كشف خبراء أمن سيبراني مؤخراً عن ثغرة أمنية خطيرة تسمح للمهاجمين بالتلاعب بأنظمة الطاقة الشمسية المتصلة بالإنترنت، وذلك من خلال استغلال نقاط الضعف التقليدية في بروتوكولات الاتصال القديمة. وتتيح هذه الثغرة للمخترقين تعطيل إنتاج الطاقة الشمسية في غضون دقائق، مما يشكل تهديداً متزايداً لأمن البنية التحتية للطاقة.
تعتمد مزارع الطاقة الشمسية الحديثة على تقنيات تشغيل متصلة بالشبكة، مثل وحدات التحكم SCADA وصناديق مراقبة السلاسل، والتي تستخدم في كثير من الأحيان بروتوكول Modbus القديم الذي يفتقر إلى إجراءات الأمان المدمجة. وعندما تكون هذه الأجهزة معرضة للإنترنت، يمكن للمهاجمين إرسال أوامر تحكم عن بعد لقطع الطاقة، حتى في الأيام المشمسة الصافية.
تهديدات متقدمة على الطاقة الشمسية عبر الإنترنت
أشارت الأبحاث التي أجرتها شركات الأمن السيبراني إلى محاولات استطلاع واستغلال واسعة النطاق تستهدف صناديق مراقبة السلاسل التي تعمل ببروتوكول Modbus، والتي تتحكم بشكل مباشر في إنتاج الألواح الشمسية. ومن خلال إساءة استخدام بروتوكول Modbus عبر TCP، والذي غالباً ما يكون مكشوفاً على المنفذ 502، يمكن للمهاجمين قراءة حالة الجهاز ثم تعديل بتات التحكم التي تشغل السلاسل أو توقفها.
لا تتطلب هذه الهجمات استغلال ثغرات يوم الصفر المعقدة، بل يعتمد الخطر على الخدمات المفتوحة افتراضياً والبروتوكولات غير الآمنة بطبيعتها. بمجرد تحديد المهاجم لجهاز يمكن الوصول إليه، يمكن أن يقل الوقت من أول محاولة استكشاف إلى تعطيل التأثيري للطاقة من أيام إلى دقائق.
الذكاء الاصطناعي يزيد من سرعة الهجمات
وُجد أن هذه الهجمات تتسع نطاقاً عندما تقترن بأطر عمل الذكاء الاصطناعي، التي تقوم بأتمتة عمليات المسح وتحديد الهوية وحقن الأوامر في الأصول التشغيلية. يمكن للأدوات التي تعمل بالذكاء الاصطناعي مسح نطاقات IP واسعة، واكتشاف خدمات Modbus المكشوفة، واختبار السجلات القابلة للكتابة بسرعة فائقة. هذا يغير نموذج التهديد لمشغلي الطاقة الشمسية، حيث تسعى فرق الدفاع البشرية جاهدة لمواكبة سرعة المراقبة والاستجابة.
يُسلط التحليل الضوء على نقطة الضعف الرئيسية: صندوق مراقبة السلسلة، الذي يتحدث بروتوكول Modbus ويربط سلاسل الألواح الشمسية بـ “دماغ” نظام SCADA. بمجرد اختراق هذا الصندوق، يصبح المهاجم فعلياً مشغل SCADA مارق.
يمكن للمهاجم استخدام أكواد وظائف Modbus بسيطة لقراءة السجلات الخاصة بالجهد والتيار، ثم كتابة قيم بتات أو سجلات تغير حالة النظام. في العديد من عمليات النشر، توجد هذه الصناديق على شبكات مسطحة، دون تجزئة بين تكنولوجيا المعلومات والتكنولوجيا التشغيلية، مما يجعل الحركة الجانبية أسهل.
التلاعب مستوى الأوامر عبر بروتوكول Modbus
في صميم هذا التهديد يكمن التلاعب المباشر بالسجلات عبر بروتوكول Modbus/TCP. يبدأ المهاجمون بعملية اكتشاف أساسية باستخدام نصوص Nmap الخاصة بـ Modbus لتأكيد أن المضيف يقوم بتشغيل Modbus على المنفذ 502 وتعداد معرفات الأجهزة.
عادة ما تبدو أوامر Nmap القياسية للاستطلاع التشغيلي كالتالي:-
nmap -sV -p 502 --script modbus-discover <target-ip>
تُظهر هذه الخطوة أي معرفات وحدات تستجيب وما هي أكواد الوظائف المدعومة. من هناك، يتحول المهاجمون إلى أدوات مثل mbpoll أو modbus-cli لقراءة وكتابة السجلات.
على سبيل المثال، يمكن لمشغل خبيث محاولة إيقاف تشغيل سلسلة ألواح شمسية عن طريق كتابة قيمة معينة إلى سجل تحكم:
mbpoll -m tcp -t 0 -r 0xAC00 -0 1 <target-ip>
# 0xAC00 مُعين على "إيقاف التشغيل"
في الحالات الموثقة، يتم تعيين سجلات مثل 0xAC00 و 0xAC01 على “إيقاف التشغيل” و “تشغيل”، على التوالي. من خلال تكرار هذه الأوامر، يمكن للمهاجم التبديل بسرعة بين السلاسل، أو إجهاد المحولات، أو تقليل الإنتاج بصمت مع ترك المحطة قيد التشغيل.
عند دمج هذه الأوامر مع منطق يعتمد على الذكاء الاصطناعي، يمكن للبرامج النصية الاستمرار في البحث عن القبول، وإعادة محاولة الكتابات الفاشلة، والتكيف مع الدفاعات الجزئية، مما يحول تعديلات السجلات البسيطة إلى استغلالات موثوقة وقابلة للتكرار.
يؤكد تقرير Cato Networks على خطورة المشكلة من خلال تنبيه واقعي حول المنفذ Modbus 502 المكشوف، والذي تم تصنيفه على أنه خطر كبير ويرتبط بقواعد جدار حماية متساهلة للغاية. توفر هذه النتائج مجتمعة تفصيلاً تقنياً شاملاً لكيفية استغلال خدمات Modbus المكشوفة عبر الإنترنت على أصول الطاقة الشمسية لإحداث تعطيل سريع وعالي التأثير للشبكة.