لماذا يفشل مبدأ "الضبط ثم النسيان": التعامل مع Microsoft Defender كنظام حي

By Mirko Peters · 2026-08-11

أهلاً بكم مجدداً في البودكاست ومع سلسلتنا المستمرة من التعمق في تأمين بيئتكم السحابية. إن كان قد راودكم يوماً ذلك الشعور المقبض عندما تصل رسالة تصيّد احتيالي متقنة إلى صندوق بريد أحد المستخدمين رغم تفعيل أمان Microsoft 365، فأنتم لستم وحدكم بالتأكيد. تعامل مؤسسات كثيرة مع Microsoft Defender for Office 365 على أنه مجرد خانة تُفعَّل في قائمة مهام. تُشغّله، وتترك الإعدادات على قيمها الافتراضية، وتنصر

Automatically translated with AI from the original post. Read the English original

أهلاً بكم مجدداً في البودكاست ومع سلسلتنا المستمرة من التعمق في تأمين بيئتكم السحابية. إن كان قد راودكم يوماً ذلك الشعور المقبض عندما تصل رسالة تصيّد احتيالي متقنة إلى صندوق بريد أحد المستخدمين رغم تفعيل أمان Microsoft 365، فأنتم لستم وحدكم بالتأكيد. تعامل مؤسسات كثيرة مع Microsoft Defender for Office 365 على أنه مجرد خانة تُفعَّل في قائمة مهام. تُشغّله، وتترك الإعدادات على قيمها الافتراضية، وتنصرف، مفترضةً أن عمالقة السحابة يتولون كل شيء خلف الكواليس. لكن للأسف، هذه العقلية القائمة على "الضبط ثم النسيان" هي بالضبط ما يعتمد عليه المهاجمون المعاصرون لتجاوز دفاعاتكم.

إعدادات الأمان الافتراضية في Microsoft 365 ليست سوى نقطة انطلاق، وليست دفاعاً متكاملاً. ولحماية مؤسستكم فعلياً من هجمات التصيّد المتطورة واختراق البريد الإلكتروني للأعمال والمرفقات الخبيثة، تحتاجون إلى ضبط مستمر ومراجعات دورية وحلقات تغذية راجعة نشطة. ولتوسيع هذه المفاهيم والاستماع إلى نقاش تفصيلي حول ضبط بيئتكم، لا تفوّتوا الاستماع إلى الحلقة ذات الصلة لدينا، Tune Microsoft Defender for Office 365 Against Phishing. في هذه المقالة سنفكك كيفية عمل مسار الأمان فعلياً، ونكشف فخاخ الإعداد الخفية، ونقدّم لكم مخططاً عملياً لتقوية دفاعاتكم دون تعطيل عمليات أعمالكم.

ما ستتعلمونه

• كيف تتفاعل Safe Links وSafe Attachments وتعلّم الآلة لمكافحة التصيّد وقواعد النقل مع بعضها داخل مسار تسليم البريد الإلكتروني فعلياً.
• الفجوات والنقاط العمياء الخفية التي لا تزال حملات التصيّد المستهدفة تنجح في التسلل من خلالها.
• فخاخ الإعداد الأكثر شيوعاً التي يقع فيها المسؤولون، وكيف يمكنكم تجنّبها بفاعلية.
• مخطط خطوة بخطوة لجعل Defender فعّالاً للغاية دون تعطيل تدفق البريد الإلكتروني المعتاد للأعمال.

داخل المسار: أين تنتصر الرسائل أو تتسلل

لفهم سبب فشل الإعدادات الافتراضية، نحتاج أولاً إلى النظر داخل آلية عمل Microsoft Defender في معالجة رسالة البريد الإلكتروني الواردة. فهو ليس حارساً واحداً، بل مسار أمان متعدد الطبقات. وإذا لم تُضبط هذه الطبقات لتتواصل مع بعضها بشكل صحيح، فقد تنفذ الرسائل من بين الشقوق بكل سهولة.

1. Safe Links: تعيد هذه الميزة كتابة الروابط في الرسائل الواردة وتفحصها وقت النقر عليها، حتى بعد أيام من تسليم البريد الإلكتروني. غير أن النهج سيئة النطاق أو الحظر المفرط في الصرامة قد يعطّل بسهولة الروابط المشروعة التي تستخدمها فرق التسويق أو منصات الاستبيانات، مما يولّد ضغطاً داخلياً هائلاً لتخفيف القيود بالكامل.
2. Safe Attachments (ATP): يُشغّل هذا المكوّن الملفات داخل صندوق رمل سحابي آمن قبل وصولها إلى المستخدم. وإن ضُبط على وضع المراقبة بدلاً من الحظر أو التسليم الديناميكي، فإن التهديدات تُسجَّل فقط دون أن تُوقف، أي أن مستخدميكم يتلقون الحمولات الخبيثة بينما يتلقى فريق الأمان تنبيهاً بعد وقوع الضرر.
3. Anti-Phishing: تعتمد هذه الطبقة على تعلّم الآلة المتقدم مقروناً بحماية انتحال الهوية، وتحمي من انتحال اسم العرض، ومن النطاقات المشابهة في الشكل، ومن سلوكيات المرسل غير المعتادة. وقد تؤدي عتبات الضبط الضعيفة إما إلى إنذارات كاذبة مزعجة تطال شركاء خارجيين مشروعين، أو إلى إفلات كامل لمحاولات انتحال المسؤولين الكبار المستهدفين.
4. Transport Rules: تملك قواعد تدفق البريد القدرة الخطرة على تجاوز الحماية بالكامل أو تصفية الرسائل مرتين دون قصد. فإدراج نطاقات الشركاء بأكملها في القائمة البيضاء عبر قواعد النقل يخلق غالباً نقاطاً عمياء واسعة يسعد المهاجمون باستغلالها.

فخاخ الإعداد التي ينبغي تجنّبها

تُضعف مؤسسات كثيرة وضعها الأمني دون قصد، بوقوعها في فخاخ إعداد شائعة. والتعرف على هذه المزالق هو الخطوة الأولى نحو بناء معمارية بريد إلكتروني دفاعية متينة.

• سياسات عامة واحدة تناسب الجميع: فريق المالية والإدارة العليا لا يتقاسمان ملف المخاطر نفسه الذي يتقاسمه فريق التسويق أو الموظفون العامون. إن عدم اعتماد سياسات قائمة على الأدوار يترك أعلى أهدافكم قيمةً دون حماية كافية.
• Safe Attachments على وضع المراقبة فقط: قد تُطلق التنبيهات، لكن المستخدمين يظلون يتلقون الحمولة الخطرة. يجب الانتقال إلى التسليم الديناميكي ونهج الحظر الصارم.
• قوائم السماح في قواعد النقل: لا تتجاوز Defender بالكامل أبداً للنطاقات بأكملها. بدلاً من ذلك، استخدم آليات المرسلين الموثوقين مع إبقاء محركات الفحص نشطة.
• حماية انتحال الهوية غير المضبوطة: إذا لم تكن تحمي بنشاط كبار التنفيذيين وفريق المالية وموظفي الذمم الدائنة من انتحال اسم العرض والنطاق، فأنت تدعو بشكل مباشر إلى تصيد احتيال التحويلات المالية.
• الإعدادات الافتراضية إلى الأبد: تتطلب نماذج التعلم الآلي حلقات تغذية راجعة بشرية وضبطاً دورياً للعتبات. الإعدادات الافتراضية الجاهزة ليست سوى نقطة انطلاق.
• غياب التغذية الراجعة أو دورة المراجعة: عندما لا تُصحَّح الإيجابيات الكاذبة والسلبيات الكاذبة أبداً، تنحرف النماذج، ويفقد المستخدمون الثقة في أدوات الأمان بسرعة.

المخطط العملي للتنفيذ (طبقي ومدرك لمتطلبات الأعمال)

يتطلب بناء بيئة آمنة نهجاً استراتيجياً يوازن بين الحماية القوية والإنتاجية في الأعمال. إليك كيفية بناء وضعية أمنية طبقية ومدركة لمتطلبات الأعمال.

1) تصميم النهج حسب مجموعة المخاطر

المالية وكبار التنفيذيين:

• Safe Links: مفعّلة، مع التحقق عند وقت النقر، وحظر الروابط غير المعروفة، والفحص الفوري النشط عبر تطبيقات Office وMicrosoft Teams.
• Safe Attachments: مُعدّة للتسليم الديناميكي مع الحظر.
• Anti-Phishing: مضبوطة على حماية عالية، مع حماية صارمة من انتحال الهوية لكبار الشخصيات والنطاقات الداخلية والنطاقات المشابهة للموردين المعروفين.

الموظفون العامون:

• Safe Links: مفعّلة، مع الحفاظ على إعادة كتابة الروابط، وتوفير مسار واضح للإرسال والإبلاغ عن أي إيجابيات كاذبة حقيقية.
• Safe Attachments: التسليم الديناميكي مع الحظر.
• Anti-Phishing: حماية قياسية مقترنة بالإبلاغ المستمر من المستخدمين وبرامج التوعية التدريبية.

التسويق/العمليات ذات سير العمل الكثيف بالروابط:

• Safe Links: مفعّلة مع استثناءات مضبوطة بعناية للمنصات الموثّقة، مع تجنب أي تجاوز شامل على مستوى المؤسسة.
• Safe Attachments: التسليم الديناميكي.
• أضف مساراً سريعاً ومنظماً لمراجعة الروابط المحظورة في الحملات عبر صندوق بريد مشترك أو قائمة انتظار فريق SecOps.

2) فرض الحماية بدلاً من الاكتفاء بالمراقبة

انتقل من المراقبة السلبية إلى الفرض النشط. اضبط Safe Attachments على الحظر أو الاستبدال باستخدام التسليم الديناميكي. وبالنسبة لنهج مكافحة التصيد، وجّه محاولات التصيد عالية الثقة مباشرة إلى الحجر الصحي، وأرسل التهديدات متوسطة الثقة إلى مجلد الرسائل غير المرغوب فيها، ولا تسلّم العناصر منخفضة الثقة إلا مع علامة أمان.

3) تأمين مسارات التجاوز

راجع جميع قواعد النقل في المستأجر للبحث عن أي شروط تتجاوز مرشحات البريد المزعج أو البرامج الضارة أو التصيد. استبدل قواعد التجاوز الواسعة على مستوى النطاق بمرسلين موثوقين محددو النطاق، مع الحرص على بقاء الفحص في الخلفية مفعّلاً. إضافة إلى ذلك، حافظ على ضوابط صارمة على إعادة التوجيه التلقائي للبريد الإلكتروني إلى العناوين الخارجية.

4) حلقات التغذية الراجعة والمراقبة

أنشئ إيقاعاً تشغيلياً منتظماً. على أساس أسبوعي، راجع سجلات الحجر الصحي، وتقارير الإيجابيات والسلبيات الكاذبة، وبيانات Threat Explorer، وتتبعات الرسائل. درّب المستخدمين على استخدام الوظيفة الإضافية Report Message بشكل فعّال، لتتمكن مركز عمليات الأمان من إعادة تغذية تلك التقارير إلى قوائم السماح والحظر لديك وتدريب نماذج التعلم الآلي.

5) الجاهزية للحوادث

عندما تصل رسالة تصيد إلى صندوق الوارد حتماً، يجب على فريقك التصرف بسرعة ودقة. ابحث عن عناصر بريد مشابهة في المؤسسة عبر Threat Explorer، ونفّذ عمليات الحذف الجماعي، وأجبر على إعادة تعيين بيانات الاعتماد إذا تم النقر على رابط، وافحص موافقات تطبيقات OAuth، وأضف النطاق المخالف إلى قوائم المراقبة النشطة لديك.

قائمة التحقق السريعة للإعداد

قبل إنهاء عملية التدقيق، راجع قائمة التحقق السريعة هذه للتأكد من أن بيئة Microsoft Defender for Office 365 محصّنة بشكل صحيح:

• تفعيل Safe Links للبريد الإلكتروني وتطبيقات Office وTeams، مع تشغيل الحماية عند وقت النقر.
• ضبط Safe Attachments على التسليم الديناميكي والحظر/الاستبدال (وتجنب وضع المراقبة).
• ضبط Anti-Phishing مع حماية انتحال الهوية لكبار الشخصيات والمالية وذمم الدفع والنطاقات الداخلية.
• صفر تجاوزات لقواعد النقل على مستوى النطاق؛ استبدالها بمرسلين موثوقين محددو النطاق مع فحص نشط.
• إنشاء نهج قائمة على الأدوار للتنفيذيين والمالية والموظفين العامين والتسويق، بعتبات مخاطر مختلفة.
• نشر الوظيفة الإضافية للإبلاغ عن المستخدمين على الأجهزة ومراقبتها بنشاط.
• تم تحديد إيقاع مراجعة أسبوعية لكل من Threat Explorer والحجر (Quarantine) والإيجابيات/السلبيات الخاطئة (False Positives/Negatives) وتتبع الرسائل (Message Trace).
• تم توثيق دليل تشغيل للتعامل مع التصيد المخفي في صناديق البريد وعمليات الحذف (purges) والاستجابة لانتحال هوية الموردين، وتم اختباره.

إن التعامل مع Microsoft Defender كنظام حي ومتطور، لا كقائمة تحقق ثابتة، ينقل وضعك الأمني من الاستجابة التفاعلية إلى الاستباقية. للتعمق أكثر في هذه الاستراتيجيات، استمع إلى النقاش الكامل في البودكاست عبر زيارة Tune Microsoft Defender for Office 365 Against Phishing. ابقَ آمنًا، واستمر في ضبط نهجك، وإلى اللقاء في الحلقة القادمة!