لماذا لا تُفعَّل المصادقة متعددة العوامل حين يجب أن تكون مفعّلة في بيئات Microsoft

By Mirko Peters · 2026-04-22

من المفترض أن تكون المصادقة متعددة العوامل (MFA) شبكة الأمان الخاصة بك في Microsoft 365 وAzure، فتمنع المهاجمين حتى لو سرقوا كلمة المرور. لكن ماذا يحدث عندما لا تعمل هذه الشبكة أصلًا، حتى في المواقف التي يجب أن تعمل فيها؟ المقصود بـ«يجب» هنا تلك اللحظات الحرجة: تسجيلات الدخول عالية الخطورة، وتسجيل دخول حسابات المسؤولين، أو الوصول من مواقع خارج نطاق عملك المعتاد. إذا لم تُطلب المصادقة متعددة العوام

Automatically translated with AI from the original post. Read the English original

من المفترض أن تكون المصادقة متعددة العوامل (MFA) شبكة الأمان الخاصة بك في Microsoft 365 وAzure، فتمنع المهاجمين حتى لو سرقوا كلمة المرور. لكن ماذا يحدث عندما لا تعمل هذه الشبكة أصلًا، حتى في المواقف التي يجب أن تعمل فيها؟ المقصود بـ«يجب» هنا تلك اللحظات الحرجة: تسجيلات الدخول عالية الخطورة، وتسجيل دخول حسابات المسؤولين، أو الوصول من مواقع خارج نطاق عملك المعتاد. إذا لم تُطلب المصادقة متعددة العوامل في هذه الحالات، فأنت معرّض للخطر بكل بساطة.

تنشأ هذه الثغرات غالبًا من مزيج من المشكلات التقنية وإعدادات النهج المربكة، وحتى من الالتفاف الذي يلجأ إليه المستخدمون النهائيون. وقد تنتج أحيانًا عن تطبيقات المصادقة القديمة، أو نهج الوصول المشروط الضعيفة، أو تغطية غير مكتملة للمستخدمين. أيًّا كانت الطريقة، فإن غياب المصادقة متعددة العوامل في أهم المواضع يفتح الباب أمام المهاجمين ويخلق مشكلات أمنية حقيقية.

إن فهم هذه الثغرات في فرض المصادقة ومعالجتها أمر حيوي للحفاظ على بياناتك محمية بإحكام. وإذا أردت نظرة واقعية على كيفية استغلال المهاجمين لهذه الثغرات عبر سرقة الرموز المميزة (Token) وألاعيب OAuth، فإن تحليل اختراق Microsoft 365 يوضح بالتفصيل ما هو على المحك.

فهم المواضع التي تفشل فيها المصادقة متعددة العوامل في الانطلاق، وأسباب ذلك

المصادقة متعددة العوامل قوية بقدر قوة النهج والتقنيات التي تقف خلفها. والمحبط في الأمر أنه حتى عندما تكون متأكدًا من أن الإعداد صحيح، هناك كثير من السيناريوهات التي تتوقف فيها المصادقة متعددة العوامل بصمت عن الظهور، حتى للمستخدمين الحرجين أو أثناء تسجيلات الدخول عالية الخطورة.

من أكثر الأسباب شيوعًا سوء تهيئة سياسات الوصول المشروط. ربما يُستثنى مستخدم كبار الشخصيات «للتسهيل»، أو تبقى حسابات الاختبار قائمة بأذونات واسعة دون اشتراط المصادقة متعددة العوامل. قد تبدو هذه الاستثناءات بريئة أثناء الإعداد، لكنها قد تخترق دفاعاتك بالكامل. وإذا لم تُراجَع نهج الوصول المشروط بانتظام، فقد تجد نفسك أمام ثغرات أمنية خفية لن تنبهك إليها أي لوحة معلومات.

التطبيقات القديمة مشكلة خفية أخرى. فأدوات مثل Exchange ActiveSync أو بعض عملاء البريد الإلكتروني لأجهزة سطح المكتب تعتمد غالبًا على مصادقة قديمة، فتتجاوز المصادقة متعددة العوامل الحديثة افتراضيًا. وهذه التطبيقات غير المعتمدة على المتصفح تعتمد على المصادقة الأساسية (Basic Auth)، وهي غير متوافقة مع إعداد MFA الحديث، وقد يؤدي ذلك إلى تسجيلات دخول تحدث بعيدًا تمامًا عن سيطرتك.

ولا تنسَ سلوكيات المستخدمين. فبعض المستخدمين ينشئون «كلمات مرور للتطبيقات» لربط تطبيقات أقدم، وهذه الكلمات تتجاوز المصادقة متعددة العوامل بالكامل. وآخرون يمنحون دون قصد أذونات OAuth لتطبيقات طرف ثالث عبر مطالبات الموافقة عالية الخطورة، فيفتحون بابًا خلفيًا للمهاجمين دون أن تُطلب منهم أي مصادقة متعددة العوامل. وهنا تبرز أهمية الحوكمة، لأن المستخدمين قد يتجاوزون المصادقة متعددة العوامل دون أن يدركوا المخاطر.

بالنسبة للمؤسسات التي تعمل ببيئات هجينة أو متعددة السحابات، تتضاعف هذه الثغرات. فإذا لم تكن تدقق بشكل منهجي فيمن وما الذي تُفرض عليه المصادقة متعددة العوامل، فقد تغفل عن مخاطر حرجة. والسبيل الوحيد لرسم صورة دقيقة عن مدى التغطية الفعلية لديك هو التعمق في لوحات معلومات الهوية عبر المنصات. ومعرفة المواضع التي تفشل فيها المصادقة متعددة العوامل هي الأساس لتشديد الضوابط وحماية كل تسجيل دخول، أيًّا كانت طريقته أو مكانه.

تطبيق طرق المصادقة متعددة العوامل المقاومة للتصيّد لتأمين تسجيل الدخول

المصادقة متعددة العوامل القياسية جيدة، إلى أن يكتشف المهاجمون كيفية خداع المستخدمين عبر إرهاقهم بطلبات الدفع (Push Fatigue) أو مطالبات التصيّد أو سرقة الرموز المميزة. لذلك يكتسب الانتقال إلى المصادقة متعددة العوامل المقاومة للتصيّد أهمية حقيقية إذا أردت إغلاق الباب في وجه الهجمات الحديثة بإحكام.

مطابقة الأرقام في تطبيقات المصادقة ترقية قوية. فبدلًا من الموافقة على طلب دفع عام، يحصل المستخدم على رمز يجب عليه إدخاله، مما يجعل من شبه المستحيل على المهاجم خداع المستخدم عبر قصف الطلبات (Prompt Bombing). وتدفع Microsoft وغيرها بقوة نحو هذا الخيار، إذ تفعّله افتراضيًا في إعدادات MFA الجديدة. وهو يعالج تحديدًا حيل قصف الطلبات الماكرة التي استُخدمت في اختراقات بارزة حديثة.

تذهب مفاتيح الأمان المادية مثل YubiKey ورموز FIDO2 أبعد من ذلك. فهذه المفاتيح لا يمكن التصيّد عليها ولا تعتمد على أسرار مشتركة. وفي البيئات شديدة الحساسية، أو للمسؤولين والتنفيذيين، يقترب هذا الخيار من «وضع الإغلاق الكامل»، إذ توفر مصادقة مبنية على الأجهزة تصدّ معظم تقنيات الهجوم الواقعية بشكل حاسم.

لا داعي للتضحية بسهولة الاستخدام أيضًا. مع خيارات تسجيل الدخول الحديثة التي لا تتطلب كلمة مرور، والتكامل القوي مع منصات مثل Microsoft 365 وDefender، يمكنك دمج المصادقة متعددة العوامل المقاومة للتصيد مباشرةً في سير العمل الحالي لديك. للاطلاع على أمثلة واقعية لدمج الوصول المشروط مع الحماية المتقدمة من التهديدات وتجربة مستخدم سلسة، راجع دليل إعدادات أمان M365 المحكمة. الترقية إلى المصادقة متعددة العوامل المقاومة للتصيد ليست مجرد "إضافة مستحسنة"، بل أصبحت بسرعة الحد الأدنى الجديد للحماية من المهاجمين المتطورين.

تطبيق المصادقة متعددة العوامل دون تكلفة للشركات الصغيرة باستخدام Microsoft Entra ID

إذا كنت تدير شركة صغيرة، فلست بحاجة إلى ميزانية ضخمة أو تراخيص متقدمة للحصول على مصادقة متعددة العوامل قوية. يوفر Microsoft Entra ID (المعروف سابقًا باسم Azure AD) الإعدادات الافتراضية للأمان، والتي يمكن لأي شركة تفعيلها بنقرات قليلة فقط.

فعّل الإعدادات الافتراضية للأمان من مركز إدارة Entra. ستفرض هذه الخطوة المصادقة متعددة العوامل على جميع المستخدمين فورًا، دون الحاجة إلى بناء نهج معقد أو شراء تراخيص إضافية. وأفضل ما في الأمر أن هذه الإعدادات المُهيأة مسبقًا تعمل مباشرةً، إذ توفر حمايةً أساسيةً ضد اختراق الحسابات، وتحجب بشكل افتراضي بروتوكولات المصادقة القديمة.

من المهم أن يكون الإطلاق سلسًا. أخطر المستخدمين مسبقًا حتى لا يفاجئهم أي طلب جديد. ساند من يكونون أقل دراية بأدوات المصادقة أو تطبيقات المصادقة. واختبر الإعداد مع مجموعة تجريبية أولًا إن أمكن، للتأكد من عدم وجود مفاجآت مع تطبيقات العمل الحيوية أو حسابات الخدمة.

المفتاح هو ألا تعتمد على مبدأ "اضبطه ثم انسَه". راجع بانتظام قائمة المستخدمين المشمولين بالإعدادات الافتراضية للأمان، وتحقق من وجود أي حسابات قد تفلت من الحماية. وإذا احتجت لاحقًا إلى ضوابط أدق، ففكّر في إضافة الوصول المشروط على مراحل، لكن ابدأ ببساطة وأمان. للاطلاع على خطة إطلاق آمنة وأفكار لسد الثغرات الخفية، يغطي هذا الدليل العملي للوصول المشروط المخاطر والاستراتيجيات التي ينبغي أن تعرفها.

المصادقة متعددة العوامل للشركات: أفضل الممارسات لفرض النهج والحد من المخاطر

1. طبّق المصادقة متعددة العوامل على الجميع دون استثناءات من أجل الراحة. تأكد من أن جميع حسابات المستخدمين (وليس المسؤولين فقط) مشمولة بنهج المصادقة متعددة العوامل، بما في ذلك حسابات الموظفين المؤقتين والموردين والمديرين التنفيذيين. ينبغي أن تكون الاستثناءات نادرة ومحددة زمنيًا دائمًا، مع مبرر تجاري قوي.
2. أحكم حماية حسابات الخدمة والحسابات غير البشرية باستخدام حلول حديثة. تمثل حسابات الخدمة التقليدية ثغرات كبيرة في المصادقة متعددة العوامل. قم بتحديثها باستخدام أدوات مثل Entra Workload Identities للمصادقة المُدارة، مع تمكين إدارة دورة الحياة وقابلية التدقيق. للاطلاع على المزيد حول هذا النهج، راجع هذا التحليل حول مخاطر الهويات غير البشرية.
3. أعِد المستخدمين بالتدريب والدعم المناسبين. ساعد المستخدمين على إعداد تطبيقات المصادقة أو الرموز المادية، ووضّح لهم أهمية المصادقة متعددة العوامل. وقدّم دعم مكتب المساعدة أثناء الإطلاق، خاصةً للمستخدمين غير المعتادين على طلبات المصادقة الجديدة مثل مطابقة الأرقام.
4. راقب محاولات تجاوز المصادقة متعددة العوامل وعمليات تسجيل الدخول غير الاعتيادية. أعدّ تنبيهات وسجلات لاكتشاف الحالات التي تغيب فيها المصادقة متعددة العوامل في السيناريوهات عالية المخاطر المتوقعة، أو عندما تتسلل البروتوكولات القديمة. وأتمتة الاستجابة للحوادث كلما أمكن، مثل إعادة تعيين كلمات المرور أو تفعيل مصادقة إضافية عند تسجيلات الدخول الخطرة.
5. دقّق بانتظام في تغطية المصادقة متعددة العوامل والامتثال للنهج. لا تفترض أن التغطية مكتملة. استخدم لوحات معلومات الهوية والتقارير في Microsoft 365 وعبر المنصات الأخرى إذا كنت تعمل ببيئة متعددة السحابات. حوّل النتائج إلى تقارير واضحة حتى يتمكن فريق تقنية المعلومات والقيادة من رؤية المخاطر المتبقية. فالحوكمة الفعّالة تتجاوز الأزرار والمفاتيح، وللحصول على رؤية أعمق، اطّلع على هذه الدروس المستفادة من إخفاقات حوكمة M365.

باتباع قائمة التحقق هذه، ستقلل بشكل كبير من احتمال تمكّن المهاجمين من تجاوز المصادقة متعددة العوامل، مهما كانت التقنية المستخدمة ذكية. فالاتساق والنهج الواضحة والمراجعات المنتظمة تحافظ على قوة الحماية وإغلاق الثغرات.