لدى وكالة الأمن السيبراني وأمن البنية التحتية فكرة جديدة للدفاع عن محطات الطاقة ومرافق المياه وغيرها من البنية التحتية الحيوية: التوقف عن محاولة إبقاء كل مهاجم خارج الشبكة، والبدء في إطعام من يتمكنون من الدخول نظاماً غذائياً من البيانات المزيفة. توصي التوجيهات الصادرة حديثاً عن وكالة CISA مشغلي البنية التحتية الحيوية بنشر الفخاخ السيبرانية والرموز العسلية، وهي مصائد رقمية منخفضة التكلفة مصممة للكشف عن المتسللين مبكراً وإبطائهم قبل وصولهم إلى الأنظمة الحقيقية. إنه تحول ملحوظ في النبرة من وكالة أمضت سنوات تركز almost بالكامل على الترقيع والدفاع المحيطي والتحكم في الوصول.

ما توصي به توجيهات CISA فعلياً

في جوهرها، تصف التوجيهات أداتين مترابطتين. الرموز العسلية هي ملفات أو بيانات اعتماد أو سجلات قواعد بيانات أو أسرار مزيفة مزروعة داخل الشبكة لا تخدم أي غرض تجاري مشروع. مهمتها الوحيدة هي البقاء هناك تبدو ذات قيمة. إذا وصل أي شخص إليها أو حاول استخدامها، فهذه إشارة حمراء فورية، لأنه لا ينبغي لأي موظف أو نظام مصرح له أن يلمسها أبداً. أما الفخاخ العسلية فتأخذ المفهوم أبعد من ذلك، حيث تنشئ أنظمة طُعم كاملة مصممة لتبدو كخوادم أو محطات عمل أو أصول تحكم صناعي حقيقية، مما يغري المهاجمين بالابتعاد عن البيئة الفعلية ويمنح المدافعين وقتاً لمراقبة تكتيكاتهم.

تقدم CISA هذه الأدوات كخيارات متاحة للمؤسسات على أي مستوى من النضج في الأمن السيبراني، وليس فقط للوكالات التي تمتلك ميزانيات أمنية كبيرة. وهذا مهم لمشغلي البنية التحتية الحيوية، وكثير منهم يدير فرق تقنية معلومات وأمن صغيرة ولا يستطيع تحمل تكاليف منصات كشف التهديدات على مستوى المؤسسات. في المقابل، يمكن أن يكون الرمز العسلي بسيطاً كبيان اعتماد مزيف موضوع في مجلد مشترك. تكلفة نشره منخفضة لكنه قادر على توليد تنبيه عالي الثقة في اللحظة التي يتفاعل فيها أي شخص معه.

كيف تعمل الفخاخ إلى جانب الشبكات الافتراضية الخاصة وتقسيم الشبكات

لا يُقصد بتقنية الخداع أن تحل محل الأدوات التي تعتمد عليها المؤسسات بالفعل، مثل الشبكات الافتراضية الخاصة والجدران النارية وتقسيم الشبكات. بل يُقصد بها سد الفجوة التي تتركها تلك الأدوات. صُممت الشبكات الافتراضية الخاصة وضوابط الوصول لإبقاء المستخدمين غير المصرح لهم خارج الشبكة من الأساس. لكن المهاجمين يجدون بشكل متزايد طرقاً للالتفاف حول تلك الدفاعات من خلال استغلال بيانات اعتماد مسروقة أو ثغرات في البنية التحتية للوصول عن بُعد نفسها. التحذير الصادر عن CISA بشأن برمجية Gunra الفدية التي تستهدف الشبكات الافتراضية الخاصة هو مثال واضح: الجهات التهديدية تتحرى بنشاط عن نقاط ضعف الوصول عن بُعد للحصول على موطئ قدم، مما يعني أن الدفاعات المحيطية وحدها لم تعد كافية.

تعمل الرموز العسلية والفخاخ على افتراض أن المهاجمين المصممين سينتهكون المحيط في النهاية، سواء من خلال بيانات اعتماد مسروقة للشبكة الافتراضية الخاصة أو بريد تصيد احتيالي أو ثغرة غير مُرقعة. وبمجرد دخولهم، تعمل الفخاخ كأسلاك تفخيخ. إذا تحرك متسلل عبر شبكة مقسمة بحثاً عن بيانات أو أنظمة قيمة، فإن رمزاً عسلياً مزروعاً في المكان الخاطئ يمكن أن يمسكه على الفور تقريباً، وغالباً قبل أن يلحق ضرراً ذا مغزى. إنه نهج متعدد الطبقات: الشبكات الافتراضية الخاصة والتقسيم يبطئان المهاجمين ويحدان من مداهم، بينما تجعل الفخاخ من الصعب عليهم التحرك دون اكتشاف بمجرد دخولهم.

لماذا يُعد مشغلو البنية التحتية الحيوية الهدف ذا الأولوية

يعكس قرار CISA بتوجيه هذا الإرشاد مباشرة إلى مشغلي البنية التحتية الحيوية المكان الذي تكون فيه المخاطر أعلى. غالباً ما تشغل أنظمة المياه ومزودو الطاقة والخدمات الأساسية الأخرى مزيجاً من شبكات تقنية المعلومات الحديثة والتقنية التشغيلية الأقدم التي لم تُصمم مع الأمن السيبراني في الاعتبار. هذا المزيج يجعلها أهدافاً جذابة وصعبة الدفاع بالأدوات التقليدية وحدها. الهجوم السيبراني الأخير على منظومة المياه في مينيسوتا الذي أصاب أكثر من 30 نظاماً خلال يومين فقط يوضح مدى سرعة انتشار الهجمات المنسقة عبر مزودي البنية التحتية الذين قد يفتقرون إلى موارد فريق أمني مؤسسي كبير. توفر تقنية الخداع لهذه المؤسسات وسيلة للتفوق على قدراتها الفعلية، من خلال توليد تنبيهات عالية الدقة دون الحاجة إلى مراقبة مستمرة أو منصات كشف باهظة الثمن.

ما يعنيه هذا للكشف عن الحركة الجانبية بعد الاختراق

من أصعب المشكلات في الاستجابة للحوادث معرفة إلى أي مدى سافر المهاجم داخل الشبكة بعد الاختراق الأولي. غالباً ما يقضي المهاجمون الذين يحصلون على موطئ قدم أياماً أو أسابيع يتحركون بهدوء جانبياً ويصعّدون الصلاحيات ويرسمون خرائط للأنظمة القيمة قبل إطلاق حمولة فدية أو تسريب البيانات. قد تواجه أدوات الأمن التقليدية صعوبة في التمييز بين هذا الاستطلاع الهادئ ونشاط الشبكة الطبيعي.

تغيّر الرموز العسلية هذه المعادلة. نظراً لأنه لا يوجد استخدام مشروع لها، فإن أي تفاعل معها يكاد يكون علامة مضمونة على نشاط خبيث، مما يقطع الضجيج الذي يدفن عادة إشارات التحذير المبكرة. بالنسبة لمشغلي البنية التحتية الحيوية الذين يحاولون الإمساك بالمتسللين قبل وصولهم إلى التقنية التشغيلية أو بيانات العملاء، يمكن أن تكون تلك الإشارة المبكرة الفرق بين حادثة محتواة وانقطاع كامل.

ما يعنيه هذا بالنسبة لك

إذا كنت تعمل في مجال تقنية المعلومات أو الأمن لدى مرفق عام أو نظام بلدي أو مشغل بنية تحتية آخر، فإن توجيهات CISA تستحق القراءة الكاملة والتعامل معها كإضافة منخفضة التكلفة لدفاعاتك الحالية، وليس بديلاً عنها. تظل الشبكات الافتراضية الخاصة والمصادقة متعددة العوامل وتقسيم الشبكات ضرورية لإبقاء المهاجمين خارج الشبكة. أما الفخاخ والرموز العسلية فهي للإمساك بمن يتجاوز تلك الدفاعات رغم ذلك. حتى المؤسسات التي لا تمتلك موظفين مخصصين للأمن يمكنها البدء صغيراً، بزرع حفنة من بيانات الاعتماد أو الملفات المزيفة في مواقع حساسة وإعداد تنبيهات لأي تفاعل معها.

بالنسبة للمستخدمين العاديين والمؤسسات الأصغر، فإن الخلاصة الأكبر هي تذكير بأنه لا توجد طبقة أمنية واحدة مضمونة. المهاجمون يتحرون باستمرار عن أدوات الوصول عن بُعد، كما يظهر في حملات الفدية المستمرة التي تستغل نقاط ضعف الشبكات الافتراضية الخاصة، مما يعني أن الدفاع متعدد الطبقات أصبح أكثر أهمية من أي وقت مضى.

النقاط الرئيسية

  • تمنح توجيهات CISA بشأن الفخاخ السيبرانية والرموز العسلية مشغلي البنية التحتية الحيوية وسيلة منخفضة التكلفة للكشف عن المتسللين مبكراً.
  • تكمل الفخاخ، بدلاً من أن تحل محل، الشبكات الافتراضية الخاصة وضوابط الوصول وتقسيم الشبكات.
  • الرموز العسلية فعالة بشكل خاص في الإشارة إلى الحركة الجانبية بعد الاختراق، نظراً لأن المستخدمين الشرعيين لا يتفاعلون معها أبداً.
  • مشغلو البنية التحتية الأصغر ذوو الميزانيات الأمنية المحدودة هم جمهور ذو أولوية لهذا النهج.
  • ينبغي للمؤسسات أن تقرن تقنية الخداع بدفاعات محيطية قوية، نظراً لأن المهاجمين يواصلون استهداف نقاط ضعف الوصول عن بُعد للحصول على موطئ قدم أولي.