‏التهديد الخارجي

تُصنَّف التهديدات الأمنية عادةً بحسب مصدر الفاعل. التهديد الخارجي يمثّله شخص لا تربطه بالمؤسسة أي علاقة مشروعة، كقرصان منفرد أو جماعة إجرامية منظمة أو فاعل مدعوم من دولة أو مهاجمين آليين يمسحون الإنترنت بحثاً عن خدمات مكشوفة. أما التهديد الداخلي فيأتي من شخص منحته المؤسسة وصولاً بالفعل، كموظف أو متعاقد أو شريك.

والتمييز مهم لأن الفئتين تتجاوزان ضوابط مختلفة. فالفاعل الخارجي عليه أن يدخل أولاً، أما التهديدات الداخلية فهي في الداخل أصلاً وتتخطى دفاعات المحيط بالكامل.

يدخل المهاجمون الخارجيون عادةً عبر عدد من المسارات المعروفة. ورسالة تصيّد بالاستنساخ، أي نسخة من بريد حقيقي، هي إحدى طرق الحصول على كلمة مرور صحيحة.

ينهار الفصل النظيف بين الداخلي والخارجي في الممارسة. فحين يحصل مهاجم خارجي على كلمة مرور صحيحة لموظف، يعمل من خلال حساب داخلي.

ويوصف هذا السيناريو الهجين غالباً بأنه حساب داخلي مخترَق. الفاعل خارجي، لكن الوصول والنشاط يبدوان داخليين، ولذلك فهو من أشد أنماط الهجوم ضرراً.

1. 1

   الحصول على كلمة مرور صحيحة

   عبر التصيّد، أو سجل من برنامج لسرقة البيانات، أو تسريب لبيانات الاعتماد.

2. 2

   الدخول كموظف

   ترى كل الأنظمة مستخدماً مشروعاً موثَّق الهوية، ولم يُخترق شيء في المحيط.

3. 3

   وراثة الصلاحيات

   تُتخطّى ضوابط المحيط بالكامل، ويرث المهاجم صلاحيات المستخدم المشروع.

يضيف الجانب الكشف عن التهديدات الداخلية في Anexet عنصراً في لوحة المعلومات يعرض مخاطر المستخدمين. يرتّب المستخدمين بحسب درجة الخطر، ويمكنه عرض المخاطر التي لم يراجعها أحد بعد فقط، فيسهل بذلك ملاحظة حساب تغيّر سلوكه.

لا يثبت أي مؤشر واحد وجود مهاجم خارجي في الداخل. وترتيب المؤشرات بحسب ما توحي به يُبقي فريق الأمن مركّزاً على الحسابات الأهم.

وغالباً ما تكون الخطوة الأخيرة تهريب البيانات، لذلك تستحق عملية النقل عبر قناة غير معتادة الانتباه، حتى لو بدا تسجيل الدخول طبيعياً.

الدفاع التقليدي في مواجهة الفاعلين الخارجيين يتمحور حول المحيط: جدران الحماية، ومنع التسلل، وتصفية البريد الإلكتروني، والتحديث الأمني السريع، والتحقق متعدد العوامل، وإدارة سطح الهجوم.

لكن بما أن بيانات الاعتماد قابلة للسرقة مهما كانت قوة المحيط، تفترض البرامج الناضجة أن الفاعلين الخارجيين قد يدخلون. لذلك تضيف ضوابط تتمحور حول الهوية ومبدأ أقل الصلاحيات ومراقبة داخلية، كمراقبة نشاط المستخدمين وتحليل السلوك ومنع فقدان البيانات، تراقب ما يفعله المستخدمون الموثَّقون فعلاً. ويعبّر تحوّل القطاع نحو معماريات الثقة الصفرية عن ذلك: فالموقع داخل الشبكة وحده لم يعد يؤسس الثقة.

معظم الثغرات تنشأ من اعتبار تسجيل دخول صحيح دليلاً على أن المستخدم الشرعي هو من يعمل. يجب النظر إلى ما يفعله الحساب، لا إلى طريقة دخوله فقط. وقارن المؤشرات بـمؤشرات التهديد الداخلي المعروفة لتحديد ما يستحق متابعة أدق.

• الاكتفاء بحماية المحيط خطّ دفاع وحيداً
• اعتبار تسجيل الدخول الناجح دليلاً على أن صاحب الحساب يعمل
• إصدار تنبيه على كل شذوذ، فتضيع المؤشرات الحقيقية وسط الضجيج
• مراجعة المخاطر بعد وقوع الحادثة فقط، لا عند ظهورها

ابدأ بالحسابات التي تصل إلى أكثر البيانات حساسية، ثم بالقنوات التي تستطيع الوصول إليها. فالتنبيهات المرتبطة بهذه الحسابات هي التي تستحق التحقيق أولاً.

للمزيد من القراءة: تهديدات أمن المعلومات; البرمجيات الخبيثة: أخطر 7 برامج في عام 2025.