البنية التحتية الحرجة — استراتيجيات الدفاع والاستهداف الحكومي

عندما تتلقى وحدات الهجوم السيبراني التابعة للدول توجيهات بـ "التموضع المسبق للأزمات" (Pre-positioning for crisis)، فإن أهدافها لا تقتصر على خوادم البريد الإلكتروني، بل تتركز على الأنظمة التي يؤدي فشلها إلى تأثيرات مادية ملموسة: الطاقة، المياه، الوقود، الاتصالات، النقل، والقطاع المالي. تمثل القطاعات الـ 16 التي حددتها وكالة (CISA) القائمة المعيارية لهذه الأهداف. يستعرض هذا الدرس هيكلية هذه الأنظمة، ومنهجيات اختراقها، ونقاط الضعف التي يغفل عنها المدافعون باستمرار.

[!danger] نطاق ذو تأثير استراتيجي وحساسية قصوى إن اختراق أنظمة التحكم الصناعي (ICS) والأنظمة التشغيلية (OT) قد يعرض الأرواح للخطر. يجب تنفيذ جميع التطبيقات في مختبرات معزولة (مثل GRFICSv3, T-Pot OT, Conpot, ICSrange) أو بموجب تصريح رسمي مكتوب لاختبار اختراق أنظمة ICS مع الموافقة على خطة السلامة.

القطاعات الـ 16 الحيوية في سطور

الفوارق الجوهرية بين الأنظمة التشغيلية (OT) وتكنولوجيا المعلومات (IT)

مبدأ تكنولوجيا المعلومات (IT): السرية > السلامة > التوفر
مبدأ الأنظمة التشغيلية (OT): السلامة (SAFETY) > التوفر > سلامة البيانات > السرية

في بيئة الـ OT، نادراً ما يتم تطبيق التحديثات البرمجية (Patching)، حيث تعمل الأجهزة لأكثر من 20 عاماً. إن إعادة تشغيل النظام لمدة 5 ثوانٍ قد تؤدي إلى إغلاق مصنع كامل. كما لا يمكن تثبيت برمجيات الاستجابة لرصد الأجهزة (EDR) على أجهزة الـ PLC (مثل Siemens S7). لهذا السبب، تعتبر شبكات الـ OT فريدة في ضعفها وحساسيتها تجاه الاختبارات غير المدروسة.

المعمارية الشبكية (نموذج بيردو - Purdue Model)

المستوى 5: المؤسسة (تكنولوجيا المعلومات المؤسسية، الإنترنت)
المستوى 4: إدارة الموقع
─── المنطقة المعزولة (DMZ) ───
المستوى 3: العمليات الموقعية (خوادم البيانات Historian، أنظمة MES)
المستوى 2: المستوى الإشرافي (واجهات HMI، أنظمة SCADA، محطات العمل الهندسية)
المستوى 1: أجهزة التحكم (PLC, RTU, IED)
المستوى 0: العملية المادية (المستشعرات، المشغلات الميكانيكية)

مسار المهاجم التقليدي: تصيد مستخدم في المستوى 5 ← التحرك الجانبي عبر الـ DMZ ← الوصول إلى محطة العمل الهندسية في المستوى 2 ← دفع منطق برمجيا (Logic) إلى أجهزة الـ PLC في المستوى 1.

استراتيجيات المهاجمين (Playbooks) - حالات موثقة

مجموعة Volt Typhoon (الصين، استهداف البنية الحرجة الأمريكية، 2021–الآن)

• الوصول الأولي عبر ثغرات اليوم الواحد (1-days) في أجهزة Fortinet وراوترات SOHO، واستخدام KV-Botnet كموجهات لحركة المرور.
• الاعتماد الكلي على تقنيات LOLBAS — دون ترك أي برمجيات ضارة على القرص.
• الأهداف: مرافق المياه، عمليات الطاقة، الموانئ، والاتصالات. الهدف: التموضع المسبق للأزمات، وليس تسريب البيانات.

مجموعة Sandworm (روسيا، وحدة GRU 74455)

• هجوم BlackEnergy (2015) على شبكة الكهرباء الأوكرانية: السيطرة على واجهات الـ HMI عبر بيانات VPN مسروقة، وفصل القواطع يدوياً، واستخدام ممسحة البيانات (KillDisk) لمحطات العمل، وتنفيذ هجوم حجب الخدمة الهاتفي (T-DoS) لإبطاء الاستجابة.
• هجمات Industroyer / Industroyer2 (2016, 2022): استخدام بروتوكولات صناعية أصلية (IEC-101/104 و IEC-61850) لإصدار أوامر فتح القواطع مباشرة.
• هجوم AcidRain (2022): برمجية ممسحة استهدفت أجهزة مودم Viasat KA-SAT قبل ساعات من الغزو الروسي.

مجموعة CyberAv3ngers (مرتبطة بإيران، 2023+)

• استهداف أجهزة Unitronics Vision PLC في مرافق المياه. استغلال كلمة المرور الافتراضية

  1111

  والمنفذ 20256 المكشوف على الإنترنت.
• تشويه شاشات الـ HMI وإيقاف العمليات لفترة وجيزة.

منهجيات الاستطلاع والتقصي الفعال

# البحث عن أنظمة ICS المكشوفة على الإنترنت (وضع غير آمن)
$ shodan search 'product:"Siemens S7" country:"US"'
$ shodan search 'product:"Modbus" port:502'
$ shodan search 'org:"Target Util" "Rockwell"'
$ shodan search 'http.html:"Niagara Web Server"'      # أنظمة Tridium BMS
$ shodan search 'http.title:"Schneider Electric"'
$ 
# فحص البروتوكولات الأصلية (استكشاف بروتوكول Modbus بوضع القراءة فقط)
$ nmap --script modbus-discover -p 502 10.10.10.0/24
$ nmap --script s7-info -p 102 10.10.10.0/24

[!warning] لا تقم أبداً بالكتابة على أجهزة PLC نشطة يعد الاستكشاف بوضع القراءة فقط في البيئات المختبرية أمراً مقبولاً. أما كتابة الرموز الوظيفية (مثل Modbus 0x05, 0x06, 0x10) على أجهزة التحكم في بيئة الإنتاج فقد يؤدي إلى توقف المعدات، أو تسريب البخار، أو ما هو أسوأ. يجب أن يحدد نطاق اختبار اختراق الـ ICS الأجهزة المستهدفة، النافذة الزمنية، وأنظمة الأمان البديلة.

نقاط الضعف الشائعة (نتائج التقييمات المتكررة)

• محطات العمل الهندسية مرتبطة بنطاق الشركة ولديها وصول كامل للإنترنت.
• قنوات الدعم الفني عن بعد (مثل TeamViewer أو ConnectWise) التي تتجاوز منطقة الـ DMZ.
• استخدام بيانات الاعتماد الافتراضية على واجهات الـ HMI وأجهزة الـ RTU.
• غياب التقسيم الشبكي بين المستويين L2 و L3 — مما يسمح بالوصول المباشر من شبكة الـ IT إلى الـ OT.
• قواعد بيانات الـ Historian (مثل PI أو Wonderware) تعمل على أنظمة ويندوز غير محدثة.
• تشغيل برمجيات (Siemens TIA Portal, Rockwell FactoryTalk, GE iFix) بصلاحيات SYSTEM والثقة في المدير المحلي (Local Admin)، مما يعني السيطرة الكاملة على العملية الصناعية.

أولويات المدافعين (أهداف الأداء المشتركة من CISA)

آليات الاكتشاف المقترحة

سيناريو محاكاة للتدريب (Tabletop Scenario)

نجح المهاجم في الحصول على صلاحيات مدير النطاق (Domain Admin) في شبكة الـ IT المؤسسية منذ ثلاثة أشهر. تم تحديد محطة العمل الهندسية عبر استعلامات WMI، وحصد البيانات المخزنة، والتحرك عبر نقطة نهاية JEA. اليوم، لاحظ مشغل الـ HMI أن المضخات تعمل بدورات غير مجدولة.

تتبع هذا السيناريو في بيئتك: أين عبر المهاجم حدود الـ IT/OT لأول مرة؟ من هو الشخص المسؤول عن اكتشاف هذا التغيير؟ من يملك الصلاحية لإيقاف العملية؟ وكم من الوقت سيستغرق التحول للتشغيل اليدوي؟ إذا لم تكن الإجابة بالدقائق، فإن خطة الاستجابة لديك تحتاج إلى تطوير.