بقلم “خوان مانويل هاران”، الكاتب في أمن المعلومات لدى «إسيت» welivesecurity.com
كجزء من مؤتمر Segurinfo Argentina 2019 في بوينس آيرس، أجرى “توني أنسكومب” سفير الأمن العالمي لدى شركة «إسيت»، حديثًا حول المباني الذكية، حيث شرح المخاطر الأمنية المرتبطة بها. دعنا نختصر عبر المقالة هذا الحديث المثير للاهتمام.
في بلدان مثل الولايات المتحدة، يقدر نمو المباني الذكية بنسبة 16.6 ٪ بحلول عام 2020 مقارنة بعام 2014، على الرغم من أن هذا التوسع لا يقتصر على الولايات المتحدة بل يحدث على نطاق عالمي. يعكس هذا النمو حقيقة أننا نعيش في عالم تتزايد فيه التكنولوجيا، حيث تساهم أتمتة العمليات والبحث عن كفاءة الطاقة ليس فقط في الاستدامة، ولكن أيضًا في خفض التكاليف – وهو هدف يتم السعي لتحقيقه في جميع الصناعات، وللقطاعات العامة و الخاصة على حد سواء. وبطبيعة الحال، فإن صناعة البناء ليست استثناء في ذلك.
تستخدم المباني الذكية التكنولوجيا للتحكم في مجموعة واسعة من المتغيرات في بيئاتها الخاصة بهدف توفير مزيد من الراحة والمساهمة في صحة وإنتاجية الأشخاص بداخلها. وللقيام بذلك، يستخدم ما يسمى أنظمة أتمتة البناء (BAS). ومع وصول إنترنت الأشياء (IoT)، أعادت المباني الذكية تعريف نفسها. باستخدام المعلومات التي يحصلون عليها من أجهزة الاستشعار الذكية، يتم استخدام معداتهم التكنولوجية لتحليل البيئات المختلفة داخلها والتنبؤ بها وتشخيصها والمحافظة عليها، وكذلك لأتمتة العمليات ومراقبة العديد من المتغيرات التشغيلية في الوقت الفعلي. تعتبر درجة الحرارة المحيطة والإضاءة وكاميرات الأمن والمصاعد ومواقف السيارات وإدارة المياه مجرد بعض من الخدمات الآلية التي تدعمها التكنولوجيا حاليًا.
لوضع إمكانات هذه البنية التحتية الذكية في منظورها الصحيح، أعطى “توني” مثال فندق في لاس فيجاس، حيث قرروا قبل عامين تثبيت نظام أتمتة متطور للتحكم في استخدام تكييف الهواء (مع الأخذ في الاعتبار أن لاس فيجاس لديها مناخ صحراوي حار وأمطار قليلة جدًا)، لذا لا يتم تشغيله إلا عند وجود أشخاص. أدى هذا القرار إلى تحقيق وفرة في التكلفة قدرها 2 مليون دولار أمريكي خلال السنة الأولى بعد تثبيت النظام الذكي، وذلك بسبب انخفاض استهلاك الطاقة الذي تحقق عن طريق أتمتة عملية التشغيل. طبقت ماريوت للفنادق نظامًا مشابهًا عبر السلسلة بأكملها والتي من المتوقع أن تحقق وفورات في الطاقة تقدر بـ 9.9 مليون دولار أمريكي.
مثال آخر على الأتمتة من خلال الأجهزة الذكية التي ذكرها “توني” خلال حديثة، هو أحد المتاجر الكبرى في المملكة المتحدة. حيث قام المتجر بتركيب نظام ذكي في موقف السيارات الخاص به والذي يولد الطاقة الحركية من حركة السيارات التي تمر به، ثم يستخدم تلك الطاقة لتشغيل أجهزة تسجيل الخروج.
للوهلة الأولى، قد لا نرى أي مخاطر أمنية في هذه المباني الذكية. ومع ذلك، فمن المحتمل أن الشبكة الذكية بأكملها متصلة في مرحلة ما بقاعدة بيانات واحدة، وهنا يكمن الخطر. خاصة إذا أخذنا بعين الاعتبار أن العديد من أجهزة إنترنت الأشياء يتم تصنيعها بواسطة موردين مختلفين، والذين ربما لم يولوا الاهتمام اللازم لاعتبارات الأمان أثناء عملية التصميم والتصنيع الخاصة بهم. وبينما قد يعتقد الكثير منا أننا لن نعيش أبدًا في مبنى مثل هذا، أشار “توني” إلى أنه “من المحتمل قيام العديد من الأشخاص الذين لا يعيشون في مبنى به هذه الميزات بعمل ذلك في مرحلة ما ، نظرًا لأن السوق للمباني الذكية التي تستخدم إنترنت الأشياء تنمو بسرعة.
احتمالية تعرض مبنى ذكي للهجوم
يرتبط خطر وقوع حادث أمني في مبنى ذكي بدوافع مجرمي الإنترنت، الذين يسعون بشكل أساسي إلى تحقيق مكاسب مالية من خلال أعمالهم، وكذلك إحداث تأثير ونشر الخوف.
هناك بالفعل بعض الأدوات مثل Shodan التي تسمح لأي شخص باكتشاف أجهزة إنترنت الأشياء المعرضة للخطر و / أو الغير مؤمنة والمتصلة بشكل عام بالإنترنت. كما أوضح “توني”، إذا قمت بإجراء بحث باستخدام هذه الأداة، يمكنك العثور على الآلاف من أنظمة بناء الأتمتة في قوائمها، مع استكمال المعلومات التي يمكن استخدامها من قبل المهاجمين لتسوية الجهاز. في فبراير 2019ظهر حوالي 35000 نظام تشغيل آلي للبناء في جميع أنحاء العالم في Shodan في متناول الجمهور عبر الإنترنت.
هذا يعني أن شخصًا ما يمكنه التحكم في BAS بعد العثور عليها من خلال البحث. على سبيل المثال، إذا استخدم مجرم Shodan للبحث عن أنظمة أتمتة البناء للهجوم، فسيجدون بكل تأكيد عناوين الـ IP address.
إذا قاموا بنسخ عناوين IP address هذه في شريط العناوين في متصفح الويب، فسيؤدي ذلك في كثير من الحالات إلى إظهار واجهة للوصول، حيث يحتاجون إلى إدخال اسم مستخدم وكلمة مرور. إذا كانت كلمة المرور هي كلمة مرور افتراضية أو إذا كان من الممكن كسرها بسهولة، فسيتمكن المهاجم من الوصول إلى لوحة مراقبة النظام، والتي تحتوي على معلومات مشابهة للتفاصيل المرئية للشركات الموجودة في المبنى الذكي.
بمجرد أن يتمكن المهاجمون من الوصول إلى هذه المعلومات العامة وتمكنهم من المراقبة، على سبيل المثال : كيفية عمل مكيف الهواء، يمكنهم إجراء مكالمة هاتفية يتظاهرون بأنهم من شركة الصيانة ويقولون أنهم سيرسلون تقنيًا لأنهم لاحظوا أن المراوح تعمل بالسرعة القصوى. وفي الوقت نفسه، يمكن للمهاجمين طلب الوصول عن بُعد، مما يتيح لهم الوصول إلى الخادم ويسمح لهم بالتحكم في المبنى. وبمجرد تحكمهم بالنظام، يمكنهم تغيير أنظمة التدفئة أو التكييف بالمبنى، أو ضبط الطريقة التي تعمل بها أي من الأنظمة الآلية الأخرى، ثم المطالبة بدفع فدية باستخدام نظام يسمح لهم بالبقاء مجهولين، مثل العملة المشفرة، في مقابل عدم اغلاق المبنى.
سيجوار (Siegeware): تهديد حقيقي وخطير
في مقال يطلعنا على تفاصيل الهجوم الإلكتروني ضد مبنى ذكي، أشار كبير الباحثين في «إسيت» “ستيفن كوب” إلى أن هذا النوع من الهجوم ليس مجرد حادث واحد. بعد طلبه المساعدة من السلطات لجمع المعلومات حول هذا التهديد، أصابه الدهشة أنهم ابلغوه بمشاهدتهم العديد منها. بمعنى آخر، يقوم مجرمو الإنترنت بالفعل بتنفيذ مثل هذه الهجمات عندما تتاح لهم الفرصة. يصف “ستيفن” بإيجاز هذا النوع من الهجوم بأنه “أداة الحصار”، أو “القدرة المدعومة بالكود على تقديم طلب ابتزاز ذي مصداقية استنادًا إلى وظائف البناء المعطلة رقميًا”.
في الختام، يؤدي انخفاض تكلفة أجهزة إنترنت الأشياء للمباني والتقدم التكنولوجي لأنظمة أتمتة المباني إلى حدوث تغييرات لها تأثير على الأمن. إن هذا التوجه نحو التشغيل الآلي واستخدام الأجهزة الذكية لجمع البيانات – من أجل منح مستخدمي المبنى مزيدًا من الراحة والاستفادة بشكل أكثر كفاءة من الموارد مثل الطاقة – يؤدي أيضًا إلى زيادة مخاطر الأمان. نتيجة لذلك، فإن احتمال قيام مجرمي الإنترنت بشن هجوم على فدية على مبنى ذكي هو بالفعل حقيقة واقعة.
