Identity Protection مقابل الوصول المشروط: ضبط أمن Microsoft Entra ID بالشكل الصحيح

By Mirko Peters · 2026-04-26

الهوية هي ساحة المعركة الأمنية الجديدة، ومع وجود Microsoft Entra ID في قلب تقنية المعلومات لدى معظم المؤسسات، يصبح فهم خياراتك أمرًا بالغ الأهمية…

Automatically translated with AI from the original post. Read the English original

الهوية هي ساحة المعركة الأمنية الجديدة، ومع وجود Microsoft Entra ID في قلب تقنية المعلومات لدى معظم المؤسسات، يصبح فهم خياراتك أمرًا بالغ الأهمية. من أبرز الأسماء التي ستسمعها هنا Identity Protection والوصول المشروط (Conditional Access). إذا كنت تواجه تهديدات حديثة مثل التصيد الاحتيالي، أو هجمات رش كلمات المرور، أو انتشار التطبيقات السحابية بشكل فوضوي، فإن معرفة متى تعتمد على كل أداة، وكيفية استخدامهما معًا، قد تغيّر قواعد اللعبة.

يتناول هذا المقال توضيح الحد الفاصل (ونقاط التداخل) بين حماية الهوية والوصول المشروط في عالم Microsoft. وسنشرح ليس فقط ما تفعله هذه الأدوات، بل أيضًا لماذا تحتاج إلى الاثنتين معًا لتحقيق أمن مرن وقابل للتكيف. ومع تزايد جرأة المهاجمين واضمحلال حدود الأمن السحابية، يشكّل هذا الأساس للحفاظ على أبواب مفتوحة أمام الأشخاص المناسبين، وإغلاقها بإحكام في وجه الآخرين.

فهم Identity Protection والوصول المشروط في Microsoft Entra ID

لنتراجع خطوة إلى الوراء للحظة. فالمؤسسات الحديثة لا تعمل داخل مبنى واحد، بل تتوزع عبر الأجهزة والسحابات والقارات. وهذا يعني أن الطرق القديمة لحماية الشبكات لم تعد مجدية كثيرًا. بدلًا من ذلك، يبدأ الأمن اليوم من الباب الأمامي: المستخدمون وهوياتهم.

تقدم Microsoft Entra ID محركين أمنيين رئيسيين يشغّلان هذا الباب الأمامي. فـ Identity Protection أشبه بكاميرا المراقبة ونظام الإنذار لديك، إذ يفحص باستمرار محاولات الاختراق أو أي شيء يبدو "غير طبيعي". أما الوصول المشروط فهو الحارس الرقمي الذي يتحقق من كل طلب وفق قواعد المنزل قبل السماح لأي شخص بالدخول إلى الحفلة، أو حتى إلى المدخل.

نعم، هذه الأدوات مختلفة، لكنها مصممة للعمل جنبًا إلى جنب. فـ Identity Protection يسلّط الضوء على السلوكيات الخطرة، بينما يتصرف الوصول المشروط بناءً على تلك الإشارات، فيحظر أو يسمح أو يطلب إثباتًا إضافيًا. وفي عالم اليوم القائم على السحابة، لم يعد امتلاك كلمات المرور كافيًا؛ بل تحتاج إلى نهج ذكية وتكيفية تستجيب للمخاطر أينما ظهرت.

في الأقسام التالية، ستحصل على تعريف دقيق لهاتين التقنيتين، وسترى بوضوح كيف تطور نهج Microsoft في أمن الهوية. هناك فرق حقيقي بين مراقبة التهديدات وفرض القواعد فعليًا، وفهم هذا الفرق سينقذك من المتاعب عندما تطرق هجمة حقيقية الباب.

Identity Protection والوصول المشروط: توضيح الفرق

يُعد Identity Protection في Microsoft Entra ID العقل المسؤول عن رصد المخاطر لدى Microsoft. فهو يستخدم تعلم الآلة والاستخبارات الخاصة بالتهديدات لاكتشاف الأنماط التي تشير إلى بيانات اعتماد مخترقة أو سلوك غير طبيعي، مثل السفر المستحيل بين القارات، أو تكرار تخمين كلمات المرور، أو تسجيلات الدخول من عناوين IP مجهولة المصدر. ومهمته الأساسية؟ إظهار المستخدمين وتسجيلات الدخول المحفوفة بالمخاطر حتى تتمكن من الاستجابة قبل وقوع الضرر.

أما الوصول المشروط فيقوم على الإنفاذ المبني على النهج. فبدلًا من انتظار انطلاق الإنذار، يقرر الوصول المشروط، استنادًا إلى شروط مثل الموقع وحالة الجهاز ودور المستخدم وإشارات المخاطر، مَن يمكنه تنفيذ أي إجراء، ومتى، وبأي طريقة. ويُستخدم لطلب المصادقة متعددة العوامل (MFA)، أو حظر الوصول إلى التطبيقات الحساسة، أو منح الوصول فقط من الأجهزة المتوافقة. لكنه لا "يستشعر" المخاطر بمفرده، بل يأخذ نتائج Identity Protection ويتصرف بناءً عليها.

تكمن القوة في التعاون بين الأداتين. فـ Identity Protection يزوّد الوصول المشروط بدرجات مخاطر ديناميكية، ما يتيح للنهج أن تقول أشياء مثل: "احظر الوصول إذا كانت مخاطر المستخدم مرتفعة"، أو "فرض MFA إذا بدت تسجيلة الدخول هذه غريبة". وإذا كنت تريد إرشادات عملية للبقاء على اطلاع دائم بتهديدات الهوية وتجنب الثغرات في الحوكمة، فاستمع إلى هذا البودكاست حول الهوية وانتشار النهج والإنفاذ الواضح، وهو غوص في استخدام الأداتين معًا لتأمين المخاطر الحقيقية دون إقصاء المستخدمين الحقيقيين.

الخلاصة: يُنبهك Identity Protection إلى المخاطر، بينما يتيح لك الوصول المشروط الاستجابة تلقائيًا وبشكل متسق. نادرًا ما تريد أحدهما دون الآخر، خاصةً مع استهداف المهاجمين للهويات بإبداع أكبر من أي وقت مضى.

تطور أمن الهوية: من تدابير الأمن التقليدية إلى الضوابط التكيفية

في الماضي، كان تأمين الشبكة يعني وضع جدار ناري كبير وقوي عند الحافة وقول: "إذا كنت داخل الشبكة، فأنت موثوق." وتكفلت شبكات VPN وكلمات المرور بالباقي، أو هكذا كانت النظرية على الأقل. لكن العقد الماضي أظهر مدى السرعة التي يمكن بها تجاوز هذه الحدود، خاصة مع انتشار تطبيقات السحابة والعمل عن بُعد.

عقلية الحماية القائمة على المحيط لم تعد قادرة على مواجهة واقع اليوم، حيث ينتقل المستخدمون بين المكتب والمنزل ومقهى القهوة، ويعملون عبر أجهزة شخصية وأجهزة مُدارة. لم يعد المهاجمون يطرقون البوابة الأمامية، بل يسجّلون الدخول باستخدام بيانات اعتماد مسروقة، متجاوزين جدران حماية قد لا تملك حتى التحكم فيها. الوثوق بكل من هو "داخل" الشبكة ليس قديمًا فحسب، بل يمثل خطرًا كبيرًا.

لهذا السبب أصبحت الأمن يتمحور حول الهوية. خط الدفاع الأمامي ليس الشبكة، بل المستخدمون وأنماط وصولهم. تراقب ضوابط Microsoft التكيفية، المدعومة من Identity Protection وConditional Access، كل عملية تسجيل دخول وكل معاملة بحثًا عن مؤشرات المخاطر الخفية، ولا تثق عمياءً بأي شخص لمجرد اجتيازه الاختبار الأول. هذه المراقبة المستمرة هي جوهر ما يُعرف بنموذج Zero Trust.

للاطلاع على تحليل أعمق حول تطبيق سياسات Zero Trust عبر Microsoft 365 وDynamics، راجع هذا النقاش حول Zero Trust by Design. ستتعرف على أسباب أهمية فحوصات الهوية والجهاز ومستوى الجلسة اليوم أكثر من أي وقت مضى، وكيف تحافظ المطالبات القائمة على السياق على أمان المستخدمين والبيانات بشكل فعلي.

كيف يقود اكتشاف المخاطر إلى سياسات الأمان التكيفية

لنتحدث عن كيفية تحويل "معرفة ما هو خطير" إلى إجراء فعلي في أمن الهوية الحديث. أن يلاحظ النظام وجود شيء مريب أمر، لكن أن يتحرك فعلًا لتشديد الحماية قبل أن تسوء الأمور أمر آخر. مع Microsoft Entra ID، يحدث السحر عندما تتغذى يقظة Identity Protection المستمرة مباشرة إلى محرك الإنفاذ في Conditional Access.

الأمر لا يتعلق بانتظار مراجعات الأمان الشهرية أو البحث في السجلات بعد وقوع الاختراق. بدلًا من ذلك، يعمل اكتشاف المخاطر في الوقت الفعلي: يلاحظ النظام أنماطًا غير معتادة، كأن يسجّل مستخدم الدخول فجأة من دولة لم يزرها قط، أو أن تظهر بيانات اعتماده في تسريب لكلمات مرور. فورًا، يمكن لإشارات المخاطر هذه أن تعدّل ما يحدث لاحقًا، فترفع مستوى المتطلبات للوصول أو توقفه تمامًا.

القوة الحقيقية تكمن في السياسات التكيفية التي لا تعتمد على قواعد تقليدية بيضاء أو سوداء فحسب. بدلًا من ذلك، تنظر إلى من يحاول الدخول، ومن أين، وما الجهاز الذي يستخدمه، ومدى خطورة الموقف استنادًا إلى أحدث المعلومات الاستخبارية. هذا الدمج بين الاكتشاف والإنفاذ يعني حوادث أقل، وتوقفًا أقل للعمل، وثقة أكبر بأن الأشخاص المناسبين فقط يصلون إلى بياناتك الحساسة وأنظمتك.

في الأقسام التالية، ستطلع على التفاصيل التقنية: ما أنواع إشارات المخاطر التي تُفعّل السياسات، وكيف تندمج هذه الإشارات في MFA التكيفي، وكيف يتكامل كل ذلك لحماية مؤسستك دون تعطيل يوم الجميع.

المحفزات والعوامل السياقية في قرارات الوصول القائمة على المخاطر

1. Impossible Travel
2. إذا سجّل مستخدم الدخول من دولة ثم، بعد دقائق، من موقع آخر يبعد آلاف الأميال، يُفعّل ذلك إشارة "Impossible Travel". فلا توجد طريقة مادية للانتقال بهذه السرعة. تشير هذه الإشارة إلى احتمال سرقة بيانات الاعتماد أو اختطاف الجلسة، وتُفعّل استجابات السياسات لتحدي الوصول أو حظره.
3. Leaked Credentials
4. تراقب Microsoft باستمرار المصادر العامة والخاصة بحثًا عن حسابات مخترقة. إذا ظهرت بيانات اعتماد مستخدمك في تسريب معروف، فهذا مؤشر عالي الخطورة. يمكن لـ Conditional Access حظر هذه الحسابات أو طلب إعادة تعيين آمنة لكلمة المرور فورًا.
5. تسجيلات الدخول من عناوين IP مجهولة
6. غالبًا ما تكون الاتصالات القادمة من خدمات إخفاء الهوية أو شبكات VPN أو شبكات TOR علامة على محاولة المهاجمين إخفاء موقعهم الحقيقي. يلاحظ Identity Protection عندما تأتي عمليات تسجيل الدخول من مصادر مشبوهة، فيرفع علامة "تسجيل دخول محفوف بالمخاطر" ويفرض سياسات مثل MFA أو الحظر الكامل للوصول.
7. هجمات القوة الغاشمة وهجمات رش كلمات المرور
8. عندما تحدث محاولات تسجيل دخول فاشلة متعددة خلال فترة قصيرة، سواء على حساب واحد (Brute Force) أو عبر حسابات كثيرة (Password Spray)، تلتقط خدمة اكتشاف المخاطر هذه الأنماط. يمكن للإجراء السريع أن يوقف الهجمات الآلية قبل أن تعثر على كلمة مرور ضعيفة.
9. إساءة استخدام الجلسات والموافقات
10. قد يسرق المهاجمون رموز OAuth أو يسيئون استخدام موافقة التطبيقات للوصول إلى موارد Microsoft 365. يوضح الاكتشاف الحديث، كما يشرح هذا التحليل لخرق حقيقي في M365، أن تأمين كلمات المرور وحده لم يعد كافياً، إذ يحتاج إساءة استخدام الرموز إلى مراقبة متقدمة خاصة بها وضوابط شرطية.

تؤدي هذه الأحداث فوراً إلى رفع مستوى خطر تسجيل الدخول أو خطر المستخدم، وهو ما يغذي نهج الوصول المشروط التي تحدد ما إذا كان بإمكان المستخدم المتابعة، أو يحتاج إلى إثبات هويته، أو يُقطع وصوله تماماً.

شرح المصادقة متعددة العوامل التكيفية: تفعيل الوصول المشروط القائم على المخاطر

تعني المصادقة متعددة العوامل التكيفية (MFA) أن الحاجة إلى التحقق الإضافي، مثل رمز نصي أو تطبيق المصادقة، لا تظهر إلا عند وجود سبب حقيقي للقلق. فبدلاً من إرهاق المستخدمين بتحديات غير ضرورية في كل مرة يسجلون فيها الدخول، يمكن للوصول المشروط تفعيل MFA بناءً على المخاطر في الوقت الفعلي، مثل المواقع الجديدة والأجهزة غير المُدارة أو الإشارات الصادرة عن Identity Protection.

يحافظ هذا النهج على قوة الأمان حيث يهم ذلك أكثر، دون إثقال فريقك بالمطالبات المستمرة. وللاطلاع على استراتيجيات تحافظ على إحكام الأمان ورضا المستخدمين، يمكنك الاطلاع على هذا الدليل حول إعدادات الأمان العملية في Microsoft 365.

تهيئة نهج الوصول المشروط في Microsoft Entra ID

إنشاء وصول مشروط فعّال في Entra ID ليس بالبساطة التي توحي بها تفعيل بضعة مفاتيح. فجوهر الأمر يكمن في تصميم نهج تتوافق فعلياً مع احتياجات عملك، لا أكثر ولا أقل، مع دمج بيانات المخاطر الفورية من Identity Protection لتحقيق مرونة حقيقية.

يقوم الوصول المشروط في جوهره على تحديد من يمكنه فعل ماذا، ومتى، وبأي أدوات، وذلك استناداً إلى مجموعة من الشروط المحددة بوضوح. وتأخذ النهج الحديثة في الحسبان امتثال الجهاز، ومخاطر المستخدم، وحساسية التطبيق، وحتى سياق الجلسة، مما يسهّل الأمر على المستخدمين الشرعيين ويصعّب كثيراً على المهاجمين.

لكن الإعداد العملي نادراً ما يكون بسيطاً أو محسوماً. فالترخيص، وأذونات المسؤولين، والاستثناءات القديمة، وقيود النظام، كلها عوامل تدخل في الحساب. ويجب أن يتجنب الإطلاق التدريجي للنهج الاحتكاك المفرط، وأن يقلل من تعارض النهج، وأن يتكيف مع تغير مشهد الأعمال ومشهد التهديدات. إنها رحلة مستمرة، وليست عملية نشر تتم مرة واحدة.

إذا كنت تبحث عن نصائح عملية حول إدارة الثقة، ووضعية الأجهزة، أو متاعب تكاثر الاستثناءات، فيمكنك التعمق أكثر من خلال مراجعة هذا النقاش حول قضايا الثقة في النهج وأفضل خطط الإطلاق.

بناء نهج وصول مشروط فعّالة: تحقيق التوازن بين الأمان وسهولة الاستخدام

1. ابدأ بنهج شاملة لا نهج استثنائية
2. ابنِ خطوطاً أساسية تشمل جميع المستخدمين والأجهزة، ثم اعزل استثناءات محدودة ومحددة بزمن. فالاستثناءات الواسعة جداً، مثل "باستثناء المسؤولين"، تخلق ثغرات أمنية لا تُرى. النهج الشاملة تحمي الجميع.
3. استفد من فحوصات امتثال الأجهزة
4. اشترط تسجيل الدخول فقط من الأجهزة المتوافقة والمُدارة عبر Intune للوصول إلى التطبيقات الحساسة. ويمكن تقييد الأجهزة غير المُدارة أو الشخصية، أو إجبارها على استخدام تطبيقات الويب فقط، مما يقلل من خطر تسرب البيانات.
5. استخدم خطر المستخدم وسياق تسجيل الدخول
6. ادمج إشارات المخاطر من Identity Protection، مثل "مستخدم عالي المخاطر"، لتطبيق MFA ديناميكياً، أو تقييد الوصول، أو حظره بالكامل إذا بدا الحساب مخترقاً. وهذا يُبقي الاحتكاك منخفضاً في السيناريوهات المعتادة، ويرفع مستوى الضوابط عند الحاجة فقط.
7. التحكم حسب حساسية التطبيق والموقع
8. عامل أحمال العمل الحساسة، مثل Exchange Online، بشكل مختلف. فربما تكون بيانات المالية مقفلة إلا من شبكة الشركة، بينما تتمتع البوابات الموجهة للعملاء بقواعد أكثر مرونة للمتعاقدين.
9. المراقبة المستمرة والتحسين
10. راجع السجلات ومؤشرات فعالية الأداء بانتظام. واعتمد نهج حوكمة دورة الحياة كما هو موضح في هذا البودكاست حول حلقات المعالجة للوصول المشروط. فبذلك تتجنب ديون الهوية وتحافظ على إنفاذ متوقع.

المتطلبات المسبقة والقيود واعتبارات أدوار المسؤولين

• الترخيص: يتطلب الوصول المشروط وIdentity Protection تراخيص Microsoft Entra ID Premium P1 أو P2. وتتيح P2 أتمتة متقدمة قائمة على المخاطر وإمكانات تقارير أوسع.
• صلاحيات المسؤول: يمكن لمسؤولي المستأجر العامين أو مسؤولي الأمان فقط تهيئة النُهج على مستوى النظام بالكامل، في حين يتيح التحكم في الوصول المستند إلى الأدوار تفويضًا أدق للصلاحيات.
• القيود التقنية: قد لا تدعم بعض البروتوكولات القديمة أو تطبيقات السحابة المصادقة الحديثة أو فرض الوصول المشروط، ما قد يستلزم تعديلات إضافية على النُهج أو حظر المصادقة القديمة بالكامل.
• حدود النُهج: انتبه إلى الحدود المفروضة على عدد النُهج وعلى التبعيات بين الخدمات، تفاديًا لحالات قفل الحسابات دون قصد أو تعارض في تطبيق النُهج.

دمج حماية الهوية مع الوصول المشروط لتعزيز الأمان

لا يكفي سدّ الثغرات عندما يمكن أن يكون كل تسجيل دخول ناقلًا محتملًا لهجوم. المعيار الذهبي هو التكامل، أي أن تُبقي رؤى المخاطر الدقيقة في حماية الهوية محدِّثةً باستمرار محرك نُهج الوصول المشروط لديك. وعندما يحاول أحد القيام بشيء غير معتاد، لا ينتظر النظام أن تلحق أنت به، بل يكون قد بدأ الاستجابة فعلًا.

يسدّ هذا الدمج ثغرات لا يمكن لأي نهج منفرد أن يسدّها وحده. فإذا رصد كشف المخاطر إشارة تحذير، كتسجيل دخول من دولة لا تزاول فيها نشاطك، يستطيع الوصول المشروط أن يطلب المصادقة متعددة العوامل أو يحظر الوصول كليًا، غالبًا قبل أن يتعرض النظام أو المستخدم للخطر. والنتيجة؟ أتمتة لا تكتفي بالاستجابة للتهديدات، بل تتوقعها وتحيّدها في الوقت الفعلي.

لا يقتصر دمج الاثنين على راحة فرق تقنية المعلومات، بل هو أيضًا طريقك إلى عائد استثمار قابل للإثبات. فأنت تقلل احتمالات الاختراق، وتوفر تكاليف الاستجابة، وتُظهر فعالية استثماراتك عند التدقيق أو عندما تطلب الإدارة العليا تقريرًا. والنقطة المثلى حقًا هي خفض الحوادث الأمنية دون إثقال المستخدمين بالعوائق.

في الجزء التفصيلي القادم، سنستعرض كيف تُفعِّل هذه الشراكة عمليًا لاتخاذ قرارات وصول محكمة، وما يعنيه ذلك لقدرتك على رصد التهديدات وإيقافها والتعلم منها فور ظهورها.

حماية الهوية في الوصول المشروط: استخدام إشارات المخاطر لفرض الوصول

مع Microsoft Entra ID، تتحول إشارات المخاطر من حماية الهوية، مثل حالة المستخدم المعرّض للمخاطر أو تسجيلات الدخول المُبلَّغ عنها، إلى ضوابط قابلة للتنفيذ داخل الوصول المشروط. يمكنك إعداد نُهج تنص على "إذا كان مستوى المخاطر مرتفعًا، فاحظر الوصول إلى البيانات المالية"، أو "إذا رُصد تسجيل دخول محفوف بالمخاطر، فاطلب إعادة تعيين كلمة المرور ومصادقة متعددة العوامل إضافية".

تجعل هذه التكاملات من اكتشافات المخاطر أكثر من مجرد إشعارات، إذ تصبح شروطًا فعلية. يمكنك تصميم قواعد دقيقة تستجيب فورًا للتهديدات الجديدة. فعلى سبيل المثال، إذا وُسِم حساب شخص ما بعد ظهور بيانات اعتماده في خرق أمني، فسيُمنع من الوصول إلى التطبيقات عالية القيمة أو يُلزم بخطوات المعالجة، بصرف النظر عن موقعه أو الجهاز الذي يستخدمه.

يمثل هذا قفزة كبيرة عن النموذج القديم، الذي كان تسجيل الدخول المحفوف بالمخاطر فيه لا يُلاحظ غالبًا إلا بعد وقوع الضرر. وبإدراج إشارات المخاطر كمحفزات، يضمن الوصول المشروط أن تكون استجابتك آلية ومتسقة وقابلة للتوسع عبر بيئتك بأكملها.

بالنسبة إلى متخصصي الأمان، يمثل هذا النموذج ذو الحلقة المغلقة نقلة نوعية، إذ يوفر تخفيفًا سريعًا للهجمات الواقعية، ويُفرغ وقتك للمبادرات الاستراتيجية بدلًا من إطفاء الحرائق.

تعزيز الأمان ونتائج تخفيف التهديدات

• احتواء الاختراق مبكرًا: يحدّ الإنفاذ الآلي القائم على كشف المخاطر، مثل حظر تسجيلات الدخول من الحسابات المخترقة، من مدة بقاء المهاجم ويوقف إساءة استخدام الحساب في مرحلة مبكرة.
• استجابة متعددة الطبقات للتهديدات: ما ترصده حماية الهوية يمكن للوصول المشروط أن يتصرف بناءً عليه، فيفرض المصادقة متعددة العوامل، أو يعزل المستخدمين المتأثرين، أو يُلزم بتغيير كلمات المرور في الوقت الفعلي.
• تقليل الأخطاء البشرية: تُنفَّذ النُهج فورًا وباتساق، فلا تعتمد على المسؤولين لالتقاط كل تنبيه أو تفسير المخاطر بعد وقوعها.
• دفاع مثبت ضد التهديدات الحديثة: تُوقَف الهجمات المتقدمة، مثل سرقة رموز الجلسات والتصيد بالموافقة، كما هو موضح في تحليل الاختراق هذا لـ Microsoft 365، عبر ضوابط تُفعَّل ديناميكيًا، لا عبر قواعد قديمة واحدة تناسب الجميع.

إدارة الامتثال للأجهزة وحماية التطبيقات والتحكم في الوصول

الهوية ليست القصة كاملة. حالة أجهزتك، سواء كانت مُدارة من الشركة أو هاتفاً شخصياً لأحد الموظفين، وحساسية التطبيقات التي يُوصل إليها، تلعب دوراً كبيراً في طريقة تطبيق ضوابط الأمان. في Microsoft Entra ID، تُعدّ نهج امتثال الأجهزة ونهج حماية التطبيقات عناصر أساسية إلى جانب مخاطر الهوية.

تتيح لك نهج الوصول المشروط الحديثة فرض متطلبات أقوى على أعباء العمل الحساسة، وحظر التركيبات الخطرة، مثل وصول الأجهزة غير المُدارة إلى بيانات الأعمال الحرجة. يُبقي هذا النهج متعدد الطبقات وضعية الأمان لديك محكمة ومصممة وفق الواقع الفعلي لطريقة عمل الأشخاص اليوم.

اعتبارات العملاء والتطبيقات في الوصول المشروط

• حالة إدارة الجهاز: اشترط الوصول فقط من الأجهزة المُدارة والمتوافقة مع Intune، مع حظر الوصول أو تقييده للأجهزة الشخصية أو غير المعروفة.
• نوع تطبيق العميل: طبّق نهجاً أكثر صرامة على العملاء القديمة؛ اسمح بالتطبيقات السحابية،但قيّد عملاء البريد الأقدم التي لا تدعم المصادقة الحديثة أو المصادقة متعددة العوامل.
• إدارة تطبيقات الأجهزة المحمولة: استخدم نهج حماية التطبيقات لحماية البيانات في تطبيقات Office للأجهزة المحمولة، من خلال التحكم في النسخ واللصق والتنزيلات والتقاط الشاشة.
• الوصول عبر المتصفح مقابل التطبيقات الأصلية: امنح صلاحيات مختلفة لمستخدمي المتصفح مقارنةً بالمستخدمين الذين يسجلون الدخول من تطبيقات سطح المكتب أو الأجهزة المحمولة، مع إدارة المخاطر بناءً على سياق الجلسة.

نهج أمان مخصصة للتطبيقات والبيانات الحرجة

• Exchange Online Protection: اشترط أجهزة متوافقة أو قيود قائمة على الموقع عند الوصول إلى حسابات البريد الإلكتروني للأعمال، لمنع التسريبات العرضية والخبيثة.
• عناصر التحكم في SharePoint و OneDrive: احظر التنزيلات على الأجهزة غير المُدارة، أو فعّل أوضاع القراءة فقط للملفات التي تحتوي على محتوى حساس.
• Microsoft Teams والبيانات المالية: اضبط ضوابط مصادقة وجلسات أكثر صرامة للفرق التي تتعامل مع البيانات المالية أو بيانات الموارد البشرية الحساسة.
• منع فقدان البيانات: استفد من نهج DLP عبر أعباء عمل Microsoft 365، مسترشداً بنصائح عملية مثل تلك الواردة في حلقة البودكاست هذه، لمنع خروج المعلومات السرية من بيئتك تلقائياً.

أفضل الممارسات والامتثال ومستقبل أمان الهوية

لا يتوقف أمان الهوية عند حد معين، فالتهديدات الجديدة ومتطلبات الامتثال والتقنيات المتطورة تعني أن نهجك يجب أن تواكب هذه التغييرات. تحقق المؤسسات الأفضل إدارةً توازناً: نهج تغطي التزامات التدقيق والتنظيم لديها، وتتكيف مع تغيرات الأعمال، وتقلل المخاطر دون إعاقة المستخدمين الشرعيين.

يتلخص الأمر في ثلاثة تحديات: إثبات الامتثال عندما يطرق المدققون الباب، والحفاظ على فعالية الضوابط مع نمو مؤسستك، والانتقال من عصر "الأيام الخوالي" الذي كانت فيه كلمات المرور وحدها كافية إلى نموذج الهوية الحديث القائم على Zero Trust. إذا أحسنت التعامل معها، فستقلل من تعرضك القانوني ومن خطر تصدرك العناوين لأسباب خاطئة.

وأنت تتطلع إلى المستقبل، انتبه للعثرات الشائعة مثل تعارضات النهج الخفية، ونقاط العمى في التقارير، أو التأخر في مواكبة نماذج الأمان الحالية. فعلى سبيل المثال، قد تبدو الامتثال جيداً على الورق بينما تُقوّض سلوكيات المستخدمين غير الملحوظة نهج الاستبقاء أو الوصول لديك، وهو خطر دقيق موضح في هذا التحليل لانحراف الامتثال في Microsoft 365.

ستمنحك الأقسام التالية رؤى عملية وقابلة للتطبيق تساعدك على النجاح في عصر الأمان القائم على الهوية.

التحسين في الامتثال والتوافق التنظيمي

• سجلات التدقيق المدمجة: تسجّل Identity Protection والوصول المشروط تلقائياً الإجراءات ونتائج الفرض، مما يسهّل إعداد تقارير التدقيق لمعايير SOC 2 أو GDPR أو HIPAA.
• مراقبة الامتثال المستمرة: استفد من الأتمتة ولوحات المعلومات في الوقت الفعلي (راجع هذا الدليل التطبيقي للامتثال في Microsoft Defender for Cloud) لإدارة المخاطر بشكل استباقي وتقليل المفاجآت خلال موسم التدقيق.
• الحد من الخطأ البشري: تقلل الضوابط الآلية من المخاطر التي تنشأ عن تطبيق النهج يدوياً أو الاستثناءات الفردية، مما يحسّن وضع الامتثال على المدى الطويل.
• توحيد عبر السحب: تستفيد بيئات السحب المتعددة من الأطر الموحدة، إذ تبقى توقعات الأمان متسقة حتى مع تطور البنية التحتية.

المرونة المعززة وقابلية التوسع وإدارة تعارض النهج

• وراثة النهج: استفد من التعيينات القائمة على المجموعات لتحديد نطاق النهج على نطاق واسع دون إعداد يدوي متكرر.
• استراتيجيات حل التعارض: راجع النهج المتداخلة والمتعارضة بانتظام، وشغّل مستخدمين تجريبيين على السيناريوهات قبل النشر الكامل.
• المراقبة الآلية: أعدّ مؤشرات الأداء الرئيسية وفحوصات سلامة النهج والتنبيهات بشكل مستمر، لاكتشاف المشكلات قبل أن تعطّل المستخدمين أو تضعف الأمان.
• عمليات النشر المحددة النطاق: استخدم النشر المرحلي مع مجموعات تجريبية، لتقليل مخاطر إقفال الحسابات أو تراجع الإنتاجية أثناء تغييرات النهج.

نماذج أمان الهوية: من أوجه القصور القديمة إلى انعدام الثقة الحديث

• قيود نموذج المحيط: كانت الأساليب القديمة تثق بكل ما هو داخل جدار الحماية. ويكفي اختراق بيانات اعتماد واحدة حتى يصبح المهاجمون "داخل" النظام.
• الاعتماد المفرط على كلمات المرور: لم يكن الاعتماد على طول كلمة المرور وإعادة تعيينها كافياً لمنع الهجمات الحديثة مثل التصيد وحشو بيانات الاعتماد.
• زخم انعدام الثقة: تتمثل أفضل الممارسات الحالية، القائمة على ضوابط تكيفية قائمة على المخاطر، كما هو موضح في هذه الحلقة عن انعدام الثقة مقابل حرية المستخدم، في التحقق دائماً من الهوية والجهاز والجلسة قبل منح الوصول.
• المراقبة المستمرة: بدلاً من تسجيل دخول واحد يُقبل مرة واحدة، تتحقق الأنظمة الأمنية الحديثة من المستخدمين باستمرار، فترفع مستوى الوصول أو تخفضه بناءً على السياق المتغير والمخاطر.

الموارد والخطوات التالية لحماية الهوية

لا ينتهي العمل عند إعداد النهج. ومع ظهور تهديدات وميزات وأنظمة تنظيمية جديدة باستمرار، من المفيد أن تكون الموارد الموثوقة في متناول يدك. وتقدّم وثائق Microsoft نفسها شروحات معمّقة عن Entra ID وCondition Access وIdentity Protection، تشمل أدلة التنفيذ وأفضل الممارسات وأسئلة وأجوبة المجتمع.

لكن لا تكتفِ بذلك؛ فالبودكاست التي يقدمها الزملاء، ومجموعات المستخدمين المحلية، ومنصات التدريب الإلكترونية، كلها تساعدك على مواكبة أحدث الأدوات وتغييرات التراخيص والميزات القادمة. واستخدم أدوات التقارير لإثبات التقدم وتبرير الاستثمارات عندما تسأل الإدارة عن العائد على الاستثمار أو جاهزية التدقيق.

إبقاء استراتيجية الهوية لديك فعّالة عملية مستمرة، فاعتمد على أفضل الموارد، وحافظ دائماً على فضولك.

ترقبوا: مستقبل أمان الهوية وصيد التهديدات المتقدمة

• الإشارات المدعومة بالذكاء الاصطناعي: تكشف التحليلات والذكاء الاصطناعي من الجيل الجديد عن تهديدات خفية، بل وأنماط هجوم غير معروفة، مما يتيح تفعيل محفزات Conditional Access بشكل أكثر استباقية.
• ضوابط نهج أدق: توقّع أن تتيح محركات النهج أذونات أكثر دقة، متجاوزةً نماذج الوصول القائمة على "الكل أو لا شيء".
• أدوات صيد التهديدات المتقدمة: ستوفر الحلول المتكاملة رؤية أعمق عبر السحب والبيئات الهجينة، فيصبح تمحيص السجلات يدوياً من الماضي.
• مساءلة إدارة التكاليف: ستتطلب عمليات النشر المستقبلية من تقنية المعلومات إثبات تحسينات الأمان والفعالية من حيث التكلفة، وهو موضوع تناولته هذه الحلقة عن showback في تقنية المعلومات والمساءلة الحقيقية.
• التعلم المستمر مع المجتمع: البقاء في المقدمة عبر منتديات المجتمع والبودكاست ودراسات الحالة الواقعية يضمن ألا تتخلف عن منحنى التهديدات.