ما هو إدارة سطح الهجوم؟

على عكس تخصصات الأمن الإلكتروني الأخرى، يتم إجراء ASM بالكامل من وجهة نظر المتسلل، وليس وجهة نظر المدافع. إذ إنها تحدِّد الأهداف وتقيّم المخاطر بناءً على الفرص التي توفِّرها لأي متسلل خبيث.

تعتمد ASM على العديد من الأساليب والموارد نفسها التي يستخدمها المتسللون. يتم تصميم وتنفيذ العديد من مهام وتقنيات التكنولوجيا من قِبل قراصنة أخلاقيين على دراية بسلوكيات المجرمين الإلكترونيين ويمتلكون مهارات تكرار أفعالهم.

يتم استخدام إدارة سطح الهجوم الخارجي (EASM)، وهي تقنية ASM جديدة نسبيًا، أحيانًا بالتبادل مع ASM. ومع ذلك، تركِّز EASM على وجه التحديد على الثغرات الأمنية والمخاطر التي تمثِّلها أصول تكنولوجيا المعلومات الخارجية أو التي تواجه الإنترنت في المؤسسة - والتي يُشار إليها أحيانًا باسم سطح الهجوم الرقمي للمؤسسة.

تعالج ASM أيضًا الثغرات الأمنية في أسطح الهجمات المادية والاجتماعية للمؤسسة، مثل الهجوم الداخلي الخبيث أو عدم كفاية تدريب المستخدم النهائي ضد عمليات التصيد الاحتيالي.

أدت زيادة اعتماد السحابة والتحول الرقمي والتوسع في العمل عن بُعد في السنوات الأخيرة إلى جعل البصمة الرقمية للشركة المتوسطة وسطح الهجوم أكبر وأكثر توزيعًا وديناميكية، مع وجود أصول جديدة تتصل بشبكة الشركة يوميًا.

لا يمكن للعمليات التقليدية لاكتشاف الأصول وتقييم المخاطر وإدارة الثغرات الأمنية، والتي تم تطويرها عندما كانت شبكات الشركات أكثر استقرارًا ومركزية، أن تواكب سرعة ظهور الثغرات الأمنية الجديدة ونواقل الهجوم في شبكات اليوم. على سبيل المثال، يمكن لاختبار الاختراق أن يختبر الثغرات الأمنية المشتبه بها في الأصول المعروفة، لكنه لا يمكن أن يساعد فِرق الأمن على تحديد المخاطر الإلكترونية الجديدة الثغرات الأمنية التي تظهر يوميًا.

لكن سير العمل المستمر لأدوات ASM ومنظور المتسللين يمكِّن فِرق الأمن ومراكز العمليات الأمنية (SOCs) من إنشاء وضع أمني استباقي في مواجهة سطح الهجوم المتزايد والمتغير باستمرار. توفِّر حلول ASM رؤية في الوقت الفعلي للثغرات الأمنية ونواقل الهجوم عند ظهورها.

ويمكنها الاستفادة من المعلومات المستمدة من الأدوات والعمليات التقليدية لتقييم المخاطر وإدارة الثغرات الأمنية للحصول على سياق أكبر عند تحليل الثغرات الأمنية وتحديد أولوياتها. ويمكنها التكامل مع تقنيات الكشف عن التهديدات والاستجابة لها -بما في ذلك إدارة المعلومات والأحداث الأمنية (SIEM) أو اكتشاف نقاط النهاية والاستجابة لها (EDR) أو الكشف والاستجابة الموسَّعة (XDR)- لتحسين التخفيف من حدة التهديدات وتسريع الاستجابة لها على مستوى المؤسسة.

تتكون ASM من أربع عمليات أساسية: اكتشاف الأصول وتصنيفها وتحديد أولوياتها والمعالجة والمراقبة. مرة أخرى، نظرًا لأن حجم وشكل سطح الهجوم الرقمي يتغير باستمرار، تُجرى هذه العمليات بشكل مستمر، وتعمل حلول إدارة سطح الهجوم (ASM) على أتمتة هذه العمليات كلما أمكن. الهدف هو تسليح فِرق الأمن بالمخزون الكامل والحالي للأصول المكشوفة وتسريع الاستجابة للثغرات الأمنية والتهديدات التي تمثِّل أكبر خطر على المؤسسة.

يُجري اكتشاف الأصول تلقائيًا وباستمرار بحثًا عن الأجهزة والبرمجيات والأصول السحابية التي تواجه الإنترنت والتي يمكن أن تكون نقاط دخول للمتسلل أو المجرم الإلكتروني الذي يحاول مهاجمة المؤسسة. يمكن أن تشمل الأصول ما يلي:

• الأصول المعروفة: جميع البنية التحتية وموارد تكنولوجيا المعلومات التي تعرفها المؤسسة وتديرها بنشاط -أجهزة التوجيه، والخوادم، والأجهزة الصادرة عن المؤسسة أو المملوكة للقطاع الخاص (أجهزة الكمبيوتر الشخصي، وأجهزة الكمبيوتر المحمول، والأجهزة المحمولة)، وأجهزة إنترنت الأشياء، وأدلة المستخدم، والتطبيقات التي يتم نشرها محليًا وفي السحابة، ومواقع الويب وقواعد البيانات الخاصة.
  
  
• الأصول غير المعروفة: الأصول "غير المخزّنة" التي تستخدم موارد الشبكة دون علم فريق تكنولوجيا المعلومات أو فريق الأمن. تكنولوجيا المعلومات الظلية -وهي الأجهزة أو البرامج التي يتم نشرها على الشبكة دون موافقة و/أو إشراف إداري رسمي- هي أكثر أنواع الأصول المجهولة شيوعًا. ومن الأمثلة على تكنولوجيا معلومات الظلية مواقع الويب الشخصية والتطبيقات السحابية والأجهزة المحمولة غير المُدارة التي تستخدم شبكة المؤسسة. تكنولوجيا المعلومات اليتيمة -البرمجيات القديمة ومواقع الويب والأجهزة التي لم تَعُد قيد الاستخدام ولم يتم سحبها بشكل صحيح- هي نوع آخر شائع من الأصول غير المعروفة.
  
  
• أصول البائعين أو الأطراف الخارجية: الأصول التي لا تمتلكها المؤسسة، ولكنها جزء من البنية التحتية لتكنولوجيا المعلومات أو سلسلة التوريد للمؤسسة. وتشمل هذه التطبيقات البرمجيات كخدمة (SaaS)، وواجهات برمجة التطبيقات (APIs)، وأصول السحابة العامة، أو خدمات الجهات الخارجية المستخدمة داخل موقع الويب الخاص بالمؤسسة.
  
  
• الأصول التابعة: أي أصول معلومة أو غير معلومة أو أصول تابعة لجهات خارجية تنتمي إلى شبكات الشركات التابعة للمؤسسة. بعد عملية الاندماج أو الاستحواذ، قد لا تصل هذه الأصول على الفور إلى انتباه فِرق تكنولوجيا المعلومات وفِرق الأمن في المؤسسة الأم.
  
  
• الأصول الضارة أو المارقة: الأصول التي ينشئها أو يسرقها عنصر التهديد لاستهداف الشركة. يمكن أن يشمل ذلك موقعًا إلكترونيًا تصيديًا ينتحل هوية العلامة التجارية للشركة، أو بيانات حساسة مسروقة كجزء من اختراق أمن البيانات تتم مشاركتها على الشبكة الخفية.

بمجرد تحديد الأصل، يتم تصنيفه وتحليله بحثًا عن الثغرات الأمنية وترتيبه حسب أولويته من حيث قابليته للهجوم، وهو مقياس موضوعي لمدى احتمالية استهداف المتسللين له.

يتم جرد الأصول حسب الهوية وعنوان IP والملكية والارتباط بالأصول الأخرى في البنية التحتية لتكنولوجيا المعلومات. يتم تحليلها لتحديد التعرّضات المحتملة، وأسباب تلك التعرّضات (مثل التكوينات الخطأ وأخطاء البرمجة والتصحيحات المفقودة)، وأنواع الهجمات التي قد ينفّذها المخترقون عبر هذه التعرّضات (مثل سرقة البيانات الحساسة، ونشر برامج الفدية أو البرامج الضارة الأخرى).

بعد ذلك، يتم تحديد أولويات الثغرات الأمنية من أجل معالجتها. تحديد الأولويات هو التقييم: عادةً ما يتم إعطاء كل ثغرة أمنية تصنيفًا أمنيًا أو درجة المخاطر بناءً على:

• المعلومات التي تم جمعها أثناء التصنيف والتحليل.
  
  
• البيانات المستمدة من استعلامات التهديدات (الخاصة ومفتوحة المصدر)، وخدمات التصنيف الأمني، والشبكة الخفية، ومصادر أخرى تتعلق بمدى وضوح الثغرات الأمنية للمتسللين، ومدى سهولة استغلالها، وكيف تم استغلالها، وما إلى ذلك.
  
  
• نتائج إدارة الثغرات الأمنية الخاصة بالمؤسسة وأنشطة تقييم المخاطر الأمنية. أحد هذه الأنشطة، الذي يُطلق عليه اسم الفريق الأحمر، هو في الأساس اختبار الاختراق من وجهة نظر المتسللين (وغالبًا ما يتم إجراؤه بواسطة متسللين أخلاقيين داخليين أو من طرف ثالث). بدلًا من اختبار الثغرات المعروفة أو المشتبه بها، يختبر أعضاء الفريق الأحمر جميع الأصول التي قد يحاول المتسللون يستغلها.

عادةً ما تتم معالجة الثغرات الأمنية بترتيب الأولوية. وقد يتضمن هذا:

• تطبيق الضوابط الأمنية المناسبة على الأصل - على سبيل المثال، تطبيق تصحيحات البرامج أو نظام التشغيل، وتصحيح أخطاء التعليمات البرمجية للتطبيق، وتنفيذ تشفير أقوى للبيانات.
  
  
• ضبط الأصول التي كانت مجهولة سابقًا - وضع معايير أمن لتكنولوجيا المعلومات التي لم تكن تحت الإدارة سابقًا، وإنهاء أصول تكنولوجيا المعلومات المهجورة بأمان، والتخلص من الأصول المارقة، ودمج أصول الشركات الفرعية في استراتيجية الأمن الإلكتروني وسياسات المؤسسة وسير العمل الخاص بها.

يمكن أن تتضمن المعالجة أيضًا تدابير أوسع نطاقًا ومتعددة الأصول لمعالجة الثغرات الأمنية، مثل تنفيذ الوصول الأقل امتيازًا أو المصادقة متعددة العوامل (MFA).

نظرًا لأن المخاطر الأمنية في سطح الهجوم في المؤسسة تتغير في أي وقت يتم فيه نشر الأصل/الأصول الجديدة أو الحالية بطرق جديدة، تتم مراقبة كل من الأصول التي تم جردها للشبكة والشبكة نفسها باستمرار وفحصها بحثًا عن الثغرات الأمنية. تمكِّن المراقبة المستمرة أدوات ASM من اكتشاف وتقييم الثغرات الأمنية ونواقل الهجوم الجديدة في الوقت الفعلي، وتنبيه فِرق الأمن إلى أي ثغرات جديدة تحتاج إلى اهتمام فوري.