معمارية انعدام الثقة ونمذجة التهديدات
درس 1 من 5
1معمارية انعدام الثقة ونمذجة التهديدات
الصورة الكبيرةالخبير لا يُسأل «هل هذا الجهاز مصاب؟» بل «كيف نبني الشركة بحيث لا يكفي جهاز مصاب واحد لسقوطها؟». الجواب الحديث معمارية تفترض أن المهاجم في الداخل أصلًا: لا شبكة موثوقة، ولا جلسة دائمة، وكل وصول قرار صغير يُتخذ الآن بناءً على من أنت، وما جهازك، وما تطلب، ومن أين. وأرخص وقت لإصلاح ثغرة تصميم هو قبل أن يوجد التصميم في الكود.
ماذا تشاهد في الرسم: لا يصل أي طلب للمورد مباشرة. نقطة التنفيذ توقفه وتسأل محرك السياسة، والمحرك يقرر من الإشارات الحية، ثم يُراجع القرار كلما تغيرت إشارة.
خارطة هذا الجزء
المفاهيم بالترتيب، اضغط أيًّا منها للقفز إليه:
طريقان إلى نفس الفكرة
تخيّل مبنى حكوميًا حديثًا. لا يكفي أن تدخل البوابة الرئيسية: عند كل باب قارئ بطاقة (نقطة التنفيذ) يسأل غرفة المراقبة (محرك السياسة): هل هذا الشخص يعمل هنا؟ هل هذا وقت دوامه؟ هل بطاقته لم تُبلّغ عنها كمفقودة؟ هل يحق له هذا الطابق؟ والإذن يُعطى لهذا الباب الآن فقط. وإن أُبلغ عن البطاقة بعد دقيقة، تُغلق كل الأبواب في وجهها فورًا.
NIST SP 800-207 يعرّف: محرك السياسة (PE) يتخذ قرار السماح أو المنع أو طلب تحقق إضافي، ومدير السياسة (PA) ينفذ القرار بفتح الجلسة أو إغلاقها، ومعًا يسميان نقطة القرار (PDP)، ونقطة التنفيذ (PEP) تقف أمام المورد (وكيل وصول، أو بوابة ZTNA، أو بوابة API). المدخلات: مزود الهوية وMFA، وحالة الجهاز من MDM وEDR، واستخبارات التهديد، وسجلات SIEM، وتصنيف البيانات. نموذج نضج CISA v2.0 (أبريل 2023) له خمسة أعمدة: الهوية، والأجهزة، والشبكات، والتطبيقات وأحمال العمل، والبيانات، وثلاث قدرات عابرة (الرؤية والتحليل، والأتمتة، والحوكمة)، وأربع مراحل: تقليدي، ومبدئي، ومتقدم، ومثالي. نمذجة التهديدات بأسئلتها الأربعة: على ماذا نعمل؟ ماذا قد يخطئ؟ ماذا سنفعل؟ هل أحسنّا؟ وSTRIDE (Microsoft): انتحال، وتلاعب، وإنكار، وكشف معلومات، وحجب خدمة، ورفع صلاحية؛ كل حرف يقابل خاصية أمنية يكسرها.
قبل أن تبدأ
🧱أمن الأنظمة والشبكات
عرفت فكرة انعدام الثقة والتقسيم.
🪪الهوية والوصول
MFA والصلاحيات الأقل.
الفكرة الجوهرية
1أجزاء المعمارية
انظر للرسم من أعلى: الإشارات تغذي محرك السياسة، والمحرك يقرر، ومدير السياسة يبلّغ نقطة التنفيذ، ونقطة التنفيذ وحدها تفتح الطريق للمورد. لا يوجد خط مباشر من المستخدم للمورد، وهذا جوهر الفكرة.
نقطة التنفيذ قد تكون أشكالًا كثيرة: وكيل وصول للتطبيقات الداخلية (ZTNA بدل VPN)، أو بوابة API، أو جدار ناري داخلي يقسّم أحمال العمل، أو حتى وكيل على الخادم نفسه. المهم أنها لا تُتجاوز: إن كان للتطبيق عنوان يصل إليه أحد من الشبكة دون أن يمر بها، فالمعمارية مثقوبة.
2قرار الوصول: إشارات لا مكان
في الشبكة التقليدية القرار كان «أنت داخل المكتب، إذن أنت موثوق». في انعدام الثقة القرار يجمع إشارات، ويقارنها بحساسية المورد: الويكي يقبل خطرًا أكثر من نظام الرواتب. والنتيجة ليست نعم أو لا فقط، بل قد تكون «اطلب MFA الآن» (Step-up). شغّل المحرك الصغير هذا وغيّر الطلبات.
المحرك الحقيقي يأخذ إشارات أكثر ويُضبط بالبيانات، لكن الفكرة نفسها: الخطر مقابل حساسية المورد، والقرار لهذا الطلب الآن فقط.
SENSITIVITY = {"wiki": 1, "hr-portal": 2, "payroll-admin": 3}
BUDGET = {1: 2, 2: 1, 3: 0} # how much risk each sensitivity level accepts
def decide(user, resource, mfa, managed, patch_age, country):
risk, why = 0, []
if not mfa:
risk += 2; why.append("no MFA yet")
if not managed:
risk += 2; why.append("unmanaged device")
if patch_age > 30:
risk += 1; why.append(f"patches {patch_age} days old")
if country != "SA":
risk += 1; why.append(f"sign-in from {country}")
budget = BUDGET[SENSITIVITY[resource]]
if risk <= budget:
verdict = "ALLOW"
elif not mfa and risk - 2 <= budget:
verdict = "STEP-UP: ask for MFA"
else:
verdict = "DENY"
print(f"{user:<6} -> {resource:<14} risk {risk} / budget {budget}: {verdict:<20} {', '.join(why)}")
decide("sara", "wiki", False, True, 3, "SA")
decide("sara", "payroll-admin", False, True, 3, "SA")
decide("omar", "hr-portal", True, False, 3, "SA")
decide("omar", "wiki", True, True, 45, "SA")
decide("nora", "payroll-admin", True, True, 2, "AE")التقييم المستمر: القرار لا يبقى صالحًا للأبد. إن أبلغ EDR أن الجهاز صار مصابًا، أو تغيرت الدولة فجأة، يُلغي مدير السياسة الجلسة فورًا. معيار CAEP من OpenID يُستخدم لإرسال هذه الإشارات بين الأنظمة.
رحلة طلب في معمارية انعدام الثقة
سارة تفتح نظام الموارد البشرية من حاسوب الشركة في البيت. لا VPN، ولا شبكة موثوقة.
الفكرة: كل خطوة تضيف إشارة، والقرار يُبنى منها كلها، ثم يبقى تحت المراقبة. لو سقطت أي إشارة أثناء الجلسة، تُغلق.
1 · الهوية
تدخل عبر مزود الهوية بمفتاح FIDO2، وهو MFA مقاوم للتصيد. الإشارة: هوية مؤكدة، وطريقة دخول قوية.
2 · الجهاز
MDM يؤكد أن الحاسوب مُدار ومشفّر ومرقّع، وEDR يقول إنه نظيف. الإشارة: جهاز موثوق الآن.
3 · نقطة التنفيذ
الطلب يصل وكيل الوصول، لا التطبيق. التطبيق نفسه لا عنوان له على الإنترنت. الإشارة: ماذا تطلب بالضبط.
4 · القرار
محرك السياسة يجمع الإشارات مع دور سارة وحساسية التطبيق ووقت الطلب: سماح لهذا التطبيق وحده، لمدة محددة.
5 · الجلسة
مدير السياسة يفتح جلسة لهذا التطبيق فقط. لا ترى سارة أي خادم آخر، فلو كان جهازها مخترقًا لا يرى المهاجم شبكة يتنقل فيها.
6 · المراقبة
بعد ساعة ينبّه EDR إلى عملية مريبة على الحاسوب. الإشارة تصل المحرك، فيلغي الجلسة فورًا ويطلب فحص الجهاز.
3نموذج النضج: من أين تبدأ؟
لا أحد يبني انعدام الثقة في سنة. نموذج CISA يقسم الطريق إلى خمسة أعمدة وأربع مراحل، فتقيس أين أنت في كل عمود وتختار الخطوة التالية الأرخص أثرًا. الترتيب العملي الشائع: الهوية أولًا (MFA مقاوم للتصيد للجميع)، ثم الأجهزة (لا وصول من جهاز غير مُدار)، ثم التطبيقات الحساسة خلف وكيل، ثم التقسيم الدقيق، ثم البيانات.
| العمود | تقليدي | متقدم | مثالي |
|---|---|---|---|
| الهوية | كلمات مرور، وMFA لبعض الحسابات | MFA مقاوم للتصيد لأغلب الحسابات | تحقق مستمر بالسلوك والمخاطر |
| الأجهزة | جرد يدوي | الوصول مشروط بحالة الجهاز | حالة كل جهاز تُقيّم لحظيًا |
| الشبكات | شبكة مسطحة وVPN | تقسيم حسب التطبيق | تقسيم دقيق وتشفير لكل حركة |
| التطبيقات | ثقة داخل الشبكة | خلف وكيل وصول | تفويض لكل طلب |
| البيانات | بلا تصنيف | تصنيف وتشفير للحساس | ضوابط تتبع البيانات أينما ذهبت |
4نمذجة التهديدات بـ STRIDE
قبل بناء أي نظام جديد: ارسم مخطط تدفق البيانات (من يتحدث مع من، وأين الحدود بين مناطق الثقة)، ثم مر على كل عنصر وكل سهم واسأل أسئلة STRIDE الستة. كل إجابة «نعم ممكن» تصير تهديدًا مكتوبًا، وله علاج وصاحب. ساعة واحدة من هذا قبل البناء توفر أسابيع من الإصلاح بعده.
| الحرف | التهديد | الخاصية المكسورة | مثال وعلاج |
|---|---|---|---|
| S | انتحال | المصادقة | خدمة تنتحل أخرى ← mTLS بين الخدمات |
| T | تلاعب | السلامة | تعديل الطلب في الطريق ← توقيع وتشفير |
| R | إنكار | عدم الإنكار | «لم أوافق على التحويل» ← سجل تدقيق لا يُعدّل |
| I | كشف معلومات | السرية | رسالة خطأ تكشف الاستعلام ← رسائل عامة وتشفير |
| D | حجب خدمة | التوفر | طلبات تغرق الخدمة ← حدود معدل |
| E | رفع صلاحية | التفويض | مستخدم يصل لوظيفة المدير ← فحص في الخادم |
مثال محلول
المسألة: شركة متوسطة فيها 600 موظف، وVPN واحد يدخل منه الجميع إلى شبكة مسطحة، وMFA للمدراء فقط. الإدارة تريد «انعدام الثقة» بميزانية محدودة. ماذا تقترح للسنة الأولى؟
الحل: ابدأ بأعلى أثر وأقل تكلفة، بالترتيب. الربع 1، الهوية: MFA للجميع، ومفاتيح FIDO2 للمدراء وحسابات الإدارة، وإيقاف البروتوكولات القديمة التي تتجاوز MFA. الربع 2، الأجهزة: كل جهاز يصل يجب أن يكون مُدارًا وعليه EDR، والوصول مشروط بذلك. الربع 3، التطبيقات: انقل أهم ثلاثة تطبيقات (الرواتب، والموارد البشرية، والمالية) خلف وكيل وصول بدل VPN، كل تطبيق بسياسته. الربع 4، الشبكة: افصل الخوادم الحساسة بجدار داخلي، وقِس التقدم بنموذج CISA. وقبل كل ربع: نمذجة تهديد لما سيتغير. النتيجة بعد سنة: مهاجم يسرق كلمة مرور لا يدخل، ومن يخترق جهازًا لا يرى إلا تطبيقًا واحدًا.
خرافة مقابل حقيقة
| الخرافة | الحقيقة |
|---|---|
| انعدام الثقة يعني أننا لا نثق بموظفينا. | يعني أننا لا نثق بالمكان. الموظف يُعطى ما يحتاجه بسرعة، لكن بعد التحقق، ولأن حسابه قد يُسرق. |
| انعدام الثقة منتج نشتريه. | هو معمارية وخطة سنوات. المنتجات أجزاء منها فقط. |
| نمذجة التهديدات للخبراء فقط وتحتاج أدوات معقدة. | سبورة ومخطط بسيط وأسئلة STRIDE تكفي للبداية، ويشارك فيها المطوّرون أنفسهم. |
أين تقابله في العمل
🏠العمل عن بعد
وصول آمن للتطبيقات دون VPN يفتح الشبكة كلها.
🏛️الجهات الحكومية
خطط انعدام الثقة صارت مطلوبة في سياسات حكومية كثيرة.
🧑💻مراجعة التصميم
نمذجة التهديد جزء من بداية كل مشروع جديد.
اختبر فهمك
في NIST SP 800-207، من يتخذ قرار السماح أو المنع؟
المحرك يقرر، ومدير السياسة ينفذ، ونقطة التنفيذ تفتح الطريق أو تغلقه.
أي مما يلي ليس من أعمدة نموذج CISA الخمسة؟
الأعمدة: الهوية، والأجهزة، والشبكات، والتطبيقات وأحمال العمل، والبيانات.
مستخدم يقول «لم أوافق على هذه العملية» ولا يوجد سجل يثبت. أي حرف من STRIDE؟
الإنكار يُعالج بسجل تدقيق موثوق لا يمكن تعديله.
ما معنى Step-up في قرار الوصول؟
بدل المنع، يُطلب دليل أقوى حين يكون الخطر أعلى من ميزانية المورد.
ما الخطوة الأولى الأكثر أثرًا عادة في رحلة انعدام الثقة؟
أغلب الاختراقات تبدأ بهوية مسروقة، فالهوية القوية أول حجر.
بطاقات مراجعة سريعة
تحقق من فهمك
لماذا لا يكفي وجود المستخدم داخل شبكة الشركة ليُسمح له؟
لأن المهاجم قد يكون في الداخل بجهاز مخترق أو حساب مسروق؛ القرار يُبنى على الهوية والجهاز والسياق لا المكان.
ما الذي يجعل نقطة التنفيذ عديمة الفائدة؟
أن يوجد طريق للمورد لا يمر بها.
ما الأسئلة الأربعة لنمذجة التهديدات؟
على ماذا نعمل؟ ماذا قد يخطئ؟ ماذا سنفعل؟ هل أحسنّا؟
مصادر هذا الدرس
مرتّبة بالنوع. ابدأ بالتوثيق الرسمي إذا تبي المرجع الدقيق، وبالمقال أو الفيديو إذا تبي الشرح أولًا.
مقالات1
خلّصت الدرس؟
سجّل الدخول ليُحفظ تقدّمك.