الهجمات متوقعة والدفاعات غير متوقعة: لماذا قابلية الرصد هي الفجوة الأمنية الحقيقية؟

لا تنجح معظم الهجمات السيبرانية بفضل ذكاء المهاجمين أو ابتكارهم.

فالغالبية العظمى منها يمكن التنبؤ بها إلى حد كبير، إذ تسلك المسارات ذاتها المعتادة والأقل مقاومة عبر بيئات الضحايا.

ما يبقى غير متوقع ليس سلوك المهاجمين، بل الدفاعات التنظيمية.

غالبًا ما تُقوَّض استراتيجيات الأمن بسبب سوء التكوين، والامتيازات المفرطة، والخدمات المكشوفة، والاتصالات غير المراقبة بين الأنظمة.

عندما تعمل المؤسسات بدفاعات غير موثوقة مبنية على خرائط غير مكتملة، فإن حتى الهجوم الأكثر قابلية للتنبؤ به يأتي بمثابة مفاجأة.

لماذا يجد المدافعون أنفسهم عالقين بخرائط أمنية لا يمكنهم قراءتها

ليس من المبالغة القول إن الجهات الفاعلة في التهديد غالبًا ما تمتلك صورة أوضح لكيفية اتصال الأنظمة مقارنة بمعظم فرق الأمن.

عبر بيئات الحوسبة الهجينة والسحابية، تفتقر معظم المؤسسات إلى رؤية شاملة لكيفية تواصل تطبيقاتها وهوياتها وأجهزتها وأعباء عملها. يمكنها تحديد ما هو موجود، لكنها لا تستطيع رسم خرائط موثوقة لكيفية اتصال كل ذلك. وهذا يعني أنها لا تستطيع أيضًا تتبع المسارات التي قد يسلكها المهاجم.

ينعكس هذا النقص في الرؤية السياقية مباشرة في المخاطر السيبرانية التي تؤدي إلى معظم الاختراقات. فقد كشفت أبحاثنا حول “فجوة الاحتواء” أن ثغرات تكنولوجيا المعلومات تتصدر قائمة المخاوف الأمنية بنسبة 66%، تليها سرقة بيانات الاعتماد وتصعيد الامتيازات بنسبة 45%.

هذه ليست نواقل هجوم معقدة أو يصعب التنبؤ بها، بل هي أساسيات مفهومة جيدًا. وفي المقابل، تحتل الثغرات الأمنية غير المتوقعة المعروفة باسم “ثغرات يوم الصفر” مرتبة أدنى بكثير بنسبة 23%.

فلماذا لا تزال هذه المخاطر المعروفة هي المحرك الرئيسي لمعظم حالات التعرض، بدلاً من تقنيات الهجوم المتقدمة؟

يعود ذلك جزئيًا إلى مشكلة في الأدوات. فالأساليب القديمة مثل جدران الحماية لم تُصمم أبدًا لتوفير رسم خرائط لتبعيات التطبيقات والشبكات. هذا ليس الغرض من البيانات القياسية (telemetry) التي تولدها، لذا فإن النتيجة هي استراتيجية أمنية مبنية حول أنظمة فردية يتم تقييمها بمعزل عن بعضها. وهذا يعني أن الفرق قد تؤمن كل نظام بفعالية بينما تظل غافلة عن كيفية تحرك المهاجم بينها.

وبطبيعة الحال، يستغل المهاجمون هذه الحدود بنشاط. فهم يستهدفون نقطة ضعف في منطقة ما للانتقال نحو ما هو الأهم. وبدون رؤية متصلة للبيئة، لا يملك المدافعون طريقة موثوقة لتوقع تلك المسارات. والنتيجة هي تزايد الانفصال بين الكشف والإجراء. لمعرفة المزيد عن كيفية تغيير قياس الأداء في هذا المجال، يمكنك قراءة مقال الأمن السيبراني يحتاج مقياس أداء جديدًا.

الفجوة المتزايدة بين الكشف والاحتواء

حتى عندما تتمكن فرق الأمن من رؤية إشارات التهديد عبر أدوات الكشف الخاصة بها، فإنها غالبًا ما تفتقر إلى قابلية المراقبة (observability) اللازمة لفهم أهمية هذه الإشارات. إن بناء هذا السياق يهدر وقتًا ثمينًا، مما يؤخر بشكل حاسم القدرة على الاستجابة.

كشفت أبحاثنا أن 95% من المتخصصين في الأمن واثقون من قدرتهم على اكتشاف الحركة الجانبية غير المصرح بها، ومع ذلك، فإن 17% فقط يمكنهم عزل عبء عمل مخترق في الوقت الفعلي تقريبًا. ولا يزال معظمهم (51%) يستغرقون بضع ساعات أو أكثر لاحتواء حادث.

هذا التأخير حاسم. فقد وجدت CrowdStrike أن متوسط الوقت اللازم لتحقيق الحركة الجانبية أصبح الآن 29 دقيقة فقط. وبحلول الوقت الذي تكون فيه معظم المؤسسات مستعدة للتصرف، يكون المهاجم قد تحرك بالفعل.

حتى لو اخترق المهاجم الدفاعات وأسس وجودًا مستمرًا، فإنه لم ينجح بالضرورة إذا أمكن منعه من الوصول إلى البيانات والأنظمة الحيوية.

ومع ذلك، فإن نافذة التدخل تتقلص. فأدوات الذكاء الاصطناعي تمكّن من شن هجمات أسرع وأكثر استقلالية. وما كان يتطلب سابقًا وقتًا وجهدًا يدويًا وتجربة وخطأ، يمكن الآن تنفيذه بسرعة آلية، حيث يحدد المهاجمون بسرعة مسارات المقاومة الأقل ويستغلونها بالتوازي. لمزيد من المعلومات حول التهديدات الجديدة، اقرأ عن برامج الذكاء الاصطناعي الخبيثة وكيف تفرض توسيع مبدأ Zero Trust.

تزيد التطورات مثل Claude Mythos و GPT-5.5 من قدرة المهاجمين على اكتشاف الثغرات الأمنية بسرعة، وتطوير استغلالات (exploits) موجهة، وربطها ببعضها البعض – مما يوسع الفجوة بين الكشف والاستجابة. هذا التزايد السريع في عدم التماثل بين سرعة المهاجمين واستجابة المدافعين أصبح النتيجة الأكثر إثارة للقلق، ويعود ذلك إلى نقاط الضعف في آليات الدفاع الحديثة. لمزيد من المعلومات حول التهديدات الجديدة، يمكنك قراءة مقالنا عن برامج الذكاء الاصطناعي الخبيثة.

إعادة التفكير في الوضع الدفاعي

مع تزايد سرعة المهاجمين ودقتهم بفضل الذكاء الاصطناعي، لم تعد النماذج التقليدية التي تعتمد على الوقاية والكشف وحدهما كافية. فالكشف عن الهجمات دون القدرة على التصرف بسرعة يطيل ببساطة نافذة الفرصة المتاحة للمهاجم.

يتطلب تعزيز المرونة تحولاً جذرياً في طريقة تفكير المؤسسات حول إيقاف الهجمات بمجرد اختراقها للأنظمة. لهذا التحول جانبان، وكلاهما ضروري.

الجانب الأول هو الاحتواء الاستباقي. يبدأ هذا بالاعتراف بأن الاختراق أمر لا مفر منه، والتصرف بناءً على هذا الافتراض قبل وقوع أي حادث. ويعني ذلك فهم مستوى المخاطر من حيث الاتصال والمسارات، وتحديد ما إذا كانت هذه المخاطر مقبولة.

وإذا لم تكن مقبولة، يجب على المؤسسات اتخاذ خطوات لتقليل المخاطر. أزِل المسارات غير الضرورية، وافرض حدوداً بين الأنظمة، وحدد مدى قدرة المهاجم على التحرك قبل مواجهة المقاومة. الهدف هو جعل البيئة أصعب في التنقل، وليس فقط أصعب في الدخول.

الجانب الثاني هو الاحتواء التفاعلي. عند وقوع حادث، تحدد سرعة العزل النتيجة. الاحتواء الاستباقي يحد من خيارات المهاجم، بينما العزل التفاعلي يزيلها تماماً. يجب التعامل مع الضوابط المعمارية المصممة لتقليل نطاق تأثير الاختراق كبنية تحتية قياسية، وليس كشيء يُضاف بعد وقوع الحدث. لمعرفة المزيد عن كيفية قياس الأداء في هذا المجال، اقرأ مقالنا حول مقياس أداء جديد للأمن السيبراني.

لا يكفي أي من هذين النهجين بمفرده، بل تحتاج إلى عملهما معاً لتقليل مخاطر الاختراق الخطير بشكل حقيقي.

الرصد الشامل (Observability) كأساس

يعتمد كل من الاحتواء الاستباقي والتفاعلي على شرط مسبق واحد: صورة كاملة ودقيقة لكيفية اتصال البيئة ولماذا.

وهذا يعني تجاوز مجرد مراقبة الأصول الفردية وبناء رؤية شاملة حقيقية من البداية إلى النهاية: رؤية ترسم خرائط تفاعل أعباء العمل والهويات والتطبيقات، وتحدد مسارات المقاومة الأقل التي قد يتبعها المهاجم فعلياً. لا يمكنك تجزئة ما لا تراه، ولا يمكنك عزل ما لا تفهمه.

هنا تُغير رسوم بيانية الأمن المدعومة بالذكاء الاصطناعي (AI security graphs) المعادلة. فمن خلال رسم خرائط للتبعيات عبر البيئة بأكملها في الوقت الفعلي، تكشف هذه الرسوم البيانية عن المسارات التي يُرجح أن يستغلها المهاجمون.

تستند هذه الرؤية إلى الاتصال الفعلي للأنظمة، بدلاً من مجرد درجات المخاطر النظرية. وهذا يتيح للمدافعين تحديد أولويات التجزئة (segmentation) حيث توفر أكبر قدر من الحماية، بدلاً من تأمين الأصول بشكل منفصل على أمل أن يسلك المهاجم مساراً مختلفاً.

مع تزايد اعتماد المهاجمين على الذكاء الاصطناعي للتحرك بشكل أسرع وأكثر دقة، أصبحت هذه الرؤية الشاملة للنظام أكثر أهمية من أي وقت مضى. تعمل المناهج الأمنية القائمة على الرسوم البيانية (Graph-based security approaches) على تحقيق تكافؤ الفرص. فهي تمنح المدافعين نفس الرؤية المستنيرة للبيئة التي كان المهاجمون يبنونها لأنفسهم بصمت، بالإضافة إلى السرعة اللازمة للتصرف بناءً عليها قبل أن يصبح التحرك الجانبي (lateral movement) خارج السيطرة. يمكنك قراءة المزيد عن كيفية استغلال الذكاء الاصطناعي في الهجمات في مقالنا: الخبراء يخترقون Microsoft Copilot.

لا تنجح الهجمات المتوقعة إلا في البيئات غير المتوقعة. عندما يتمكن المدافعون من تحديد فجوة الرؤية وسدها، يفقد المهاجمون خريطتهم.

لقد قمنا بمراجعة وتقييم وتصنيف أفضل برامج مكافحة الفيروسات.