في بيئات OT (التكنولوجيا التشغيلية)، يثير مصطلح «اختبار الاختراق» لدى معظم المديرين رد الفعل نفسه: «هل سيؤدي إلى إيقاف الإنتاج؟» إذا لم يُخطّط له بشكل صحيح، فنعم، ينطوي على مخاطر. أما إذا نُفّذ وفق منهجية صحيحة، فالنتيجة معاكسة تماماً: فهو يكشف مسارات الهجوم الفعلية التي قد تؤدي إلى إيقاف الإنتاج بصورة مضبوطة ويقلّل من أكثر المخاطر تكلفةً على المؤسسة، وهو التوقف غير المخطط له.

يكمن الفرق بين OT وIT في الآتي: في IT، تعني الثغرة الأمنية غالباً «خرقاً للبيانات». أما في OT، فترتبط الثغرة الأمنية ارتباطاً مباشراً بكلٍّ من العملية الفيزيائية و سلامة الأشخاص . فإرسال أمر خاطئ إلى PLC، أو التلاعب بشاشة HMI، أو تغيير معلمات العملية «بصمت»؛ أمور تؤدي إلى تراجع الجودة وتآكل الآلات، وقد تتسبب حتى في وقوع حادث. لذلك، لا يقتصر اختبار اختراق OT على عمليات مسح مكثفة للمنافذ أو محاولة استغلال الثغرات في كل شيء. الواقع الميداني هو ما يوجّه الاختبار: حدود الوصول، وفترات الصيانة، وورديات الإنتاج، وأقفال السلامة التعشيقية، وخطة التراجع إلى الحالة السابقة، والاختبارات المنضبطة.

يبدأ السيناريو المقلق على النحو التالي: ينسى فني تابع لمقاول فرعي إغلاق حساب VPN «مؤقت» استُخدم للاتصال عن بُعد بعد انتهاء عمله. وتكون كلمة المرور أيضاً سهلة التخمين، مثل «Oskon2025!». يستولي المهاجم على هذا الحساب ويدخل إلى شبكة OT عبر VPN. توجد خدمة غير محدّثة على خادم وسيط للوصول في DMZ. ومن هناك، ينتقل جانبياً إلى شبكة التحكم. ليس هدفه «إثارة الضجيج»، بل تغيير المعلمات بطريقة تؤدي إلى توقف الإنتاج بعد ساعات: حدود درجات الحرارة، وإعدادات PID، وسرعات المحركات… يبدو كل شيء طبيعياً للوهلة الأولى. ثم تتراجع جودة المنتج، وتزداد الخردة، وترتفع حرارة المحامل، وتتفاقم تكاليف الصيانة. في تلك اللحظة، لا يقول أحد «هجوم سيبراني»، بل يُقال «حدث خلل في التشغيل». وهذا هو أخطر أوجه هجمات OT: التخريب الصامت.

يهدف اختبار اختراق OT إلى تحديد الحلقة الضعيفة في هذه السلسلة وإثباتها بالأدلة. ويشمل الاختبار الجيد ما يلي:

  • النطاق وإطار السلامة والأمن: حدود اختبار لا تعرّض الإنتاج للخطر، وفترات زمنية محددة، وقائمة «بالأنظمة التي يجب عدم المساس بها».

  • تحليل مسارات الوصول: VPN، وRDP، والوصول الهندسي عن بُعد، وأجهزة المودم، ووصول المورّدين، وجسور Wi-Fi، ومبدّلات الشبكة الميدانية.

  • اختبارات الهوية والصلاحيات: غياب MFA، والحسابات المشتركة، وكلمات المرور المضمّنة في الشيفرة، وصيغ «admin/admin» المشابهة، وضعف التكامل مع AD/LDAP.

  • تقسيم الشبكة وقواعد تدفق حركة البيانات: الشبكات المسطّحة، وقواعد جدار الحماية التي تسمح بالاتصال «من أي مكان إلى أي مكان»، والاتصالات بين OT وIT.

  • أمن البروتوكولات والخدمات: أسطح الهجوم مثل Modbus وDNP3 وS7 وOPC (الكلاسيكي) وRDP وSMB وVNC؛ وعمليات تحقق منضبطة دون التسبب في سلوك شاذ.

  • الرؤية الأمنية وتسجيل السجلات: هل توجد آثار للأحداث؟ هل تفتقر SIEM/SOC إلى الرؤية في بيئة OT؟ هل تتوفر مزامنة للوقت (NTP)؟

لا تقتصر مخرجات الاختبار على «قائمة بالنتائج». ففي OT، تتمثل المخرجات الأكثر قيمة في مسار الهجوم (attack path) وشرحه: «يتم الدخول من هنا، والمرور من هناك، ويتأثر هذا الأصل، وهذه هي النتيجة». وهنا تحديداً يكمن الجانب المقنع للإدارة: يتحول الخطر من أمر «نظري» إلى سيناريو لخسائر الأعمال . على سبيل المثال، توقف لمدة 2 ساعة، وخسارة إنتاج قدرها X طن، وغرامة بموجب SLA، وساعات عمل إضافية للوردية، وهدر للمواد… تجعل هذه الصورة الميزانية ليست «إنفاقاً على الأمن»، بل «استثماراً في تجنّب تكاليف التوقف».

ختاماً: يكشف اختبار اختراق OT «النقاط العمياء» في المؤسسة إذا نُفّذ بالفريق المناسب، وبمنهجية منضبطة، وبتخطيط جيد. فصاحب النوايا الخبيثة لن يفعل ذلك بعشوائية وضجيج، بل بصبر . وعليكم اكتشاف هذه النقاط قبله.