في مجال الأمن السيبراني، غالبًا ما يكون هناك قول مأثور قديم: «الفشل في التخطيط هو التخطيط للفشل». تقليديًا، اتبعت العديد من المؤسسات نهجًا تفاعليًا للأمن - تصحيح الثغرات بعد الاختراق أو القيام بالحد الأدنى من خلال عمليات التدقيق السنوية. ومع ذلك، فإن مشهد التهديدات الحديث - مع وجود مهاجمين متطورين وعمليات استغلال يوم الصفر - أثبت أن الدفاعات التفاعلية لم تعد كافية. أدخل إدارة التعرض المستمر للتهديدات (CTEM)، وهي استراتيجية نشطة تعمل على تغيير اللعبة في مجال الأمن السيبراني.

مشكلة الفحوصات الأمنية الدورية

لسنوات، اعتمدت الشركات على عمليات مسح الثغرات الدورية واختبارات الاختراق السنوية للعثور على نقاط الضعف. في حين أن هذه الأمور مهمة، ضع في اعتبارك ما يلي: يتم اكتشاف نقاط ضعف جديدة في البرامج كل يوم تقريبًا، ويقوم المهاجمون بالبحث باستمرار عن الشبكات. إذا كنت تتحقق من وضعك الأمني مرة واحدة فقط في السنة (أو حتى مرة كل ربع سنة)، فأنت في الأساس تترك نافذة كبيرة من الوقت حيث توجد تعرضات غير معروفة. يمكن وضع تشابه مع الصحة: إنها مثل زيارة الطبيب لإجراء فحص طبي مرة واحدة فقط كل عقد - إذا حدث شيء سيء بينهما، فقد لا تصاب به إلا بعد فوات الأوان.

تظهر الإحصاءات خطر الفحص غير المتكرر. في عام 2021، قُدر أن عدد الاختراقات الأمنية المعروفة في جميع أنحاء العالم قد تجاوز 40 مليار سجل تم اختراقه - وهو رقم مذهل يؤكد عدد الفرص التي وجدها المهاجمون. في كثير من الأحيان، لا تحدث الانتهاكات لأن الشركات لم تكن على علم أبدًا بالثغرة الأمنية، ولكن لأنها اكتشفتها بعد فوات الأوان. ربما فات خادم مهم تصحيحًا كان معطلاً لعدة أشهر، أو تعرضت قاعدة بيانات تم تكوينها بشكل خاطئ للإنترنت دون علم تكنولوجيا المعلومات - يمكن اكتشاف هذه الأشياء من خلال المراقبة الاستباقية.

ما هو CTEM وكيف يختلف؟

إدارة التعرض المستمر للتهديدات (CTEM) هي في الأساس برنامج وإطار عمل للقيام بالأمان في حلقة مستمرة. بدلاً من «المسح والإصلاح والنسيان حتى العام المقبل»، تقول CTEM «قم دائمًا بالمسح، وكن دائمًا قيد الاختبار، وكن دائمًا في حالة تحسن». فهو يجمع بين المسح الآلي المستمر لأنظمتك مع تحليل المخاطر المستمر وعمليات المعالجة.

تشمل المكونات الرئيسية لـ CTEM:

• اكتشاف الأصول المستمر: لا يمكنك حماية ما لا تعرف أنك تملكه. تقوم أدوات CTEM بجرد أصول تكنولوجيا المعلومات الخاصة بك بشكل دائم - حيث تقوم بتدوير الماسحات الضوئية أو الوكلاء الذين يعثرون على الأجهزة الجديدة، ومثيلات السحابة، والحاويات، ومواقع الويب، وما إلى ذلك. إذا أطلق أحد المطورين خادمًا سحابيًا جديدًا دون إخبار الأمان، فيجب على CTEM اكتشافه في غضون ساعات أو أيام، وليس أشهر.
• التقييم المستمر للثغرات الأمنية: بدلاً من إجراء فحص نقاط الضعف الأمنية مرة كل ثلاثة أشهر، يقوم CTEM بأتمتة المسح على شكل موجات أو حتى على أساس متجدد. كل يوم، قد يتم فحص جزء من بيئتك بحيث يتم تقييم 100٪ من أنظمتك خلال فترة قصيرة - على سبيل المثال أسبوعين - ثم تبدأ الدورة مرة أخرى. وهذا يضمن أنه في حالة ظهور ثغرة خطيرة جديدة يوم أمس (تخيل ظهور خطأ جديد في خادم Apache يُطلق عليه اسم «Apache Apocalypse» في الأخبار)، فسوف تكتشف خوادم ضعيفة في دورة الفحص التالية، على عكس الربع التالي.
• تكامل المعلومات المتعلقة بالتهديدات: CTEM استباقية ليس فقط في العثور على نقاط الضعف الداخلية ولكن أيضًا في النظر إلى الخارج. إنها تسحب معلومات التهديدات حول ما يفعله المهاجمون الآن. على سبيل المثال، إذا كانت هناك معلومات تفيد بأن نوعًا معينًا من الشركات يتم استهدافه باستغلال معين، فإن عمليات CTEM ستزيد من التركيز على الدفاعات في هذا المجال. الأمر يشبه إلى حد ما مراقبة الحي - إذا سمعت أن المنازل ذات الأقفال المعينة يتم انتقاؤها في منطقتك، فستتحقق مما إذا كانت لديك هذه الأقفال وربما تستبدلها على الفور.
• سير عمل تحديد الأولويات والمعالجة: يمكن للتقييم المستمر توليد الكثير من البيانات، وربما مئات أو آلاف النتائج. يؤكد CTEM على تحديد الأولويات المستمر: معرفة التعرضات التي تمثل أكبر المخاطر في هذه اللحظة وإصلاحها أولاً. إذا كانت لديك 1000 ثغرة ولكن لديك موارد فقط لإصلاح 100 هذا الأسبوع، فإن CTEM تساعد في ضمان أنها أكثر 100 ثغرة أمنية (ربما تلك التي يتم استغلالها بنشاط في البرية، أو تلك الموجودة على الأنظمة المعرضة للإنترنت). عند تطبيق الإصلاحات، يحتوي CTEM على حلقة ملاحظات: قم بالمسح مرة أخرى للتحقق من حل المشكلة بالفعل. تعني دورة التحقق من الصحة والإصلاح والتحقق الثابتة هذه أنك تحرز دائمًا تقدمًا قابلاً للقياس ولا تتراجع.
• المقاييس والتحسين المستمر: تتعقب برامج CTEM مقاييس مثل «متوسط الوقت لمعالجة الثغرات الأمنية» أو «عدد النتائج الهامة بمرور الوقت». الهدف هو رؤية أولئك الذين يتجهون في الاتجاه الصحيح. الإدارة المستمرة تعني أنك لا تطلق النار وتنسى فحسب؛ بل تتعلم وتتكيف. إذا استمر أحد أنواع التعرض في التكرار، فسيقوم CTEM بوضع علامة على هذا النمط حتى تتمكن من معالجة السبب الجذري (ربما يحتاج المطورون إلى تدريب آمن على الترميز، أو يحتاج نظام قديم معين إلى الترقية، وما إلى ذلك).

فوائد CTEM: البقاء في المقدمة بخطوة

• نافذة التعرض المنخفض: من خلال معالجة المشكلات بانتظام وبسرعة، فإنك تقصر بشكل كبير الوقت الذي تعيش فيه الثغرة الأمنية في بيئتك. يؤدي هذا إلى تقليص النافذة التي يمكن للمهاجم استغلالها. إنه الفرق بين النافذة المفتوحة في منزلك التي تُترك مفتوحة لمدة 5 دقائق مقابل 5 أيام.
• الدفاع التكيفي: تتكيف البرامج المستمرة مع التغيير. عندما يضيف قسم تكنولوجيا المعلومات لديك أصولًا أو برامج جديدة، فإن CTEM يستوعبها ويدرجها في الدورة. إذا تغير مشهد التهديدات (مثل الارتفاع المفاجئ في برامج الفدية التي تستهدف برنامج VPN معين)، فإن CTEM تعيد تركيز جهودك لمواجهة ذلك. إنها ديناميكية.
• الامتثال التنظيمي والثقة: تتوقع العديد من اللوائح (مثل PCI DSS للدفع، أو قوانين حماية البيانات المختلفة) الآن مراقبة أمنية مستمرة. يساعد نهج CTEM على تلبية هذه المتطلبات من خلال التصميم. بالإضافة إلى الامتثال، فإنه يبني أيضًا الثقة مع أصحاب المصلحة - يمكنك أن تثبت بشكل ملموس أنك لا تقف مكتوف الأيدي بشأن الأمان. على سبيل المثال، يمكنك القول: «نكتشف ونعالج 90٪ من نقاط الضعف الحرجة في غضون 7 أيام من الاكتشاف»، وهو ضمان قوي للعملاء أو شركات التأمين أو الشركاء.
• فعالية التكلفة على المدى الطويل: بينما تتطلب CTEM الاستثمار في الأدوات والعمليات، يمكنها توفير المال عن طريق منع الانتهاكات المكلفة. ضع في اعتبارك نفقات الاختراق - الاستجابة للحوادث، ووقت التوقف عن العمل، وإخطار المستخدمين، وربما الغرامات التنظيمية، والإضرار بالسمعة. يعد إصلاح الخلل بشكل استباقي أرخص بكثير من التنظيف بعد وقوع حادث. أيضًا، يمكن تحسين العمليات المستمرة وضبطها بمرور الوقت، وغالبًا ما تصبح أكثر كفاءة من الجهود الكبيرة المخصصة.
• المواءمة التنظيمية: تصبح CTEM، عند تنفيذها بشكل جيد، جزءًا من ثقافة المنظمة. تتعاون الفرق المختلفة (تكنولوجيا المعلومات، DevOps، الأمان، الإدارة) بشكل وثيق ومستمر، بدلاً من ظهور فريق الأمان مرة واحدة في السنة بقائمة ضخمة من المشاكل. وهذا يعزز بيئة أكثر تعاونًا حيث يُنظر إلى الأمن على أنه مسؤولية مشتركة مستمرة بدلاً من عملية تدقيق لمرة واحدة.

تنفيذ CTEM: كيفية البدء

الانتقال إلى CTEM هو رحلة. في ما يلي بعض الخطوات التي تتخذها المؤسسات عادةً:

1. تقييم الحالة الحالية: ابدأ بتقييم كيفية العثور حاليًا على مشكلات الأمان وإصلاحها. حدد الثغرات - على سبيل المثال، ربما لديك أدوات مسح ولكنك تستخدمها بشكل غير منتظم، أو تفتقر إلى مخزون الأصول السحابية. سيُظهر هذا التخطيط ما يجب تحسينه.
2. استثمر في الأدوات المستمرة: ابحث في المنصات التي تسهل المراقبة المستمرة. على سبيل المثال، يوفر حل الشركاء S4E إمكانية المسح والتحليل المستمر القائمة على الذكاء الاصطناعي، والتي يمكن أن تكون العمود الفقري لـ CTEM. تأكد من إمكانية دمج الأدوات التي تختارها (حتى تتمكن من مشاركة البيانات وتغذية لوحة معلومات موحدة للمخاطر).
3. التشغيل الآلي والتكامل: جزء كبير من CTEM هو الأتمتة. ستحتاج إلى إجراء عمليات الفحص تلقائيًا، وربما إنشاء التذاكر تلقائيًا للمشكلات، ودمج خلاصات Intel الخاصة بالتهديدات. لا تعني الأتمتة هنا «عدم وجود إشراف بشري»، ولكنها تعني أن الآلات تتعامل مع المهام الروتينية (مثل إجراء عمليات المسح كل ليلة أو ربط السير الذاتية الجديدة بقائمة الأصول الخاصة بك) حتى يتمكن البشر من التركيز على القرارات والإصلاحات.
4. إنشاء إيقاع: قم بإعداد إيقاع مناسب لمؤسستك. ربما تُعقد اجتماعات مراجعة الثغرات الأمنية أسبوعيًا، مع التعامل مع المشكلات الحرجة على الفور وتحديد مواعيد أخرى. ربما تقوم بإجراء «تدريبات نارية» صغيرة شهريًا لاختبار استجابتك للحوادث باستخدام سيناريوهات التهديد الحالية. المفتاح هو الحصول على إيقاع مستمر، وليس زيادة سنوية كبيرة في النشاط.
5. القياس والضبط: حدد بعض المقاييس (على سبيل المثال، متوسط أيام تصحيح وحدات التخزين الحرجة وعدد الأنظمة التي لا تتطلب التكوين الأساسي المطلوب) وراقبها. إذا توقف التقدم، تحقق من السبب. يتعلق CTEM بالتحسين المستمر، لذا استخدم هذه المقاييس لدفع التعديلات في العملية أو التركيز.

الخاتمة

تمثل إدارة التعرض المستمر للتهديدات تحولًا في العقلية من مكافحة الحرائق التفاعلية إلى إدارة المخاطر الاستباقية. ويقر التقرير بأنه في الرمال المتغيرة باستمرار للأمن السيبراني، فإن النهج الثابت أو الدوري يترك الكثير للصدفة. من خلال اكتشاف التهديدات وتقييمها والتخفيف من حدتها بشكل مستمر، يمكن للمؤسسات الحد بشكل كبير من مخاطر الاختراق والحفاظ على ذكائها في مواجهة التحديات الجديدة.

بعبارات أبسط، يشبه CTEM الحفاظ على صحة جيدة من خلال العادات اليومية (اتباع نظام غذائي متوازن، وممارسة التمارين الرياضية بانتظام، والفحوصات المتكررة) بدلاً من الانتظار لعلاج الأمراض حتى تصبح شديدة. قد يتطلب الأمر الانضباط والجهد، لكن المكافأة - وضع أمني أقوى وأكثر مرونة - تستحق العناء. التهديدات الإلكترونية لا تتوقف، لذلك لا ينبغي لدفاعاتنا أيضًا.