راهنمای ایزولهسازی زیرساختهای حیاتی؛ چگونه شبکههای OT را در برابر حملات سایبری ایمن کنیم؟
راهنمای جدید ایزولهسازی زیرساختهای حیاتی با تمرکز بر امنیت شبکههای OT، شناسایی مسیرهای پنهان نفوذ و حفظ تداوم خدمات در زمان حملات سایبری منتشر شد.
مرکز فرماندهی عملیات امنیت سایبری مرکز ملی فضای مجازی سند راهنمای ایزولهسازی زیرساختهای حیاتی را منتشر کرده که برگرفته از سند مشترک سازمانهای امنیت سایبری آمریکا، استرالیا و شرکای بینالمللی است.
سند جدید راهنمای ایزولهسازی سیستمهای حیاتی با هشدار نسبت به یک تصور رایج در امنیت سایبری، تأکید میکند که در بسیاری از محیطهای حیاتی، شبکههای OT و غیر-OT بهطور کامل از یکدیگر جدا نیستند. وجود مسیرهای دسترسی پنهان، وابستگی به شبکههای IT، دسترسی پیمانکاران و فروشندگان و استفاده از زیرساختهای ارتباطی مشترک، میتواند مسیر نفوذ مهاجمان به سیستمهای عملیاتی را باز نگه دارد؛ موضوعی که در زمان حمله سایبری میتواند تداوم خدمات حیاتی را با خطر جدی روبهرو کند.
زیرساختهای حیاتی از جمله برق، آب، نفت و گاز و حملونقل، برای ارائه خدمات خود به مجموعهای از سیستمهای عملیاتی یا OT متکی هستند. این سیستمها برخلاف سامانههای معمول سازمانی، بهصورت مستقیم با فرایندهای فیزیکی و عملیاتی در ارتباط هستند و اختلال در آنها میتواند از توقف یک سرویس دیجیتال فراتر رفته و به اختلال در خدمات عمومی منجر شود.
به همین دلیل، حفاظت از شبکههای OT در سالهای اخیر به یکی از موضوعات مهم امنیت سایبری زیرساختهای حیاتی تبدیل شده است. سند «CI Fortify – Advice for isolating vital systems» که در ژوئیه ۲۰۲۶ با مشارکت سازمانهایی از جمله CISA آمریکا، ACSC استرالیا، FBI و شرکای بینالمللی منتشر شده، بر یکی از مهمترین راهکارهای کاهش ریسک در این حوزه تمرکز دارد: ایزولهسازی سیستمهای حیاتی و توانایی ادامه فعالیت در زمان قطع ارتباط با سایر شبکهها.
OTهایی که ایزوله نیستند
یکی از نکات کلیدی این سند، زیر سؤال بردن تصور ایزوله بودن کامل شبکههای OT است. در بسیاری از محیطهای حیاتی ممکن است میان شبکه عملیاتی و سایر شبکهها اتصال مستقیمی وجود نداشته باشد، اما این به معنای نبود مسیر دسترسی نیست.
مسیرهای دسترسی از راه دور، ارتباط با پیمانکاران و فروشندگان، شبکههای اپراتوری، اینترنت، محیطهای ابری و حتی ارتباط با سایر تأسیسات حیاتی میتوانند نقاطی باشند که مهاجم از طریق آنها به شبکه عملیاتی نزدیک شود.
این خطر زمانی جدیتر میشود که شبکههای OT برای ارائه خدمات خود به زیرساختهای مشترکی مانند Active Directory، DNS، DHCP، سرویسهای پشتیبان، زیرساخت مجازیسازی، شبکههای ذخیرهسازی یا سرویسهای همگامسازی زمان وابسته باشند.
در چنین شرایطی، قطع ارتباط OT از شبکههای دیگر در زمان بحران ممکن است بهسادگی قطع یک کابل یا خاموش کردن یک ارتباط شبکه نباشد؛ چرا که ممکن است سرویسهای حیاتی دیگری نیز به همان زیرساخت وابسته باشند.
مسیرهای پنهان؛ نقطهضعف زیرساختهای حیاتی
بر اساس این سند، نخستین گام برای ایزولهسازی، شناسایی دقیق سیستمها و شبکههایی است که برای ارائه خدمات حیاتی مورد استفاده قرار میگیرند. پس از آن باید تمام نقاط اتصال میان این سیستمها و سایر شبکهها شناسایی و مستند شوند.
این اتصالات تنها به شبکه IT سازمان محدود نیستند. دسترسی پیمانکاران و فروشندگان، ارتباطات اضطراری، شبکههای غیرقابلاعتماد، سرویسهای ابری و ارتباط با شبکههای حیاتی همرده، همگی باید در این نقشه قرار بگیرند.
از سوی دیگر، نوع ارتباط نیز اهمیت دارد. اینکه یک شبکه حیاتی از طریق شبکه اپراتور، شبکه سیار، ماهواره یا Wi-Fi به بخش دیگری متصل شده باشد، میتواند سطح ریسک متفاوتی ایجاد کند.
هدف از این نقشهبرداری آن است که سازمان بداند در صورت وقوع حمله، دقیقاً کدام ارتباطها باید قطع شوند و قطع هر ارتباط چه اثری بر ادامه فعالیت خواهد داشت.
ایزولهسازی؛ فقط قطع اتصال نیست
این سند میان «تفکیک فیزیکی» و «ایزولهسازی» تفاوت قائل میشود. تفکیک فیزیکی به معنای مستقل بودن زیرساخت است؛ یعنی شبکه OT زیرساختهای فعالی مانند سوئیچ، مسیریاب، تکرارکننده یا تجهیزات پردازشی را با شبکههای غیر-OT به اشتراک نگذارد.
اما ایزولهسازی به توانایی قطع ارتباط سیستمهای حیاتی با سایر شبکهها و ادامه فعالیت مستقل آنها در شرایط بحران اشاره دارد.
به همین دلیل، هدف نهایی این نیست که شبکه OT تنها روی کاغذ از سایر شبکهها جدا باشد. سازمان باید بتواند در صورت حمله، ارتباطهای غیرضروری را قطع کند و در عین حال خدمات حیاتی خود را ادامه دهد.
چرا ایزولهسازی باید از قبل طراحی شود؟
یکی از توصیههای مهم سند، ایجاد یک طرح مرحلهبهمرحله برای ایزولهسازی است. در این مدل، سازمان بهجای آنکه هنگام وقوع حمله برای نخستین بار درباره قطع ارتباطها تصمیم بگیرد، از قبل مشخص میکند که در هر سطح از تهدید کدام مسیرها باید مسدود شوند.
در نمونه ارائهشده در سند، این فرایند از غیرفعالسازی دسترسی کارکنان راه دور به محیط OT آغاز میشود و سپس به غیرفعالسازی دسترسی کارکنان مستقر در محل، قطع ارتباط میان محیطهای OT و غیر-OT، محدود کردن ارتباط میان شبکههای OT همرده و در نهایت ایزولهسازی کامل محیط OT و سیستمهای حیاتی میرسد.
معیار آغاز هر مرحله نیز باید از پیش تعریف شده و با برنامه پاسخ به حادثه سازمان ارتباط داشته باشد.
این رویکرد باعث میشود در زمان تشدید حمله، سطح دسترسی مهاجم بهتدریج کاهش پیدا کند و سازمان پیش از رسیدن به مرحله بحرانی، بخشی از مسیرهای نفوذ را مسدود کرده باشد.
ایزولهسازی فیزیکی؛ مؤثر اما پرهزینه
ایزولهسازی فیزیکی یکی از قویترین روشهای محافظت از سیستمهای حیاتی محسوب میشود، اما اجرای آن بدون هزینه نیست.
با قطع ارتباط میان سیستمها، بخشی از فرایندهایی که پیشتر بهصورت خودکار انجام میشدند، ممکن است به عملیات دستی تبدیل شوند. از همین رو، سازمان باید از قبل برای ادامه فعالیت در شرایطی که ارتباط میان سیستمها قطع شده است، برنامه داشته باشد.
این مسئله بهویژه برای زیرساختهایی که در مناطق جغرافیایی مختلف فعالیت میکنند اهمیت بیشتری دارد. در چنین محیطهایی ممکن است استفاده از زیرساختهای ارتباطی اپراتورها یا شرکتهای شخص ثالث اجتنابناپذیر باشد و در نتیجه امکان تفکیک فیزیکی کامل وجود نداشته باشد.
در این شرایط، سند استفاده از رمزنگاری قوی روی لینکهای ارتباطی مشترک و غیرقابلاعتماد را پیشنهاد میکند و تأکید دارد که سازمان نباید خدمات اپراتورها را بهعنوان یک مسیر کاملاً قابلاعتماد در نظر بگیرد.
ایزولهسازی هم ریسک دارد
ایزولهسازی به معنای حذف کامل ریسک نیست. قطع ارتباط سیستمهای حیاتی میتواند ریسکهای جدیدی ایجاد کند؛ از جمله عقب ماندن سیستمها از وصلههای امنیتی، کاهش دید خارجی نسبت به شبکه و افزایش احتمال آلودگی از طریق رسانههای قابلحمل.
به همین دلیل، سازمان باید پیش از اجرای طرح ایزولهسازی بداند در زمان قطع ارتباط چگونه وصلههای امنیتی را دریافت میکند، چطور وضعیت سیستمها را پایش خواهد کرد و چه سازوکاری برای جلوگیری از ورود بدافزار از طریق تجهیزات قابلحمل دارد.
همچنین اتصال مجدد یک سیستم ایزولهشده نیز باید بخشی از برنامه امنیتی باشد؛ چرا که بازگرداندن یک سیستم آلوده یا آسیبپذیر به شبکه میتواند دوباره مسیر نفوذ را برای مهاجم باز کند.
آزمون ایزولهسازی؛ بخش فراموششده ماجرا
داشتن یک طرح ایزولهسازی روی کاغذ کافی نیست. اپراتورهای زیرساخت حیاتی باید این طرحها را بهطور منظم آزمایش کنند تا مشخص شود هنگام قطع ارتباط، وابستگی پنهانی میان سیستمها وجود ندارد.
این سند بر آزمایش کامل سیستمهای حیاتی تأکید دارد و هشدار میدهد که آزمایش تنها یک بخش کوچک از شبکه ممکن است وابستگیهای پنهان را آشکار نکند.
در کنار آزمونهای دورهای، نگهداری یک نسخه چاپی و آفلاین از طرح ایزولهسازی نیز اهمیت دارد؛ چرا که ممکن است هنگام وقوع حمله، خود شبکه یا سامانههای مدیریتی در دسترس نباشند.
ایزولهسازی؛ یک فرایند دائمی
ایزولهسازی شبکههای OT یک اقدام یکباره نیست. هر تغییر در معماری شبکه، اضافه شدن یک پیمانکار، ایجاد یک ارتباط جدید، تغییر زیرساخت ارتباطی یا استفاده از یک سرویس جدید میتواند مسیر تازهای برای اتصال به شبکه حیاتی ایجاد کند.
به همین دلیل، نقشه اتصالات، جداول مسیریابی و سازوکارهای کنترل دسترسی باید بهصورت مستمر بررسی شوند. سازمان همچنین باید بتواند هرگونه تغییر غیرمنتظره در مسیرهای شبکه را شناسایی کرده و در صورت مشاهده اتصال میان شبکههای OT و غیر-OT، هشدار دریافت کند.
در نهایت، هدف از ایزولهسازی این نیست که شبکه حیاتی برای همیشه از جهان بیرون جدا شود؛ بلکه ایجاد قابلیتی است که سازمان در زمان تهدید بتواند ارتباطهای پرریسک را قطع کند و بدون از دست دادن خدمات ضروری، به فعالیت خود ادامه دهد.
برای زیرساختهای حیاتی، چنین قابلیتی دیگر یک اقدام فنی نیست؛ بلکه بخشی از برنامه تداوم کسبوکار و تابآوری سایبری است. هرچه مسیرهای ارتباطی، وابستگیها و نقاط دسترسی زودتر شناسایی و مدیریت شوند، در زمان وقوع یک حمله، گزینههای بیشتری برای مهار آن و حفظ خدمات حیاتی در اختیار سازمان خواهد بود.
