ثلاثة أسئلة تُباع كأنها سؤال واحد

قد يجد فريق أمني نفسه أمام ثلاثة عروض أسعار مكتوبة بالكلمات نفسها تقريباً. كلها تقول مستمر. كلها تقول انكشاف. كلها تعرض لوحة بعدّاد يتناقص. وعند شرائها معاً تتداخل في مواضع وتترك فجوات في مواضع أخرى، وتظهر الفجوة حين يسأل مدقق سؤالاً محدداً لا أثناء العرض التجريبي. التفريق بينها عمل شرائي أكثر منه عمل تقني، ويجب أن يحدث قبل وضع القائمة القصيرة.

ثلاثة أسئلة شراء تحت مفردات واحدة

تُباع إدارة سطح الهجوم وإدارة الثغرات والتحقق من الضوابط الأمنية بالأسماء نفسها، وتحت هذه الأسماء ثلاثة أسئلة شراء مختلفة. ما الذي يصل إليه الإنترنت الآن، دون أن يمنح أحد من داخل المؤسسة أي صلاحية. أي نتيجة موجودة أصلاً في لوحة التحكم تُعالَج هذا الأسبوع، ومن يغلقها. وهل الضابط الذي اشتُري لإغلاقها يعمل على الجهاز الذي رُخِّص له.

لا واحد من الثلاثة مرحلة من الآخرين، وترتيبها كدرجات نضج هو الموضع الذي تضيع فيه الميزانية. موقع الأداة هو ما يحدد السؤال الذي تستطيع الإجابة عنه. أداة تقف خارج المؤسسة بلا أي بيانات دخول ترى ما يراه الغريب، ولا ترى إن كان خادم داخلي قد رُقِّع. وأداة تجمع من الأجهزة الطرفية ترى إن كان الوكيل يعمل، ولا ترى النطاق الفرعي الذي لم يسجله أحد. وأداة تقف فوق الماسحات ترى مخرجات كل الماسحات دفعة واحدة، ولا تنتج أي نتيجة بنفسها، فتعرف بقدر ما يُعطى لها.

ما الذي يصل إليه الإنترنت الآن

الجواب في الخارج، ومن هناك يبدأ النظر. الاستطلاع يبدأ من اسم نطاق لا من جرد. أي أسماء مضيفين تُحلّ، وأيها يشير إلى نسخة سحابية أُنشئت لحملة انتهت في مارس. وهل بدأ سجل DMARC ولم يكتمل، فصار بالإمكان انتحال نطاق البريد على يد من يقرؤه. الأصل الذي يسبب الحادثة هو الأصل الذي لم يدخله أحد في الجرد، وأداة تعمل انطلاقاً من تلك القائمة لا تبحث عنه.

والفجوة تتسع من تلقاء نفسها. يُولَّد الكود والبنية التحتية أسرع مما تسجل عمليات التغيير ما جرى نشره، فيسبق ما تملكه المؤسسة ما دوّنته. هذه مسألة اكتشاف لا مسألة ترتيب.

وقد كتبت جهة حكومية واحدة هذا الإيقاع بالأيام. التوجيه التشغيلي الملزم 23-01 الصادر عن CISA يطلب من الوكالات المدنية الفيدرالية الأميركية إجراء اكتشاف آلي للأصول كل 7 أيام، وبدء تعداد الثغرات على الأصول المكتشفة كل 14 يوماً. وهو يلزم تلك الوكالات ولا يلزم أي مشترٍ في هذه المنطقة. تعرّف CISA اكتشاف الأصول بأنه غير تدخلي ولا يحتاج عادة صلاحيات وصول منطقية خاصة، بينما يكشف تعداد الثغرات خصائص المضيف ويحدد التحديثات الناقصة. نشاطان، ومتطلبا وصول مختلفان، ومنتج يؤدي أحدهما لا يؤدي الآخر بصمت.

أي نتيجة تُعالَج أولاً

يبدأ هذا السؤال بعد وجود النتائج. إنها مسألة ترتيب لا مسألة كشف. ماسح شبكات وماسح تطبيقات ويب وأداة وضعية سحابية، كل منها يكتب حقل خطورة خاصاً به. تظهر الثغرة نفسها ثلاث مرات بثلاثة أسماء وثلاث درجات خطورة، وأي لوحة تُفتح صباحاً تصبح ترتيب العمل الفعلي. لم يختر أحد هذا الترتيب. جاء من حقل في ملف تصدير.

والخطورة بديل ضعيف عن الإلحاح، والجهة التي تنشر بيانات الاستغلال تقول ذلك بنفسها. تذكر FIRST، التي تدير نظام Exploit Prediction Scoring System، في وثائق EPSS أن CVSS وEPSS يقيسان أشياء مختلفة ولا ارتباط تجريبي بينهما، وأن درجات الخطورة العالية أفضل قليلاً من الاختيار العشوائي في التنبؤ بنشاط الاستغلال. وتعطي الصفحة نفسها المعدل الأساسي. نحو 0.5 بالمئة من الثغرات المنشورة مدرجة في كتالوج CISA للثغرات المستغَلة المعروفة، ويُرصد نشاط استغلال على نحو 2.5 إلى 3 بالمئة منها في أي نافذة مدتها 30 يوماً.

وما غيّره الذكاء الاصطناعي هنا هو المدخل لا المفردات. درجة الخطورة تقول كم سيكون العطب سيئاً لو استُغل، ولا تقول شيئاً عن الجهد اللازم لبناء ذلك الاستغلال، وهو عمل تساعد فيه اليوم أدوات توليد الكود. لذلك توضع إشارة احتمال الاستغلال بجانب الخطورة لا داخلها، وتعرّف FIRST مؤشر EPSS بأنه احتمال استغلال ثغرة منشورة خلال الثلاثين يوماً التالية. ويبقى الاحتمال نصف الترتيب، لأن حرجية الأصل تقول ماذا يحدث إن نجحت المحاولة، والطابور يحتاج الاثنين معاً.

هل الضابط الأمني يعمل فعلاً على الجهاز

هذا هو السؤال الذي يطرحه المدقق ولا يجيب عنه أمر الشراء. تشتري المؤسسة وكيل حماية لكل جهاز وتحتفظ بعدد التراخيص كدليل. عدد التراخيص وعدد النسخ المثبتة رقمان مختلفان، ويتباعدان إجراءً إدارياً بعد آخر.

• انضم جهاز إلى المؤسسة بعد تجميد قائمة النشر، فلم يُدفع إليه أي وكيل.
• كُتب استثناء ليكتمل ترحيل، وبقي بعد انتهاء الترحيل.
• لم يرسل وكيل أي تقرير منذ إعادة تشغيل، فاللوحة تعرضه والجهاز لا يشغله.
• خُفِّفت قاعدة كشف لإسكات تنبيه لا يقرؤه أحد، وأخذ التخفيف أكثر من الضجيج.

لا شيء من ذلك يتطلب إهمالاً. في أكتوبر 2023 نشرت NSA وCISA تنبيهاً مشتركاً عن عشرة أخطاء في إعدادات الأمن السيبراني وجدتها فرقهما الحمراء والزرقاء. وكتبت الجهتان أن هذه الأخطاء تُظهر اتجاه ضعف بنيوي في كثير من المؤسسات الكبيرة، بما فيها تلك ذات الوضعية السيبرانية الناضجة. تلك المؤسسات اشترت الضوابط. ولم يقس أحد عملها في الميدان.

ويلتقي مزود الخدمة بالسؤال نفسه من الجهة الأخرى. المدقق لا يسأل إن كان العميل يملك منتج حماية للأجهزة الطرفية، بل يطلب دليلاً على أنه كان مثبتاً ومهيأً وفق سياسة محددة وعاملاً على جهاز محدد في تاريخ محدد. هذا الدليل يُجمع من داخل المؤسسة، ولا يحمله مسح من الخارج ولا طابور نتائج مدمج. وبتشغيل عدة عملاء تتكرر الفجوة مرة لكل مستأجر.

أين يقف CTEM من إدارة الثغرات

يُستخدم CTEM مرادفاً لإدارة الثغرات وهو ليس كذلك. عرّفت Gartner الإدارة المستمرة للانكشاف للتهديدات بوصفها برنامجاً من خمس خطوات، شرحتها في مقالها. حدد حدود سطح الهجوم بما فيه الأجزاء التي ليست أجهزة، واكتشف الأصول وملفات مخاطرها، ورتّب أولوية ما يُرجَّح استغلاله، وتحقق من أن المهاجم يستطيع سلوك الطريق وأن الاستجابة سريعة بما يكفي، وحرّك الناس ليتحول ما وُجد إلى عمل معتمد.

وبقراءة هذه القائمة، تغطي إدارة الثغرات التي يشغلها الفريق أصلاً خطوة الاكتشاف وجزءاً من خطوة الأولوية. هي مكوّن من البرنامج لا اسم مختصر له. وتحذر Gartner أيضاً من الخلط بين تحديد الحدود والاكتشاف، ومن اعتبار عدد الأصول المكتشفة نجاحاً بحد ذاته.

CTEM اسم برنامج، ولذلك لا يكمله أي منتج. وورقة منتج تحمل التسمية تخبرك بالفئة التي ينافس فيها لا بالخطوة التي يؤديها من الخمس، فاسأل أي خطوة، ومن يتولى الأربع الباقية. وهو نموذج شركة تحليل لا التزام يجب على أحد الوفاء به.

المنتجات التي تجيب عن هذه الأسئلة الثلاثة

نحمل الثلاثة في هذا المجال لأن أياً منها لا يجيب عن سؤال الآخر. يبدأ S4E من اسم نطاق، ولا يطلب وكيلاً ولا أي صلاحية في الداخل، ويبلّغ عما يصل إليه الإنترنت العام الآن. ويقرأ Vultage النتائج المصدَّرة من الماسحات التي تشغلها أصلاً، ويدمج المكرر منها، ويحوّل ما تبقى إلى طابور واحد مرتب يمكن إسناده وإغلاقه، وهو لا يمسح شيئاً بنفسه. ويجمع CyberCyte من الأجهزة ومن أدوات الأمن المثبتة عليها، ويبلّغ إن كان كل ضابط مثبتاً ومهيأً وعاملاً. واثنان منها يحملان تسمية CTEM من مورديهما، عند خطوتين مختلفتين من البرنامج.