ما المقصود بتحديد أولويات الثغرات الأمنية؟

• تساعد أنظمة تقييم الخطورة التقليدية، مثل CVSS، في قياس درجة الخطورة من الناحية التقنية، لكنها لا تحدد الثغرات الأمنية التي من المرجح أن يستغلها ممثلو التهديد في بيئتك.
• تجمع عملية تحديد أولويات الثغرات الأمنية بناءً على المخاطر بين معلومات التهديدات، وسياق الأصول، وتحليل مسار الهجوم، وسياق الأعمال، وذلك لتحديد الثغرات القابلة للاستغلال التي تستحق اهتمامًا فوريًّا.
• أدت نماذج الذكاء الاصطناعي الرائدة إلى تسريع عملية اكتشاف الثغرات الأمنية واستغلالها بشكل كبير، مما جعل تحديد أولويات الثغرات الأمنية بشكل فعال وقائم على المخاطر أكثر أهمية من أي وقت مضى.
• تساعد عملية تحديد أولويات الثغرات الأمنية الفعالة على تركيز جهود المعالجة لديك على الثغرات التي من المرجح أن تؤدي إلى تأثير جوهري على الأعمال.

إن تحديد أولويات الثغرات الأمنية هو عملية تصنيف الثغرات الأمنية حسب المخاطر التي تشكلها على مؤسستك. يوجّه تحديد أولويات الثغرات الأمنية القائم على المخاطر جهود فرق المعالجة لديك نحو معالجة الثغرات الأمنية الأكثر أهمية. التحدي يكمن في الحجم.

تدير معظم المؤسسات آلافًا، بل عشرات الآلاف من الثغرات الأمنية عبر بيئات تكنولوجيا المعلومات، والسحابة، والتكنولوجيا التشغيلية، والهوية، والتطبيقات، وغيرها من البيئات. غالبًا ما تصنف طرق تقييم الثغرات الأمنية التقليدية نسبة كبيرة من هذه النتائج على أنها عاجلة. على سبيل المثال، يُصنف النظام العام لنقاط الثغرات الأمنية (CVSS) وحده ما يقارب ٪٦٠ من الثغرات الأمنية على أنها ذات خطورة حرجة أو عالية، مما ينتج عنه حجم من العمل لا يمكن لأي فريق أمني معالجته بشكل واقعي.

تؤدي أنظمة تقييم الثغرات الأمنية وتحديد أولوياتها التقليدية، مثل نظام CVSS، إلى اتساع الفجوة بين ما تعرفه وما يمكنك إصلاحه.

إن تحديد أولويات الثغرات الأمنية بناءً على المخاطر يساعد في تقليص هذه الفجوة. فبدلًا من التعامل مع كل نتيجة على قدم المساواة، تحدد هذه العملية النتائج القابلة للاستغلال، وتلك التي تؤثر في الأصول الأكثر أهمية لأعمالك، وكذلك المجالات التي سيكون للمعالجة فيها أكبر أثر في الحد من المخاطر الإلكترونية.

لقد تغيرت طبيعة مشكلة الثغرات الأمنية على مدار السنوات القليلة الماضية.

لم يعد الأمر يقتصر على إدارة بضع مئات من الأصول ونتائج متراكمة يمكن التعامل معها. تشمل أسطح الهجوم الحديثة والهجينة البنية التحتية السحابية، والتكنولوجيا التشغيلية، ونقاط النهاية البعيدة وغير الخاضعة للإدارة، وأنظمة الهوية، وتطبيقات البرمجيات كخدمة (SaaS)، والحاويات، وغيرها. إن تعقيد سطح الهجوم الحديث واتساعه يزيدان من تعرّض مؤسستك للمخاطر: فهو يمنح ممثلي التهديد المزيد من نقاط الدخول لاستغلالها، والمزيد من مسارات الهجوم المؤدية إلى أصولك وبياناتك الأكثر أهمية.

وفي الوقت نفسه، يزداد عدد الثغرات الأمنية. 

في بيئة نموذجية، يتولى متخصصو الأمن إدارة العديد من النتائج المفتوحة، بالتزامن مع توليهم مسؤوليات أخرى، بما في ذلك العمليات والصيانة والامتثال. وفي ظل عدم وجود طريقة واضحة لتحديد الثغرات الأمنية التي تتطلب اهتمامًا فوريًّا، تصبح جهود المعالجة قائمة على ردود الفعل وغير متسقة.

يفاقم الذكاء الاصطناعي تحدي إدارة الثغرات الأمنية. أظهرت النماذج الرائدة مثل Claude Mythos مدى السرعة التي يمكن بها لنماذج اللغة الكبيرة (LLMs) اكتشاف الثغرات الأمنية في التعليمات البرمجية.

لا يمكن لتطبيق التصحيحات بشكل تفاعلي أن يضاهي سرعة الذكاء الاصطناعي الرائد. إذا كانت عملية إدارة الثغرات الأمنية لديك تعتمد على الفرز اليدوي وتعمل وفق دورة فحص أسبوعية، فإن نهجك لا يتماشى بطبيعته مع الهجمات الحديثة المدعومة بالذكاء الاصطناعي. إن أولئك الذين يحددون أولويات الثغرات الأمنية استنادًا إلى قابلية استغلالها في الواقع والتأثير المحتمل على الأعمال، ويستخدمون الذكاء الاصطناعي لأتمتة إجراءات معالجتها، هم الأكثر قدرةً على حماية مؤسساتهم من الهجمات التي تعتمد على الذكاء الاصطناعي.

لسنوات عديدة، اعتمدت فرق الأمن على النظام العام لنقاط الثغرات الأمنية (CVSS) لتحديد درجة خطورة الثغرات الأمنية.

يُعد نظام CVSS أداة قيّمة: فهو يوفر طريقة موحدة لتقييم الخصائص التقنية مثل مدى تعقيد الهجوم، والامتيازات المطلوبة، والتأثير المحتمل.

ومع ذلك، لم يُصمم نظام CVSS لتقييم مخاطر الأعمال. فهو لا يأخذ في الاعتبار ما إذا كانت الثغرة الأمنية ذات الدرجة العالية موجودة في نظام بالغ الأهمية أم نظام غير بالغ الأهمية، أو ما إذا كانت تقع على مسار يؤدي إلى بياناتك الحساسة.

لا يتناول نظام CVSS عوامل الخطر التالية:

• أهمية الأصول
• التأثير المحتمل على الأعمال
• وجود ضوابط تعويضية 
• جدوى مسار الهجوم 

مع تزايد أعداد الثغرات الأمنية، تتضح أوجه القصور في نظام CVSS أكثر فأكثر. وعندما يُصنف نحو ٪٦٠ من النتائج على أنها "حرجة" أو "عالية الخطورة"، يصبح تحديد الأولويات أمرًا صعبًا.

يساعد نظام حساب درجات التنبؤ بالاستغلال (EPSS) إلى حد ما، إذ يقدّر احتمالية استغلال الثغرات الأمنية.

يساعدك هذا السياق الإضافي على تحديد الثغرات الأمنية التي قد يستهدفها المهاجمون. ومع ذلك، لا يزال نظام EPSS يُقيّم الثغرات الأمنية بمعزل عن غيرها إلى حد كبير. ولا يمكنه معرفة ما إذا كان الأصل المتأثر يدعم عملية بالغة الأهمية للأعمال، أو ما إذا كان بإمكان الهويات ذات الصلاحيات الوصول إليه، أو ما إذا كان يقع ضمن مسار هجوم قابل للاستغلال.

لا يقدم نظام CVSS ولا نظام EPSS إجابة على السؤال الذي يهمك أكثر من غيره: ما الثغرات الأمنية التي يمكن للمهاجم استغلالها للوصول إلى أصولك البالغة الأهمية؟

ودون هذا السياق، فإنك تخاطر بإضاعة الوقت في معالجة النتائج ذات التأثير المحدود، في حين تظل حالات التعرض للمخاطر التي تشكل أكبر تهديد دون معالجة.

والنتيجة متوقعة:

• الإجهاد الناتج عن التنبيهات
• تراكم أعمال المعالجة
• عدم كفاءة استخدام الموارد
• مخاطر إلكترونية غير مُعالجة

تحولت Continental AG إلى تحديد أولويات الثغرات الأمنية بناءً على المخاطر بعد حادث إلكتروني خطير. أحلت الشركة منصة Tenable One Exposure Management Platform، محل منهجيتها القائمة على نظام CVSS، وتطبق المنصة التحليل الذكي للتهديدات، وسياق الأعمال والسياق التقني، وتحليل مسار الهجوم، وقدرات أخرى لتحديد أولويات الثغرات الأمنية التي تمثل أعلى المخاطر في المؤسسة. وكما أشار مدير أمن تكنولوجيا المعلومات لدى الشركة، فإن الثغرة الأمنية نفسها الموجودة على جهاز الرئيس التنفيذي تنطوي على مخاطر أعلى بكثير من تلك الموجودة على جهاز المتدرب. هذا السياق هو ما يوجّه جهود المعالجة إلى الأماكن الصحيحة.

تحولت إحدى شركات الاتصالات الأمريكية الكبرى من نهج قائم على الامتثال إلى نهج يستند إلى سيناريوهات هجمات واقعية، لأن درجات الخطورة وحدها لم تكن كافية لتحدد ما يجب إصلاحه أولًا. إن تحديد الأولويات بناءً على سياق الأعمال وقابلية الاستغلال الفعلية هو ما يؤدي إلى خفض المخاطر بشكل ملموس.

يركز التحديد الفعال لأولويات الثغرات الأمنية على حالة التعرض للمخاطر. إن اتباع نهج قائم على المخاطر في تحديد الأولويات، والاستعانة بتحليل مسار الهجوم — بما في ذلك سياق الهوية والسحابة — واعتماد نهج التقييم المستمر للمخاطر، هي الطرق المثلى لتعزيز جهود تحديد الأولويات، وبالتالي جهود معالجة الثغرات الأمنية.

اتباع نهج قائم على المخاطر

تستخدم عملية تحديد أولويات الثغرات الأمنية بناءً على المخاطر مصادر متعددة للمعلومات السياقية لتحديد النتائج التي تتطلب اتخاذ إجراءات فورية.

وتشمل هذه العوامل عادةً ما يلي:

• قابلية الاستغلال
• التحليل الذكي للتهديدات
• أهمية الأصول
• التأثير على الأعمال
• عُمر الثغرة الأمنية
• نشاط الاستغلال النشط

الهدف هو تحديد الثغرات الأمنية التي تشكل مخاطر حقيقية، وليس مجرد الحصول على درجات عالية.

عندما تتعرف فرق المعالجة على الثغرات الأمنية التي تهدد الخدمات الحيوية، يمكنها تخصيص الموارد بشكل أكثر فعالية والحد من المخاطر بسرعة.

استخدام تحليل مسار الهجوم

نادرًا ما يستغل المهاجمون ثغرة أمنية واحدة ويكتفون بذلك.

فهم يستغلون مزيجًا من الثغرات الأمنية والتكوينات غير الصحيحة ونقاط الضعف في الهوية للتنقل عبر البيئات والوصول إلى الأهداف ذات القيمة العالية.

في الواقع، هذا هو الفرق بين البحث في كميات هائلة من النتائج غير المعالجة والتركيز على النتائج القليلة التي ترتبط بأصولك الأكثر قيمة.

يساعدك تحليل مسار الهجوم على فهم كيفية ارتباط المخاطر الفردية ببعضها بعضًا عبر بيئتك. بدلًا من النظر إلى الثغرات بشكل منفصل، يحدد هذا النهج المسار الذي يمكن للمهاجم أن يستخدمه فعليًّا للتحرك عبر شبكتك والوصول إلى الأنظمة أو البيانات الحساسة.

يساعدك هذا السياق على التمييز بين الثغرات الأمنية غير المؤدية إلى شيء وتلك التي تشكل جزءًا من مسار هجوم قابل للاستغلال وعالي المخاطر، بحيث يمكنك تركيز جهود المعالجة على المواضع التي من شأنها تعطيل مسارات الهجوم والحد من حدوث خرق ذي أثر جوهري.

تضمين الهوية وسياق السحابة

تنطوي الثغرة الأمنية نفسها على مخاطر مختلفة تمامًا، بحسب موضعها ومن يمكنه الوصول إليها. غالبًا ما تكون الثغرة ذات الخطورة المتوسطة في عبء عمل سحابي متاح عبر الإنترنت، والمرتبطة بحساب خدمة يتمتع بامتيازات مفرطة، أكثر إلحاحًا من الثغرة الأمنية وحالة التعرض للمخاطر الشائعة (CVE) ذات الخطورة الحرجة الموجودة في خادم معزول وخاضع لرقابة صارمة.

يوضح لك سياق الهوية ما يمكن للمهاجم فعله بعد استغلال ثغرة أمنية: أي الحسابات يمكنها الوصول إلى الأصل المتأثر، وما الصلاحيات التي تتمتع بها، وما إذا كان بإمكانها الوصول إلى بيانات حساسة أو التحكم إداريًا. يُوضح لك سياق السحابة مدى تعرض الأصل للمخاطر في المقام الأول: ما إذا كان يمكن الوصول إليه بشكل عام، وكيفية تكوينه، وما الذي يتصل به.

تقوم عملية تحديد الأولويات التي تشمل كلا المؤشرين بترتيب الثغرات الأمنية وفقًا للضرر الذي يمكن للمهاجم أن يسببه فعليًّا، وليس فقط وفقًا لدرجة الخطورة. وهذا يساعدك على تركيز جهود المعالجة على حالات التعرض للمخاطر الأكثر احتمالًا للتأثير في أعمالك.

تقييم المخاطر بشكل مستمر

يجب أن تكون عملية تحديد الأولويات مستمرة، وليست عملية ثابتة تقتصر على لحظة معينة.

تظهر ثغرات أمنية وحالات تعرض للمخاطر شائعة (CVE) جديدة يوميًا، ويُغيّر ممثلو التهديدات أساليبهم وفقًا لذلك. تتغير أولويات الأعمال بمرور الوقت، وتتطور البنية التحتية.

قد تصبح الثغرة الأمنية التي تُعد ذات أولوية منخفضة اليوم أكثر أهمية بكثير غدًا إذا ازدادت أنشطة استغلالها أو صار الأصل المتأثر بها بالغ الأهمية للأعمال.

يساعدك التقييم المستمر على تعديل أولوياتك مع تغير الظروف. وهذا يساعد فرقك على التركيز على المخاطر الحالية بدلًا من الافتراضات السابقة.

بنت شركة Tenable قدراتها في مجال تحديد أولويات الثغرات الأمنية استنادًا إلى فرضية بسيطة: لا يمكن معاملة كل ثغرة أمنية على قدم المساواة.

التركيز على الثغرات الأمنية الأكثر أهمية

إن تصنيف أولويات الثغرات الأمنية (VPR) من Tenable هو درجة ديناميكية تُقيِّم كل ثغرة أمنية بناءً على مدى احتمالية استغلالها ومدى شدة تأثيرها المحتمل.

يصنف النظام العام لنقاط الثغرات الأمنية (CVSS) ما يقرب من ٪٦٠ من الثغرات الأمنية على أنها ذات خطورة حرجة أو عالية، لكن الأبحاث التي أجرتها شركة Tenable Research تُظهر أن حوالي ٪١٫٦ منها فقط تمثل مخاطر ذات أهمية للأعمال.

يستخدم نظام تصنيف أولويات الثغرات الأمنية التعلم الآلي، ومعلومات التهديدات، وخصائص الثغرات الأمنية، وأنشطة استغلال الثغرات، وغيرها من المؤشرات لتحديد النتائج ذات الأولوية العالية.

وهذا يتيح لك توجيه جهود المعالجة إلى المجالات التي يمكن أن تُحدث فيها أكبر تأثير.

إضافة سياق الأصول باستخدام Tenable One

المخاطر والسياق مترابطان ارتباطًا وثيقًا. 

تجمع Tenable One تصنيف أولويات الثغرات الأمنية (VPR) مع تصنيف خطورة الأصول (ACR)، وتحليل مسار الهجوم، وسياق الهوية لبناء رؤية شاملة للتعرض للمخاطر.

يساعدك هذا النهج على فهم ما يلي:

• ما الأصول الأكثر أهمية لديك؟
• أي من الثغرات الأمنية لديك قابلة للاستغلال؟
• ما مسارات الهجوم التي يمكن أن تؤدي إلى أنظمتك بالغة الأهمية؟
• ما إجراءات المعالجة التي تقلل من المخاطر لديك إلى بأكبر قدر؟

بدلاً من مراجعة النتائج المنفصلة، يمكنك تحديد الأولويات بناءً على مدى التعرض للمخاطر والتأثير على الأعمال.

توفير تغطية مستمرة للثغرات الأمنية

تدعم Tenable إدارة الثغرات الأمنية على نطاق المؤسسات.

تستفيد المنصة من أكثر من ٣١٨٠٠٠ مكون إضافي للكشف عن ١٣٨٨٩٦ ثغرة أمنية وحالة تعرض للمخاطر شائعة (CVE) عبر ٢٠٠٠٠ منتج يمكن تطبيق التصحيحات عليه. في غضون ست ساعات إلى ٢٤ ساعة من اكتشاف الثغرة الأمنية، تتوفر عادةً إمكانات الكشف عن الثغرات الحرجة، مما يتيح لك تقييم التهديدات الناشئة بسرعة.

الكشف المبكر عن الاستغلال النشط للثغرات

لا ينتظر ممثلو التهديد أبدًا انتهاء المواعيد النهائية للامتثال.

تتبع Tenable الثغرات الأمنية المستغلة فعليًا التي تتجاوز تلك المدرجة في كتالوج الثغرات الأمنية المعروفة المستغلة التابع لـ CISA. حددت Tenable Research ‏٢٠١ ثغرة أمنية وحالة تعرض للمخاطر شائعة (CVE) مستغلة فعليًا لم تُدرج بعد في كتالوج KEV، مما يوفر فترة استباقية تبلغ ٣٧ يومًا في المتوسط قبل صدور متطلبات حكومية بشأنها.

وتساعدك هذه الرؤية الإضافية على تحديد الأولويات بناءً على سلوك المهاجمين بدلًا من الجداول الزمنية المتعلقة بالامتثال.

دعم اتخاذ قرارات دقيقة وقابلة للتدقيق

تُعد دقة الفحص أمرًا مهمًا عندما تؤثر عملية تحديد الأولويات في قرارات المعالجة.

يوفر معدل دقة الفحص لدى Tenable، البالغ 0.32 عيبًا لكل مليون فحص وفقًا لمنهجية Six Sigma، بيانات موثوقة لبرامج إدارة الثغرات الأمنية وعمليات التدقيق وتقارير الامتثال.

تسريع عملية التعبئة باستخدام Tenable Hexa AI

يُعد اكتشاف الثغرات الأمنية التي تستحق المعالجة جزءًا من التحدي، لكن عليك اتخاذ الإجراءات اللازمة لمعالجتها.

يساعد Tenable Hexa AI في تقليل متوسط وقت المعالجة عن طريق أتمتة حشد النتائج ذات الأولوية في سير عمل الفرز وإصدار التذاكر والتحقيق والمعالجة. قلصت المؤسسات التي تستخدم هذه الإمكانات المدة الزمنية للمعالجة من 90 يومًا إلى 90 دقيقة للعمليات المستهدفة.

مع تسارع اكتشاف الثغرات الأمنية بفضل الذكاء الاصطناعي، يجب أن تتسارع عمليات معالجتها أيضًا.

وسّعت SRF Limited، وهي شركة تصنيع عالمية، نطاق Tenable One ليشمل بيئات تكنولوجيا المعلومات والتكنولوجيا التشغيلية لديها للحصول على تلك الرؤية الموحدة. وكما أوضح كبير موظفي أمن المعلومات (CISO) لدى الشركة، لا يتعلق الأمن الإلكتروني بالقضاء على جميع الثغرات الأمنية. بل يتعلق بمعرفة أيها الأكثر أهمية والتصرف قبل أن يبادر ممثلو التهديدات بذلك.

تُعد الثغرات الأمنية وحالات التعرض للمخاطر الشائعة (CVE) جزءًا من صورة التعرض للمخاطر، شأنها شأن التكوينات غير الصحيحة والوصول ذي الامتيازات المفرطة. تجمع Tenable One تلك المخاطر الإلكترونية التي يمكن تجنبها في رؤية واحدة، بحيث يمكنك اتخاذ قرارات المعالجة بناءً على التعرض للمخاطر، وليس بناءً على ما رصدته أداة الفحص يوم الثلاثاء الماضي.

إذا كنت ترغب في التعرف على الخطوة التالية بعد تحديد الأولويات، فراجع الدليل المكمّل حول معالجة الثغرات الأمنية. كما تؤدي برامج أمن التطبيقات دورًا مهمًا من خلال معالجة نقاط الضعف في مرحلة مبكرة من دورة حياة تطوير البرمجيات.