تحذر استشارة جديدة من وكالة CISA من أن المجموعات المدعومة من دول تستهدف بشكل متزايد أجهزة الـ PLC التابعة لأكبر موردين صناعيين، وذلك باستخدام بروتوكولات غير موثقة وواجهات شبكة مكشوفة لإعادة كتابة منطق التحكم. وتذكر الاستشارة أن هذا التوجه ينتقل من الأنظمة المعزولة والمتخصصة إلى سلاسل التوريد العالمية التي تشغل المصانع ومحطات الطاقة ومرافق معالجة المياه، وتحث المشغلين على التعامل مع التلاعب بالمنطق كخرق للأمن المادي.

لماذا أصبحت أجهزة الـ PLC الآن هدفاً في الخطوط الأمامية

تقع أجهزة التحكم المنطقي القابلة للبرمجة (PLCs) في قلب الصناعة الحديثة: فهي تفتح الصمامات، وتدير التوربينات، وتنظم المواد الكيميائية، وتحافظ على استمرار خطوط الإنتاج. إن أي تغيير ضار في كود جهاز الـ PLC يمكن أن يحول عملية روتينية إلى خطر على السلامة، أو يتسبب في توقف مكلف عن العمل، أو حتى يؤدي إلى أضرار بيئية. وتشير الاستشارة إلى ثلاث نقاط ضعف متكررة تجعل هذه الأجهزة جذابة:

  • بروتوكولات صناعية غير موثقة مثل Modbus TCP و S7comm، والتي صُممت من أجل السرعة لا الأمن، وهي تنقل الأوامر بنص صريح (clear text).
  • ضوابط وصول ضعيفة تسمح لأي شخص لديه وصول إلى الشبكة بإصدار أوامر كتابة أو تنزيل برامج جديدة.
  • واجهات متصلة بالإنترنت تعرض مستوى التحكم للشبكة المؤسسية الأوسع أو الشبكة العامة، مما يفتح الباب للاستغلال عن بُعد.

عندما يستغل المهاجمون هذه الثغرات، يقومون بإعادة كتابة السجلات (registers) لتغيير نقاط الضبط (setpoints)، أو تجاوز أقفال السلامة (safety interlocks)، أو تزييف بيانات المستشعرات لإخفاء الظروف الخطرة. ولم يعد التأثير مقتصرًا على فقدان البيانات؛ بل أصبح مسألة تتعلق بالسلامة المادية.

من الإصلاحات التفاعلية إلى الدفاع العميق

تدفع توجيهات CISA المشغلين بعيداً عن نهج "الاكتشاف والاستجابة" نحو الحماية متعددة الطبقات. وتترجم الخطوات التالية توصيات الاستشارة إلى خارطة طريق ملموسة لتقوية الأنظمة (hardening) لفرق التطوير والعمليات.

1. القضاء على التعرض المباشر للإنترنت

لا تضع جهاز PLC أبداً في شبكة فرعية (subnet) مواجهة للإنترنت العام. قم بتوجيه جميع عمليات الوصول عن بُعد عبر منطقة منزوعة السلاح صناعية مخصصة (Industrial DMZ - IDMZ). تعمل الـ IDMZ كمنطقة عازلة حيث يمكن فحص حركة المرور وتسجيلها وقصرها على الخدمات المعتمدة فقط.

2. توجيه الجلسات عن بُعد عبر بوابات آمنة

قم بنشر مضيف قفز (jump host) داخل الـ IDMZ وتطلب مصادقة متعددة العوامل (MFA) لكل اتصال. تضيف الـ MFA خطوة تحقق ثانية — شيء يمتلكه المستخدم أو يعرفه — مما يجعل سرقة بيانات الاعتماد أقل فائدة للمهاجمين.

3. تثبيت بوابات أحادية الاتجاه (data diodes)

تقوم صمامات البيانات (data diode) بفرض حركة مرور أحادية الاتجاه مادياً من شبكة التكنولوجيا التشغيلية (OT) إلى شبكة تكنولوجيا المعلومات (IT). يمنع هذا الحاجز المادي الأوامر الواردة مع السماح في الوقت نفسه بتدفق بيانات القياس عن بُعد والسجلات إلى الخارج للتحليل.

4. استخدام مفاتيح الحماية المادية من الكتابة

توفر معظم أجهزة الـ PLC مفتاح تبديل بين وضع التشغيل (RUN) ووضع البرمجة (PROGRAM). في وضع RUN، ينفذ المتحكم منطقه الحالي ولكنه يرفض عمليات رفع البرامج عن بُعد. يتطلب الانتقال إلى وضع PROGRAM تدوير مفتاح مادي، مما يضمن أن أي تغيير في المنطق هو إجراء متعمد وموقعي.

5. نشر مراقبة الشبكة السلبية

يمكن للماسحات النشطة (Active scanners) أن تسبب حملاً زائداً على البرامج الثابتة (firmware) القديمة لأجهزة الـ PLC وتؤدي إلى تعطلها. أما المراقبون السلبيون (Passive monitors) فيستمعون إلى حركة المرور دون حقن حزم بيانات، ويقومون بالتنبيه عند:

  • ظهور أجهزة جديدة في قطاع الـ OT.
  • أنماط أوامر غير معتادة أو إطارات بروتوكول مشوهة.
  • محاولات غير مصرح بها لتنزيل أو رفع برامج الـ PLC.

6. وضع خط أساس ومقارنة التكوينات باستمرار

حافظ على مستودع خاضع للتحكم في الإصدارات لمنطق الـ PLC المعتمد. قم بحساب مجموع التحقق (checksum) أو الهاش (hash) للبرنامج الذي يعمل بشكل دوري وقارنه بخط الأساس. أي عدم تطابق يجب أن يؤدي إلى استجابة فورية لحادث أمني.

ما الذي يجب مراقبته لاحقاً

الخلاصة: تعامل مع منطق الـ PLC كقاعدة كود برمجية حرجة، وليس مجرد برنامج ثابت للجهاز. من خلال إزالة التعرض للإنترنت، وفرض الحماية المادية من الكتابة، والمراقبة المستمرة للتغييرات غير المصرح بها، فإنك تحول سطح تحكم ضعيفاً إلى مكون محصن وقابل للتدقيق ضمن وضعك الأمني العام.