مخاطر تسجيل الدخول مقابل مخاطر المستخدم في Microsoft Entra ID: ما الفرق؟

By Mirko Peters · 2026-10-26

تعرّف على الفروق الجوهرية بين مخاطر تسجيل الدخول ومخاطر المستخدم في حماية Microsoft Entra ID، وكيفية ضبط الوصول المشروط بالشكل الصحيح.

Automatically translated with AI from the original post. Read the English original

مخاطر تسجيل الدخول ومخاطر المستخدم في حماية Microsoft Entra ID مقياسان أمنيان متمايزان. تقيّم مخاطر تسجيل الدخول ما إذا كانت محاولة مصادقة واحدة مشبوهة، بينما تحدد مخاطر المستخدم ما إذا كانت بيانات اعتماد الحساب الأساسية قد تعرضت للاختراق عبر جلسات متعددة.

النقاط الرئيسية

• تقيّم مخاطر تسجيل الدخول احتمال أن تكون محاولة مصادقة معينة صادرة من غير مالك الحساب الشرعي.
• تقيّم مخاطر المستخدم ما إذا كانت بيانات اعتماد الحساب قد تعرضت للاختراق بشكل دائم أو تسربت في خرق للبيانات.
• قد تتراكم مخاطر تسجيل دخول واحدة لم تُعالج تدريجياً وتتفاقم مع الوقت لتصبح حالة مستخدم عالي المخاطر مُعلّمة.
• تُعالج مخاطر تسجيل الدخول عادةً فوراً عبر تحدٍ للمصادقة متعددة العوامل، بينما تتطلب مخاطر المستخدم غالباً تغيير كلمة المرور بشكل آمن.
• يلزم ترخيص Microsoft Entra ID P2 للاستفادة الكاملة من السياسات القائمة على المخاطر، وسجل التقارير التفصيلي، والمعالجة الآلية.

فهم الفرق الجوهري

عندما يشرع المسؤولون في نشر حماية Microsoft Entra ID للمرة الأولى، يكون الخلط بين مخاطر تسجيل الدخول ومخاطر المستخدم من أكثر نقاط الالتباس شيوعاً. ورغم أن المقياسين يعتمدان على شبكة استخبارات الإشارات الضخمة لدى Microsoft، التي تحلل تريليونات الإشارات يومياً عبر الحسابات الاستهلاكية ومستأجرات المؤسسات وحتى خدمات Xbox، فإنهما يجيبان عن أسئلة مختلفة جوهرياً.

لا يمكن لنظام أمني أن يتعامل مع تسجيل دخول غير معتاد واحد بالطريقة نفسها التي يتعامل بها مع حساب مسروق فعلاً. فإذا طبّق المسؤول قفلاً شاملاً للحساب كلما سجّل شخص الدخول من موقع غير مألوف أو شبكة غير متوقعة، فستتوقف الإنتاجية تماماً. وفي المقابل، فإن معالجة حساب مخترق فعلياً بتحدٍّ مؤقت بسيط للمصادقة متعددة العوامل تترك الجهة المهاجمة المستمرة حرة في العودة لتسجيل الدخول لاحقاً بمجرد انتهاء صلاحية التحدي. ولذلك فإن فهم طريقة عمل هذين المقياسين بشكل مستقل، وكيفية تفاعلهما، أمر أساسي لتصميم وضعية أمان سحابية متوازنة.

ما هي مخاطر تسجيل الدخول؟

تركز مخاطر تسجيل الدخول حصرياً على لحظة زمنية واحدة: اللحظة الدقيقة التي يحاول فيها المستخدم الوصول إلى مورد مثل Microsoft Teams أو SharePoint أو Outlook. وهي تتعلق تماماً بسياق محاولة تسجيل الدخول المحددة ولا شيء غيره. ويسأل النظام عما إذا كانت خصائص هذا الطلب المحدد تتطابق مع أنماط السلوك الاعتيادية للمستخدم.

تقيّم حماية Microsoft Entra ID عدة متغيرات أثناء فحوصات تسجيل الدخول في الوقت الفعلي. ومن بينها الاتصالات الصادرة من عناوين IP مجهولة، وغالباً ما تُستخدم لإخفاء الموقع الجغرافي، وسيناريوهات السفر المستحيل حيث تحدث عمليات تسجيل دخول من مناطق متباعدة جغرافياً خلال فترة زمنية غير واقعية، أو مؤشرات هجوم رش كلمات المرور (Password Spray) حيث يختبر المهاجم كلمة مرور شائعة واحدة عبر آلاف حسابات المؤسسة في الوقت نفسه. كما تُقيّم خصائص تسجيل الدخول غير المألوفة ديناميكياً؛ فكلما بدا الطلب أغرب مقارنةً بالخطوط الأساسية التاريخية، ارتفعت درجة المخاطر.

والأهم من ذلك أن درجة مخاطر تسجيل الدخول تنطبق حصراً على تلك المحاولة الواحدة. فإذا اجتاز المستخدم بنجاح طلب المصادقة متعددة العوامل الإضافي أثناء تسجيل الدخول المحدد، تُحيَّد المخاطر المرتبطة بذلك التسجيل فوراً، ويواصل المستخدم عمله دون أي عقوبة مستمرة على حالة حسابه.

ما هي مخاطر المستخدم؟

أما مخاطر المستخدم، فعلى النقيض من ذلك، فلا تتعلق بتسجيل دخول واحد، بل بسلامة الحساب نفسه وصحته. فهي تتساءل عما إذا كانت بيانات اعتماد الحساب قد وقعت في أيدٍ غير مصرّح لها، أي أن جهة مهاجمة تملك المفاتيح الدائمة للحساب، وتستطيع العودة في أي وقت لاختراق البيانات.

المحرك الرئيسي لمخاطر المستخدم هو ظهور بيانات الاعتماد في خروقات بيانات معروفة. فعندما تُسرَّب أسماء المستخدمين وكلمات المرور على الشبكة المظلمة أو تُجمع عبر البرامج الضارة لسرقة المعلومات، تقوم معلومات التهديدات لدى Microsoft بوضع علامة على تلك بيانات الاعتماد فوراً. ومن المؤشرات الأخرى البنية التحتية الموثّقة لجهات التهديد التي تتفاعل مباشرةً مع ملف المستخدم، أو أنماط النشاط غير الطبيعية التي تشير إلى وصول غير مصرّح به ومستمر.

عندما يُعلَّم حساب بسبب مخاطر المستخدم، يبقى التهديد قائماً حتى بعد أن يسجّل المستخدم الخروج. ولأن المهاجم ربما يكون قد حصل على كلمة المرور خارج حدود الجلسات المعتادة، فإن مجرد مطالبة المستخدم بالمصادقة متعددة العوامل نادراً ما تكفي لمعالجة درجة مخاطر مرتفعة للمستخدم معالجةً كاملة. يجب معالجة الثغرة الكامنة في الحساب.

كيف تُحسب مستويات المخاطر

تُختزل كلٌّ من مخاطر تسجيل الدخول ومخاطر المستخدم في ثلاثة مستويات واضحة للثقة: منخفض، ومتوسط، وعالٍ. وتمثل هذه المستويات تقديرات لاحتمالية التهديد باستخدام تعلم الآلة، وليست حقائق ثنائية مطلقة.

تشير المخاطر العالية إلى أن أنظمة Microsoft الآلية تملك دليلاً قوياً وموثّقاً على الاختراق، مثل بيانات اعتماد مسرّبة مطابقة لقواعد بيانات الشبكة المظلمة، أو بصمات عناوين IP خبيثة موثّقة. أما المخاطر المتوسطة فتعكس مؤشرات معتدلة على نشاط مشبوه بثقة مطلقة أقل. وتشير المخاطر المنخفضة إلى سلوك شاذ ينحرف عن الأنماط المعتادة، لكنه يفتقر إلى مؤشرات خبيثة قاطعة.

من التفاصيل الإدارية المهمة طريقة تقادم هذه السجلات مع الوقت. تنتهي صلاحية عناصر المخاطر المنخفضة تلقائياً بعد نحو ستة أشهر للحفاظ على لوحات المتابعة نظيفة وقابلة للإدارة. أما عناصر المخاطر المتوسطة والعالية فلا تنتهي صلاحيتها من تلقاء نفسها، بل تبقى في مركز الإدارة إلى أن تقوم سياسة آلية أو مسؤول بشري بالتحقيق فيها أو معالجتها أو تجاهلها صراحةً.

التأثير المتراكم: كيف تترابط هذه المخاطر

على الرغم من أن مخاطر تسجيل الدخول ومخاطر المستخدم تقيّم أموراً مختلفة، فإنهما مترابطان بإحكام في التقارير والتطبيق. فقد تتراكم مخاطر تسجيل دخول واحدة لم تُعالج أو لم يُتحقق منها على الإطلاق مع مرور الوقت، وتضيف في النهاية إلى درجة مخاطر المستخدم الإجمالية.

وهذا يعني أن الفرد قد يظهر كمستخدم عالي المخاطر في لوحة Entra ID حتى لو بدت محاولات تسجيل دخوله الأخيرة طبيعية تماماً. فالنظام يرصد تاريخاً تراكمياً من السلوك المشبوه يرفع احتمالية الاختراق على المدى الطويل. ولذلك ينبغي على مسؤولي تقنية المعلومات فحص التقريرين معاً في الوقت نفسه، لا التعامل معهما كوحدتين منفصلتين.

أتمتة المعالجة عبر الوصول المشروط

لمنع فرق الأمان من الغرق في التنبيهات اليدوية، يسدّ Microsoft Entra Conditional Access الفجوة بين درجات المخاطر والتطبيق الآلي. يمكن للمؤسسات ضبط نُهج محددة تُفعَّل عند تجاوز عتبات المخاطر المنخفضة أو المتوسطة أو العالية.

بالنسبة لمخاطر تسجيل الدخول، يمكن للنُهج فرض إجراءات مثل طلب المصادقة متعددة العوامل، أو إجبار المستخدم على بدء جلسة تسجيل دخول جديدة، أو حظر الوصول بالكامل. وعندما يجتاز المستخدم تحدي المصادقة متعددة العوامل بنجاح، تُعالَج المخاطر في الحال.

أما بالنسبة لمخاطر المستخدم، فتتطلب النُهج عادةً تغيير كلمة المرور بشكل آمن أو تنفيذ معالجة المخاطر آلياً. والجزء الذكي في معالجة المخاطر هو قدرتها على التكيّف: فإذا سجّل المستخدم الدخول بكلمة مرور تقليدية، يطلب النظام تغيير كلمة المرور بشكل آمن، ويُبطل فوراً جميع الجلسات القائمة. وإذا سجّل المستخدم الدخول بطرق خالية من كلمات المرور، يُنهي الجلسات النشطة ويطالب بإجراء مصادقة جديدة. وتقلل هذه الاستجابة الآلية بشكل كبير حجم تذاكر مكتب المساعدة، وتوقف المهاجمين في مساراتهم.

الخاتمة

يتيح إتقان التمييز بين مخاطر تسجيل الدخول ومخاطر المستخدم لمهندسي السحابة بناء نهج أمان دقيقة ومتعددة الجوانب، تحمي بيانات الشركة دون أن تسبب احتكاكاً مفرطاً للمستخدمين في عملهم اليومي. وعندما تترك الأتمتة لتتولى مهام المعالجة الشائعة، يمكن لفرق تكنولوجيا المعلومات تركيز جهدها على التحقيق في التهديدات الحقيقية. وللتعمق أكثر في طريقة عمل طبقات الحماية هذه في بيئات السحابة الحديثة، استمعوا إلى الحلقة الكاملة من البودكاست للحصول على شرح مفصل لأفضل ممارسات الإعداد، ومتطلبات الترخيص، واستراتيجيات الإدارة في بيئات العمل الفعلية.

الأسئلة المتداولة

ماذا يحدث عند رصد خطر في تسجيل الدخول؟

عند رصد خطر في تسجيل الدخول، يمكن لـ Microsoft Entra Conditional Access أن يحظر المحاولة تلقائياً، أو يسمح بالوصول، أو يطالب المستخدم بالمصادقة متعددة العوامل (MFA) للتحقق من هويته.

كم من الوقت تبقى أحداث المخاطر المنخفضة في تقارير Entra ID Protection؟

تنتهي صلاحية اكتشافات المخاطر المنخفضة تلقائياً وتختفي من التقارير بعد نحو ستة أشهر، أما الإدخالات ذات المخاطر المتوسطة والعالية فتبقى حتى يتولى أحد المسؤولين مسحها، أو يعالجها المستخدم بنفسه.

هل يمكن لحسابات الضيوف الاستفادة من المعالجة التلقائية لمخاطر المستخدم؟

لا، فمسار المعالجة التلقائية الكامل للمخاطر لا يعمل مع حسابات الضيوف والمستخدمين الخارجيين، لأن Microsoft Entra ID لا يلغي الجلسات الخاصة بهذه الحسابات الخارجية بالطريقة نفسها التي يلغيها مع الأعضاء الداخليين.

ما الفرق بين 'Confirm safe' و'Dismiss' في تقارير المسؤول؟

يعني تأكيد الأمان (Confirm safe) أن النظام رصد إنذاراً خاطئاً ناتجاً عن سلوك طبيعي. أما Dismiss فيعني أن التنبيه كان نتيجة صحيحة من الناحية التقنية، لكنه تبين أنه غير ضار في هذا السياق المحدد، مثل اختبار أمني مخطط له.