بوابة القلعة هي الهوية: كيف تؤمّن Entra ID فعلياً

By Mirko Peters · 2025-11-18 · Updated 2026-03-24

بوابة القلعة هي الهوية. أمّن Entra ID باستخدام MFA والوصول المشروط وPIM لصدّ الهجمات وحماية سحابتك من تهديدات بيانات الاعتماد.

Automatically translated with AI from the original post. Read the English original

تخيّل أن أمن مؤسستك أشبه بقلعة. بوابة القلعة قوية، لكن المهاجمين لم يعودوا يتسلقون الأسوار. يكفيهم تسجيل الدخول إذا كانت دفاعاتك ضعيفة. ما يقارب 60% من التهديدات السحابية تعتمد على هويات مسروقة أو مُساءٌ استخدامها.

• يستهدف المهاجمون كلمات المرور الضعيفة والحسابات المُعدّة بشكل خاطئ.

• يستغلون الثقة القائمة بين الأنظمة المحلية والأنظمة السحابية.

تستخدم الهجمات الحديثة أساليب ذكية جديدة. يبحث الجهات المهاجمة عن نقاط الضعف في الإعدادات الهجينة ونقاط النهاية المفتوحة. ويحاولون انتحال صفة المستخدمين والاستيلاء على الوصول. يجب أن تجعل الهوية خط دفاعك الرئيسي لإبعاد الجهات الخبيثة.

النقاط الرئيسية

• الهوية هي أفضل وسيلة لصدّ التهديدات السحابية. يجب أن تحرس بوابة قلعتك لإبعاد الجهات الخبيثة.

• فعّل المصادقة متعددة العوامل (MFA) للجميع. فهي تمنع أكثر من 99% من عمليات اختراق الحسابات.

• استخدم الوصول المشروط للتحقق من كل عملية تسجيل دخول. وضع قواعد استناداً إلى المخاطر والموقع الجغرافي والمسمى الوظيفي.

• استخدم إدارة الهوية المميزة (PIM) لتقييد وصول المسؤولين. امنح الأذونات عند الحاجة فقط لتقليل المخاطر.

• راجع قواعد الأمان وعدّلها بانتظام. وتأكد من أن الأشخاص المناسبين فقط يمكنهم الوصول إلى أنظمتك.

استعارة بوابة القلعة في أمن السحابة

من الخندق والأسوار إلى حارس البوابة الهوياتي

كانت الشبكات تُحمى سابقاً كما تُحمى القلعة. فالخندق والأسوار كانت تمنع المهاجمين من الدخول، وكانت جدران الحماية وشبكات VPN بمثابة حواجز قوية. لكن هذه الوسائل لم تعد فعّالة أمام التهديدات السحابية. فقد غيّر العمل عن بُعد وBYOD طريقة سير العمل. أصبحت بوابة القلعة اليوم الحماية الرئيسية. لم يعد المهاجمون يكسرون الأسوار، بل يبحثون عن ضوابط هوية ضعيفة ويحاولون تسجيل الدخول.

تغيّر الثقة الصفرية (Zero Trust) طريقة حمايتك للموارد. يجب أن تتحقق من كل مستخدم وجهاز وإجراء قبل السماح له بالدخول. لا يمكنك أن تثق بشخص لمجرد وجوده على شبكتك، بل يجب أن تتحقق من هويته في كل مرة.

إليك أبرز الفروق بين المحيط التقليدي والمحيط القائم على الهوية:

• يعتمد المحيط التقليدي على دفاعات الشبكة، بينما يحمي المحيط القائم على الهوية حسابات المستخدمين.

• تعني الثقة الصفرية أنك تتحقق من المستخدمين والأجهزة باستمرار. أما الأساليب القديمة فكانت تثق بالمستخدم بعد تسجيل دخوله.

• يجب أن تتحقق من كل إجراء. لم تعد الثقة تُمنح لمجرد وجودك داخل الشبكة.

لماذا يستهدف المهاجمون البوابة

يعلم المهاجمون أن بوابة القلعة هي مفتاح سحابتك، لذلك يستخدمون حيلاً كثيرة لتجاوزها. وتزداد الهجمات القائمة على الهوية عاماً بعد عام. ففي عام 2024 شكّلت هذه الهجمات 60% من الحوادث السيبرانية. وتستخدم الجهات المهاجمة الذكاء الاصطناعي لإنشاء رسائل مزيفة ومقاطع مزيفة (deepfakes)، كما تستهدف مزودي الهوية ضمن سلسلة التوريد. ويستخدم المهاجمون أيضاً أدوات مشروعة للتنقل داخل الأنظمة دون أن يُكتشفوا.

الأساليب الشائعة التي يستخدمها المهاجمون للاستفادة من ضوابط الهوية الضعيفة:

• يقومون بسرقة ملفات تعريف الارتباط (cookies) للدخول إلى حسابات السحابة.

• يُسيئون استخدام منح الموافقة عبر OAuth للحصول على الأذونات.

• يعثرون على كيانات الخدمة (service principals) المُعدّة بشكل خاطئ، ويتخذونها نقاط دخول سرية.

• يستخدمون مفاتيح طويلة الأمد للبقاء مخفيين لشهور.

غالباً ما يتصرف المهاجمون كمستخدمين حقيقيين، ويستخدمون تقنيات living-off-the-land للاندماج مع النشاط المعتاد. وإذا لم تحمِ بوابة القلعة، فقد يصل المهاجمون إلى كل شيء في سحابتك.

كلمات المرور: رمية 1 طبيعية

نقاط ضعف كلمات المرور وأساليب الهجوم

قد تظن أن كلمة المرور قفل قوي على بوابة قلعتك. لكنها في الواقع غالباً ما تشبه رمية 1 طبيعية في معركة مع زعيم، أي فشل تلقائي. والمهاجمون يعرفون ذلك، فيستخدمون حيلاً بسيطة للاختراق. يعيد كثير من الناس استخدام كلمات المرور نفسها في مواقع مختلفة. ويجمع المهاجمون كلمات المرور هذه من التسريبات القديمة ويجربونها في كل مكان. وتُعرف هذه الطريقة باسم حشو بيانات الاعتماد (credential stuffing).

تُعد التصيّد الاحتيالي (Phishing) هجومًا شائعًا آخر. تصلك رسالة بريد إلكتروني تبدو حقيقية، فتنقر على رابط وتُدخل كلمة المرور الخاصة بك. عندها يصبح المهاجم يملك "المفتاح" الخاص بك. كما يستخدم المهاجمون أدوات القوة الغاشمة (Brute-force)، وهي أدوات تخمّن آلاف كلمات المرور في الدقيقة. وإذا كانت كلمة المرور ضعيفة أو شائعة، فلن تصمد طويلًا.

نصيحة: كلمات المرور الطويلة والفريدة أفضل، لكن حتى أقوى كلمة مرور قد تُسرق أو يُحصل عليها عبر التصيّد.

لا يحتاج المهاجمون إلى كسر الجدران. يكفيهم تسجيل الدخول باستخدام بيانات اعتماد مسروقة. وإذا اعتمدت على كلمات المرور وحدها، فأنت تترك بوابة القلعة مفتوحة على مصراعيها.

MFA كأول قفل حقيقي

أنت بحاجة إلى قفل أقوى لبوابتك. تضيف المصادقة متعددة العناصر (Multi-factor authentication، أي MFA) طبقة ثانية من الحماية. فحتى لو سرق المهاجم كلمة مرورك، لن يتمكن من الدخول دون هاتفك أو عنصر تحقق آخر. وهذا يوقف معظم الهجمات تمامًا.

• يمكن لـ MFA أن يمنع أكثر من 99.2% من هجمات اختراق الحسابات في نشرات Microsoft Entra ID.

• غالبًا ما يتوقف المهاجمون عن المحاولة عندما يرون أن MFA مطلوب.

يمكنك إعداد MFA باستخدام تطبيق، أو رسالة نصية، أو رمز أجهزة (Hardware token). اختر الطريقة الأنسب لمستخدميك. واجعل MFA إلزاميًا للجميع، وليس للمسؤولين فقط. وكلما زاد عدد المستخدمين الذين يستخدمونه، أصبحت بوابة قلعتك أكثر متانة.

تذكّر: كلمات المرور وحدها لا تكفي. وMFA هو قفلك الأول الحقيقي. لا تنتظر وقوع اختراق لتتحرك، بل أمّن بوابتك الآن.

حراس ذكيون ومفاتيح قوية لـ Entra ID

الوصول المشروط كطبقة للحكم

أنت بحاجة إلى أكثر من قفل على بوابة قلعتك. تحتاج إلى حارس ذكي يتحقق من كل شخص قبل أن يسمح له بالدخول. وتعمل Conditional Access كهذا الحارس، إذ تفحص كل عملية تسجيل دخول وتقرر ما إذا كان ينبغي منح المستخدم الوصول. ويمكنك وضع قواعد استنادًا إلى المخاطر، والموقع، والجهاز، ودور المستخدم. وهذا يوقف المهاجمين الذين يحاولون التسلل باستخدام بيانات اعتماد مسروقة.

تساعد نهج Conditional Access في صد التهديدات ومنع الوصول غير المرغوب فيه. إليكم بعض الطرق الجيدة لاستخدام هذه النهج:

1. حظر المصادقة القديمة لإيقاف عمليات تسجيل الدخول القديمة وغير الآمنة.

2. اطلب MFA لعمليات تسجيل الدخول عالية المخاطر لتوفير حماية إضافية عند رصد نشاط غريب.

3. اسمح بالوصول فقط من الأجهزة المتوافقة (المُدارة عبر Intune) لجعل نقاط النهاية أكثر أمانًا.

4. قيّد الوصول حسب الموقع أو نطاق IP للتحكم في عمليات تسجيل الدخول من الشبكات الموثوقة.

5. طبّق نهجًا أكثر صرامة على حسابات المسؤولين لحماية المستخدمين المهمين.

يمكنك أيضًا حماية نهج Conditional Access نفسها. فعلى سبيل المثال، يمكنك إعداد سياقات المصادقة (Authentication contexts) بحيث لا يتمكن من تغيير هذه النهج سوى Global Administrators. وهذا يمنع المهاجمين من تعديل دفاعاتك إذا تمكنوا من الدخول.

Conditional Access ليست مجرد حارس، بل هي قاضٍ حكيم يعرف متى يسمح لشخص بالمرور ومتى يُطلق الإنذار. استخدمها لضمان ألا يعبر بوابة قلعتك إلا الأشخاص المناسبون.

إدارة الهويات المميزة (Privileged Identity Management، أو PIM)

حسابات المسؤولين أشبه بالمفاتيح الرئيسية. إذا حصل عليها المهاجمون، فيمكنهم فتح كل باب في قلعتك. تساعدك Privileged Identity Management (PIM) على حماية هذه المفاتيح القوية. توفر PIM وصولًا عند الحاجة (Just-in-time) للمسؤولين، أي أنهم لا يحصلون على الأذونات الخاصة إلا عندما يحتاجونها. وبعد انتهائهم، تزول الصلاحيات الإضافية.

إليك كيف تقلل PIM المخاطر:

مع PIM، يمكنك اشتراط الموافقة قبل منح أي شخص صلاحيات المسؤول. كما يمكنك مراجعة من استخدم الوصول الإداري ومتى. وهذا يجعل تنقّل المهاجمين أصعب بكثير إذا تمكنوا من الدخول. وبذلك تحوّل مفاتيحك الرئيسية إلى تصاريح محددة بوقت، مما يجعل قلعتك أكثر أمانًا.

تأمين SSO والتحكم المركزي

يتيح تسجيل الدخول الموحد (SSO) للمستخدمين تسجيل الدخول مرة واحدة واستخدام تطبيقات كثيرة. هذا يُسهّل العمل على فريقك ويعزّز أمان مؤسستك. ومع SSO، تقلّل عدد كلمات المرور التي يحتاج الناس إلى تذكرها، وهذا يخفض مخاطر سرقة كلمات المرور والتصيد الاحتيالي.

يمنحك التحكم المركزي القدرة على إدارة جميع تطبيقاتك من مكان واحد. يمكنك تعيين قواعد الأمان وفرض المصادقة متعددة العوامل (MFA) وإدارة الوصول بسرعة. فيما يلي أبرز فوائد تسجيل الدخول الموحد الآمن والتحكم المركزي:

• المصادقة المركزية تعني أن المستخدمين يُدخلون كلمات المرور بشكل أقل، وهذا يقلل من احتمال سرقة بيانات الاعتماد.

• إضافة المصادقة متعددة العوامل (MFA) عند شاشة تسجيل الدخول توفر طبقة أمان إضافية لكل تطبيق.

• نقطة تسجيل دخول واحدة آمنة تُسهّل إدارة المستخدمين والتحكم في الوصول.

• إنشاء الحوادث تلقائياً يساعدك على الاستجابة للتهديدات بسرعة أكبر.

• التنبيهات الأفضل وسياق المستخدم يساعدانك على التحقيق في المشكلات بسرعة.

يمكنك أيضاً استخدام بروتوكولات آمنة مثل SAML 2.0 للمصادقة بدون كلمات مرور. هذا يجعل عملية تسجيل الدخول قوية وبسيطة في آن واحد. وعند استخدام SSO مع التحكم المركزي، تبني دفاعاً قوياً يغطي كل باب في قلعتك.

نصيحة: راجع إعداد SSO بانتظام. تأكد من أن الأشخاص المناسبين فقط لديهم وصول إلى كل تطبيق. احذف الحسابات القديمة وحدّث نهجك كلما تغيرت احتياجاتك.

باستخدام الوصول المشروط (Conditional Access) وPIM وSSO الآمن، تحوّل Entra ID إلى حصن منيع حقيقي. تمنح بوابة قلعتك حراساً أذكياء ومفاتيح قوية ومراقبة يقظة لكل نقطة دخول.

قائمة التحقق لتعزيز أمان Entra ID

المصادقة متعددة العوامل لجميع المستخدمين

يجب أن تحمي كل حساب باستخدام المصادقة متعددة العوامل (MFA). هذا يوقف المهاجمين الذين يسرقون كلمات المرور. عند استخدام MFA، يجب على المستخدمين إثبات هويتهم بطريقتين: شيء يعرفونه وشيء يملكونه. يمكنك اختيار التطبيقات أو الرسائل النصية أو الرموز المادية.

تواجه مجموعات كثيرة مشكلات عند تفعيل MFA. يُسجَّل خروج بعض المستخدمين بشكل متكرر. وقد تتعطل الأتمتة وخطوط عمل DevOps بسبب مطالبات MFA. وقد لا تعمل بعض التطبيقات القديمة مع المصادقة المعتمدة على الرموز. تحتاج إلى التخطيط لهذه المشكلات ومساعدة المستخدمين على التعوّد على التغييرات.

يجب أن تُلزم المستخدمين بالتسجيل في MFA، فهذا يقلل من احتمال سرقة الحسابات. ويوصي الخبراء بتفعيل استعادة كلمة المرور ذاتياً (SSPR)، وهذا يتيح للمستخدمين إصلاح كلمات مرورهم بأنفسهم.

حظر المصادقة القديمة والنهج الأساسية

طرق المصادقة القديمة لا تعمل مع MFA. ويستهدف المهاجمون هذه الطرق القديمة لأنها ترسل كلمات المرور كنص عادي. أما المصادقة الحديثة فتستخدم التشفير وتتيح لك تعيين أذونات دقيقة. يجب عليك حظر المصادقة القديمة للحفاظ على الأمان.

فعّل نهج الأمان الأساسية لإيقاف الهجمات الشائعة. تُلزم هذه القواعد المستخدمين باستخدام MFA، وتحظر البروتوكولات القديمة، وتطلب من المستخدمين التسجيل في MFA. وعند استخدام الإعدادات الافتراضية للأمان، يمكنك أن تلاحظ انخفاضاً يصل إلى 80% في عدد الحسابات المسروقة.

المواءمة مع Zero Trust

يعني Zero Trust أنك لا تثق بأحد فوراً. تتحقق دائماً من المستخدمين والأجهزة قبل السماح لهم بالدخول. تحتاج إلى إدارة قوية للهوية والوصول. ويفحص الوصول المشروط تفاصيل المستخدم ومستوى المخاطر قبل السماح للأشخاص بالدخول.

يمنع Zero Trust المهاجمين من التنقل داخل شبكتك. فلا يستطيعون الذهاب إلى أي مكان يريدونه. تقسّم شبكتك وتتحكم في حركة المرور فيها. وتحافظ على البيانات والتطبيقات ونقاط النهاية باستخدام فحوصات قوية ومراقبة مستمرة.

تبقى بوابة القلعة قوية عندما تربط Entra ID بنهج Zero Trust. فأنت تقلل المخاطر وتُبقي المهاجمين خارج النظام.

يجب أن تجعل الهوية درعك الرئيسي. فبوابة القلعة تحمي سحابتك الآن. يستهدف المهاجمون أنظمة الهوية لأن معظم الاختراقات تعتمد على بيانات اعتماد مسروقة. وأكثر من نصف المؤسسات تقول إنها تعرضت لهجمات على الهوية. إذا كان Entra ID ضعيفًا، فقد تواجه هذه المشكلات:

ابدأ بحماية Entra ID فورًا:

1. راجع الأذونات لديك.

2. أنشئ قاعدة وصول مشروط تتطلب المصادقة متعددة العوامل بدون كلمة مرور.

3. حدّد الإجراءات المحمية.

4. اختبر قواعدك.

تحقّق من هوية من يقوم بتسجيل الدخول وكيفية ذلك. تحرّك الآن للحفاظ على أمان سحابتك.

الأسئلة المتداولة

ما هو Microsoft Entra ID؟

Microsoft Entra ID خدمة سحابية تساعدك على إدارة حسابات المستخدمين والتحكم في من يحصل على الوصول. كما تحمي بيانات مؤسستك وتستخدم أمانًا قويًا لإبقاء المهاجمين خارج النظام.

لماذا يجب تفعيل MFA لجميع المستخدمين؟

تضيف MFA طبقة أمان إضافية. فهي توقف معظم الهجمات التي تستخدم كلمات مرور مسروقة، ويصعب على المهاجمين تسجيل الدخول باسم مستخدميك.

نصيحة: ابدأ بالمسؤولين والحسابات المهمة، ثم أضف MFA لجميع المستخدمين.

كيف يحسّن الوصول المشروط الأمان؟

يفحص الوصول المشروط كل عملية تسجيل دخول. تحدد قواعد تتعلق بالمخاطر أو الموقع أو الجهاز. تُحظر عمليات الدخول المشبوهة، وتُسمح عمليات الدخول الموثوقة. أنت تقرر من يعبر بوابة قلعتك.

ما هي إدارة الهوية المميزة (PIM)؟

يتيح PIM للمسؤولين الحصول على صلاحيات خاصة عند الحاجة فقط. تحدّ من المدة التي يحتفظ فيها شخص ما بأذونات قوية، وهذا يقلل فرص استخدام المهاجمين لحسابات المسؤولين المسروقة.

كيف أحظر المصادقة القديمة (Legacy Authentication)؟

أوقف طرق تسجيل الدخول القديمة من إعدادات Entra ID. لا يستطيع المهاجمون استخدام البروتوكولات الضعيفة، ولا يُسمح إلا بالمصادقة الحديثة الآمنة.