• نظرًا لتمتع الجهات الموردة في بعض الحالات الوصول الافتراضي إلى مؤسستك، فعليك أن تعتبرها كمؤسستك الداخلية بما في ذلك توقعاتك لضوابط الأمان والتدقيق الدوري ضمن عقود الجهات الموردة للتأكد من أن الموردين الذين اخترتهم يلبون نفس مستوى التدقيق.

• معرفة المخاطر المرتبطة بشركاء وموردين من الطرف الثالث. ومن ضمن الأسئلة التي سيطرحونها، الآتي: كيف يقومون بحماية برامجك؟ هل يتم نشر إجراءات الأمن المادي في منشآتهم؟ سوف تجدهم يسألونك أيضًا عن المخاطر التي لديك وخطط الطوارئ.

• قم بتضمين سلسلة التوريد في خطة الاستجابة والمعالجة. هذه الخطوة تتبع الخطوة السابقة - لمجرد أنك أجريت التقييم والرصد لا يعني أنك خالي من المخاطر، وبعبارة أخرى، فإن هذا يدير ثقتك الزائدة في رؤية سلسلة التوريد الخاصة بهم. يجب أن تكون قادرًا على مناقشة أسئلة مثل ما مدى فاعلية رد فعلهم عند نشر ثغرة مجهولة (Zero- Day) في النظام لاختراقه تؤثر على نظامك؟

• برامج الفدية الشائعة

  يقوم المهندس الذي يحقق في المعلومات الفنية أو بتصفح شبكة الإنترنت حول معدات نظم التحكم الصناعية بتنزيل برامج الفدية على النظام دون قصد. حيث تستخدم البرمجية الخبيثة نقاط ضعف النظام الذي تم تنزيل البرمجية عليه لنشر وتشفير الحاسوب. ثم ينتشر بعد ذلك إلى معظم الأنظمة الموجودة في نظام التحكم الصناعي. ونتيجة لذلك، يتم تشفير معظم الأنظمة في الشبكة، ما يؤدي إلى تعطيل نظام التحكم. لا يمكن أن يتسبب نظام التحكم المختل إلى إيقاف التشغيل. وفي وقت قصير، يقوم مشغل المصنع بتفعيل إغلاق السلامة في حالات الطوارئ.
  نتيجة لذلك، سيكون خط الإنتاج غير متصل بشبكة الإنترنت، حتى بعد إزالة البرامج الضارة من نظام التحكم وإعادة تشغيل المصنع.

• برامج الفدية المستهدفة

  يستهدف المهاجم الذي يتمتع بمهارات حاسوبية جيدة، من خلال هجمات التصيد الاحتيالي والمرفقات الضارة، موظفي تكنولوجيا المعلومات الداخليين ويستخدم أداة التحكم عن بُعد الخبيثة للوصول إلى شبكة تكنولوجيا المعلومات. يستخدم المهاجم أداة الوصول عن بُعد للحصول على المزيد من بيانات الاعتماد، والحصول في نهاية المطاف على وصول عن بُعد إلى نظام التحكم الخاص بنظم التحكم الصناعي. ويتمثل دور المهاجم بغزو تلك النظم مستخدما برمجيات الفدية ويطالب بدفع مبالغ مالية مقابل فك التشفير. يعمل الموقع على تعطيل جميع التوصيلات الكهربائية بين المصنع المتضرر والشبكات الخارجية بأسرع وقت ممكن ومحاولات لدفع الفدية.

• برامج فدية الثغرات المجهولة

  تقوم منظمة استخباراتية بترك قائمة بالثغرات المجهولة على أنظمة التشغيل والتطبيقات وجدار الحماية محدود الوصول عن طريق الخطأ على مركز الأوامر والتحكم المرتكزة على شبكة الإنترنت والتي تستغلها جهات التهديد. تقوم هذه العصابة بعد ذلك بإنشاء برمجيات خبيثة قائمة بذاتها تنتشر من خلال استغلال الثغرات المجهولة في برنامج مشاركة ملفات نظام التشغيل الويندوز. يتم إطلاق البرمجيات الخبيثة في آن واحد على عشرات المواقع المخترقة في جميع أنحاء العالم، وتنشر بسرعة تشفير الأنظمة على الشبكة. تنتقل البرمجيات الخبيثة عبر جدران الحماية لإصابة وتشفير المنشآت الصناعية التي يمكنها نقل الملفات بشكل مباشر أو غير مباشر مع شبكات تكنولوجيا المعلومات، ما يتسبب في إغلاق طارئ وتلف مادي للمعدات.

• % من ثغرات نظام التحكم الصناعي التي تم الكشف عنها قابلة للاستغلال عن بعد.

• تؤثر 47% من نقاط ضعف نظام التحكم الصناعي التي تم الكشف عنها على المستويين 1 و2 من نموذج بورديو (Purdue).

• 76% من ثغرات نظم التحكم الصناعي التي تم الكشف عنها لا تتطلب التوثيق بغية استغلالها.

• تؤثر 46.32% من الثغرات التي تم العثور عليها على مستويات التحكم الأساسي (المستوى 1) والتحكم الإشرافي (المستوى 2) لنموذج بورديو (Purdue).

• 14.7% من الثغرات المكتشفة تؤثر على أنواع متعددة من المنتجات (تعمل على مستويات مختلفة من التكنولوجيا التشغيلية لنموذج بورديو (Purdue)، وإنترنت الأشياء، وأجهزة الشبكة). تحتوي هذه الفئة في الغالب على ثغرات أمنية في مكونات الطرف الثالث.

• 89.98% من الثغرات لا تتطلب شروطًا خاصة لاستكشافها، ويمكن للمهاجم أن يتوقع نجاحًا متكررًا في كل مرة.

• 76.39% من الثغرات الأمنية، لم تتم مصادقة المهاجم قبل الهجوم ولا يتطلب أي وصول أو امتيازات لإعدادات الهدف أو الملفات.

• 78.17% من الثغرات الأمنية، لا توجد أية متطلبات لتفاعل المستخدم.

• 78.92% من الثغرات التي لا تتطلب تدخل المستخدم قابلة للاستغلال عن بعد.

• 80.95% من نقاط الضعف في التحكم الإشرافي، يلزم تفاعل المستخدم في حالة الاستغلال عبر ناقل هجوم محلي. يشير هذا إلى ساحة ناقلات هجوم الهندسة الاجتماعية.

وبإيجاز، كان نهج فريق أبحاث شركة كلاروتي (Claroty) شاملاً لتقييم الأحداث والاتجاهات التي من المحتمل أن تساعد في تشكيل مشهد المخاطر ونقاط الضعف على نظم التحكم الصناعي إلى حد ما خلال النصف الثاني من العام 2020.

عندما يتعلق الأمر بأنظمة التشغيل، والأجهزة المضمنة، والمنظومات على شريحة موحدة (ضم جميع أنظمة الحاسوب أو نظام إلكتروني على شريحة متكاملة واحدة)، ومعدات الشبكات، وأجهزة التكنولوجيا التشغيلية وغيرها، وكثيرًا ما يحدث ذلك مع نقاط ضعف الطرف الثالث؛ فيما أن نطاق الأجهزة والموردين المتأثرين غير واضح ويتم تحديثه بشكل مستمر. لمزيد من المعلومات حول الجهات الموردة والأجهزة والتوصيات المتأثرة،

يحتاج المدافعون عن نظام التحكم الصناعي إلى تقييم شدة الثغرة بشكل أكبر من مجرد تقييم نظام تسجيل نقاط الضعف المشترك - وآخرها الإصدار الثالث (CVSSv3) غالبًا ما يتجاهل مسؤولو الأمن في نظام التحكم الصناعي وبيئات تكنولوجيا المعلومات الأخرى هذا الأمر، أو المعرفة "السطحية". إن الافتقار إلى الفهم والمعرفة بهذا الأمر يترك تحليلاً غير مكتمل لطبيعة التهديدات وعمليات تعتمد على الجهات الموردة ومخاطر كبيرة.

تساعد نقاط الضعف الأمنية - أو إحصائيات نقاط الضعف الشائعة - التي تظهر في ثغرات نظام التحكم الصناعي التي تم الكشف عنها خلال النصف الثاني من العام 2020، في تفسير سبب تصنيف معظم الثغرات الأمنية على درجات عالية أو حرجة. حيث تم تصنيف أفضل خمسة برامج إحصائية لنقاط الضعف الشائعة CWE انتشارًا في مرتبة عالية في قائمة نقاط الضعف الشائعة لأفضل 25 خطأ برمجي للعام 2020 لشركة ميتري (MITER) نظرًا لسهولة استغلالها النسبية وقدرتها على تمكين الخصوم من إلحاق أضرار جسيمة.

إذا قمنا بشرح تفصيلي للصورة أعلاه في مجال الأمن السيبراني العالمي، فإن المهاجم لديه مجموعة محددة من الثغرات لاستكشافها في بيئة نظام التحكم الصناعي المستهدف والذي عادة غير معقد. حيث يقوم المهاجمون، مع الأخذ في الاعتبار مجموعة التهديد المتقدم المستمر (APT) على سبيل المثال، بدراسة جماعية لواحد أو أكثر من متجهات الهجوم - لم تكن هناك حاجة دائمًا لتفاعل المستخدم المباشر أو ما تم تحقيقه مسبقا.
يتم استغلال 71.49٪ من الثغرات الأمنية عبر ناقل هجوم الشبكة ويمكن استغلالها عن بُعد. وهذا يؤكد على أهمية حماية اتصالات الوصول عن بعد وأنظمة الإنترنت لنظام التحكم الصناعي. ثمة طبقة ثانية واضحة من التأثيرات المحتملة وراء تنفيذ التعليمات البرمجية عن بُعد، ألا وهي: السماح للخصم بقراءة بيانات التطبيق، أو التسبب في حجب الخدمة، أو آليات تخطي الحماية، أو الحصول على الامتيازات وانتحال الهوية.
ويتمثل أحد الاعتبارات الرئيسية الأخرى في أن اعتماد المهاجمين على تفاعل المستخدم يظهر أهمية الوعي والحماية من أساليب الهندسة الاجتماعية بين العمال الذين لديهم إمكانية الوصول إلى الأصول الهامة، ومنها واجهات الإنسان والآلة (HMIs) ونظام التحكم الإشرافي وتحصيل البيانات - سكادا (SCADA) والمحطات الهندسية. وتم تمثيل ذلك من خلال النسبة المئوية في نقاط الضعف التي تحدث على مستوى التحكم الإشرافي حيث يكون ناقل الهجوم المحلي هو المسيطر. وقد لخص الخبير الفني في المركز الوطني للأمن السيبراني هذا التقرير، ولمزيد من المعلومات، يرجى الرجوع إلى:

• زيادة إبراز أهمية الشبكة.

• تحديد ووضع أولويات الأصول الثمينة.

• تعزيز قدرات الاستجابة للحوادث.

• التحقق من تجزئة الشبكة.

• الفصل بين إدارة بيانات اعتماد تكنولوجيا المعلومات والتكنولوجيا التشغيلية.

• تحديد التهديدات التي تتعرض لها المنظمة.

• الاحتفاظ بقائمة جرد بجميع أصول نظم التحكم الصناعي، بما في ذلك الأجهزة والبرامج وتقنيات البنية التحتية الداعمة.

• وضع سياسات وإجراءات وتدريبات ومواد تعليمية للأمن السيبراني تنطبق على نظم التحكم الصناعي في المنظمة.

• تطوير وممارسة إجراءات الاستجابة للحوادث التي تدمج تكنولوجيا المعلومات وعمليات تكنولوجيا التشغيل.

• إصدار السياسات التي تحدد معايير أمان نظم التحكم الصناعي، بما في ذلك السلوك المتوقع والضوابط المطلوبة.

• إصدار الإجراءات التي تحدد كيفية إدارة الموظفين لنظم التحكم الصناعي بشكل آمن.

• تدريب مشغلي تكنولوجيا المعلومات والتكنولوجيا التشغيلية، فضلاً عن موظفي الأمن، لتحديد مؤشرات الاختراق المحتملة والخطوات التي يجب عليهم اتخاذها لضمان نجاح التحقيق السيبراني.

• تعزيز ثقافة الحوار وتبادل المعلومات بين موظفي الأمن، وتكنولوجيا المعلومات، والموظفين العاملين في مجال عمليات تشغيل التكنولوجيا.

• كلما أمكن، أحرص على ممارسة التقسيم في الشبكة.

• تكون عملية البناء والتطوير الهندسي (topology) لشبكة نظام التحكم الصناعي بأخذ بالاعتبار أعداد طبقات متعددة، حيث تتم الاتصالات الأكثر أهمية في الطبقة الأكثر أمانًا وموثوقية.

• إنشاء شبكة محايدة (DMZ)، حيث تعمل كشبكة فرعية تفصل بين الشبكة الخارجية والداخلية وكوسيط لأجهزة الأمان المتصلة لتجنب التعرض للخطر.

• من الأفضل استخدام صمامات بأحادية الاتجاه one-way communication لمنع الاتصال الخارجي.

• استخدام بروتوكولات وخدمات شبكة موثوقة وآمنة، كلما أمكن ذلك.

• قم بتثبيت أنظمة التنبيه التي تكشف التلاعب بالجهاز، مثل قطع الطاقة، وإعادة تعيين الجهاز، وتعديلات الكابلات، وتأمين الإلكترونيات الميدانية.

• تأكد من أن الأشخاص المصرح لهم فقط يمكنهم الوصول إلى الأماكن الخاضعة للرقابة التي تحتوي على معدات نظم التحكم الصناعي.

• التحكم في الوصول الافتراضي والمادي إلى معدات ومنشآت نظم التحكم الصناعي من خلال استخدام نظام المصادقة المتعددة العوامل والتدابير الأمنية.

• إعداد جدران الحماية لإدارة حركة المرور بين شبكة نظم التحكم الصناعي وشبكة تكنولوجيا المعلومات الخاصة بالشركة.

• استخدم حجب بروتوكول الإنترنت IP الجغرافي، حسب الحاجة.

• جعل عملية الوصول عن بعد أكثر صعوبة لتقليل المخاطر إلى مستوى مقبول.

• استخدم خوادم الانتقال للعمل كنقطة تفويض مركزية بين مناطق أمان شبكة نظام التحكم الصناعي.

• تجنب السماح للجهات الموردة الدائمة أو الموظف بالوصول إلى شبكة التحكم.

• فهرسة ومراقبة أي اتصالات شبكة عن بعد.

• تقدير خط الأساس لعمليات نظم التحكم الصناعي العادية وحركة مرور الشبكة.

• ضبط أنظمة كشف التسلل (IDS) للكشف عن محاولات الوصول إلى شبكة نظم التحكم الصناعي غير المعتادة أو غير المرغوب بها.

• تتبع ومراقبة مسارات التدقيق في المجالات الحرجة لنظام التحكم الصناعي.

• ضبط مراقبة الحوادث الأمنية والأحداث لمراقبة سجلات الأحداث وتحليلها وربطها من جميع أنحاء شبكة نظام التحكم الصناعي لاكتشاف محاولات التسلل.

• تشجيع ثقافة الإصلاح، والتعديل وإدارة الثغرات الأمنية.

• اختبار جميع التحديثات / التعديلات في سيناريوهات خارج شبكة الإنترنت قبل نشرها.

• ينبغي تنفيذ القائمة البيضاء للتطبيق على واجهات الإنسان والآلة.

• ينبغي تشديد الأمان في الأجهزة اللوحية والهواتف الذكية كأجهزة ميدانية.

• اتباع نهج منتظم لاستبدال البرامج والأجهزة القديمة / التي انتهى عمرها الافتراضي.

• تعطيل المنافذ والخدمات غير الضرورية لأجهزة نظام التحكم الصناعي بعد اختبارها للتأكد من أنها لا تتداخل مع وظيفة نظم التحكم الصناعي.

• ضبط واختبار نظام النسخ الاحتياطي وإجراءات استرجاع البيانات.

• ضبط بروتوكول تشفير وأمان نظم التحكم الصناعي.

• تعديل عملية الشراء الخاصة بنظم التحكم الصناعي لتشمل الأمن السيبراني كعامل رئيسي في تسجيل الدرجات والتقييم.

• الاستثمار في منتجات نظم التحكم الصناعي الآمنة مقدمًا، وتقييم الأمان ضد المخاطر الحالية والمحتملة عبر دورة الحياة المتوقعة للمنتج.

• وضع اتفاقيات تعاقدية، بالنسبة لجميع خدمات الاستعانة بمصادر خارجية، تضمن التعامل الكافي مع الحوادث والإبلاغ عنها، وأمن التوصيل الداخلي، ومعايير وبروتوكولات التحكم عن بُعد.

• ضع في الاعتبار، عند التعامل مع مزود خدمة سحابية، سلامة معلومات نظام التحكم الصناعي وأمانها وسريتها.

• استخدم معامل الاختبار للتحقق من البرامج التي توفرها الجهات الموردة بحثًا عن التعليمات البرمجية والمشكلات الضارة قبل توزيع الإنتاج.

• الاعتقاد الأول

  شبكتي الصناعية آمنة لأنها معزولة ماديًا وغير متصلة بالإنترنت، ربما كان هذا البيان صحيحًا قبل عشر سنوات. أما من الناحية الأخرى، فإن العديد من أدوات إنترنت الأشياء متصلة بشكل مباشر بالإنترنت، وتتحايل على مستويات أمان تكنولوجيا المعلومات التقليدية. إذا، لماذا يحتاج الكثير من أجهزة إنترنت الأشياء إلى الاتصال بالإنترنت في المقام الأول، هو موضوع يتم التساؤل عنه كثيرًا. والسبب الأساسي لذلك هو أن إنترنت الأشياء الصناعية أو أنظمة الصناعة 4.0 تتطلب كميات هائلة من البيانات لتحليلها. ونظرًا لأن مصادر البيانات قد لا تكون في نفس المنطقة، فستحتاج إلى توصيل أنظمتك بالإنترنت لإرسال البيانات إلى خادم بعيد.
  
  قد تكون نظم التحكم الصناعي أو الشبكات الصناعية الخاصة بك عرضة للاتصالات غير المصرح بها، حتى لو لم تكن متصلا بالإنترنت. على سبيل المثال، قد تقوم الجهة الموردة التابعة لجهة خارجية أو خبير أتمتة بتحديث الأنظمة من خلال توصيل أجهزة الحواسيب المحمولة أو محركات أقراص USB غير المعتمدة للقيام بالصيانة الروتينية أو استكشاف الأخطاء وإصلاحها، وتعريض نظام التحكم الصناعي للوصول غير الآمن، وزيادة ضعف أجهزة نظام التحكم الصناعي.

• الاعتقاد الثاني:

  نظرًا لأن المتسللين ليسوا على دراية بأجهزة التحكم المنطقية القابلة للبرمجة وبأنظمة التحكم الصناعي ونظام التحكم الإشرافي وتحصيل البيانات - سكادا، فإن شبكتي آمنة أو أقل اهتمامًا بالقطاعات الصناعية.
  
  فمنذ العام 2010، هاجمت العديد من الهجمات السيبرانية المتطورة شبكات أنظمة التحكم الصناعي، بما في ذلك هجوم ستوكس نت (Stuxnet) (الذي استهدفت أجهزة التحكم المنطقية القابلة للبرمجة) و هجوم انقطاع التيار الكهربائي - إنديستروير (Industroyer) (الذي استهداف التيارات الكهربائية). كما تم اكتشاف برامج ضارة تستهدف معدات التحكم الصناعية. يوضح هذا النمط أن المتسللين يحولون تركيزهم إلى القطاعات الصناعية مثل قطاعات النفط والغاز والطاقة والتصنيع، ما يعني أنه من المرجح أن ترتفع الهجمات على هذه الصناعات في المستقبل.

• الاعتقاد الثالث:

  نظرًا لأن شبكتي صغيرة جدًا بحيث لا يمكن استهدافها، فهي آمنة. غالبًا ما تحدث الانتهاكات الداخلية بسبب مستخدمين موثوق بهم وموظفين ومقاولين خارجيين لديهم وصول إلى الشبكة. غالبًا ما يكون الخطأ البشري أو تعطل الجهاز سببًا للانتهاكات غير المقصودة، بغض النظر عن حجم شركتك. وعلى الرغم من أن هذه الهجمات غير مقصودة، إلا أنها قد تسبب أضرارًا كبيرة وخسائر مالية لشركتك.

• الاعتقاد الرابع:

  شبكتي الصناعية محمية بالفعل بجدار حماية ناري، وبالتالي، فهي آمنة. على الرغم من أن جدران الحماية النارية تشكل خط الدفاع الأولي، إلا أنها ليست فعالة بنسبة 100٪. علاوة على ذلك نظرًا لأن معظم جدران الحماية النارية هذه ليست مصممة للبروتوكولات الصناعية (مثل بروتوكول Modbus TCP وبروتوكول الإنترنتEtherNet والايثرنت الصناعي PROFINET، فقد تحظر البروتوكولات الصناعية المهمة وتغلق أنظمة التحكم الصناعية إذا لم يتم ضبطها بالشكل الصحيح. ببساطة لن توفر جدران الحماية النارية وحدها الأمان التام لشبكات أنظمة التحكم الصناعية. بدلاً من ذلك، لتأمين أجهزة التحكم المهمة وخطوط التصنيع والمصنع بأكمله، يجب استخدام جدران الحماية النارية الصناعية جنبًا إلى جنب مع الدفاعات ذات الطبقات (طريقة الدفاع في العمق). بالإضافة إلى ذلك، للحماية من الهجمات السيبرانية، يجب تحديث المعدات الصناعية بتحديثات أمنية على أساس منتظم.

• بحث فهرس قواعد وزارة الأمن الداخلي لأمن أنظمة التحكم: توصيات لمطوري المعايير، والمراجعتين 6 و7، منشور خاص بالمعهد الوطني للمعايير والتكنولوجيا (NIST SP800-82).

• منشور خاص بالمعهد الوطني للمعايير والتكنولوجيا (NIST SP800-53)، المراجعة رقم 3.

• الدليل التنظيمي للجنة التنظيمية النووية رقم 5.71 لمعايير مكافحة الإرهاب للمرافق الكيميائية ومعيار الأداء القائم على المخاطر رقم 8.

• المراجعتين 2 و 3 من حماية الهياكل الأساسية الحيوية رقم (CIP-002-009) شركة موثوقية إنتاج الطاقة الكهرباء بأمريكيا الشمالية.

• لمراجعة 3.1 من نظام إدارة أمن المعلومات لمعيار أيزو / آي إي سي (ISO/IEC 15408).

• تعليمات وزارة الأمن الداخلي رقم (DoDI 8500.2) .

• المبادئ التوجيهية للمراجعة المتوافقة رقم 2.3.

• بعد قيام المستخدم باختيار المعيار (المعايير) المعمول به، تثير أداة تقييم الأمن السيبراني أسئلة خاصة بتلك المتطلبات.

تم تطوير أداة تقييم الأمن السيبراني بإشراف برنامج أمن أنظمة التحكم (CSSP) التابع لوزارة الأمن الداخلي. فيما تم إتاحة البرمجة الحرة والمفتوحة المصدر (للبرنامج) على موقع GITHUB، حيث يمكنك تطوير الأداة أو تخصيصها وفقًا لبيئتك.

https://github.com/cisagov/cset >> تثبيت برنامج Github (سواء مستقل أو مؤسسة، خطوات تثبيت حزمة البرنامج)