IAM التقليدية مقابل ITDR: لماذا لم تعد القواعد الثابتة كافية

By Mirko Peters · 2026-08-13

أهلاً بعودتكم إلى المدونة! إذا كنتم تتابعون رحلتنا عبر البودكاست، فأنتم تعلمون أننا نقضي وقتاً طويلاً في تفكيك أطر الأمان المعقدة، ومساعدة المسؤولين على فهم بيئاتهم السحابية والمحلية…

Automatically translated with AI from the original post. Read the English original

أهلاً بعودتكم إلى المدونة! إذا كنتم تتابعون رحلتنا عبر البودكاست، فأنتم تعلمون أننا نقضي وقتاً طويلاً في تفكيك أطر الأمان المعقدة، ومساعدة المسؤولين على فهم بيئاتهم السحابية والمحلية. واليوم نتوسع في موضوع يعيد تشكيل طريقة عمل مراكز عمليات الأمان الحديثة، وهو الانتقال من حدود الأمان التقليدية نحو حماية متقدمة للهوية. وتحديداً، نحتاج إلى الحديث عن سبب عدم كفاية إدارة الهوية والوصول التقليدية (IAM) لحماية المؤسسات من هجمات بيانات الاعتماد المتطورة، وعن السبب الذي جعل اكتشاف تهديدات الهوية والاستجابة لها (ITDR) المعيار الذهبي للمراقبة الأمنية المستمرة.

في عالم تحدد فيه أعمال العمل عن بُعد، وبنى السحابة الهجينة، والنصوص البرمجية المؤتمتة إيقاع العمليات اليومية، لم يعد محيط الأمان موجوداً بالمعنى التقليدي. لم يعد المهاجمون يحاولون اختراق جدران الحماية؛ بل يكتفون بتسجيل الدخول باستخدام بيانات اعتماد مسروقة. ولفهم سبب فشل القواعد الثابتة، وكيف تسد الأدوات الحديثة هذه الفجوة، استمعوا إلى حلقة البودكاست المرافقة، Microsoft Defender for Identity - Simply Explained، حيث نتناول بشكل مباشر الآليات العملية للحفاظ على أمان هويات المؤسسة.

فهم IAM التقليدية مقابل ITDR

لفهم سبب تطور ممارسات الأمان الحديثة بهذه السرعة، نحتاج أولاً إلى النظر في الأدوات السابقة. صُممت أدوات إدارة الهوية والوصول التقليدية في الأساس لإدارة دورة حياة الحسابات وتوفيرها. كانت مهمتها الرئيسية الإجابة عن أسئلة بسيطة: من هذا المستخدم؟ إلى أي مجموعة ينتمي؟ وهل لديه الإذن بالوصول إلى مشاركة الملفات أو التطبيق المحدد؟ وبمجرد أن ينجح المستخدم في المصادقة ويحصل على الرمز المميز أو البطاقة، كانت أنظمة IAM التقليدية تتراجع إلى حد كبير وتفترض أن كل شيء على ما يرام.

هنا يأتي دور اكتشاف تهديدات الهوية والاستجابة لها، المعروف اختصاراً باسم ITDR. صُممت ITDR خصيصاً لمعالجة فجوة الرؤية الكبيرة التي تظهر بعد المصادقة. بينما تركز IAM التقليدية على التحكم في الوصول، وتوفير الحسابات، والنهج الثابتة، تركز ITDR على المراقبة المستمرة، واكتشاف سلوك المستخدم غير الطبيعي، والاستجابة لعمليات الاختراق النشطة المرتبطة بالهوية في الوقت الفعلي. وهي تدرك أن امتلاك كلمة المرور الصحيحة لا يعني تلقائياً أن الشخص الذي يكتبها هو المالك الشرعي للحساب.

حدود القواعد الثابتة في الأمان الحديث

من أكبر أوجه القصور في نماذج الأمان التقليدية اعتمادها الكبير على القواعد الثابتة. لعقود، اعتمدت فرق الأمان على نهج مُرمّزة برمجياً، وعلى مشغّلات بسيطة قائمة على الحدود، وعلى قوائم محددة مسبقاً لجهات سيئة معروفة. فإذا استوفت محاولة تسجيل الدخول مجموعة محددة من الشروط الثابتة، مثل صدورها من عنوان IP مؤسسي خلال ساعات العمل المعتادة، كانت تُعتبر آمنة تلقائياً، بغض النظر عمّا يحدث بعد ذلك.

لكن مجرمي الإنترنت الحديثين تعلموا تجاوز هذه الحواجز الثابتة بسهولة. يستخدم المهاجمون بيانات اعتماد إدارية مشروعة، وينفذون ملفات تنفيذية مدمجة في النظام (Living-off-the-Land أو LotL)، ويحاكون حركة العمل الاعتيادية بعناية، للإفلات تماماً من التنبيهات التقليدية القائمة على القواعد. وعندما يعتمد وضع الأمان لديكم كلياً على القواعد الثابتة، فأنتم عملياً تنتظرون أن يستخدم المهاجم سيناريو معروفاً ومتوقعاً. وإذا انحرف ولو قليلاً، أو استخدم بيانات اعتماد مشروعة حصل عليها عبر التصيد الاحتيالي، فسيبقى نظام IAM التقليدي أعمى تماماً عن النشاط الخبيث الذي يتكشف داخل بيئتكم.

كيف تغيّر التحليلات السلوكية قواعد اللعبة

لمواجهة الهجمات التي تتجاوز القواعد الثابتة، اضطر مهندسو الأمان إلى إعادة التفكير بشكل جذري في طريقة مراقبة حركة المرور في المؤسسات. هنا تدخل التحليلات السلوكية الصورة. فبدلاً من السؤال عما إذا كان إجراء ما ينتهك قاعدة محددة وصارمة، تطرح التحليلات السلوكية سؤالاً أقوى بكثير: هل هذا السلوك طبيعي لهذا المستخدم بالتحديد؟

يبني محرك التحليلات السلوكية خطاً أساسياً للنشاط الطبيعي عبر الزمن. يتعلم المحرك أوقات تسجيل الدخول المعتادة لدى المستخدم، وأجهزة العمل التي يفضلها، وسرعات الوصول إلى الملفات المعتادة، وديناميكيات عضوية المجموعات المعيارية، وحتى إيقاع الكتابة على لوحة المفاتيح وعادات التنقل. وعندما يُخترق حساب ما، نادراً ما يحاكي المهاجم كل تفصيلة دقيقة من الروتين اليومي للضحية. ومن خلال التقييم المستمر لهذه الأنماط السلوكية، يمكن لحلول الأمان رصد الشذوذات الدقيقة، مثل الحركة الجانبية غير المعتادة، أو الطلبات المفاجئة لنسخ الدليل، أو عمليات تصعيد الامتيازات غير المتوقعة، قبل أن يتمكن الجهة المهاجمة من تحقيق هدفها النهائي بوقت طويل.

المراقبة في الوقت الفعلي وإشارات Active Directory

الرؤية هي جوهر الأمن السيبراني. إذا لم تكن قادراً على رؤية ما يحدث عبر خدمات الدليل لديك، فلن تتمكن من الدفاع ضده. تتفوق منصات ITDR الحديثة لأنها تتصل مباشرةً بالإشارات الأساسية في البنية التحتية للهوية لديك، بما في ذلك Active Directory المحلي ومزودو الهوية المستندون إلى السحابة.

تقوم المراقبة في الوقت الفعلي بتقييم عوامل المخاطر ديناميكياً أثناء عمليات المصادقة والتفويض نفسها. فبدلاً من إنشاء تقرير في صباح اليوم التالي، تحلل أداة ITDR القوية متغيرات السياق، مثل سمعة عنوان IP، وامتثال الجهاز، ووكلاء المستخدم الشاذين، وسيناريوهات السفر المستحيل، في اللحظة نفسها التي يُقدَّم فيها الطلب. وإذا رُصد تهديد أثناء الجلسة، يمكن للنظام أن يفرض فوراً تحديات المصادقة متعددة العوامل، أو يلغي رموز الجلسة، أو يقيّد الوصول مؤقتاً قبل أن يقع ضرر هيكلي.

تحديد أولويات التهديدات بالتقييم القائم على الذكاء الاصطناعي

إرهاق التنبيهات من أخفى قتلة مراكز العمليات الأمنية الحديثة. فعندما تُصدر أداة المراقبة آلاف التنبيهات منخفضة الدقة يومياً، يتعرض المحللون البشريون للإرهاق حتماً، مما يؤدي إلى تفويت التحذيرات وتأخر الاستجابة للحوادث.

تعالج أنظمة ITDR الحديثة هذه المشكلة من خلال التقييم القائم على الذكاء الاصطناعي. فبدلاً من التعامل مع كل تنبيه بوصفه حالة طوارئ مستقلة، يربط الذكاء الاصطناعي بين إشارات متعددة منخفضة المستوى، مثل تغيّر سلوكي بسيط مقترن بتغيير طفيف في سياق الجهاز، ويحسب درجة مخاطر موحدة للكيان. وتُرتَّب الحوادث بشفافية استناداً إلى مقاييس الشدة، بما يضمن أن يعرف محللو SOC فوراً أي التنبيهات تستدعي تدخلاً يدوياً عاجلاً، وأيها يمكن معالجته بأمان من خلال سير العمل الآلي.

تبسيط العمليات بالاستجابات الآلية

في الأمن السيبراني، السرعة هي كل شيء. يستطيع المهاجم اختراق هوية، واستخراج بيانات الاعتماد، والتحرك جانبياً عبر الشبكة في غضون دقائق. وغالباً ما يكون انتظار قيام محلل بشري بمراجعة التنبيه يدوياً، والتحقق من الاختراق، ثم اتخاذ إجراء، بطيئاً للغاية.

ولهذا السبب أصبحت قدرات الاستجابة الآلية حيويةً إلى هذا الحد. تتضمن منصات أمن الهوية الحديثة كتيبات تشغيل جاهزة مسبقاً وسير عمل آلياً يمكنه اتخاذ خطوات معالجة فورية في اللحظة التي يتم فيها تأكيد تهديد عالي الشدة. فإذا أظهر أحد كيانات الخدمة أو حسابات المستخدمين علامات واضحة على هجوم القوة الغاشمة أو سرقة بيانات الاعتماد، يستطيع النظام تعطيل الحساب تلقائياً، وعزل نقطة النهاية المتأثرة، وإخطار فريق الاستجابة للحوادث، كل ذلك دون الحاجة إلى تدخل بشري في مرحلة الاحتواء الأولية. وهذا يقلص زمن بقاء المهاجم داخل النظام بشكل كبير ويحد من نطاق تأثير الهجوم.

تأمين البيئات الهجينة ومتعددة السحابات

قلّما تعمل المؤسسات اليوم في السحابة وحدها أو في البنية المحلية وحدها. فغالبية المؤسسات الحديثة تدير بيئات هجينة معقدة تتزامن فيها نطاقات Active Directory المحلية بسلاسة مع أدلة سحابية مثل Microsoft Entra ID.

تخلق هذه الواقعية الهجينة تحديات أمنية فريدة، إذ يستغل المهاجمون غالباً الفواصل بين البنية التحتية المحلية والسحابية لتصعيد امتيازاتهم. وقد صُممت أدوات اكتشاف تهديدات الهوية الحديثة خصيصاً لردم هذه الفجوة. فمن خلال استيعاب الإشارات من وحدات التحكم بالمجال المحلية وخدمات الهوية السحابية معاً، توفر هذه الحلول لوحة عرض موحدة تتتبع الأنشطة المشبوهة عبر بيئتك الرقمية بأكملها. وسواء بدأ المهاجم رحلته على خادم ملفات محلي قديم وانتقل نحو تطبيقات الإنتاجية السحابية، فإن إطار حماية الهوية لديك يحافظ على رؤية كاملة.

الخاتمة: الانتقال نحو نموذج أمني استباقي

التحوّل من إدارة الهوية الثابتة إلى الكشف الديناميكي عن التهديدات والاستجابة لها ليس مجرد اتجاه عابر، بل ضرورة مطلقة للبقاء في مشهد التهديدات الحالي. ومع ازدياد تطور مجرمي الإنترنت واعتمادهم المتزايد على بيانات اعتماد مشروعة لتجاوز دفاعات المحيط، لم يعد الاعتماد على IAM التقليدية ومجموعات القواعد الجامدة استراتيجية قابلة للاستمرار. فمن خلال تبنّي المراقبة السلوكية المستمرة، وتقييم المخاطر المدعوم بالذكاء الاصطناعي، والمراقبة في الوقت الفعلي، والاستجابات الآلية، يمكن للمؤسسات الانتقال من موقف تفاعلي إلى نموذج أمني استباقي حقاً.

لمزيد من التعمق في كيفية تطبيق هذه المفاهيم في بيئات المؤسسات، احرصوا على الاستماع إلى الحلقة الكاملة من البودكاست لدينا، Microsoft Defender for Identity - Simply Explained. إن فهم هذه الأدوات وتطبيقها بالشكل الصحيح سيضمن بقاء مؤسستكم مرنةً في مواجهة أيّ تهديدات قائمة على الهوية تأتي لاحقاً.