الهوية هي المحيط الأمني الجديد: إتقان Zero Trust في Microsoft 365

By Mirko Peters · 2026-08-28

مرحباً بعودتكم إلى البودكاست ومدونتنا المصاحبة! إذا كنتم تتابعون حلقاتنا الأخيرة، فأنتم تعرفون أننا نتعمق في أمن السحابة والبنية…

Automatically translated with AI from the original post. Read the English original

مرحباً بعودتكم إلى البودكاست ومدونتنا المصاحبة! إذا كنتم تتابعون حلقاتنا الأخيرة، فأنتم تعلمون أننا نتعمق في أمن السحابة ومخططات البنية المعمارية، وما يتطلبه الأمر حقاً لتأمين مستأجر حديث. في هذه المقالة، نتوسع في المفاهيم الأساسية التي تناولناها في نقاشنا الأخير. لمتابعة النسخة الصوتية والاستماع إلى شرحنا الكامل، تأكدوا من الاستماع إلى الحلقة ذات الصلة، Zero Trust Across Microsoft 365 and Dynamics 365. اليوم، نستعرض آليات السبب الذي جعل الهوية المحيط الأخير الحاسم، وكيف يمكنكم تطبيق إطار Zero Trust صارم باستخدام Azure AD (Microsoft Entra ID) وIntune وMicrosoft Defender.

مقدمة في Zero Trust في Microsoft 365

لعقود، بُنيت الأمنية في المؤسسات على غرار القلعة الوسطى: كنتم تبنون جداراً سميكاً منيعاً حول شبكتكم المادية، وبمجرد أن يتمكن أي شخص من عبور الخندق، يُعامل بالثقة افتراضياً. هذا النموذج التقليدي القائم على القلعة والخندق بات معطلاً من أساسه في بيئة العمل الهجينة التي تعتمد على السحابة أولاً. ومع وصول الموظفين إلى التطبيقات المؤسسية من المقاهي والمكاتب المنزلية والأجهزة المحمولة حول العالم، تلاشى محيط الشبكة المؤسسية. المحيط الجديد لم يعد جدار حماية مادياً أو نطاق عناوين IP مؤسسياً، بل أصبح الهوية.

إن الانتقال إلى بنية Zero Trust في Microsoft 365 يعني العمل وفق فلسفة واحدة لا تقبل المساومة: لا تثق أبداً، وتحقّق دائماً. فبدلاً من افتراض أن المستخدم أو الجهاز آمن لمجرد اتصاله من موقع معتمد، يتم اعتراض كل طلب وصول على حدة، وتقييمه والتحقق منه في الوقت الفعلي استناداً إلى كافة بيانات القياس المتاحة.

لماذا يهم Zero Trust في مشهد التهديدات الحالي

مشهد التهديدات الحديث أسرع وأذكى وأكثر أتمتةً من أي وقت مضى. لم يعد المهاجمون يكتفون بتخمين كلمات المرور، بل يستغلون الذكاء الاصطناعي لتوسيع نطاق عمليات التصيّد الاحتيالي، وينفّذون هجمات حشو بيانات الاعتماد المتطورة، ويتجاوزون مطالبات المصادقة متعددة العوامل التقليدية عبر هجمات الإرهاق وأطر الوسيط في المنتصف (AITM).

علاوة على ذلك، تحتفظ بيئات السحابة مثل Microsoft 365 وDynamics 365 بأثمن الأصول الرقمية لمؤسستكم، بدءاً من السجلات المالية الحساسة وبيانات علاقات العملاء وصولاً إلى الملكية الفكرية الخاصة. وعندما يخترق مجرمو الإنترنت مؤسسة ما، فإنهم يسعون إلى التنقل الأفقي عبر حسابات الخدمة ضعيفة التأمين وأدوار المستخدمين المفرطة في الصلاحيات. يضمن تطبيق Zero Trust أنه حتى لو تمكن المهاجم من اختراق بيانات اعتماد مستخدم واحد، فسيصطدم بجدار صلب من التحقق المستمر، ومنح الأذونات بأقل امتياز ممكن، وحواجز الوصول القائمة على السياق.

بنية Zero Trust والمبادئ الأساسية

يتطلب بناء بنية Zero Trust مرنة تنسيق عدة تخصصات أمنية متداخلة. فهي ليست منتجاً واحداً تشتريه أو مفتاحاً تقلبه في مركز إدارة Microsoft 365، بل هي استراتيجية شاملة ترتكز على ثلاثة مبادئ أساسية:

• التحقق الصريح: المصادقة والتفويض دائماً استناداً إلى كافة نقاط البيانات المتاحة، بما في ذلك هوية المستخدم، والموقع، وسلامة الجهاز، والخدمة أو عبء العمل، وتصنيف البيانات، والحالات الشاذة.
• استخدام الوصول بأقل الامتيازات: تقييد وصول المستخدمين باستخدام نماذج الوصول عند الحاجة (JIT) والوصول بالقدر الكافي فقط (JEA)، والنهج التكيفية القائمة على المخاطر، وحماية البيانات لتأمين الإنتاجية والأمن معاً.
• افتراض الاختراق: تقليل نطاق الضرر من خلال تجزئة الوصول حسب الشبكة والمستخدم والأجهزة وإدراك التطبيقات. قم بالتشفير من الطرف إلى الطرف، واستخدم التحليلات لاكتساب الرؤية، وتعزيز الكشف عن التهديدات، والتحسين المستمر للدفاعات.

تطبيق إدارة الهوية والوصول

بما أن الهوية هي المستوى الأساسي لفرض السياسات في Microsoft 365، فإن استراتيجية إدارة الهوية والوصول (IAM) تشكّل الأساس لوضعك الأمني. فبدون ضوابط IAM قوية، يرتكز باقي مكدس الأمن على رمال متحركة.

المصادقة متعددة العوامل

تفعيل المصادقة متعددة العوامل (MFA) أمر غير قابل للتفاوض. فالحماية بكلمات المرور التقليدية غير كافية إطلاقاً أمام أساليب التصيد الاحتيالي الحديثة. فعندما يُطلب من المستخدمين التحقق من هوياتهم بعدة طرق مختلفة، مثل تطبيق Microsoft Authenticator مع ميزة مطابقة الأرقام، أو مفاتيح الأمان المادية FIDO2، أو Windows Hello for Business، فإنكم تقللون بشكل كبير من احتمال الوصول غير المصرح به إلى الحسابات. ينبغي فرض المصادقة المقاومة للتصيد الاحتيالي على الجميع دون استثناء، مع تطبيق نهج صارمة على الحسابات الإدارية.

الوصول المشروط

لم يعد لقواعد الوصول الثابتة مكان اليوم. يعمل Azure AD Conditional Access كالعقل المدبر لمحيط الأمان لديكم، إذ يقيّم إشارات المخاطر في الوقت الفعلي قبل منح الوصول إلى الموارد. عندما يحاول مستخدم تسجيل الدخول، تتحقق نهج Conditional Access فوراً من عوامل مثل:

• هل يسجل المستخدم الدخول من موقع غير معتاد أو من موقع يستحيل الوصول منه زمنياً؟
• هل الجهاز متوافق مع خطوط الأساس الأمنية للمؤسسة؟
• ما درجة المخاطر المرتبطة بالمستخدم وجلسة تسجيل الدخول؟
• هل تتطلب حساسية التطبيق المستهدف مصادقة إضافية أعلى مستوى؟

إذا رصد النظام أي حالات شاذة، يمكنه حظر الوصول ديناميكياً، أو طلب إعادة تعيين كلمة المرور، أو فرض تحدٍ فوري للمصادقة متعددة العوامل قبل إنشاء الجلسة.

ضمان امتثال الأجهزة وإدارة نقاط النهاية

قد تكون الهوية مشروعة، لكن إذا كان الجهاز المستخدم للوصول إلى بيانات المؤسسة مصاباً ببرامج خبيثة أو يعمل بنظام تشغيل قديم غير مُحدَّث، فستظل مؤسستكم معرضة للخطر بشدة. يضمن امتثال الأجهزة أن تستوفي نقاط النهاية متطلبات أمنية صارمة قبل السماح لها بالاقتراب من المستأجر الخاص بكم في Microsoft 365.

باستخدام Microsoft Intune إلى جانب Microsoft Defender for Endpoint، يمكن للمسؤولين فرض نهج صارمة على نقاط النهاية. يمكنكم إلزام الأجهزة بتشفير القرص بالكامل (BitLocker أو FileVault)، واشتراط الإقلاع الآمن ورقائق TPM (Trusted Platform Module)، والتأكد من تطبيق تحديثات الأمان لنظام التشغيل خلال إطار زمني محدد بدقة. وإذا خرج جهاز عن الامتثال، كأن يتم تعطيل وكيل مكافحة الفيروسات أو أصبح إصدار نظام التشغيل قديماً، فيمكن لنهج Conditional Access أن تسحب صلاحيات الوصول من هذا الجهاز تلقائياً إلى أن تتم المعالجة.

حماية البيانات وحوكمة المعلومات

تأمين الوصول إلى المستأجر ليس سوى نصف المعركة، فيجب عليكم أيضاً تأمين البيانات نفسها أينما انتقلت. تفترض المحيطات التقليدية أن البيانات آمنة داخل الشبكة، لكن في ظل العمل عن بُعد والتعاون السحابي، تُنزَّل الملفات وتُشارك وتُرسل عبر البريد الإلكتروني خارج حدود المؤسسة باستمرار.

تمكّن Microsoft Purview المؤسسات من اكتشاف البيانات الحساسة وتصنيفها ووسمها تلقائياً. فعند تطبيق تسميات الحساسية مقرونةً بالتشفير، تنتقل الحماية مع المستند نفسه. وإذا تم تسريب ملف سري أو إرساله إلى مستلم غير مصرح له، يضمن التشفير بقاء الملف غير قابل للقراءة. علاوة على ذلك، تعمل نهج منع فقدان البيانات (DLP) كحواجز حماية عبر Exchange Online وSharePoint وOneDrive وMicrosoft Teams، إذ تمنع المستخدمين فعلياً من مشاركة أرقام بطاقات الائتمان الحساسة أو المعلومات الشخصية القابلة للتعريف (PII) أو الملكية الفكرية.

المراقبة المستمرة واكتشاف التهديدات والاستجابة لها

تتسم بنية Zero Trust بالديناميكية، أي أنها تتطلب يقظة دائمة. تضمن المراقبة المستمرة ألا تنتظر فرق الأمن إشعار اختراق كارثي حتى تتخذ الإجراء. ومن خلال التدقيق الموحد، وجمع السجلات المركزي، والتكامل مع SIEM عبر Microsoft Sentinel، تكتسب المؤسسات رؤية عميقة لسلوك المستخدمين والأجهزة.

يعمل Microsoft Defender كامتداد آلي لمركز عمليات الأمن (SOC). يحلل Defender الإشارات عبر الهويات ونقاط النهاية والبريد الإلكتروني والتطبيقات السحابية. وعندما يكتشف التحقيق الآلي سلوكاً مشبوهاً، مثل عمليات تنزيل جماعية غير معتادة للملفات أو محاولات الحركة الجانبية داخل الشبكة، يمكنه تنفيذ نصوص معالجة آلية لعزل الأجهزة المصابة، وتعطيل الحسابات المخترقة، وتنبيه المسؤولين فورياً.

توسيع نطاق Zero Trust ليشمل Dynamics 365

بينما تؤمّن Microsoft 365 أدوات الإنتاجية والتعاون، تعتمد العمليات الحساسة للأعمال غالبًا على Dynamics 365، إذ تحتضن سجلات العملاء الحساسة والسجلات المالية وخطوط العمليات التشغيلية. ولذلك يُعد تطبيق مبادئ Zero Trust على Dynamics 365 أمرًا بالغ الأهمية.

نظرًا لأن Dynamics 365 يتكامل بشكل وثيق مع Azure AD، يمكنك تطبيق نهج الوصول المشروط الصارمة نفسها ومتطلبات MFA وفحوصات امتثال الأجهزة على مستخدمي CRM وERP كما تفعل مع البريد الإلكتروني وتخزين المستندات. إضافةً إلى ذلك، فإن الاستفادة من التحكم في الوصول القائم على الأدوار (RBAC) والأمان على مستوى الحقول يضمن ألا يرى مندوبو المبيعات وموظفو الدعم والشركاء الخارجيون إلا السجلات وحقول البيانات المحددة اللازمة لأداء مهام وظائفهم.

أفضل ممارسات الأمان والأخطاء الشائعة

تطبيق Zero Trust رحلة وليس وجهة. وكثيرًا ما تقع المؤسسات في فخاخ شائعة على طول الطريق. ومن أبرز هذه الأخطاء الشعور الزائف بالأمان، أي الافتراض بأن مجرد تفعيل الوصول المشروط أو تحقيق درجة عالية في Microsoft Secure Score يعني أن المهمة قد اكتملت. فوضعية الأمان تتطلب ضبطًا مستمرًا ومراجعة للتدقيق وسجلات الأحداث.

ومن التحديات المتكررة الأخرى استكشاف مشكلات الوصول وإصلاحها عندما تحجب النهج المقيّدة بشدة سير العمل المشروع دون قصد. ويجب على فرق الأمان إتقان سجلات تسجيل الدخول في Entra ID ومصنف Conditional Access Insights لتشخيص تعارضات النهج بسرعة دون الإضرار بإنتاجية المستخدمين. والأهم من ذلك أن التدريب المستمر للموظفين وحملات التوعية ضرورية، فضوابطك التقنية لا تكون أقوى من العنصر البشري الذي يحافظ عليها.

قصص تطبيق واقعية والدروس المستفادة

نجحت مؤسسات من مختلف القطاعات، من الوكالات الحكومية الفيدرالية مثل US Department of Labor إلى مزودي حلول المؤسسات العالميين، في الانتقال بنجاح إلى نماذج Zero Trust باستخدام حزمة الأمان من Microsoft. والدرس الجامع المستخلص من هذه التطبيقات هو أن عمليات النشر المرحلية أمر بالغ الأهمية.

إن محاولة فرض كل نهج أمني صارم دفعة واحدة ستؤدي حتمًا إلى احتكاك تشغيلي، وستدفع المستخدمين نحو الحلول البديلة غير الخاضعة للإدارة (Shadow IT). وتبدأ عمليات النشر الناجحة بمجموعات تجريبية، وتستفيد من الأتمتة لتقليل الأعباء الإدارية، وتشدّد خطوط الأساس الأمنية تدريجيًا مع نضج المؤسسة.

قائمة التحقق الشاملة من Zero Trust لـ Microsoft 365

لمساعدتك على تدقيق بيئتك وتتبع تقدمك، استخدم قائمة التحقق الأساسية هذه عبر المجالات التشغيلية الرئيسية:

• فرض MFA المقاوم للتصيد الاحتيالي والوصول المشروط في Azure AD لجميع حسابات المستخدمين والمسؤولين.
• حظر بروتوكولات المصادقة القديمة للقضاء على ناقلات الهجوم المعروفة لسرقة بيانات الاعتماد.
• تسجيل جميع نقاط النهاية المؤسسية وأجهزة BYOD في Microsoft Intune مع نهج امتثال صارمة.
• نشر Microsoft Defender for Endpoint والتأكد من أن قياسات EDR نشطة على جميع الأجهزة.
• تصنيف البيانات الحساسة وتسميتها وتشفيرها باستخدام تسميات الحساسية في Microsoft Purview ونهج DLP.
• تطبيق إدارة الوصول المميز في الوقت المناسب (JIT) عبر Azure AD PIM.
• تفعيل التدقيق الموحّد للسجلات ودمج بيانات قياس المستأجر مع Microsoft Sentinel.
• إجراء تمارين طاولة منتظمة، وتقييمات لوضعية الأمان، ومراجعات Secure Score بشكل دوري.

الأسئلة المتداولة

ما هو مبدأ Zero Trust وكيف ينطبق على Microsoft 365؟

يفترض مبدأ Zero Trust عدم منح أي ثقة ضمنية لأي مستخدم أو جهاز أو شبكة. وفي Microsoft 365 يُطبَّق ذلك من خلال استخدام Azure AD للتحقق المستمر من الهوية، والوصول المشروط للتقييم السياقي، وIntune للتحقق من سلامة الجهاز، وPurview للحماية المرتكزة على البيانات.

كيف تصمّم عملية نشر Zero Trust لـ Microsoft 365 وتنفّذها؟

يبدأ التنفيذ بتقييم أمني شامل واكتشاف الأصول. ومن ثم تعتمد المؤسسات خطة نشر مرحلية، تبدأ بحماية الهوية الأساسية مثل MFA، ثم تتوسع إلى امتثال الأجهزة عبر Intune، وتضيف بعد ذلك حوكمة متقدمة للبيانات ومراقبة للتهديدات.

ما الدور الذي تؤديه Intune في تطبيق مبادئ Zero Trust؟

تفرض Intune نهج إدارة نقاط النهاية وامتثال الأجهزة. فمن خلال التحقق من أن الجهاز يلبي معايير الأمان المؤسسية قبل منح الوصول إلى الموارد، تسد Intune الفجوة بين التحقق من الهوية ووضعية الجهاز.

كيف يؤثر Zero Trust على متطلبات الامتثال والتنظيم؟

يُبسّط نهج الثقة الصفرية الامتثال بشكل كبير، إذ يدمج حماية البيانات وتسجيل الوصول الصارم والتشفير ومسارات التدقيق الآلية مباشرةً في البنية التشغيلية، ما يسهّل الوفاء بالأطر التنظيمية في قطاعات المالية والرعاية الصحية والحكومة.

يُعدّ إتقان مبادئ Zero Trust في Microsoft 365 أكثر الاستثمارات تأثيرًا تقوم به أي مؤسسة لتعزيز وضعها الأمني في السحابة. فعندما تنتقل من فكرة الدفاع عن المحيط إلى التحقق من الهوية، ومنح الوصول بأدنى حد من الصلاحيات، والافتراض بأن الاختراق قد حدث، فإنك تبني مؤسسة قادرة على الصمود والتكيّف، وجاهزة للابتكار بأمان في السحابة. وللتعمق أكثر في هذه الاستراتيجيات، لا تفوّت الاطلاع على الحلقة الكاملة عبر الرابط Zero Trust Across Microsoft 365 and Dynamics 365. ابقوا آمنين، واستمروا في التحقق، ونراكم في الحلقة القادمة!