عندما يخترق المتسللون ثلاجات متجرك: دروس أمن أنظمة OT

تخيّل أنك مدير وردية الليل في سوبرماركت بمدينة ليون. في الساعة الثالثة فجراً، يلاحظ الطاقم المناوب أن الصقيع يذوب من واجهات المواد المجمدة. ثم تبدأ إنذارات الضواغط بالانطلاق، لا في ممر واحد بل في المتجر كله. وبحلول الوقت الذي يكتشف فيه أحد ما يجري، تكون غرف التبريد والتجميد قد أُمرت عن بُعد بالدخول في وضع إزالة الصقيع، وبدأت آلاف اليوروهات من المخزون المجمد ترتفع حرارتها بهدوء نحو حد الإتلاف القانوني. هذا تقريباً ما حدث حين استهدف مهاجمون وحدات التحكم في أنظمة التبريد لدى سلاسل سوبرماركت فرنسية هذا العام، وهو تنبيه مفيد لكل من يظن أن أمن تقنيات التشغيل (OT) مسؤولية شخص آخر.

لم يكن الهجوم سلسلة استغلال من أفلام هوليوود. بحسب التقارير، فعّل المهاجمون دورات إزالة الصقيع التلقائية على وحدات تبريد متصلة بالإنترنت، وهي أجهزة تجارية من أحد كبار موردي الصناعة، وانتشر الضرر عبر متاجر في عدة دول. وفي الفترة نفسها تقريباً، اضطرت مجموعة بقالة بلجيكية-هولندية إلى فصل أجزاء من أنظمة تقنية المعلومات لديها، فتعطل التوزيع والتوصيل. سواء كانت مصادفة أم تنسيقاً، فالنتيجة واحدة: تم اختراق العالم المادي من خلال العالم الرقمي.

لماذا تكون الثلاجة متصلة بالإنترنت أصلاً؟

أكثر رد فعل شائع على هذه القصة، وقد امتلأت به التعليقات في كل مكان، كان شيئاً من قبيل: «ولماذا قد تربط ثلاجة بالإنترنت أصلاً؟». يبدو السؤال بلاغياً، لكن له جواب حقيقي، والتظاهر بغير ذلك هو ما يجعلنا نعيد هذا النقاش كل بضع سنوات.

التبريد التجاري ليس ثلاجة واحدة. السوبرماركت متوسط الحجم يدير منظومة حرارية موزعة: عشرات واجهات العرض، وغرف تبريد وتجميد كبيرة، ومجموعات ضواغط ومكثفات، كلها تديرها وحدات تحكم توازن درجة الحرارة مع تكلفة الطاقة. ومبرر الربط عن بُعد له وجاهته الحقيقية:

• التشخيص عن بُعد. يستطيع مقاول تبريد يخدم مئات المتاجر أن يرصد نمط ضاغط يتعطل قبل أيام من العطل. إرسال فني للضغط يدوياً على زر لإزالة صقيع روتينية يكلّف مالاً حقيقياً، أما الأمر عن بُعد فلا يكلّف شيئاً.
• تحسين استهلاك الطاقة. تُعد السوبرماركتات من أكثر المباني استهلاكاً للطاقة لكل متر مربع. وتضبط السلاسل درجات حرارة الواجهات وجداول إزالة الصقيع عبر منظومتها كاملة، وبعضها يشارك في برامج الاستجابة للطلب التي تدفع فيها شركة الكهرباء مقابل تخفيف الحمل عند ضغط الشبكة.
• تسجيل الامتثال. تفرض لوائح سلامة الغذاء تسجيلاً مستمراً لدرجات الحرارة. وتنتج وحدات التحكم المتصلة سجل تدقيق تلقائياً، بلا دفاتر ورقية ولا سجلات ورقية مزوّرة.
• مقارنة الأسطول. حين تدير 2000 متجر، فإن ملاحظة أن ضواغط متجر واحد تستهلك 15% أكثر من نظيراتها هي الطريقة التي تكتشف بها تسرب مادة التبريد قبل أن تتحول إلى فاتورة إصلاح بخمسة أرقام.

إذن الربط بالشبكة ليس فكرة غبية. الغباء الحقيقي يكمن في التنفيذ. تشير التقارير الأولية إلى أن كثيراً من وحدات التحكم هذه كان يمكن الوصول إليها مباشرة عبر الإنترنت، بعضها بمودم خلوي وشريحة اتصال خاصة به، وتقع على عناوين IP عامة دون شبكة VPN ولا بوابة ولا قائمة سماح. أما قصة المصادقة، بحسب رواية متداولة على نطاق واسع، فكانت اسم مستخدم هو admin مقترناً بكلمة مرور مشتقة من تاريخ اليوم. هذه ليست سطح هجوم، بل باب مفتوح مع سجادة ترحيب.

هكذا يبدو هجوم OT في الواقع

يميل مهندسو البرمجيات إلى تخيّل الهجمات السيبرانية على أنها سرقة بيانات: قواعد بيانات مسرّبة، وبيانات اعتماد مكشوفة، ورسائل فدية. هجمات OT مختلفة في طبيعتها، لا في درجتها فقط. الهدف ليس المعلومات، بل عملية فيزيائية. والحمولة ليست تشفيراً، بل أمر يبدو شرعياً يُرسل إلى جهاز يثق بكل من يظهر أمامه.

لاحظ مدى أناقة هجوم إزالة الصقيع. لم يحتج المهاجمون إلى كتابة برمجية خبيثة، ولا إلى تصعيد صلاحيات، ولا حتى إلى فهم البروتوكول فهماً كاملاً. دورة إزالة الصقيع وظيفة طبيعية ومصرّح بها في وحدة التحكم، فهي موجودة لأن الصقيع يتراكم على ملفات المبخر ويجب إذابته دورياً. كل ما فعله المهاجم هو استدعاؤها خارج جدولها، وعلى نطاق واسع. ولم ينطلق أي قفل أمان، لأن وحدة التحكم من منظورها لم يُطلب منها شيء غير طبيعي. هذا هو المكافئ في OT لمشكلة «النائب المخدوع»: الجهاز ينفذ بأمانة أوامر ما كان ينبغي أن تصله أصلاً.

هذا النمط ينطبق بشكل محزن على حالات كثيرة. فقد «هوجمت» محطات معالجة المياه بشخص حرّك شريط جرعات كيميائية. وسيطر آخرون على أنظمة إدارة المباني عبر الوصول عن بُعد لدى مورد التكييف. وفي معظم الحالات، القدرة الخطرة ليست خللاً برمجياً، بل ميزة، ويصل إليها أشخاص ما كان يُفترض أن يصلوا إليها أبداً. ولهذا لا يكمن الحل في مراجعة أفضل للشيفرة، بل في العمارة.

أخطر ثغرات OT ليست أخطاء في إدارة الذاكرة. إنها وظائف مشروعة مكشوفة لمستدعين غير مشروعين.

التحديث الذي لم يطبّقه أحد

وهنا التفصيل الذي يجب أن يُدمي قلب كل مهندس أمن: الثغرة الأساسية في هذه الوحدات كانت قد أُعلن عنها علناً قبل أشهر، ضمن عملية تنسيق مع المورد. نشر باحثون أمنيون شرحاً مفصلاً. وكانت هناك تحديثات متاحة لبعض الموديلات على الأقل. ومع ذلك وقع الهجوم.

هذا هو السر القذر لترقيع أنظمة الصناعة. في تقنية المعلومات المؤسسية نحن مدلّلون: تظهر ثغرة CVE حرجة، وخلال أيام تكون أدوات إدارة الأسطول قد ذكّرت بالأمر، وجهّزت التحديث ونشرته. أما OT فلا يعمل بهذه الطريقة. قد تعمل وحدة التحكم في واجهة مجمدات السوبرماركت خمسة عشر عاماً. تملكها المتجر، ويصونها مقاول تبريد من طرف ثالث، ويصنعها مورد، ويضبطها فنيّ تركيب غادر الشركة قبل ست سنوات. فمن المسؤول بالضبط عن تطبيق تحديث البرمجيات الثابتة على 2400 موقع موزعة في تسع دول؟ عملياً: لا أحد.

والأسوأ أن المورد أطلق الإصلاح دون أن يُعلّم بوضوح أنه أمني حرج. بالنسبة لمقاول صيانة لديه قائمة طويلة من معدات معطلة فعلاً، تبدو عبارة «تحديث متاح للبرمجيات الثابتة» مجرد عمل اختياري مُرهق. وهذا فشل في التواصل بقدر ما هو فشل تقني. إذا أطلقت تصحيحاً لثغرة تتيح لغرباء إذابة مخزون بلد كامل من المواد الغذائية، فيجب أن تقول ذلك في ملاحظات الإصدار بعبارات لا يمكن لمدير المرافق أن يفوتها. فـالفجوة بين المواصفة والتنفيذ لا تخلق أخطاء برمجية فحسب، بل تخلق أساطيل كاملة من الأجهزة غير المرقّعة التي لا يعرف مشغّلوها أنها عرضة للخطر.

الإعدادات الافتراضية الآمنة عند الفشل: التصميم ليوم الكارثة

دعنا نتحدث عن شكل الحالة الجيدة، لأن المبادئ هنا ليست غريبة. إنها أفكار التصميم الدفاعي نفسها التي نطبقها في البرمجيات الحرجة للسلامة، لكنها نادراً ما تُفرض في عالم OT. سبق أن كتبتُ عن الهندسة الدفاعية التي تقاوم الكوارث، ووحدات تبريد الثلاجات حالة تطبيقية كلاسيكية لها.

تحديد معدل التغييرات الخطرة في الحالة

دورة إزالة الصقيع آمنة فيزيائياً إذا تشغلت أحياناً، ومدمّرة إذا تشغلت باستمرار. لذا يجب فرض قوانين الفيزياء داخل البرمجية الثابتة: بعد اكتمال دورة إزالة الصقيع ترفض الوحدة دورة أخرى لفترة دنيا محددة، مهما كان الأمر البعيد. المهاجم الذي يستطيع إرسال طلب إزالة صقيع واحد يستطيع إرسال ألف، ولا ينبغي للجهاز أن ينفذ أكثر مما تسمح به الفيزياء. يكلّف هذا بضعة أسطر من الشيفرة ومؤقتاً واحداً، ويحدّ من نطاق الضرر لأي اختراق لمستوى التحكم أياً كان.

القفل المحلي يتفوق على السلطة عن بُعد

إذا كانت درجة حرارة الواجهة أعلى من حد معين، أو إذا أظهرت مستشعرات المنتج ارتفاعاً في الحرارة، فيجب رفض أمر إزالة الصقيع عن بُعد وتسجيل ذلك بصوت عالٍ. وحدة التحكم تملك بيانات المستشعرات لتعرف أن الأمر غير منطقي. فلتستخدم تلك البيانات. الأمر الذي يدفع النظام نحو حالة معروفة بأنها سيئة ليس أمراً صحيحاً، بل خطأ.

أوامر موقّعة، لا كلمات مرور

كلمات المرور على الأجهزة المدمجة قضية خاسرة، فهي إما افتراضية، أو مشتركة، أو مكتوبة على ورقة لاصقة، أو مشتقة من التاريخ. النموذج الأقوى غير متماثل: تتحقق وحدات التحكم من توقيع كل أمر عن بُعد باستخدام مفتاح عام للمورد أو المشغّل مُثبَّت وقت التزويد. عندها لا تنفع سرقة كلمة المرور، فالمهاجم يحتاج إلى مفتاح التوقيع، وهذا المفتاح يعيش في وحدة HSM في مركز العمليات، لا على 2400 واجهة مجمدات. نعم، هذا يعني بنية تحتية لإدارة المفاتيح وتدويرها وإبطالها. ونعم، يستحق العناء. لقد حللنا هذه المشكلة لتحديثات البرمجيات قبل عقد، وقنوات الأوامر تستحق المعاملة نفسها.

افترض أن الشبكة معادية

إذا شُحن جهاز بمودم خلوي وبيانات اعتماد افتراضية، فسينتهي به الأمر في محركات البحث عن الأجهزة المكشوفة خلال أسابيع من النشر. الحل الوحيد المستدام هو التصميم على افتراض أن ذلك سيحدث حتماً: رفض الاتصالات الواردة افتراضياً، والاكتفاء بقياس عن بُعد صادر فقط إلى وسيط، وعدم الوصول إلى مستوى الإدارة إلا عبر نفق مصادَق عليه من الطرفين. «لا تعرّضه للإنترنت» نصيحة، أما «اجعل التعرض قابلاً للبقاء» فهندسة.

العزل ليس خياراً: تقسيم الشبكة بالطريقة الصحيحة

كل إطار عمل لأمن OT، من IEC 62443 إلى توجيهات NIST ونموذج Purdue الكلاسيكي، يقول الشيء نفسه: أبقِ أنظمة التحكم بعيدة عن الشبكات المسطحة. ومع ذلك فإن المودم الخلوي في واجهة المجمدات هو التجسيد الحي لنمط مضاد. إنه يتجاوز جدار الحماية المؤسسي بالكامل، ويخلق آلاف نقاط الدخول غير المراقبة والقابلة للعنونة الفردية، وقد لا يعلم فريق الأمن بوجودها أصلاً.

العمارة التي تعمل فعلاً تبدو كالتالي:

1. تعيش وحدات التحكم على شبكة VLAN مخصصة لـOT دون مسار إلى الإنترنت ودون مسار إلى شبكة الشركة. ولا يستطيع التواصل معها إلا بوابة واحدة.
2. تفرض البوابة قوائم سماح للبروتوكولات، فتتحدث وحدة التحكم عبر Modbus أو بروتوكول المورد مع البوابة وحدها. الشذوذ هنا تنبيه عالي الدلالة، لأن الحركة المشروعة مملة ومتوقعة.
3. يمر الوصول عن بُعد عبر خادم قفز مزوّد بالمصادقة متعددة العوامل، وتسجيل للجلسات، وبيانات اعتماد محددة بالزمن. يحصل مقاول التبريد على نافذة أربع ساعات لمتجر محدد، لا شبكة VPN دائمة لكامل الأسطول.
4. قياس صادر فقط. إذا احتاجت سحابة المورد إلى بيانات درجات الحرارة، فالبوابة هي من يدفعها. ولا شيء يسحب من الداخل.
5. جرد كل شيء. لا يمكنك عزل ما لا تعرف بوجوده. المودم الخلوي في واجهة المجمدات هو بالضبط نوع الاتصال الخفي الذي تفوته عمليات الجرد، إلى أن يعثر عليه Shodan نيابةً عنك.

لا شيء من هذا افتراضي أو باهظ الثمن مقارنة بالبديل. الجزء الصعب تنظيمي لا تقني: يتطلب اتفاق فريق المرافق وفريق أمن تقنية المعلومات والموردين على من يملك ماذا. وفي معظم مؤسسات التجزئة تسقط OT في الفجوة بين هذه الفرق، فهي مادية أكثر من اللازم بالنسبة لتقنية المعلومات، وشبكية أكثر من اللازم بالنسبة للمرافق. هذا الغموض هو الثغرة الحقيقية، وهو نفسه الذي يحوّل فجوات المصادقة السحابية إلى اختراقات غير مرئية، كما رأينا في النقاط العمياء في تسجيل المصادقة السحابية: إذا لم يملك أحد القياس عن بُعد، فلن يرى أحد الهجوم.

ما الذي يجب أن يأخذه مهندسو البرمجيات من هذا

قد لا تلمس أبداً وحدة تحكم في نظام تبريد، لكن أنماط الفشل هنا هي أنماط كل نظام متصل، وهي تصبح مشكلتك بشكل متزايد. الخط الفاصل بين تقنية المعلومات وOT يواصل الذوبان: روبوتات المستودع، وتكييف مكتبك، وأجهزة مختبرك، ومبناك الذكي كلها تعمل بنظام Linux مدمج وتتحدث مع السحابة. بعض أجهزة مختبرات المستشفيات باتت ترفض إجراء الاختبارات ما لم يُعبَّأ حساب اشتراكها، وهذا يعني أن انقطاع الفوترة أو اختراقها عبر الإنترنت قد يوقف التشخيص الطبي. نحن من بنى ذلك العالم، ميزة راحة تلو الأخرى.

لذلك تنتقل الدروس مباشرة. جرد تعرضك: إذا لم تعرف ما الذي يستمع على شبكتك، فسيجده غيرك. عامل العمليات الخطرة كعمليات ذات صلاحيات حتى حين تكون «ميزات عادية»، لأن المهاجم الذي يصل إلى مستوى التحكم لديك سيستخدم ميزاتك ضدك. وقّع ما يهم وأنهِ صلاحية كل شيء آخر. صمّم حالة الفشل لتكون الحالة الآمنة: وحدة تحكم تفقد الاتصال يجب أن تواصل التبريد، لا أن تفترض أن كل أمر في الطابور موثوق. وعندما تطلق إصلاحاً أمنياً، فأعلن ذلك بصوت عالٍ، فالتصحيح الذي لا يطبّقه أحد لا يختلف عن عدم وجود تصحيح أصلاً.

سيُذكر هجوم إذابة الصقيع في السوبرماركت أساساً بسخافته: قراصنة في مواجهة البازلاء المجمدة. لكن الهجوم القادم لن يستهدف الآيس كريم. سيستهدف الفئة نفسها من وحدات التحكم المكشوفة وغير المرقّعة والضعيفة المصادقة، سواء في مستودع أدوية مبرّد أو محطة تبريد مركز بيانات أو نظام مياه بلدي. العتاد نفسه، وبيانات الاعتماد سيئة بالقدر ذاته. المتغير الوحيد هو ما الذي يسخن أو يفيض أو يتوقف حين يكتب أحدهم كلمة مرور اليوم.