يمكن أن يصبح تطبيق الويب المواجه للجمهور ، أو حمل العمل السحابي المنسي ، أو بوابة الوصول عن بُعد التي تم إنشاؤها لمورد ما ، أو حاوية تخزين مكشوفة أو نطاقًا فرعيًا قديمًا ، طرقًا للوصول إلى الأعمال التجارية.
في السياق: أسطح الهجوم الخارجية والداخلية
تركز هذه المقالة بشكل أساسي على سطح الهجوم الخارجي: المجالات والتطبيقات والخدمات السحابية وأنظمة الوصول عن بُعد وغيرها من الأصول التي يمكن لمهاجمي الأصول التعرف عليها والوصول إليها من خارج المنظمة.
لكن سطح الهجوم الأوسع يشمل أيضًا الأنظمة الداخلية والهويات واتصالات الشبكة ونقاط الضعف في البرامج والعمليات التجارية. وبالتالي ، فإن إدارة سطح الهجوم الخارجي هي جزء من برنامج أوسع لإدارة التعرض ، جنبًا إلى جنب مع إدارة الثغرات الأمنية وأمن الهوية وأمان التطبيق وتجزئة الشبكة.
تتمثل قيمة ASM الخارجي في أنه يساعد المؤسسات على تحديد الطرق التي قد يستخدمها المهاجم للحصول على موطئ قدم أولي - قبل أن يؤدي التعرض إلى وصول داخلي أو تعطيل أو فقدان البيانات.
يتم توثيق بعضها وإدارتها بفعالية ، بينما يوجد البعض الآخر خارج قوائم جرد الأصول الرسمية ، أو ينتمون إلى شركات تم الاستحواذ عليها مؤخرًا ، أو تم إنشاؤه لمشروع قصير الأجل ولم يتم التقاعد بشكل صحيح أبدًا.
تساعد إدارة سطح الهجوم ، أو ASM ، المؤسسات في العثور على حالات التعرض هذه قبل المهاجم.
لا تعد ASM فحصًا لمرة واحدة أو قائمة طويلة من النتائج الفنية ، ولكنها عملية مستمرة لاكتشاف الأصول المرئية خارجيًا ، وفهم أي منها مهم ، وتقليل التعرض غير الضروري.
ما هي إدارة سطح الهجوم؟
سطح الهجوم هو مجموعة النقاط التي من المحتمل أن يدخل فيها المهاجم إلى نظام ما أو التسبب في تأثير أو استخراج البيانات. في مؤسسات اليوم ، يمتد هذا إلى ما هو أبعد من شبكة الشركة. يمكن أن تشمل:
- التطبيقات التي تواجه الإنترنت وواجهات برمجة التطبيقات
- المجالات والمجالات الفرعية وسجلات DNS
- عناوين IP العامة والمنافذ المفتوحة
- أعباء العمل السحابية والتخزين وواجهات الإدارة
- خدمات الوصول عن بُعد ، مثل شبكات VPN وبوابات سطح المكتب الافتراضية
- تطبيقات SaaS وتكاملات الجهات الخارجية
- بيئات التطوير المكشوفة ومستودعات الكود
- بيانات الاعتماد والمعلومات الحساسة الأخرى التي تم تسريبها أو نشرها على الإنترنت
- الأجهزة المتصلة وأنظمة التكنولوجيا التشغيلية التي يمكن رؤيتها من الإنترنت.
هذا التعرض بعيد كل البعد عن النظرية. وفقًا لبحث Kaspersky ، شكل استغلال التطبيقات المواجهة للجمهور ما يقرب من 44٪ من نواقل الهجوم الأولية التي تمت ملاحظتها في عام 2025 ، مما يجعلها الطريقة الأكثر شيوعًا للوصول إلى المنظمات المتضررة.
إدارة سطح الهجوم هي تخصص لاكتشاف وتقييم وتقليل التعرضات من منظور خارجي إلى داخلي. لذا بدلاً من السؤال ، "ماذا تقول قاعدة بيانات إدارة التكوين (CMDB) الخاصة بنا أننا نمتلك؟" ، يسأل ، "ما الذي يمكن للمهاجم تحديده أو الوصول إليه أو استغلاله؟"
يعد هذا أمرًا مهمًا لأنه على الرغم من أهمية قوائم جرد الأصول الداخلية ، إلا أنها قد لا تلتقط الخدمات السحابية التي تم نشرها خارج العمليات القياسية أو المجالات المهجورة أو حسابات SaaS غير المدارة أو الأنظمة المؤقتة أو البنية التحتية التي تم إنشاؤها بواسطة جهات خارجية.
لماذا تعتبر إدارة سطح الهجوم مهمة؟
الأعمال الرقمية لا تقف مكتوفة الأيدي أبدًا. تتغير البنية التحتية كل يوم حيث تقوم الفرق بنشر تطبيقات جديدة أو نقل أعباء العمل بين موفري الخدمات السحابية أو الاتصال بالموردين أو فتح الوصول عن بُعد أو إطلاق مواقع الويب الإقليمية أو دمج الأعمال التجارية المكتسبة.
وهذا يخلق مشكلة تشغيلية: يمكن أن تصبح رؤية المنظمة لممتلكاتها غير مكتملة بسرعة.
قد تكون فرق الأمان على دراية بالأنظمة الأساسية ولكنها تفتقر إلى صورة موثوقة للأصول المرئية خارجيًا عبر وحدات الأعمال والحسابات السحابية وفرق التطوير وبيئات الجهات الخارجية. يمكن أن يترك هذا الأنظمة غير المعروفة أو التي يتم التحكم فيها بشكل سيئ مكشوفة لفترة أطول بكثير مما هو مقصود.
لا يحتاج المهاجمون إلى مخطط هيكلي أو قائمة أصول معتمدة أو إذن للنظر. إنهم يستخدمون المعلومات العامة ومسح الإنترنت وسجلات الشهادات وبيانات DNS والخدمات المكشوفة والمعلومات المسربة لبناء صورتهم الخاصة عن البيئة.
تمنح إدارة سطح الهجوم المدافعين طريقة للقيام بنفس الشيء أولاً ، وبشكل أكثر منهجية.
بالنسبة إلى CISOs ، فإن القيمة ليست مجرد رؤية أفضل ، بل هي أساس أكثر مصداقية لقرارات المخاطر. يمكن للفرق تحديد الأصول المكشوفة التي تدعم الخدمات الحيوية ، والتي تفتقر إلى الملكية الواضحة ، والتي يمكن الوصول إليها بدون داعٍ من الإنترنت والتي تستحق الاهتمام الفوري.
كيف تعمل إدارة سطح الهجوم الفعالة
تتبع ASM الفعال دورة متكررة بدلاً من مشروع واحد.
1. اكتشف ما هو مرئية
وتتمثل الخطوة الأولى في بناء رؤية خارجية للمؤسسة.
يتضمن هذا عادةً تحديد المجالات ونطاقات IP والخدمات السحابية والتطبيقات المكشوفة والشهادات والمنافذ المفتوحة ومستودعات الرموز العامة وغيرها من البنية التحتية المرئية عبر الإنترنت المرتبطة بالمؤسسة. يجب أن يشمل الاكتشاف الشركات التابعة والكيانات الإقليمية والشركات المستحوذ عليها والأطراف الثالثة المعروفة عند الاقتضاء.
ويتمثل سؤال البداية المفيد في: "ما هي الأصول التي قد تفاجئنا إذا عثر عليها المهاجم؟"
2. التحقق من الملكية والغرض التجاري
لا تنتمي كل الأصول المكتشفة إلى المنظمة - فقد يكون بعضها عبارة عن نطاقات متوقفة أو موردين سابقين أو خدمات مشتركة أو بنية تحتية تابعة لطرف آخر. قد ينتمي آخرون إلى المنظمة ولكن ليس لديهم مالك واضح.
هذا هو المكان الذي يصبح فيه ASM عملية تشغيل وليس تمرينًا تقنيًا. تحتاج فرق الأمان إلى طريقة عملية لتأكيد ما إذا كانت الأصول مشروعة ، ومن يملكها ، ولماذا يتم كشفها ، وما إذا كان هذا العرض لا يزال ضروريًا.
قد تكون بوابة الوصول عن بُعد ضرورية لعلاقة المورد ، وقد تكون هناك حاجة إلى خادم تطوير لمشروع محدود زمنيًا ، وقد يكون تطبيق الاختبار قد تم تركه عبر الإنترنت بعد الإطلاق. لا تتمثل الاستجابة الصحيحة في إغلاق كل شيء تلقائيًا ، بل تتمثل في جعل الانكشاف متعمدًا ومراقبًا وخاضعًا للمساءلة.
3. تقييم التعرض ، وليس فقط الثغرات الأمنية
لا يحتاج النظام إلى مواجهة حاسمة ضد التطرف العنيف لخلق المخاطر. قد تكون الواجهة الإدارية المكشوفة للإنترنت العام مصدر قلق حتى عند تصحيحها بالكامل ، وقد يكون الوصول إلى الخدمة السحابية متاحًا على نطاق أوسع مما هو مقصود ، وقد تكشف صفحة تسجيل الدخول عن الكثير من المعلومات لدعم هجمات بيانات الاعتماد ، وقد يكون المجال المنسي عرضة للاستيلاء أو انتحال الهوية.
4. ترتيب الأولويات وفقًا لتأثير الأعمال التجارية
هو المكان الذي تصبح فيه العديد من برامج الحرفي والصغير الحجم مفيدة أو تفشل.
قد تكتشف مؤسسة كبيرة مئات أو آلاف الأصول المكشوفة ، لكن ليس من الممكن ولا الضروري التعامل مع كل اكتشاف على أنه أزمة. يجب أن يكون التركيز على التعرضات التي تجمع بين الضعف الفني والنتائج التجارية ذات المغزى.
على سبيل المثال ، قد يكون خادم اختبار مكشوف خطرًا منخفضًا إذا لم يكن يحتوي على بيانات حساسة ، وتم عزله عن الإنتاج ومن المقرر إيقاف تشغيله. وعلى النقيض من ذلك ، قد تتطلب بوابة وصول عن بُعد مكشوفة تدعم عمليات التوزيع مراجعة فورية حتى لو لم يكن لديها ثغرة أمنية حرجة.
يراعي نموذج تحديد الأولويات العملي ما يلي:
- التعرض: ما مدى وضوحه وسهولة الوصول إليه؟
- قابلية الاستغلال: ما مدى سهولة استخدام المهاجم للتعرض؟
- الأهمية الحرجة: ما هي العملية التجارية أو البيانات أو الخدمة التي تدعمها؟
يساعد ذلك قادة الأمن على ترجمة النتائج الفنية إلى قرارات يمكن لأصحاب الأعمال فهمها.
مثال عملي: خدمة وصول عن بعد مكشوفة
ضع في اعتبارك مصنعًا يكتشف بوابة وصول عن بُعد متصلة ببيئة تشغيل إقليمية. تم إنشاء الخدمة منذ عدة سنوات للسماح لمزود الصيانة بدعم المعدات عن بُعد. لا يزال يواجه الإنترنت ، ويستخدم طريقة مصادقة قديمة ولم تتم مراجعته منذ تغيير عقد المزود.
لن تتوقف عملية ASM عند الإبلاغ عن وجود البوابة. ولكنها ستنشئ :
- من يملك الخدمة
- ما إذا كان المورد لا يزال بحاجة إلى الوصول
- ما هي الأنظمة التي يمكن الوصول إليها من خلالها
- سواء تم تمكين المصادقة متعددة العوامل
- ما إذا كان الوصول مقيدًا بموقع الشبكة أو الوقت أو دور المستخدم
- سواء تم تسجيل النشاط أو مراقبته
- سواء كانت الخدمة يمكن إزالتها أو استبدالها أو تجزئتها
وقد يكون قرار العمل هو سحب البوابة أو طلب وصول مورد أكثر تحكمًا أو تقييدها على نوافذ الصيانة المعتمدة أو وضعها خلف ضوابط مصادقة وتجزئة أقوى.
والنتيجة ليست مجرد تذكرة فنية مغلقة. إنه انخفاض في تعرض المنظمة للاضطراب التشغيلي.
كيف يعمل ASM مع إدارة الثغرات الأمنية و XDR وذكاء التهديدات
تكون إدارة سطح الهجوم مفيدة للغاية عندما تتصل ببقية برنامج الأمان.
تحدد إدارة الثغرات الأمنية وترتيب أولوياتها وتساعد في علاج نقاط الضعف المعروفة في الأنظمة التي يمكن للمؤسسة تقييمها بالفعل. يساعد ASM في تحديد الأنظمة والخدمات والأصول السحابية التي قد لا تكون مرئية بعد لهذه العملية.
يضيف استخبارات التهديد السياق. يمكن أن يوضح ما إذا كانت تقنية معينة أو خدمة مكشوفة أو نوع بيانات اعتماد يتم استهدافها بشكل فعال بواسطة مجرمي الإنترنت أو مرتبطة بحملة معروفة. يساعد ذلك الفرق على تحديد النتائج التي يجب نقلها إلى مقدمة قائمة الانتظار.
تساعد XDR و SIEM وأدوات SOC الأخرى الفرق على اكتشاف النشاط المشكوك فيه والتحقيق فيه عبر نقاط النهاية والشبكات والبيئات السحابية وأنظمة تكنولوجيا المعلومات الأخرى. يمكن أن تحسن ASM فعاليتها من خلال تسليط الضوء على الأصول الخارجية التي من المرجح أن تصبح نقاط دخول للهجوم.
كما يمكن أن تلعب خدمات الاستجابة للحوادث وتقييم الاختراق دورًا حيث تشك الفرق في أن التعرض قد تم استغلاله بالفعل ، أو تحتاج إلى تحقيق مستقل لتحديد ما حدث.
تحاكي خدمات التقييم الأمني سلوك الخصم ، وتوضح كيف يمكن للمهاجمين الحقيقيين استغلال التطبيقات والشبكات والأجهزة ، مما يوفر رؤية أعمق لسطح هجوم المؤسسة ويساعد على تقليل التعرض للأمان.
لا يتمثل الهدف في إنشاء أداة أمان منعزلة أخرى ، ولكن في ربط إدارة التعرض بالاكتشاف والاستجابة وملكية الأصول وإدارة المخاطر.
كيفية بناء برنامج ASM ينتج عنه عمل
يبدأ برنامج ASM القابل للتنفيذ بالملكية ، وليس لوحة القيادة.
يجب أن تتفق فرق الأمن على كيفية تعيين الأصول المكتشفة والتحقق من صحتها ومعالجتها. يتطلب هذا عادةً مشاركة من البنية التحتية والسحابة والتطبيق والشبكة والمشتريات والفرق القانونية والتجارية.
تساعد خمسة مبادئ تشغيلية على:
- التعامل مع ملكية الأصول كعنصر تحكم في الأمان. يجب أن يكون لكل أصل مهم مكشوف مالك مسمى (على الرغم من أن هذا يحدث عادة خارج ASM).
- اربط النتائج بمهام سير العمل الموجودة. يجب أن تصل نتائج ASM إلى الفرق التي يمكنها إصلاحها ، وذلك باستخدام إدارة الخدمة أو إدارة الثغرات الأمنية أو عمليات إدارة المخاطر الموجودة بالفعل.
- قياس التخفيض ، وليس الاكتشاف فقط. قد يشير عدد الأصول المتزايد إلى رؤية أفضل ، وليس تدهورًا في الأمان.
- تقرير من حيث العمل. لا تحتاج المجالس والتنفيذيون إلى قائمة بالمنافذ والشهادات. فهم بحاجة إلى فهم المواضع التي يمكن أن يؤثر فيها التعرض الخارجي على خدمات العملاء أو العمليات أو الالتزامات التنظيمية أو الإيرادات أو القدرة على الاسترداد.
كيف تحول ASM الرؤية إلى الحد من المخاطر
حتى برنامج ASM الناضج لا يعد بأن كل نظام مكشوف سوف يختفي - تحتاج الشركات إلى خدمات مواجهة للإنترنت للبيع والدعم والاتصال والتشغيل.
يركز برنامج ASM القوي على الانضباط:
- تعرف المنظمة الأصول المرئية من الخارج التي تمتلكها
- ويمكنها التمييز بين التعرض المشروع والتعرض العرضي
- تحتوي النتائج عالية المخاطر على مالكين واضحين وأوقات استجابة محددة وسياق العمل
- تتم إزالة الخدمات غير الضرورية
- وتتم حماية الخدمات الأساسية ومراقبتها ومراجعتها
- ويمكن لقادة الأمن إثبات أن التعرض يتم تقليله في المناطق الأكثر أهمية.
هذه هي القيمة العملية لإدارة سطح الهجوم - ليست صورة مجردة للمخاطر ، ولكنها طريقة مستمرة لجعل العثور على المنظمة أكثر صعوبة ، ويصعب الدخول إليها ويصعب تعطيلها.
المصادر وقراءات إضافية
- حافظة تقييمات Kaspersky Security
- NIST Computer Security Resource Center
- OWASP Attack Surface Analysis Cheat Sheet
- Kaspersky Compromise Assessment
- تحليل عالم إلكتروني: التقرير العالمي من Kaspersky Security Services 2026
- Kaspersky Threat Intelligence
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- خدمات Kaspersky
