الهوية هي المحيط الجديد: تأمين مزود الخدمات المُدارة بـ Entra ID وZero Trust

By Mirko Peters · 2026-08-13

مرحبًا بعودتكم إلى المدونة! في مجال عملنا، لم يعد البقاء في طليعة الأمان الخيار الأمثل فحسب، بل مسألة تتعلقببقاء الأعمال نفسها. ومع توسّع بيئات العمل الرقمية وتزايد تعقيد التهديدات السيبرانية، لم يعد محيط الشبكة التقليدي، أي جدار الحماية الذي يحمي جهاز توجيه المكتب، فعّالًا. اليوم أصبحت الهوية هي المحيط الجديد. ولحماية هذا المحيط، يلزم فهم عميق لبنى السحابة الحديثة، وإدارة متينة لبيانات الاعتماد،

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم إلى المدونة! في مجال عملنا، لم يعد البقاء في طليعة الأمان الخيار الأمثل فحسب، بل مسألة تتعلقببقاء الأعمال نفسها. ومع توسّع بيئات العمل الرقمية وتزايد تعقيد التهديدات السيبرانية، لم يعد محيط الشبكة التقليدي، أي جدار الحماية الذي يحمي جهاز توجيه المكتب، فعّالًا. اليوم أصبحت الهوية هي المحيط الجديد. ولحماية هذا المحيط، يلزم فهم عميق لبنى السحابة الحديثة، وإدارة متينة لبيانات الاعتماد، والتزام صارم بمبادئ Zero Trust. في هذا المقال سنتعمق في آلية عمل Microsoft Entra ID ونهج الوصول المشروط وبنية Zero Trust، لمساعدتكم على إدارة بيانات اعتماد المستخدمين بأمان وحماية بنيتكم التحتية من تهديدات الهوية المتقدمة.

يستكمل هذا النقاش حلقتنا الأخيرة من البودكاست، Building a Secure Microsoft-First MSP: Intune, Defender & Entra ID at Scale with Albin Klinaku [MVP]، حيث نستعرض التطبيقات العملية لتوسيع نطاق الأمان عبر بيئات متعددة المستأجرين باستخدام الأدوات الأصلية من Microsoft.

مقدمة: الهوية هي المحيط الجديد

لعقود، اعتمد أمان المؤسسات على استراتيجية القلعة والخندق. فإذا تجاوز المستخدم جدار الحماية المؤسسي، كان يُوثق به إلى حد كبير ليتنقل بحرية عبر مشاركات الملفات الداخلية والتطبيقات والخوادم. غير أن صعود العمل عن بُعد وتبني السحابة والحوسبة المتنقلة حطّم هذا الخندق. فالموظفون والمتعاقدون والشركاء يصلون اليوم إلى موارد الشركة من أي مكان، وعبر أي جهاز، وباستخدام شبكات متنوعة.

في هذا الواقع اللامركزي، تمثل هوية المستخدم القاسم المشترك الوحيد في كل تفاعل. فسواء كان المستخدم يسجل الدخول إلى تطبيق SaaS من مقهى، أو يستعلم عن قواعد بيانات عملاء حساسة من مكتب منزلي، فإن هويته الرقمية هي التي تحدد ما يمكنه رؤيته وما يمكنه فعله. وإذا تعرّضت هذه الهوية للاختراق، فإن البنية التحتية بأكملها تصبح في خطر. والانتقال إلى نموذج أمني يبدأ من الهوية يعني التعامل مع كل طلب تسجيل دخول على أنه غير موثوق ما لم يثبت العكس، ونقل خط الدفاع مباشرةً إلى حساب المستخدم.

فهم مشهد التهديدات الحديث لمزودي الخدمات المُدارة (MSPs)

يحتل مزودو الخدمات المُدارة (MSPs) موقعًا مربحًا بشكل فريد في مرمى مجرمي الإنترنت المعاصرين. فبما أن مزود الخدمات المُدارة الواحد غالبًا ما يدير البنية التحتية لتقنية المعلومات لعشرات، بل مئات، الشركات الصغيرة والمتوسطة، ينظر المهاجمون إلى هؤلاء المزودين بوصفهم أهدافًا ذات قيمة عالية في المقام الأول. وقد يتيح اختراق ناجح لمزود خدمات مُدارة الوصول اللاحق إلى محفظة ضخمة من بيئات العملاء في هجوم كلاسيكي على سلسلة الإمداد.

تُظهر بيانات استخبارات التهديدات الحديثة ارتفاعًا مقلقًا في الهجمات التي تستهدف مزودي الخدمات. فقد حلّت الهجمات القائمة على الهوية، وهجمات حشو بيانات الاعتماد، وحملات الهندسة الاجتماعية المتقدمة محل عمليات حقن البرمجيات الخبيثة التقليدية بوصفها ناقل الوصول الأولي الرئيسي. لم يعد المهاجمون يقتحمون الأنظمة فحسب، بل يسجلون الدخول باستخدام بيانات اعتماد مسروقة أو تم الحصول عليها عبر التصيد، وهي بيانات تبدو شرعية تمامًا لأدوات المراقبة التقليدية. ولمواجهة ذلك، يجب على مزودي الخدمات المُدارة التخلي عن حلول الأمان المجزأة، وتبني استراتيجية دفاع موحدة تعتمد على Microsoft أولًا، وتعامل حماية الهوية بوصفها متطلبًا تشغيليًا أساسيًا.

آلية عمل Microsoft Entra ID

في قلب أي بنية أمنية حديثة تبدأ من الهوية ضمن منظومة Microsoft، يقع Microsoft Entra ID (المعروف سابقًا باسم Azure Active Directory). يعمل Entra ID بوصفه خدمة دليل وإدارة هويات قائمة على السحابة، تنسّق وصول المستخدمين إلى الموارد المؤسسية وتطبيقات السحابة والخدمات الخارجية.

يتجاوز Entra ID قيود Active Directory التقليدي المُدار محليًا، إذ يوفر أساسًا قابلًا للتوسع ومصممًا للسحابة، ومهيأً للقوى العاملة الهجينة والعاملة عن بُعد. ويتولى إنشاء المستخدمين وتزويدهم بالحسابات، وإدارة كلمات المرور ذاتيًا، والتكامل مع التطبيقات، وتقييم المخاطر المتقدم بصورة جاهزة. ومن خلال مركزة إدارة الهوية، يحصل مزودو الخدمات المُدارة على رؤية دقيقة لمن يصل إلى ماذا، ومن أين تنطلق تلك الطلبات، وما إذا كان المستخدم الذي يحاول الوصول يُظهر سلوكًا شاذًا.

علاوةً على ذلك، يتكامل Entra ID بسلاسة مع التطبيقات التابعة لجهات خارجية عبر بروتوكولات معيارية في الصناعة مثل SAML وOIDC، مما يضمن إمكانية تطبيق سياسات الأمان الخاصة بالمؤسسة بشكل متسق، سواء كان المستخدم يصل إلى Microsoft 365 أو Salesforce أو تطبيق ويب داخلي مخصص.

فرض الأمان باستخدام نُهج الوصول المشروط

إن وجود دليل هوية مركزي هو الخطوة الأولى فقط؛ إذ يجب عليك أيضاً التحكم في كيفية تفاعل تلك الهويات مع مواردك ومتى يُسمح لها بذلك. وهنا تأتي نُهج الوصول المشروط في Entra ID. يعمل الوصول المشروط بمثابة محرك القرار الآلي لمحيط الأمان لديك، إذ يقيّم الإشارات في الوقت الفعلي قبل منح الوصول.

تخيّل الوصول المشروط كحارس ذكي رقمي عند باب النادي. عندما يحاول المستخدم تسجيل الدخول، يقيّم Entra ID عدة إشارات في آن واحد:

• عضوية المستخدم أو المجموعة: هل هذا المستخدم مسؤول، أم موظف عادي، أم ضيف خارجي؟
• الموقع: هل يأتي طلب تسجيل الدخول من نطاق IP مؤسسي موثوق، أم من دولة أجنبية عالية المخاطر؟
• حالة الجهاز: هل الجهاز المستخدم متوافق مع خطوط الأساس للامتثال المؤسسي، ومُدار عبر Microsoft Intune؟
• حساسية التطبيق: هل يحاول المستخدم الوصول إلى أداة النشرة الإخبارية الروتينية، أم إلى دفتر الأستاذ المالي الرئيسي؟
• المخاطر في الوقت الفعلي: هل يضع Microsoft Entra ID Protection علامة على سلوك تسجيل الدخول هذا بوصفه شاذاً، أو دالاً على سرقة بيانات الاعتماد؟

استناداً إلى هذه الإشارات، يمكن للنهج تطبيق ضوابط متعددة. فقد يسمح بالوصول بسلاسة، أو يشترط المصادقة متعددة العوامل (MFA)، أو يطلب إعادة تعيين كلمة المرور، أو يحظر طلب الوصول بالكامل. ومن خلال تهيئة نُهج وصول مشروط قوية، يستطيع مزوّدو الخدمات المُدارة تقليص سطح الهجوم بشكل كبير دون التأثير سلباً على إنتاجية المستخدمين النهائيين.

تطبيق بنية Zero Trust

يمكن تلخيص مبادئ Zero Trust في ثلاثة توجيهات أساسية: التحقق الصريح، واستخدام الوصول بأقل الامتيازات، والافتراض بوقوع خرق. ويوفّر Entra ID، مقترناً بأدوات إدارة الأجهزة مثل Microsoft Intune ومنصات حماية نقاط النهاية مثل Microsoft Defender، المجموعةَ التقنية الأساسية اللازمة لتفعيل Zero Trust على نطاق واسع.

التحقق الصريح: قم دائماً بالمصادقة والتفويض استناداً إلى جميع نقاط البيانات المتاحة، بما في ذلك هوية المستخدم، والموقع، وسلامة الجهاز، والخدمة أو عبء العمل، وتصنيف البيانات، والحالات الشاذة. لم تعد كلمات المرور وحدها كافية؛ إذ تفرض عمليات النشر الحديثة المصادقة متعددة العوامل المقاومة للتصيد، مثل مفاتيح الأمان FIDO2 أو Windows Hello for Business.

استخدام الوصول بأقل الامتيازات: قيّد وصول المستخدمين باستخدام نماذج Just-In-Time (JIT) وJust-Enough-Access (JEA). باستخدام Entra ID Privileged Identity Management (PIM)، يعمل المسؤولون بحسابات مستخدمين عادية للمهام اليومية، ولا يرفعون صلاحياتهم إلا عند الضرورة القصوى، ولمدة زمنية محدودة فقط.

الافتراض بوقوع خرق: قلّل نطاق الضرر عبر تجزئة الوصول حسب الشبكة والمستخدم والأجهزة والوعي بالتطبيقات. شفّر البيانات من طرف إلى طرف، واستخدم التحليلات لاكتساب الرؤية، ولرصد التهديدات، ولتحسين دفاعاتك باستمرار.

إدارة بيانات اعتماد المستخدمين والتخفيف من تهديدات الهوية المتقدمة

تُصمَّم تهديدات الهوية المتقدمة، مثل حملات التصيد من نوع الوسيط المتآمر (AiTM) وسرقة الرموز المميزة واختطاف الجلسات، لتجاوز مطالبات المصادقة متعددة العوامل التقليدية. فإذا تمكّن المهاجم من اعتراض رمز جلسة بنجاح، يستطيع انتحال هوية المستخدم الشرعي دون الحاجة إلى تخمين كلمة المرور أو اعتراض رمز الرسالة النصية القصيرة.

للتخفيف من هذه التهديدات المتطورة، يجب على مزوّدي الخدمات المُدارة تطبيق استراتيجيات متقدمة لإدارة بيانات الاعتماد داخل Entra ID:

• الانتقال إلى المصادقة متعددة العوامل المقاومة للتصيد: طبّق مفاتيح أمان الأجهزة أو بيانات الاعتماد المرتبطة بالمنصة، والتي تربط جلسة المصادقة تشفيرياً بالجهاز وبموقع الويب المحدد لمصدرها، مما يجعل هجمات الوكيل AiTM غير فعّالة.
• مراقبة مبادئ الخدمة وتسجيلات التطبيقات: يُسيء المهاجمون بشكل متزايد استخدام مبادئ الخدمة في Azure والتطبيقات المؤسسية للحفاظ على وصول دائم. راجع أذونات واجهة برمجة التطبيقات ومنح موافقة OAuth في مستأجرك بشكل منتظم.
• الاستفادة من Entra ID Protection: استخدم اكتشافات المخاطر المدعومة بالتعلم الآلي لمعالجة الحسابات المخترقة تلقائيًا، من خلال فرض إعادة تعيين كلمات المرور أو حظر الجلسات عالية المخاطر فورًا.

خطوات عملية لتطبيق MSP

قد يبدو الانتقال بمزوّد خدمات الإدارة (MSP) وعملائه نحو وضعية أمنية تتمحور حول الهوية ونموذج Zero Trust أمرًا شاقًا. ولجعل هذا الانتقال قابلًا للإدارة، اتبع خارطة طريق تنفيذ منظمة ومرحلية:

1. تدقيق الهويات الحالية: اكتشف جميع حسابات المستخدمين النشطة، وحسابات الضيوف، والحسابات الخدمية، وبيانات الاعتماد اليتيمة عبر المستأجرين لديك. نظّف الحسابات غير النشطة وأزل الأذونات القديمة.
2. فرض خط الأساس لـ MFA: أوقف بروتوكولات المصادقة القديمة (مثل POP3 وIMAP وإصدارات SMTP Auth الأقدم) التي لا تدعم فرض المصادقة متعددة العوامل الحديثة. وفعّل متطلبات MFA آمنة لنسبة 100% من حسابات المستخدمين.
3. نشر خطوط الأساس لنهج Conditional Access: انشر نهج Conditional Access الأساسية في وضع التقرير فقط أولًا. راقب السجلات للتأكد من عدم تعطّل سير العمل المشروع، قبل فرض النهج عالميًا.
4. دمج الامتثال للأجهزة الطرفية: اربط حالات الامتثال للأجهزة في Microsoft Intune مباشرةً بنهج Conditional Access في Entra ID، بحيث لا تتمكن الأجهزة غير المُدارة أو غير المتوافقة من الوصول إلى بيانات الشركة.
5. المراقبة المستمرة والضبط: راجع بانتظام سجلات تسجيل الدخول وتقارير التدقيق ومقاييس Microsoft Secure Score لتحديد الثغرات الناشئة، وتحسين وضعك الأمني باستمرار.

الخاتمة والخلاصة

بناء مزوّد خدمات مُدارة (MSP) آمن يتطلب تحولًا جوهريًا في طريقة التفكير. فمن خلال التخلي عن فكرة محيط الشبكة المادي التقليدي، واعتماد الهوية بوصفها حدّ الأمان الجديد، يمكن لمزودي الخدمات تحييد كثير من التهديدات السيبرانية الأكثر انتشارًا التي تواجه الشركات اليوم. ومن خلال الجمع الاستراتيجي بين Microsoft Entra ID ونهج Conditional Access الذكية، وإدارة نقاط النهاية عبر Microsoft Intune، والحماية من التهديدات عبر Microsoft Defender، يمكنك بناء إطار أمني مرن وقابل للتوسع يحمي أعمالك ويكسب ثقة عملائك المطلقة.

للاستماع إلى تعمّق أكبر في هذه المفاهيم، والاطلاع على استراتيجيات عملية لتوسيع نطاق الأمن عبر عمليات MSP لديك، لا تفوّت حلقة البودكاست ذات الصلة: Building a Secure Microsoft-First MSP: Intune, Defender & Entra ID at Scale with Albin Klinaku [MVP]. ابقَ آمنًا، واستمر في الابتكار، وإلى اللقاء في المنشور القادم!