الخلاصة

  • عند الساعة 07:08 بالتوقيت العالمي المنسق في 25 يناير 2023، استُخدم خلال إضافة سعة في مدريد أمر لم يكن نطاقه مؤهّلاً على جميع منصات الموجّهات؛ فمحا معلومات IGP خارج الجهاز المحلي على منصة أحد المصنّعين، وأطلق إعادة حساب واسعة ثم إعادة إعلان مسارات BGP، لتبدأ الموجة الأولى من الأثر على العملاء.
  • بعد 33 دقيقة نُفذت العملية نفسها يدوياً على الموجّه الثاني في مدريد لأن المهندس المنفذ لم يُبلّغ بالتنبيهات النشطة، فظهرت موجة ثانية. لذلك لا يقتصر موضع المساءلة على صياغة الأمر، بل يشمل الصلة بين مراقبة الحادث والقدرة على إيقاف تغيير جارٍ.
  • تعافت معظم الأجهزة والمناطق والخدمات بحلول 09:05، وآخر معدات الشبكة بحلول 09:25، لكن أنظمة صحة الشبكة الواسعة وهندسة الحركة المتوقفة احتاجت إلى إعادة تشغيل يدوية قبل اكتمال التخفيف عند 12:43. كان التعافي متدرجاً، لا نتيجة تراجع واحد وفوري.

مهمة محلية امتد أثرها إلى نطاق توجيه عالمي

بدأ الحادث أثناء عمل مخطط لإضافة سعة إلى شبكة مايكروسوفت العالمية الواسعة في مدريد. شملت المهمة تغيير عناوين IP على موجّهين جديدين وإدخالهما في نطاقي التوجيه الداخلي IGP والخارجي BGP. كان موضع العمل الفيزيائي محدوداً، لكن البرنامج الجاري على الموجّهات هو الذي حدّد النطاق الفعلي للأمر.

وفق المراجعة النهائية لما بعد الحادث من مايكروسوفت، كان إجراء التشغيل القياسي قد عُدّل قبل الحدث من دون إعادة اختباره، كما افتقر إلى فحوص لازمة قبل التنفيذ وبعده. احتوى الإجراء أمراً لمسح قاعدة بيانات IGP. على أجهزة مصنعين كان الأثر محلياً، بينما كان السلوك الافتراضي على منصة مصنع ثالث يمتد إلى جميع الموجّهات المتصلة عبر IGP. ولم يكن نظام تفويض الأوامر لدى مايكروسوفت قد صنّف ذلك السلوك الواسع الخاص بالمنصة ضمن الأوامر المحظورة.

أدى التنفيذ الأول عند 07:08 إلى إعادة حساب الموجّهات لطوبولوجيا الشبكة الداخلية وقابلية الوصول. وبعد ذلك أعادت موجّهات BGP إعلان بادئات الإنترنت والتحقق منها مع تغير المسارات. هذه هي الآلية الداخلية الحاكمة في السجل النهائي: أمر ذو نطاق فعلي غير مؤهّل أطلق إعادة حساب IGP، ثم انعكس على إعلانات BGP ومسارات تمرير الرزم.

هذا التسلسل يجعل الواقعة قضية مساءلة عن بنية الشبكة، لا مجرد انقطاع سحابي عام. فلو حُذفت آلية IGP/BGP من القصة لاختفى تفسير الأثر على الاتصال. السؤال الضيق ليس لماذا أدخل شخص أمراً فحسب، بل لماذا لم تتمكن الإجراءات وضوابط التفويض من إثبات حدود ذلك الأمر على كل منصة قبل بلوغه نطاق توجيه حي.

الإذن ليس دليلاً على حدود التنفيذ

يصف اسم المهمة نية المشغّل، أما الموجّه فينفذ دلالة البرنامج على المنصة الموجودة فعلاً. حين تختلف الدلالات بين المصنعين، لا يكفي أن يتطابق نص الأمر أو أن تسمح به قائمة صلاحيات. التفويض يجيب عمن يحق له التصرف، في حين يجب أن يثبت التأهيل ماذا سيحدث على إصدار ومنصة ودور شبكي محدد.

لم تنشر المصادر أسماء المصنّعين أو نماذج الأجهزة أو إصدارات البرمجيات أو النص الحرفي للأمر. لذلك لا يجوز استنتاج منصة بعينها أو عيب منتج محدد. الثابت هو أن الأثر كان محلياً لدى مصنعين وشاملاً لكل الموجّهات المتصلة بـIGP لدى الثالث، وأن نظام التفويض لم يمنع هذا السلوك المختلف.

غياب فحوص ما قبل التنفيذ وما بعده جعل الفجوة الدلالية أخطر. في تغيير عالي الأثر، ينبغي أن يكون النطاق المتوقع قابلاً للاختبار: ما الأجهزة والمجاورات ومجالات التوجيه التي يُفترض أن تتغير، وما مؤشرات الحالة التي ستثبت أن الواقع بقي داخل ذلك الحد؟ وإذا تغيّرت الطوبولوجيا أو البادئات خارج النطاق المعلن، يجب أن يصبح التوقف نتيجة تشغيلية للتنبيه، لا مجرد توصية تُراجع لاحقاً.

هذه استنتاجات لضبط المخاطر تستند إلى الواقعة، وليست ادعاءً بأن فحصاً واحداً كان سيمنع كل فشل. لكنها تعيد مركز المساءلة إلى النظام: اختبار الإجراء بعد تعديله، وتأهيل دلالة الأوامر بحسب المنصة والدور، ومقارنة الحالة الفعلية بالتوقع، وتمكين الاستجابة من وقف الخطوة التالية.

ما رآه الإنترنت كان أثراً لا سبباً داخلياً

رصدت ThousandEyes سحب بادئات لمايكروسوفت ثم إعادة إعلانها، وتحول بعض الحركة من وصلات التناظر المباشر إلى مزودي العبور، مع فقدان ملحوظ للرزم. ورصدت Kentik هبوطين إجماليين في الحركة وتفاوتاً كبيراً بين المناطق والمسارات، مع تأثر بعض البادئات واستمرار أخرى في حمل الحركة.

تؤدي هذه القياسات دوراً مهماً لأنها تبين كيف ظهر الاضطراب عند حدود الشبكة التي يستطيع العملاء والشبكات المجاورة قياسها. لكنها لا تكشف بمفردها الأمر الداخلي أو مسار القرار الذي سمح به. كما لا تثبت اختطافاً لمسارات BGP أو هجوماً خارجياً. أشارت Kentik صراحة إلى أن عدم استقرار BGP العام كان على الأرجح عرضاً للفشل الداخلي، لا جذره.

مع ذلك ظل BGP جزءاً مركزياً من سلسلة الأثر. عندما أعادت الشبكة الداخلية حساب طوبولوجيتها، أعادت الموجّهات الحدّية إعلان البادئات والتحقق منها. تغيرت المسارات، وتحولت بعض الحركة إلى العبور، وظهر ذلك للعملاء في صورة زمن تأخر وفقد رزم وانقطاعات متقطعة أو فقد كامل للاتصال على بعض المسارات. الرصد الخارجي يثبت الأثر؛ أما المراجعة النهائية للمشغّل فتحدد الآلية الداخلية.

يجب أن يبقى هذان المستويان منفصلين ومتصلين في آن واحد. قياسات الإنترنت تختبر اتساق رواية المشغّل مع ما حدث خارج شبكته، لكنها لا تحل محل السجلات الداخلية. ورواية المشغّل تفسر الأمر والأنظمة الخاصة، لكنها تستفيد من المراقبة المستقلة لتأكيد أن تغير قابلية الوصول كان حقيقياً ومتفاوتاً.

عمليتان يدويتان صنعتا موجتين

لم يكن الحدث سلسلة آلية واحدة تكررت من تلقاء نفسها. تقول المراجعة النهائية إن أنظمة المراقبة كشفت أعراضاً في DNS والشبكة الواسعة وأطلقت تنبيهات عند 07:11. لكن المهندس الذي كان ينفذ تغيير مدريد لم يُبلّغ بتلك التنبيهات، فنفذ العملية نفسها على الموجّه الثاني بعد 33 دقيقة من الأولى. أدى ذلك إلى موجة ثانية.

ظهور موجتين منفصلتين في قياسات ThousandEyes وKentik يتسق مع هذه الرواية. ولا تستطيع القياسات الخارجية تحديد هوية المنفذ أو مسار الاتصال الداخلي؛ المراجعة النهائية هي التي تقرر أن العملية الثانية كانت يدوية. كانت فرضية مبكرة تتساءل عما إذا كانت الأتمتة قد كررت التغيير، لكنها ليست الخلاصة الحاكمة بعد صدور السجل النهائي الأكثر تحديداً.

تكشف الدقائق الثلاث والثلاثون حدّاً تنظيمياً مهماً. لقد اكتشف نظام المراقبة الخلل، وبدأت الاستجابة، لكن المعلومة لم تصل إلى الطرف القادر على استدعاء الآلية ذاتها مرة أخرى. كان كل جزء يعمل بصورة ما، إلا أن النظام المركب لم يحوّل التنبيه إلى شرط يوقف التنفيذ التالي.

لا يبرر ذلك لوم مهندس غير مسمى. لا يبين السجل نية الشخص أو كامل سياق وحدة التحكم لديه. لكنه يثبت خصائص يمكن للمؤسسة فحصها: إجراء معدل لم يُختبر، وفحوص ناقصة، وتصنيف غير كامل لأمر واسع الأثر، ومسار تنبيه لم يمنع العملية الثانية. المسؤولية هنا مسؤولية تصميم الضوابط وتوزيع القرار، لا حكم على فرد.

أثر عالمي متفاوت بحسب المسار

امتد الحادث عبر شبكة عالمية، لكن تجربة العملاء لم تكن متماثلة. دعمت المصادر تأثر الحركة بين الإنترنت وAzure، والحركة بين المناطق، والاتصالات بين بيئات العملاء والسحابة عبر ExpressRoute وVPN وVirtual WAN. كما تأثرت خدمات تعتمد على اتصال Azure، ومنها أجزاء من Microsoft 365 وPower Platform وخدمات Azure Government المعتمدة على Azure العام.

تفاوتت الأعراض بين زيادة زمن التأخر، وانتهاء المهلة، وفقد الرزم المتقطع، وفي بعض الحالات فقد الاتصال تماماً على مسارات محددة. كانت الهند وأجزاء من أميركا الشمالية ضمن مسارات التعافي الأطول. لكن الأدلة لا تثبت أن كل منطقة أو خدمة أو عميل أو بادئة إنترنت فشلت بالطريقة نفسها.

هذا التفاوت متوقع في شبكة تسحب مسارات وتعيد إعلانها وتتحول بين التناظر والعبور أثناء التقارب. وهو يحذر من الاعتماد على متوسط عالمي واحد. قد تتحسن النسبة الإجمالية بينما تظل أزواج مصدر ووجهة بعينها متضررة. لذلك ينبغي أن تقيس معايير التعافي قابلية الوصول على مستوى المسار، لا مجرد عودة معظم الخدمات.

ولا تتضمن المواد المتاحة عدداً مدققاً للمستخدمين أو العملاء المتأثرين، ولا قائمة كاملة بالمناطق والخدمات، ولا خسارة مالية مثبتة. لا يوجد أيضاً دليل على فقد بيانات العملاء أو نشاط خبيث. يمكن وصف الأثر التقني الواسع من دون ملء هذه الفراغات بأرقام أو استنتاجات غير موجودة.

التعافي حدث على طبقات

حدد المهندسون الأمر المسبب بحلول 08:20 بينما كان تقارب التوجيه الآلي يتقدم. بحلول 09:05 كانت غالبية الأجهزة والمناطق والخدمات قد تعافت، وبحلول 09:25 استعادت آخر معدات الشبكة عملها. ومع ذلك لم يكن الحادث قد انتهى بالكامل.

استمر فقد رزم أعلى من الطبيعي في مواقع محددة لأن أنظمة صحة الشبكة الواسعة وهندسة الحركة كانت متوقفة. احتاجت هذه الأنظمة إلى إعادة تشغيل يدوية، ولم تعلن مايكروسوفت اكتمال التخفيف إلا عند 12:43. ولهذا يمتد إطار أثر العملاء الرسمي من 07:08 إلى 12:43 رغم عودة معظم المسارات قبل ذلك بساعات.

نقلت التغطية المعاصرة إشارات مايكروسوفت المبكرة إلى تراجع عن تغيير في التوجيه. كانت تلك المعلومة مفيدة أثناء تطور الحدث، لكنها لا تختصر التسلسل النهائي. يميز التقرير النهائي بين التقارب الآلي، وعودة أغلب الخدمات، وتعافي آخر معدات الشبكة، ثم إعادة تشغيل الأنظمة المساندة يدوياً.

تغيير مسار أو التراجع عنه لا يثبت وحده أن الشبكة استعادت حالتها التشغيلية الموثوقة. يمكن أن تعود الرزم بينما تظل الأنظمة التي تقيس صحة المسارات وتوجّه الحركة متوقفة. لذلك يجب أن يتضمن إغلاق الحادث أدلة منفصلة على استعادة التمرير، وعودة المعدات، وعمل أنظمة الضمان والتحكم المساندة.

نتيجة نظامية ضمن حدود الأدلة

يسند السجل نتيجة تقنية واضحة: إجراء متغير وغير معاد الاختبار احتوى أمراً اختلف نطاقه بين منصات الموجّهات؛ أطلق الأمر إعادة حساب IGP وتغيرات BGP؛ واجه العملاء فشلاً متفاوتاً في الاتصال؛ ثم نُفذت العملية يدوياً مرة ثانية قبل وصول التنبيهات إلى منفذ التغيير، فأنتجت موجة أخرى. تلا ذلك تعافٍ على مراحل انتهى بإعادة تشغيل يدوية لأنظمة مساندة.

لا يسند السجل حكماً قضائياً أو تنظيمياً، ولا يثبت إهمالاً قانونياً أو خرقاً تعاقدياً أو التزاماً بالتعويض. كما لا يتيح توزيع كل قرار على مسؤول داخلي بعينه. الحفاظ على هذه الحدود لا يقلل من أهمية الخلل؛ بل يمنع الخلط بين تحليل بنية التحكم وحكم قانوني لا توفره الأدلة.

أعلنت مايكروسوفت أعمال إصلاح تشمل تدقيق الأوامر عالية الأثر عبر المصنعين والأدوار وحظرها، وإظهار النشاط المؤهل وغير المؤهل للمستجيبين، وفرض التدريب والإقرار، ومراجعة الإجراءات المعلقة عبر مجلس استشاري للتغيير. هذه التزامات إصلاح معلنة. لا تثبت المصادر المستخدمة هنا أنها اكتملت أو أنها كانت فعالة لاحقاً، ولذلك لا يجوز عرضها كنتائج متحققة.

المعيار العملي الذي تدعمه الواقعة أضيق: يجب أن تثبت المؤسسة نطاق التنفيذ على كل منصة، وأن تراقب بقاء حالة IGP وBGP ضمن حدود معلنة، وأن تحول تنبيه الحادث إلى سلطة قادرة على وقف العملية التالية، وأن تعتبر استعادة أنظمة الصحة وهندسة الحركة جزءاً من التعافي لا ملحقاً به.

المصادر