عندما يكتشف الجمهور ما فات المراجعات الأمنية: نظرة عميقة في اكتشاف الثغرات الحديث

يتغير مشهد الأمن السيبراني باستمرار، ويتميز بسطح هجوم دائم التوسع مدفوعًا بدورات التطوير السريع، وتكنولوجيا المعلومات الخفية (Shadow IT)، وعمليات الدمج والاستحواذ، والابتكار المتسارع بالذكاء الاصطناعي. بالنسبة لمديري أمن المعلومات (CISOs) ومهندسي الأمن، أصبح الحفاظ على رؤية شاملة ومتحقق منها لمخاطر المؤسسة تحديًا صعبًا. يكشف نمط متكرر لوحظ في تحليلات الحوادث الأخيرة عن نقطة عمياء مهمة: الثغرات الأمنية التي تستمر عبر المراجعات التقليدية غالبًا ما يتم الكشف عنها من خلال مسابقات الأمن القائمة على التعهيد الجماعي.

ما الذي حدث

عبر مختلف القطاعات، وجدت المؤسسات التي تعتمد فقط على اختبارات الاختراق التقليدية والمراجعات الداخلية نفسها مكشوفة. تتضمن هذه الحوادث عادةً ثغرات أمنية حرجة موجودة في الأنظمة أو التطبيقات أو الشبكات التي كانت تعتبر آمنة سابقًا. الخيط المشترك هو أن هذه العيوب تم تحديدها واستغلالها لاحقًا خلال مسابقات الأمن القائمة على التعهيد الجماعي، مما يكشف عن انفصال بين الوضع الأمني المتصور والفعلي. يؤكد هذا النمط على قيود الامتثال في نقطة زمنية محددة وضرورة التحقق المستمر من الهجوم بقيادة بشرية.

لم يعد الأمن القائم على التعهيد الجماعي، بما في ذلك برامج مكافآت الأخطاء واختبار الاختراق القائم على التعهيد الجماعي، مفهومًا تجريبيًا. تدمج العديد من المؤسسات الآن هذه البرامج كمكون أساسي لاستراتيجيتها الأمنية. يعكس هذا النهج اعترافًا متزايدًا في الصناعة بفعالية الاستفادة من مجموعة عالمية من المتسللين الأخلاقيين.

لماذا يتكرر هذا النمط باستمرار

السبب الرئيسي لاستمرار هذا النمط يكمن في القيود المتأصلة في تقييمات الأمن التقليدية. غالبًا ما توفر هذه الأساليب لقطة في نقطة زمنية واحدة فقط، وسرعان ما تصبح قديمة مع تطور أسطح الهجوم. علاوة على ذلك، فإن الفرق الداخلية وعددًا محدودًا من المدققين الخارجيين، مهما كانت مهارتهم، لديهم قدرة ومنظور محدودان. غالبًا ما تكون مقيدة بالنطاق والوقت والميزانية، مما يجعل من الصعب تغطية سطح الهجوم المتغير باستمرار بأكمله بفعالية.

تظهر الأصول الجديدة من الانتشار وتكنولوجيا المعلومات الخفية ودورات التطوير السريع باستمرار، مما يوسع سطح الهجوم بشكل أسرع مما يمكن لفرق الأمن تتبعه. غالبًا ما تعمل أدوات الأمن الحالية في صوامع منفصلة - الاكتشاف هنا، والمسح هناك، والاختبار الهجومي في مكان آخر. يمنع هذا التجزئة رؤية موحدة وقابلة للتنفيذ لما تمتلكه المؤسسة حقًا وما هي المخاطر التي تواجهها. بدون التحقق المستمر من اختبار هجومي متنوع بقيادة بشرية، فإن الرؤية وحدها لا تكفي لتقليل المخاطر.

المراجعات التقليدية، على الرغم من ضرورتها للامتثال، غالبًا ما تفتقر إلى الاتساع والعمق والطبيعة المستمرة المطلوبة لتحديد الثغرات المعقدة في مشهد التهديدات المتطور بسرعة.

خطة عمل المهاجم خطوة بخطوة

تبدأ خطة عمل المهاجم النموذجية، في السيناريوهات التي يجد فيها الأمن القائم على التعهيد الجماعي الثغرات لاحقًا، غالبًا بالاستطلاع. يتضمن ذلك رسم خرائط لسطح الهجوم الخارجي للهدف، وتحديد الأصول المواجهة للجمهور، وفهم مكدسها التكنولوجي. يستفيد المهاجمون من الأدوات الآلية ولكنهم يجمعونها بشكل حاسم مع التحليل اليدوي للكشف عن التكوينات الخاطئة الدقيقة أو الأخطاء المنطقية التي تفوتها الماسحات الضوئية الآلية. ثم ينتقلون إلى تحديد نقاط الدخول المحتملة، غالبًا مع التركيز على تطبيقات الويب وواجهات برمجة التطبيقات (APIs) وخدمات الشبكة.

بمجرد تحديد الثغرات المحتملة، يقوم المهاجمون بصياغة استغلالات محددة. تتطلب هذه المرحلة الإبداع وفهمًا عميقًا لتقنيات الاستغلال، وغالبًا ما تتجاوز CVEs الشائعة للعثور على ثغرات يوم الصفر (zero-day) أو N-day التي لم تُعرف أو تُصلح على نطاق واسع بعد. تتضمن الخطوة الأخيرة الاستغلال، والحصول على وصول غير مصرح به، وإظهار التأثير، والذي يمكن أن يتراوح من تسريب البيانات إلى اختراق كامل للنظام. يتناقض هذا النهج المنهجي، والذي غالبًا ما يكون مستمرًا، بشكل حاد مع النطاق والمدة المحدودين للعديد من تقييمات الأمن التقليدية.

ما فاته المدافعون

في هذه الحالات، فات المدافعين بشكل أساسي المنظور الهجومي المستمر والشامل والمتنوع الذي يقدمه الأمن القائم على التعهيد الجماعي. لقد اعتمدوا غالبًا على المراجعات الداخلية أو اختبارات الاختراق التقليدية التي، على الرغم من قيمتها، محدودة بطبيعتها في النطاق والمدة. غالبًا ما تفشل هذه الأساليب التقليدية في مراعاة الطبيعة الديناميكية لسطح الهجوم، حيث تؤدي الأصول والتكوينات الجديدة إلى ظهور ثغرات جديدة يوميًا.

علاوة على ذلك، فإن الطبيعة المتفرقة للعديد من أدوات الأمن تعني أن فرق الأمن تقضي وقتًا ثمينًا في التوفيق يدويًا بين المخزونات ومحاولة تحديد أولويات المخاطر دون رؤية واحدة وموثوقة. يؤدي هذا إلى وضع رد فعل، حيث لا يتم اكتشاف الثغرات الحرجة إلا بعد وقوع حادث، أو في هذا النمط، من خلال جهد أمني هجومي خارجي أكثر شمولاً. يؤدي عدم وجود ضمان مستمر، واستبداله بالامتثال في نقطة زمنية محددة، إلى ترك فجوات كبيرة.

قائمة تحقق دفاعية عملية

للتخفيف من مخاطر الثغرات التي فاتتها المراجعات التقليدية، يجب على مديري أمن المعلومات ومهندسي الأمن مراعاة الإجراءات التالية:

• تطبيق إدارة مستمرة لسطح الهجوم: اكتشاف ورسم خرائط لجميع الأصول المواجهة للجمهور بانتظام، بما في ذلك تكنولوجيا المعلومات الخفية.
• دمج اختبار الاختراق القائم على التعهيد الجماعي: استكمال اختبارات الاختراق التقليدية ببرامج تعهيد جماعي مستمرة للاستفادة من مجموعة عالمية من المتسللين الأخلاقيين.
• إنشاء برنامج مكافآت الأخطاء: تحفيز الباحثين المستقلين على إيجاد الثغرات والإبلاغ عنها قبل أن يفعل الفاعلون الخبيثون ذلك.
• تحديد أولويات المعلومات القابلة للتنفيذ: التركيز على التحقق مما يمكن استغلاله حقًا بدلاً من مجرد تحديد التعرضات المحتملة.
• كسر صوامع الأدوات: السعي للحصول على منصة موحدة تدمج نتائج الاكتشاف والمسح والاختبار الهجومي للحصول على رؤية شاملة للمخاطر.
• اعتماد استراتيجية استباقية لتقليل المخاطر: تجاوز الاستجابة التفاعلية إلى التحقق المستمر من الأمن الهجومي بقيادة بشرية.
• مراجعة وتحديث سياسات الأمن بانتظام: التأكد من أن السياسات تعكس الطبيعة الديناميكية لمشهد التهديدات وتتضمن منهجيات اختبار هجومية حديثة.

كيف كان من الممكن أن يكتشف الاختبار الهجومي الحديث هذا

تم تصميم الاختبار الهجومي الحديث، لا سيما من خلال نماذج التعهيد الجماعي، لمعالجة أوجه القصور في المراجعات التقليدية. على عكس الأساليب التقليدية، يستفيد اختبار الاختراق القائم على التعهيد الجماعي من مجموعة متنوعة من المتسللين الأخلاقيين وخبراء الأمن على مستوى العالم. يجلب هذا التنوع نطاقًا أوسع من المهارات ووجهات النظر والتخصصات لتطبيقها على أنظمة المؤسسة وتطبيقاتها وشبكاتها.

تمثل المنصات التي تقدم اختبارًا هجوميًا ذاتيًا مع إثباتات مفهوم (PoCs) قابلة للتنفيذ التطور التالي. تجمع منصة، على سبيل المثال، بين المراقبة المستمرة لسطح الهجوم وقدرات الاختبار الهجومي بقيادة بشرية. يتيح هذا النهج لفرق الأمن مراقبة سطح الهجوم الخارجي باستمرار، والبحث عن التعرضات المحتملة، والأهم من ذلك، التحقق مما يمكن استغلاله حقًا من خلال اختبار هجومي بقيادة بشرية. يوفر هذا ضمانًا مستمرًا، متجاوزًا مجرد الرؤية إلى معلومات قابلة للتنفيذ، مما يسمح للمؤسسات بتحديد أولويات المخاطر بناءً على ما يهم حقًا واكتشاف الثغرات التي قد تفوتها المراجعات.

ما يجب مراقبته لاحقًا

يتسارع الاتجاه نحو الأمن القائم على التعهيد الجماعي. من المتوقع أن يشهد سوق اختبار الاختراق القائم على التعهيد الجماعي نموًا كبيرًا. تدرك المؤسسات بشكل متزايد أن الأمن القائم على التعهيد الجماعي مثبت، وليس تجريبيًا، وتقوم بدمج برامج مكافآت الأخطاء كطبقة أساسية في استراتيجيتها الأمنية. سينتقل التركيز بشكل أكبر نحو دمج معلومات سطح الهجوم المستمرة مع اختبار هجومي بقيادة بشرية. أصبحت الحلول التي تمكن فرق الأمن من المراقبة والمسح والتحقق من المخاطر القابلة للاستغلال بشكل مستمر ذات أهمية متزايدة. سيشمل مستقبل الأمن الهجومي مزيجًا من الأتمتة على نطاق واسع والإبداع البشري للعمق، مما يضمن قدرة المؤسسات على البقاء في صدارة مشهد التهديدات المتطور باستمرار وتقليل المخاطر بشكل استباقي.