كثيرًا ما تُظهر مخططات الشبكات أنظمة الأمن المادي في مناطق مفصولة بعناية، لكن المخطط لا يثبت أن الضوابط تعمل فعليًا. يمكن لانحراف جدار الحماية، وقواعد الصيانة المؤقتة، والخوادم ذات الاتصال المزدوج، والمحولات غير المُدارة أن تعيد ربط شبكات كان من المفترض أن تبقى معزولة. يختبر التحقق من التجزئة المسارات الفعلية المنشورة بدلاً من الثقة بوثيقة التصميم.
تحديد المناطق والتدفقات المسموح بها
ابدأ بالمناطق الوظيفية مثل أجهزة الميدان، والمتحكمات، والتسجيل، والإدارة، وعملاء التشغيل، وخدمات التكامل، والدعم عن بُعد. لكل زوج من المناطق، وثّق بدقة المصدر والوجهة والبروتوكول والغرض التجاري المسموح به. يجب أن يُرفض كل ما عدا ذلك افتراضيًا حيثما تسمح البنية بذلك.
أدرج التبعيات التي يسهل إغفالها: DNS، وNTP، وتسجيل الشهادات، وخدمات الدليل، ومستودعات البرمجيات، وموزّعات البريد الإلكتروني، والمراقبة. يمكن لقائمة سماح غير مكتملة أن تدفع الفرق نحو قواعد طوارئ واسعة تصبح لاحقًا دائمة.
التحقق انطلاقًا من نقاط نهاية تمثيلية
يجب أن تنطلق الاختبارات من فئات الأجهزة الفعلية أو مكافئات آمنة لها. لا يمكن لفحص ينطلق من شبكة تقنية المعلومات أن يثبت ما يمكن لكاميرا أو متحكم مدمج الوصول إليه. تحقق أولًا من الاتصالات المقصودة، ثم حاول الوصول عبر المسارات المحظورة بطريقة مضبوطة. راجع نتيجة العميل وسجل جدار الحماية أو المحول معًا حتى يمكن التمييز بين الإسقاط الصامت للحزم وأخطاء التوجيه.
توصي إرشادات NIST الخاصة بأمن التقنية التشغيلية بالتجزئة ومسارات الاتصال المضبوطة كتدابير أساسية لتقليل المخاطر. تشترك شبكات الأمن المادي في كثير من القيود ذاتها: أجهزة طويلة العمر، وبروتوكولات خاصة بالموردين، ومتطلبات توافر، وحماية محدودة لنقاط النهاية.
اختبار الإدارة ووصول الموردين بشكل منفصل
تستحق المسارات الإدارية تحققًا أكثر صرامة من حركة الأحداث العادية. تأكد من أن إدارة الأجهزة مقتصرة على مضيفات قفز معتمدة، ومستخدمين محددين بالاسم، وجلسات مراقَبة. اختبر ما إذا كان وصول VPN الخاص بالمورّد يصل فقط إلى الأنظمة المتعاقد عليها، وما إذا كان الوصول معطّلًا خارج النوافذ الزمنية المعتمدة.
تحقق من وجود مسارات بديلة عبر Wi-Fi، والمودمات الخلوية، وواجهات الشبكة الثانوية، وأجهزة الحاسوب المحمولة الخاصة بالخدمة. قد يظل المتحكم المعزول على الواجهة الأساسية يكشف خدمة إدارة عبر قناة مُغفلة. يتناول مقال SectechMedia حول تحصين الأمن السيبراني للتحكم في الدخول ضوابط الأجهزة وبيانات الاعتماد ذات الصلة.
إدراج حالات الفشل والاستعادة
قد تتغير التجزئة أثناء التبديل عند الفشل (failover). اختبر جدران الحماية المكررة، والروابط الاحتياطية، ومواقع التعافي من الكوارث، والتوجيه المؤقت المستخدم أثناء الصيانة. تأكد من أن أي جهاز أمني معطّل لا يتحول افتراضيًا إلى مسار غير مقيّد، وأن التكوينات المُستعادة تحافظ على السياسة المعتمدة.
سجّل التقاطات الحزم أو أدلة السجلات للاختبارات الحرجة. لا تكفي ورقة عمل بسيطة من نوع نجاح/فشل عندما تتغير قاعدة لاحقًا أو عندما يحتاج فريق الاستجابة للحوادث إلى فهم إمكانية الوصول التاريخية.
إدارة الاستثناءات كمخاطر لها تاريخ انتهاء
يجب أن يحدد كل استثناء المالك، والسبب، والضوابط التعويضية، وتاريخ الانتهاء. أعِد الاختبار بعد تحديثات البرامج الثابتة، وعمليات ترحيل أنظمة إدارة الفيديو (VMS)، واستبدال المتحكمات، وإعادة تصميم الشبكة. تتبّع المسارات غير المتوقعة القابلة للوصول، والقواعد القديمة، والأصول الموجودة خارج منطقتها المخصصة. يجب أن تكون النتيجة برنامج تحقق حي يكتشف الانحراف المعماري قبل أن يكشفه مهاجم أو انقطاع في الخدمة.
مصادر مرجعية
