أطلقت أبحاث أمنية جديدة إنذارًا واضحًا حول واجهات إدارة الخوادم التي تُعرّض بروتوكولات الإدارة الخاصة بوحدات التحكم المدمجة (BMC) للإنترنت العام. ورغم أن كثيرًا من المؤسسات ركزت على تأمين أنظمة التشغيل والتطبيقات، فإن هذه الواجهات تعمل في طبقة أعمق من البنية التحتية، ما يجعلها—عند اختراقها—بوابة لتجاوز أدوات المراقبة التقليدية والاحتفاظ بالسيطرة حتى بعد إعادة تثبيت النظام.
تتحدث الدراسة عن اكتشاف أكثر من 36 ألف واجهة إدارة للخوادم كانت متاحة للاتصال من الإنترنت عبر بروتوكول إدارة محدد، وما يزيد القلق أن جزءًا كبيرًا منها يعرض مواد اعتماد (مثل بصمات/هاشات مشتقة من كلمة المرور) قبل اكتمال عملية المصادقة. وهذا النوع من الخلل لا يقتصر على “تعطيل تسجيل الدخول”، بل قد يختصر الطريق أمام مهاجمين لتنفيذ تخمين كلمات مرور دون اتصال (Offline Password Guessing) باستخدام موارد أقل من الهجمات المباشرة عبر الإنترنت.
ما الذي تم اكتشافه؟ ولماذا يهم أمن المؤسسات؟
وفقًا للتقرير، تم رصد 36,872 خادمًا يعرض واجهات إدارة تستعمل بروتوكول IPMI عبر منفذ UDP 623. ومن بين هذه الأجهزة، تم العثور على 24,650 واجهة تُظهر مواد اعتماد مشتقة من كلمة المرور قبل تسجيل الدخول بسبب مشكلة مرتبطة بمواصفة IPMI v2.0 نفسها.
تُعد هذه النقطة جوهرية: فحين تصبح “مواد الاعتماد” قابلة للاستخراج قبل اكتمال المصادقة، يتحول الهجوم من محاولة فاشلة في كل مرة إلى عملية يمكن تسريعها لاحقًا عبر حسابات خارجية. وبمعنى عملي: يمكن للمهاجم أن يجمع بيانات من الجهاز مرة واحدة، ثم يجرّب عددًا كبيرًا من كلمات المرور المرشحة محليًا (على أجهزته) دون الحاجة لإعادة الاستعلام عن الهدف لكل محاولة.
كيف تعمل وحدة BMC ولماذا تُعد هدفًا مغريًا؟
وحدات BMC هي معالجات إدارة مدمجة على اللوحة الأم، تُشغّل وظائف مثل مراقبة الحالة، وإدارة الطاقة، والوصول إلى وحدة التحكم عن بُعد، وعمليات تحديث البرامج الثابتة، وأتمتة استرجاع النظام. والأهم: تعمل هذه الوحدات غالبًا بشكل مستقل عن نظام التشغيل، ما يعني أن اختراقها قد يظل فعّالًا حتى بعد إعادة تثبيت نظام التشغيل أو حتى تغيير الأقراص.
تتواصل BMC عادةً مع العالم الخارجي عبر بروتوكولات مثل IPMI أو Redfish (حسب العتاد). وعندما تكون هذه الواجهات متاحة من الإنترنت، فإنها تصبح—بالنسبة للمهاجم—قناة مباشرة إلى “طبقة التحكم” في الخادم.
ثغرة قديمة بعواقب حديثة: فهم CVE-2013-4786
ترتبط المشكلة بـ CVE-2013-4786 (درجة خطورة CVSS: 7.5). جوهر الثغرة هو كشف معلومات (Information Disclosure) ضمن مسار المصادقة في IPMI v2.0، بحيث يمكن للمهاجم الحصول على HMAC-SHA1 محسوب باستخدام كلمة المرور وقيم الجلسة المعروفة لطرف يستعلم دون مصادقة كاملة.
يمكن—وفق شرح الباحثين—لطرف غير مصادق الوصول إلى استجابة من الجهاز عبر UDP 623، ثم استخدام تلك الاستجابة لاختبار كلمات مرور مرشحة بدون اتصال متكرر. هذا يختلف عن الهجمات التقليدية التي تعتمد على عدد محدود من محاولات الدخول عبر الإنترنت، والتي غالبًا ما تُواجه بقيود مثل حظر الحسابات أو معدلات الطلب (Rate Limiting).
وللتوضيح، مصطلح الهاش يشير إلى تحويل بيانات إلى بصمة ثابتة الطول. أما HMAC فهو نوع من التحقق يستخدم مفتاحًا (مثل كلمة المرور) مع تجزئة لضمان سلامة/مصادقة الرسالة. في هذه الحالة، يصبح جزء من هذا المسار قابلًا للاستخدام ضد المستخدمين.
الأثر: من كشف بيانات إلى كسر كلمات مرور—ثم السيطرة
الأخطر في نتائج البحث ليس فقط حجم الأجهزة المكشوفة، بل قابلية استغلالها. فقد أشار الباحث Michael Katchinskiy إلى أن نسبة كبيرة من المواد التي عادت كمشتقات من كلمات المرور كانت مرتبطة بكلمات مرور يمكن استعادتها باستخدام قوائم كلمات شائعة أو أنماط يمكن توقعها من تنسيقات “ملصقات المصنع” على هيكل الخادم.
وبحسب التقرير، تم رصد حالات تشمل:
- آلاف الأجهزة التي كشفت مواد اعتماد قبل اكتمال المصادقة، ما يسمح بتكسير كلمات المرور دون اتصال.
- حالات إضافية لعودة مواد اعتماد حتى عندما كان اسم المستخدم فارغًا أو كان حسابًا شائعًا مثل ADMIN أو root—وهي سيناريوهات تزيد فرص نجاح الهجوم خصوصًا مع كلمات مرور المصنع أو كلمات مرور ضعيفة/مكررة.
لماذا تسريع “التكسير دون اتصال” يغير قواعد اللعبة؟
الضعف نفسه ليس جديدًا، لكن ما تغيّر هو قدرة المهاجمين على التكسير باستخدام عتاد حديث (بما في ذلك وحدات تسريع الرسوميات). حين تصبح عملية تخمين كلمة المرور أسرع بكثير، يصبح احتمال نجاح الهجوم أعلى—even عندما تبدو كلمة المرور “مقبولة” نظريًا.
أحد الأمثلة التي أوردها الباحثون يشير إلى أن كلمات مرور المصنع لبعض حلول الإدارة (مثل iLO في بيئات HPE) قد تكون قابلة للاسترداد خلال أقل من دقيقة باستخدام عتاد حديث، بينما قد تستغرق كلمات مرور مصنع أخرى نحو ساعة تقريبًا—وما زال ذلك ضمن نطاق عملي للمهاجمين.
اختراق BMC ليس مجرد “وصول عن بُعد”.. بل إعادة تشكيل سطح الهجوم
تاريخيًا، كانت أنظمة الإدارة خارج النطاق (Out-of-Band) تُستخدم لتقليل المخاطر أثناء الصيانة والطوارئ. لكن عندما تُترك هذه الواجهات مكشوفة أو تُدار بكلمات مرور افتراضية، تتحول إلى نقط ضعف عالية القيمة. فاختراق BMC قد يتيح للمهاجم:
- تجاوز ضوابط نظام التشغيل لأنها تعمل خارج نطاقه.
- الاستمرار (Persistence) عبر إعادة بناء النظام دون إزالة السيطرة من طبقة الإدارة.
- تسهيل حركة جانبية نحو أنظمة أخرى، خصوصًا في بيئات مركز بيانات كثيفة الموارد.
- تنفيذ تغييرات على البرامج الثابتة أو إعدادات BIOS/firmware بما يضمن بقاء الوصول.
هذا السلوك ينسجم مع تحذيرات ظهرت سابقًا من شركات أمنية حول أن BMC قد تكون هدفًا مثاليًا لتثبيت برمجيات خبيثة “تحت مستوى الرؤية” (أي أقل ظهورًا من تهديدات تقليدية داخل نظام التشغيل). لمزيد من الخلفية حول مفهوم الإدارة خارج النطاق وسبب أهميتها، يمكن الرجوع إلى المراجع العامة.
تأثير خاص على مراكز بيانات الذكاء الاصطناعي والبنية المعدنية المشتركة
في عصر مراكز بيانات الذكاء الاصطناعي، تزداد قيمة كل خادم “مادي” لأن البنية المعدنية قد تستضيف أعمالًا متعددة أو مستأجرين (tenants). عندما يكون BMC واحدًا مكشوفًا، قد يصبح ذلك—بحسب تقييمات بعض الجهات—نقطة اختراق يمكن أن تمتد إلى بيئات متعددة عبر البنية التحتية المشتركة.
هذا يفسر لماذا يتزايد الحديث عن “الطبقة التي تحتها كل شيء”: إذا كانت طبقة الإدارة المدمجة غير مؤمنة، قد تصبح جهود تأمين السحابة أو أنظمة التشغيل أقل فاعلية.
هل يوجد دليل على استهداف فعلي؟
تزامنًا مع نتائج البحث، أشارت تقارير إلى وجود أدلة على نشاط يستهدف واجهات حلول إدارة عن بُعد. كما ورد أن بعض منصات الإدارة (مثل iLO) تم استهدافها سابقًا لنشر مكونات خبيثة (مثل Rootkit) ضمن سياقات سابقة.
حتى لو لم يُحسم “من يقف وراء” كل نشاط، فإن مجرد ظهور مؤشرات استغلال في البرية يرفع من مستوى التهديد العملي. في الأمن السيبراني، الفارق بين “ثغرة قابلة للاستغلال” و“ثغرة تُستغل فعليًا” هو ما يحدد الأولوية القصوى.
لماذا قد لا يوجد “تصحيح”؟ وما الذي تعنيه هذه الحقيقة لفرق الأمن؟
بحسب ما ورد في استشهادات من جهات مصنّعة، فإن المشكلة قد تُوصف بأنها مشكلة جوهرية في مواصفة IPMI v2.0، ما يعني أن بعض الأجهزة قد لا تستفيد من “إصلاح عبر تحديث بسيط”. وهذا يضع المؤسسات أمام واقع صعب: بدل الاعتماد على التصحيح فقط، يجب التحول إلى تخفيف المخاطر عبر التحكم بالوصول وتقليل السطح المعرض.
بعبارة أخرى: عندما لا يكون هناك “زر تصحيح”، تصبح هندسة الشبكة وسياسات الهوية والمراقبة—هي خط الدفاع الأساسي.
إجراءات حماية عملية: ما الذي يجب فعله الآن؟
توصي الجهات البحثية—وبشكل متسق مع أفضل الممارسات—بمجموعة خطوات عملية يمكن تنفيذها بسرعة نسبيًا، أهمها:
- حظر UDP 623 على مستوى بوابات الشبكة (Network Edge) ومنع الوصول من الإنترنت.
- تدوير كلمات مرور المصنع فور توفير الخوادم (Provisioning) وعدم ترك القيم الافتراضية أو الضعيفة.
- تعطيل الخيارات القديمة أو الضعيفة مثل تفعيل IPMI 1.5 إن كان ذلك متاحًا، أو أي إعدادات تزيد قابلية الاستغلال.
- تقييد وصول BMC عبر شبكة إدارة خاصة (Management Network) مع عدم مزجها بشبكات الإنتاج العامة.
- تطبيق ضوابط وصول دقيقة بحيث لا يصل إلى واجهات BMC إلا أنظمة إدارة معتمدة وأجهزة تشغيل محددة.
- إدراج BMC ضمن برنامج إدارة الأصول والتهديدات (Asset Inventory) لأن كثيرًا من الفرق تُسقط هذه الطبقة من الجرد.
هذه الإجراءات تتوافق بشكل عام مع مبادئ إدارة المخاطر التي تركز على تقليل التعرض السطحي، وتطبيق الضوابط على كل طبقات البنية التحتية، وليس فقط على التطبيقات.
الأطر والمعايير: كيف تترجم المؤسسات هذا النوع من المخاطر إلى التزامات؟
للتعامل مع مخاطر طبقة الإدارة المدمجة، يمكن الاستئناس بأطر عمل معروفة مثل:
- NIST لإدارة المخاطر وضبط الضوابط (مثل مبادئ تقليل السطح المعرض ومراقبة الوصول).
- ISO/IEC 27001 كمرجعية لوجود ضوابط أمنية لإدارة الأصول والتحكم بالوصول.
- ممارسات Zero Trust (عندما تُطبق فعليًا) والتي تفترض أن الوصول لا يُمنح افتراضيًا حتى داخل الشبكة، بل يُقيد بالهوية والسياسات.
الأهم عمليًا: يجب أن تُعامل BMC كأصل عالي الحساسية ضمن نموذج التهديد، مع سياسات كلمات مرور قوية، وسجلات وصول، ومراجعات دورية لعدم التعريض للإنترنت.
خلاصة تحليلية: ما الذي يجعل هذه القصة “أكثر من مجرد خبر”؟
قصة تعريض واجهات BMC للإنترنت ليست جديدة من حيث المبدأ—لكنها تكشف فجوة تنظيمية متكررة: الأمن في المؤسسات غالبًا ينتهي عند حدود نظام التشغيل. بينما الواقع أن طبقات الإدارة المدمجة قد تكون “أقرب” للمهاجم من أي تطبيق، لأنها تمنحه مفاتيح تشغيل الخادم نفسه.
ومع توسع بنية مراكز بيانات الذكاء الاصطناعي، تصبح كل نقطة تحكم—حتى لو كانت قديمة أو “منسية”—أكثر قيمة. لذلك، فإن معالجة هذه المشكلة تتطلب مزيجًا من إجراءات عاجلة (حظر المنافذ وتدوير كلمات المرور) وتحولًا أعمق في طريقة إدارة الأصول والمخاطر.
سؤال للنقاش
إذا كان فريقك يؤمن التطبيقات والسحابة، فهل لدى مؤسستك جرد كامل لوحدات BMC وواجهات الإدارة خارج النطاق—وماذا يحدث عندما تُترك هذه الواجهات مكشوفة حتى لدقائق معدودة؟
للمتابعة والنقاش عبر منصاتنا:
X (Twitter)،
Facebook.
تنبيه: المعلومات أعلاه مبنية على مضمون البحث المقدم، مع توسيع سياقي لتعزيز الفهم التقني والعملي. يفضل دائمًا الرجوع إلى تقارير الجهات البحثية والمصنّعين عند تنفيذ التخفيفات.
Leave a Reply