتد إلى OT وتوقف العمليات

وبما أن العواقب وخيمة وأن المهاجمين قد يمتلكون موارد كبيرة، يركز دفاع OT على المرونة والكشف إلى جانب الوقاية.

الهدف ليس التخلي عن أمن IT، بل تكييفه.

• فضّلوا المراقبة السلبية والتقسيم إلى مناطق على الفحص المتطفل وتثبيت الرقع بسرعة
• ضعوا السلامة والتوافر قبل السرية
• أشركوا مهندسي العمليات في كل قرار أمني
• استخدموا الضوابط التعويضية للأنظمة التي لا يمكن تثبيت الرقع فيها

تقود هذه المبادئ إلى دروس البروتوكولات والبنية المعمارية التالية.

طبّقوا الأولويات المعكوسة على قرار واقعي.

لقد تعلّمتم لماذا يُعدّ أمن OT مجالًا مستقلًا.

• الأولويات معكوسة: السلامة والتوافر أولًا، والسرية أخيرًا
• تثبيت الرقع مقيّد؛ لذا اعتمدوا على الضوابط التعويضية
• المعدات القديمة والبروتوكولات غير الآمنة بحكم التصميم واقع لا مفر منه
• يمكن للفحص النشط والبرامج الوكيلة المتطفلة أن تضر بالأجهزة الهشة العاملة في الزمن الحقيقي
• للحوادث عواقب مادية؛ لذا أشركوا مهندسي العمليات في كل قرار

التالي: البروتوكولات المحددة ونقاط ضعفها.