تعتبر البنية التحتية القديمة تحديًا كبيرًا تواجهه المؤسسات في عصر التكنولوجيا الحديثة. في هذا المقال، نستعرض التحديات والحلول المتعلقة بتأمين هذه الأنظمة.
تعليق
إذا كنت تسير في معارض أي من مؤتمرات Black Hat أو RSAC، فإن الصناعة تخبرك أن المستقبل هنا. كل شيء يتعلق بالتشفير المقاوم للكم، ومراكز العمليات الأمنية المدفوعة بالذكاء الاصطناعي، والهياكل السحابية الأصلية.
ثم أعود إلى وظيفتي اليومية.
مع أكثر من 20 عامًا من الخبرة تشمل الحكومة الفيدرالية، والتصنيع الخاص، وأمن المؤسسات، رأيت الصناعة من كل زاوية. في أدواري الحالية – كمستشار لشركات Fortune 100 وكحارس لمدينة أمريكية كبيرة – أقضي نصف وقتي في مناقشة “الحافة المتطورة”، والنصف الآخر في الدفاع عن “الحافة المتآكلة”.
السر القذر للبنية التحتية الحيوية والتصنيع الأمريكي ليس أننا “متأخرون” في التحديث. بل إننا نشغل العمود الفقري لاقتصادنا على أنظمة حيث “التحديث” مستحيل جسديًا.
أتحدث عن التكنولوجيا التشغيلية (OT) ووحدات التحكم المنطقية القابلة للبرمجة (PLCs) التي تعمل على Windows 95 أو نوى DOS مخصصة. أتحدث عن وحدات تحكم حيث انحل البائع قبل 20 عامًا؛ وفقد الكود المصدري في دمج؛ ومات المهندس الذي برمج المنطق في عام 2005.
لا يوجد رقم دعم مجاني. لا يوجد مستودع GitHub. هناك فقط ضوء أخضر يومض نأمل ألا يتحول إلى الأحمر أبدًا.
فيزياء التحديث
هذه ليست حالة كسول: إنها حالة فيزياء ونفقات رأس المال.
في عالم تكنولوجيا المعلومات، عندما يصل الخادم إلى نهاية عمره، تقوم بإنشاء جهاز افتراضي جديد. في عالم التكنولوجيا التشغيلية، هذا “الخادم” هو وحدة تحكم مثبتة جسديًا في أساس محطة الطاقة أو موصلة بشكل مباشر بهيكل مكبس هيدروليكي.
استبدال تلك الوحدة التي تكلف 5000 دولار لا يكلف 5000 دولار.
-
في التصنيع: يعني إيقاف خط الإنتاج الذي يولد 50000 دولار في الساعة لتمزيق وإعادة توصيل “الجهاز العصبي” لأرض المصنع.
-
في المرافق: يعني استخدام رافعات ثقيلة لرفع مولد توربيني تم تركيبه قبل وجود الإنترنت.
-
في البلديات: يعني حفر تقاطع مدينة رئيسي للوصول إلى محطة رفع الصرف الصحي المدفونة على عمق 20 قدمًا تحت الأرض.
لقد رأيت عروض ترقية لخط إنتاج واحد تصل إلى 10 ملايين دولار، ليس من أجل الأجهزة، ولكن من أجل البناء وإعادة التصديق ووقت التوقف المطلوب لتركيبها.
لذا، يقول المدير المالي “لا”. ويُطلب من CISO “جعلها تعمل”.
سلسلة إمداد eBay
هذا يؤدي إلى واقع من شأنه أن يرعب المستهلك العادي: سلسلة إمداد eBay.
لقد ساعدت شخصيًا عملاء التصنيع والبلديات في البحث في eBay عن وحدات التحكم المحددة التي لم يتم تصنيعها منذ إدارة كلينتون. نحن لا نبحث عن التحف، بل عن بطاقات الإدخال/الإخراج المحددة اللازمة للحفاظ على تدفق المياه أو حركة خط الإنتاج.
أعرف عملاء يراقبون filings للإفلاس، ليس من أجل الذكاء السوقي، ولكن لجمع الأجزاء. عندما يغلق مصنع، يشترون وحدات التحكم القديمة، ويعيدون تجديدها، ويضعونها في التخزين البارد. نحن نأكل من الماضي للبقاء على قيد الحياة في الحاضر.
تأمين ما لا يمكن تأمينه
نحن مكلفون بتأمين هذه البنية التحتية “الزومبي” ضد الجهات الفاعلة من الدول المسلحة بأسلحة حديثة. لا يمكننا تثبيت وكالات الكشف والاستجابة الحديثة على هذه وحدات التحكم. ستؤدي إلى تعطل النواة. لا يمكننا مسحها بحثًا عن الثغرات. يمكن أن يؤدي مسح nmap بسيط إلى إسقاط نظام SCADA قديم.
نحن مضطرون لبناء حصن رقمي حول جثة. إليك كيف نفعل ذلك في العالم الحقيقي:
-
“الخرسانة الرقمية.” التقسيم الحقيقي VLANs ليست كافية. إذا كان بإمكان شبكتك القديمة “التحدث” إلى شبكة تكنولوجيا المعلومات الخاصة بالشركة من خلال قاعدة بسيطة، فقد خسرت بالفعل. أنصح العملاء باستخدام “الخرسانة الرقمية”، جدران نارية صارمة تعتمد على الأجهزة، أو ثنائيات البيانات التي تسمح بتدفق الحركة في اتجاه واحد فقط. يجب أن تبدو شبكة OT كحفرة سوداء للعالم الخارجي: تأتي البيانات من الخارج، لكن لا شيء يدخل.
-
مراقبة السلك، وليس نقطة النهاية. نظرًا لأننا لا يمكننا وضع وكيل على وحدة تحكم عمرها 30 عامًا، يجب علينا مراقبة السلك. نستخدم المراقبة الشبكية السلبية لإنشاء قاعدة بيانات لـ “الطبيعي”. إذا حاولت وحدة تحكم تحدثت إلى نفس عنوان IP الداخلي لمدة 15 عامًا فجأة التحدث إلى خادم في شبكة فرعية مختلفة، فهذا هو إنذارك.
-
الأمان الفيزيائي هو الأمن السيبراني. عندما تفشل الأقفال الرقمية، يجب أن تحمل الأقفال الفيزيائية. لقد رأيت تقييمات حيث تجاوزنا جدار ناري بقيمة مليون دولار بالدخول إلى مخزن مرافق غير مقفل وتوصيل Raspberry Pi بمفتاح. إذا كنت تشغل معدات قديمة، فإن محيطك الفيزيائي مع الأسوار والأقفال والكاميرات يصبح جدار الحماية الأساسي الخاص بك.
التحقق من الواقع
نحتاج إلى التوقف عن عيب المنظمات لامتلاكها تقنية قديمة وبدء مساعدتها في تأمينها.
من المحتمل أن تعتمد مضخة المياه في الشارع من منزلك، والمصنع الذي يصنع قطع سيارتك، والشبكة التي تزود مكتبك بالطاقة على “سلسلة إمداد eBay”. لا يمكننا تحديث نظامنا للخروج من هذا.
الرجل الذي كتب الكود قد رحل. البائع مفلس. الأجهزة قديمة. لكن المهمة – الحفاظ على الأضواء مضاءة والمياه نظيفة – لا تزال قائمة.
كقادة أمن، ليست مهمتنا الشكوى من الصدأ. بل يجب علينا التأكد من أن الصدأ لا يتحول إلى خرق.
في ختام هذا المقال، يجب أن ندرك أهمية تأمين البنية التحتية القديمة لضمان استمرارية الخدمات الأساسية وحمايتها من التهديدات المتزايدة.
