الهوية كمحيط أمني: تأمين أجهزة سطح المكتب السحابية الحديثة وفق نموذج Zero Trust

By Mirko Peters · 2026-08-13

أهلاً بعودتكم إلى المدونة المرافقة لبودكاستنا! ومع استمرار المؤسسات في تبني العمل عن بُعد والنماذج الهجينة والاستراتيجيات التي تعتمد على السحابة أولاً، تلاشت شبكة الشركة التقليدية عملياً. فعلى مدى سنوات، اعتمدت أقسام تقنية المعلومات على محيطات الشبكة وجدران الحماية والشبكات الخاصة الافتراضية (VPN) للحفاظ على أمان بيانات المؤسسة. غير أنه في عصر يتصل فيه الموظفون من المقاهي والمكاتب المنزلية والمطار

Automatically translated with AI from the original post. Read the English original

أهلاً بعودتكم إلى المدونة المرافقة لبودكاستنا! ومع استمرار المؤسسات في تبني العمل عن بُعد والنماذج الهجينة والاستراتيجيات التي تعتمد على السحابة أولاً، تلاشت شبكة الشركة التقليدية عملياً. فعلى مدى سنوات، اعتمدت أقسام تقنية المعلومات على محيطات الشبكة وجدران الحماية والشبكات الخاصة الافتراضية (VPN) للحفاظ على أمان بيانات المؤسسة. غير أنه في عصر يتصل فيه الموظفون من المقاهي والمكاتب المنزلية والمطارات، باستخدام طيف واسع من الأجهزة الشخصية وأجهزة العمل، لم يعد ذلك الدفاع القائم على المحيط كافياً. واليوم أصبحت الهوية هي محيط الأمان الجديد.

إن تأمين أجهزة سطح المكتب السحابية الحديثة، سواء كنتم تنشرون Azure Virtual Desktop أو Windows 365، يتطلب تحولاً جوهرياً في طريقة التفكير. لم يعد بإمكاننا الوثوق بالاتصال لمجرد أنه صادر من داخل مكتب الشركة أو مرّ عبر بوابة معينة. بدلاً من ذلك، يجب أن نتحقق من كل طلب وصول على حدة استناداً إلى الهوية، وسلامة الجهاز، والموقع، والسلوك. وفي هذه المقالة سنستعرض كيفية تطبيق أمان قوي في بيئة أجهزة سطح المكتب الافتراضية باستخدام Microsoft Entra ID وConditional Access والحماية القائمة على المخاطر، مع الموازنة بين أمان المؤسسة وإنتاجية المستخدم دون عوائق.

مقدمة: الهوية كمحيط أمني حديث

لقد شهد مفهوم المحيط الأمني تحولاً كبيراً خلال العقد الماضي. فتاريخياً، كان تأمين المؤسسة يعني بناء جدار حصين يشبه القلعة: إذا كنتَ داخل الشبكة فأنت موثوق بشكل عام، وإذا كنتَ خارجها فأنت غير موثوق. وقد نجح هذا النهج عندما كانت جميع التطبيقات موجودة في مراكز بيانات محلية، وكان الموظفون يجلسون على مكاتب ثابتة متصلة بكابلات Ethernet.

أما اليوم، فالتطبيقات تعيش في السحابة، والبيانات موزعة عالمياً، ويتوقع المستخدمون أن يعملوا من أي مكان. وقد جعلت هذه اللامركزية محيط الشبكة التقليدي غير ذي جدوى. لم يعد المهاجمون بحاجة إلى اختراق جدار حماية مادي؛ يكفيهم اختراق بيانات اعتماد المستخدم للحصول على موطئ قدم في البيئة. وبمجرد دخولهم، قد تكون الحركة الجانبية عبر شبكة مسطحة أو ضعيفة التجزئة مدمرة.

هنا تأتي الهوية لتحل محل الشبكة. فعندما تصبح الهوية هي المحيط، يقيّم كل قرار مصادقة وتفويض من هو المستخدم، وأي جهاز يستخدم، وأي تطبيق يحاول الوصول إليه، وما السياق المحيط بالطلب. وبربط الأمان بهوية المستخدم بدلاً من موقعه الفعلي على الشبكة، تستطيع المؤسسات الحفاظ على وضع أمني محكم دون تقييد مكان العمل وطريقته التي يختارها الموظفون.

فهم مبادئ Zero Trust في بيئات أجهزة سطح المكتب الافتراضية

لتفعيل مبدأ الهوية كمحيط، يجب على المؤسسات تبني نموذج أمان Zero Trust. يقوم Zero Trust على ثلاثة مبادئ أساسية: التحقق الصريح، واعتماد أقل الامتيازات، وافتراض وقوع الاختراق. وعند تطبيق هذه المبادئ على بيئات أجهزة سطح المكتب الافتراضية مثل Azure Virtual Desktop وWindows 365، فإنها تغيّر تماماً طريقة تصميم ضوابط الوصول.

يعني التحقق الصريح أن كل طلب وصول يجب أن يُصادَق عليه ويُفوَّض استناداً إلى جميع نقاط البيانات المتاحة، بما في ذلك هوية المستخدم، والموقع، وامتثال الجهاز، وتصنيف الخدمة أو عبء العمل، والسلوكيات الشاذة. لا يُوثق بأي طلب ضمنياً، سواء أتى من داخل شبكة الشركة أو من خارجها.

يحدّ الوصول بأقل الامتيازات من صلاحيات المستخدم عبر نموذجي Just-In-Time وJust-Enough-Access (JIT/JEA)، إلى جانب السياسات التكيفية القائمة على المخاطر وضمانات حماية البيانات. وهذا يضمن أنه حتى لو تعرّض حساب للاختراق، يبقى نطاق الضرر محدوداً، ويحول دون وصول المهاجمين إلى الموارد الحساسة التي لا يحتاجونها صراحةً لأداء دورهم.

يقلل افتراض وقوع الاختراق من الحركة الجانبية عبر تجزئة الوصول بحسب الشبكة والمستخدم والأجهزة والوعي بالتطبيقات. كما أن تشفير جميع الجلسات، واعتماد القياس عن بُعد الشامل من طرف إلى طرف، واستخدام التحليلات للحصول على رؤية واضحة لاكتشاف التهديدات، يمكّن مسؤولي تقنية المعلومات من دفع التحسين المستمر لوضعهم الأمني.

الاستفادة من Microsoft Entra ID للتحكم المركزي في الوصول

يُعدّ Microsoft Entra ID (الذي كان يُعرف سابقًا باسم Azure Active Directory) حجر الأساس في أي بنية حديثة لنهج Zero Trust للأجهزة السحابية الافتراضية. ويعمل Entra ID بوصفه موفّر الهوية الذي ينسّق عمليات المصادقة والتفويض عبر منظومة Microsoft 365 بالكامل، بما في ذلك البنية التحتية لأجهزة سطح المكتب الافتراضية.

إنّ الانتقال من نطاقات Active Directory التقليدية نحو إدارة الهوية السحابية أو إعدادات الهوية الهجينة باستخدام Microsoft Entra Connect يوفّر مزايا أمنية كبيرة. فمركزة التحكم في الوصول في Entra ID تتيح للمؤسسات فرض سياسات أمنية متسقة، سواء كان المستخدم يسجّل الدخول من حاسوب محمول مادي أو من تطبيق ويب أو من جلسة سطح مكتب مستضافة في السحابة.

كما يوفّر Microsoft Entra ID إمكانات متقدمة لحوكمة الهوية، مثل مراجعات الوصول، وإدارة الاستحقاقات، وإدارة الهوية المميزة. فمن خلال التأكد من أن المستخدمين يملكون حق الوصول إلى موارد سطح المكتب الافتراضي التي يحتاجونها فقط ولمدة محددة، يمكن للمؤسسات تقليص سطح الهجوم لديها بشكل ملحوظ. كما يمنح التسجيل المركزي والتدقيق فرق عمليات الأمن رؤيةً واضحة حول من يصل إلى ماذا، ما يسهّل التحقيق في الأنشطة المشبوهة والوفاء بمتطلبات الامتثال.

فرض الأمان باستخدام نهج الوصول المشروط

بعد أن تُدار هوياتكم مركزيًا عبر Microsoft Entra ID، تتمثل الخطوة التالية في تأمين أجهزتكم السحابية الافتراضية في تطبيق Microsoft Entra Conditional Access. يعمل Conditional Access كحارس بوابة ذكي، إذ يقيّم الإشارات ويتخذ قرارات وصول آلية لكل محاولة تسجيل دخول.

فكّروا في Conditional Access بوصفه مجموعة من عبارات "إذا-فإن": إذا أراد مستخدم الوصول إلى Windows 365 Cloud PC أو إلى مجموعة مضيفات Azure Virtual Desktop، فما الشروط التي يجب استيفاؤها؟ ومن الإشارات الشائعة التي يقيّمها Conditional Access:

• عضوية المستخدم أو المجموعة: تخصيص النهج لأقسام محددة، أو للمتعاقدين، أو للأدوار التنفيذية.
• معلومات الموقع: تقييد الوصول أو اشتراط مصادقة إضافية عندما تصدر الطلبات من دول غير مألوفة أو عالية الخطورة.
• حالة الجهاز: التأكد من أن الجهاز المستخدم للاتصال بسطح المكتب الافتراضي متوافق مع سياسات الشركة، ومنضم إلى Microsoft Entra ID، أو مُدار عبر Microsoft Intune.
• تطبيق العميل: التحكم في الوصول بحسب ما إذا كان المستخدم يتصل عبر عميل Remote Desktop الأصلي، أو متصفح ويب، أو جهاز محمول.

وبضبط هذه النهج بشكل صحيح، يمكن للمؤسسات التأكد من أن الأجهزة غير المُدارة أو الشخصية لا تستطيع تنزيل بيانات الشركة مباشرة من الجلسة الافتراضية، أو أن المصادقة متعددة العوامل (MFA) تُفرض بصرامة كلما سجّل المستخدم الدخول من موقع غير موثوق.

تطبيق الحماية القائمة على المخاطر لأجهزة سطح المكتب السحابية

القواعد الثابتة، مثل اشتراط MFA أو حظر مواقع تسجيل الدخول الأجنبية، أساسية، لكن التهديدات الحديثة تتطلب دفاعات ديناميكية وذكية. وهنا يأتي دور Microsoft Entra ID Protection والنهج القائمة على المخاطر. فيحلّل Entra ID Protection باستمرار مليارات الإشارات يوميًا للكشف عن احتمالات اختراق الحسابات المرتبطة بالمستخدمين.

يُقيَّم الخطر ضمن فئتين رئيسيتين: خطر المستخدم وخطر تسجيل الدخول. يرصد خطر المستخدم احتمال اختراق الهوية نفسها، على سبيل المثال عند تسريب بيانات الاعتماد على الويب المظلم أو عند رصد أنماط سلوكية غير اعتيادية. أما خطر تسجيل الدخول فيقيّم احتمال ألّا يكون طلب المصادقة المحدد قد صدر عن مالك الهوية، مثل سيناريوهات السفر المستحيل أو عمليات تسجيل الدخول من عناوين IP مجهولة.

عند دمج الحماية القائمة على المخاطر في بيئة أجهزتكم السحابية، يمكنها تشغيل إجراءات معالجة تلقائيًا. فعلى سبيل المثال، إذا حاول مستخدم الوصول إلى بيئة Azure Virtual Desktop الخاصة به ورُصد خطر تسجيل دخول مرتفع، يمكن للنظام حظر الوصول تلقائيًا، أو إلزام المستخدم بإعادة تعيين كلمة المرور وإتمام تحدي MFA بنجاح قبل منحه الدخول. وتوقف هذه الاستجابة الآلية المهاجمين في مساعيهم دون الحاجة إلى تدخل يدوي مستمر من فريق الدعم الفني.

موازنة الأمان المؤسسي مع إنتاجية المستخدم السلسة

من أكثر التحديات شيوعاً التي يواجهها قادة تقنية المعلومات التوتر بين الأمان وتجربة المستخدم. فإذا طبّقتم ضوابط أمنية مفرطة في التقييد، سيلجأ الموظفون إلى حلول بديلة خارج نطاق الإدارة (Shadow IT)، وسيشعرون بالإحباط، وستنخفض إنتاجيتهم. وفي المقابل، إذا كان الأمان متساهلاً، تصبح المؤسسة هدفاً سهلاً للمجرمين الإلكترونيين.

الهدف من استراتيجية Zero Trust الحديثة هو تحقيق تجربة مستخدم سلسة مدعومة بأمان ذكي. فبدلاً من مطالبة المستخدمين بالمصادقة متعددة العوامل في كل خطوة، وهو ما يؤدي إلى إرهاق المصادقة وعادات خطرة مثل "الموافقة على أي حال"، ينبغي للمؤسسات الاعتماد على الإشارات السياقية. فإذا كان المستخدم يتصل من جهاز مُدار من الشركة ومعروف، ومن موقع مكتب موثوق، مع درجة مخاطر منخفضة، فاسمحوا له بالدخول دون عوائق.

احفظوا تدخلات الأمان الثقيلة، مثل المصادقة المعززة وحظر الوصول، للحالات الشاذة والمواقف عالية الخطورة. كما أن اختيار منصة سطح المكتب الافتراضي المناسبة يلعب دوراً كبيراً في رضا المستخدمين. وسواء اخترتم بيئات متعددة الجلسات المشتركة عبر Azure Virtual Desktop، أو أداءً مخصصاً عبر Windows 365، فإن تحسين البنية الأساسية يسمح لسياسات الأمان بالعمل بهدوء في الخلفية دون التأثير على الأداء.

الخاتمة وأفضل الممارسات لأجهزة سطح المكتب السحابية الآمنة

لم يعد تأمين أجهزة سطح المكتب السحابية الحديثة يعتمد على بناء جدران شبكية أعلى، بل على إقامة محيطات هوية قوية وذكية. فمن خلال تبني مبادئ Zero Trust، ومركزية إدارة الهوية باستخدام Microsoft Entra ID، والاستفادة من Conditional Access، ونشر الحماية القائمة على المخاطر، يمكن لمؤسستكم أن تستمتع بمرونة أجهزة سطح المكتب السحابية مع الحفاظ على أمان بمستوى المؤسسات.

تذكّروا أن الأمان ليس مشروعاً لمرة واحدة، بل رحلة مستمرة من التقييم المتواصل والتحسين. راجعوا بانتظام سياسات Conditional Access الخاصة بكم، وراقبوا تقارير مخاطر الهوية، وحافظوا على تحسين بنية سطح المكتب الافتراضي من حيث التكلفة والأداء معاً. وللتعمق أكثر في كيفية تصميم هذه البيئات ونشرها وتأمينها، تأكدوا من الاطلاع على حلقة البودكاست ذات الصلة، AVD vs Windows 365: Which Virtual Desktop Strategy Wins: with Shabaz Darr [MVP]، حيث تساعدكم الرؤى الخبيرة فيها على اتخاذ أفضل القرارات لاستراتيجية الحوسبة للمستخدم النهائي في مؤسستكم.