إدارة الثغرات مقابل إدارة التحديثات الأمنية (Patching): فهم الفجوة بين التقنية والنضج الأمني

في اجتماعات مجالس الإدارات، غالباً ما يستخدم مديرو تكنولوجيا المعلومات مصطلحي "إدارة التحديثات" و "إدارة التقييم الأمني" بشكل متبادل لوصف نفس الشيء وهو "إصلاح أجهزة الكمبيوتر".

ومع ذلك، في عالم هندسة الأمن السيبراني الحديث، يُعد دمج هذين التخصصين معاً علامة حاسمة ودقيقة على التخلف وعدم النضج الفني والتنظيمي للشركة. في حين أنهما يخدمان نفس الهدف النهائي—وهو تقليل مساحة الهجوم أمام الهاكرز—إلا أنهما يمثلان استراتيجيات ومسارات ومنهجيات مختلفة وبعيدة تماماً.

إن التعامل مع عمليات "إدارة الثغرات والمخاطر" على أنها مجرد "تثبيت للتحديثات المتقدمة" يضمن بنسبة قاطعة أن مؤسستك ستعاني يوماً ما من اختراق كارثي مميت عبر مسار لم يكن من الممكن أبداً إصلاحه وتوصيده بـ "تحديث". في هذا الدليل المكثف، يوضح قسم الاستشارات الهندسية في Cayvora Security الاختلافات الدقيقة بينهما، والاستحالة الرياضية لتحديث وإصلاح جميع الآلات، وكيف تنقل مؤسساتك الحساسة إلى استراتيجية "إدارة الثغرات المبنية على المخاطر الفعلية" (RBVM).

إدارة التحديثات (Patching): الرد التقني التكتيكي

إدارة التحديثات هي عملية تكنولوجية تشغيلية بحتة وتفاعلية (ليست استباقية). تتمثل دورتها في اكتشاف أن البائع الأصلي (مثل شركة مايكروسوفت أو أدوبي أو أوراكل) قد أصدر تحديثاً وترقيعاً للبرنامج بعد وجود خطأ فيه، فيقوم فريق الدعم للشركة باختبار هذا الترقيع لضمان عدم كسره أو إعطاب التطبيقات الحالية في حواسيب الموظفين، ثم توزيعه وتثبيته جماعياً وتلقائياً على مستوى أجهزة المؤسسة بأكملها.

كيف تعمل ميكانيكية الـ Patching؟

تم تصميم الأدوات الأساسية المستخدمة لإدارة التحديثات (مثل MECM من مايكروسوفت) لتوزيع الحزم البرمجية بشكل ضخم وإجباري، وليس بغرض الذكاء الأمني أو الاستقصاء. إذا تم اكتشاف ثغرة خطيرة غير مسبوقة (Zero-day) في متصفح جوجل كروم يوم الجمعة، سينتظر فريق "إدارة التحديثات" حتى تقوم شركة جوجل بإصدار الملف التنفيذي المصلح للخطأ البرمجي، ليقوموا بتنزيله، وتجهيزه، ودفعه قسراً إلى اللابتوبات الخاصة بـ 10,000 موظف في المؤسسة. إنها مجرد خطوة (تم النشر).

العيوب المتأصلة للاعتماد الحصري على استراتيجية "التحديث"

العيب القاتل والجوهري في الاعتماد فقط على "إدارة التحديثات" كحل دفاعي هو الافتراض الخاطئ بأن (كل المخاطر الأمنية وحوادث السرقة تنبع من الأكواد البرمجية المفقودة للتطبيقات القديمة).

يمكنك أن تمتلك خادم نظام رئيسي حديث جداً بنظام ويندوز 2022 (Windows Server 2022 DC) مُحدّث بنسبة 100% وبدون أي نواقص برمجية قط! .. لكنه بالرغم من ذلك لا يزال من الممكن اختراقه والاستيلاء عليه بالكامل من قِبل الهاكرز في أقل من خمس دقائق إذا كان:

• يحتوي على رقم سرّي محلي افتراضي ضعيف لمدير النظام (Admin123).
• لم يتم تفعيل وتعقيد وظائف فك الارتباط (SMB) أو التشفير الخلوي.
• ترك مهندسو الشركة مستندات وتطبيقات خطيرة مكشوفة ومرئية بمحركات السحابة.

التحديث البرمجي لن يصلح شيئاً من هذا أبداً. الترقيع (Patch) يقوم بإصلاح كود برمجي مكسور وضعه صانع البرنامج؛ لكنه لا يعالج سذاجة أو أخطاء البشر والإعدادات السيئة لفريق شركتك!.

إدارة تقييم الثغرات (RBVM): التكتيك الاستراتيجي الشامل

إدارة الثغرات والمخاطر هي عملية سيبرانية استراتيجية ومستمرة لا تتوقف. هي عملية التحديد المنهجي الشامل، وعمليات التقييم، وتصحيح العيوب، والإبلاغ الأسبوعي عن كافة المخاطر والتهديدات الأمنية الموجودة داخل الهيكل الشبكي للمنظمة—بغية النظر عما إذا كان هناك تحديث للبرمجية أم لا.

يستخدم البرنامج الاستراتيجي الناضج آلات المسح الآلية والأدوات السرّية (مثل منصات Tenable أو مساحات Qualys العالمية) للمسح ومراقبة وتفتيش بؤر الخوادم والشبكات طوال 24 ساعة للبحث عن الضعف.

كيف يتم تعريف "الثغرة" بناء على المنظورين؟

بالنسبة لمحترف تكنولوجيا المعلومات التقني العادي، فإن الثغرة هي: "تأخر أو فقدان تثبيت ملف التحديث رقم 50344". لكن لمحللي ومتعقبي القيادات الأمنية المتطورة، الثغرة هي: "أي نقطة ضعف أو غباء إداري يُمكن للمخترق الحقيقي رصده وتسخيره لاختراق الشركة." ويشمل هذا المنظار:

1. البرامج القديمة غير المحدثة.
2. الأخطاء الإعدادية البحتة (كترك خادم الشركة السحابي ومربعات الـ S3 الخاصة بأمازون AWS متاحة للقراءة العامة من أي نظام متصل).
3. التصميم المهندس الهش (انتقال البيانات بمسارات بروتوكول HTTP المكشوف الذي يعرض حركة المرور الداخلية للصيد والتجسس).
4. أنظمة منتهية الصلاحية (مثلاً بعض المصانع الطبية والصناعية تستمر بالعمل وتدير أجهزتها بأنظمة ويندوز قديمة كـ 7.. هذه الأنظمة لن يصدر لها تحديث إطلاقاً من مايكروسوفت أبداً مهما حصل! هل يستسلم النظام؟ لا.. تبحث منصة الثغرات عن طرق تغليف وحماية تلك الاجهزة القديمة بالجدران كبديل).

الاستحالة الرياضية القاطعة لتحديث كل شيء باستمرار

في عام 2023 فقط، نشرت قاعدة بيانات الثغرات الوطنية الأمريكية الدولية (NVD) أكثر من 29,000 إشعار لثغرات سيبرانية ونقاط وصول مكتشفة دولياً جديدة. هذا الرقم الضخم يعادل ما يقارب اكتشاف 80 نقطة ضعف كارثية وثغرة غير مسبوقة كل يوم مستمر.

إنه من المستحيل رياضياً وتشغيلياً وتقنياً أن يحاول قسم الدعم التكنولوجي في شركة أن يتعقب ويقرأ 80 تنويهاً يومياً ويحاول أن يثبت جميع المعالجات (Patches) لكي يلغي كل عيب اكتشف حديثاً في كافة خوادم إمبراطورية بيانات الشركة. محاولة تطبيق وإصلاح 100% من التحديثات سيقود لإرهاق الموظفين، و تعطل خط إنتاج الشركة وخوادمها لكثرة الإغلاق والصيانة، وانهيار التطبيقات وتعطل الموظفين؛ بسبب تحديثات عشوائية فاشلة لم تأخذ وقتاً لتجربتها بالبيئة المعزولة أولاً.

هذا هو السبب القاطع لربط وموازنة "الحماية" دائماً مع مبدأ الأهمية وترتيب المخاطر.

السياق والأهمية أولاً (RBVM) في تحديد المخاطر

لو اكتشف الماسح الآلي في الشركة وجود فجوة حاسمة بتصنيف (أحمر وخطير جداً Score 9.9) تسكن في جهازين خادمين مختلفين، بأي منهما تُطالب فريق الخبراء بإصلاحه وتحديثه أولاً؟

• الجهاز (أ) : حاسوب مخصص للعروض التسويقية للإدارة، يتواجد في منطقة عازلة ومغلقة محلياً بلا اتصال حقيقي بالإنترنت إطلاقاً.
• الجهاز (ب) : الخادم الذي يدير المعاملات البنكية والسحب من بطاقات الائتمان الخاصة بكافة عملائكم وهو متصل بشبكة الويب الخارجية الحية والمفتوحة للعامة طوال الدقائق.

إذا كنت تعتمد فقط على تطبيق شاشة الرصد الغبية التابعة لفريق "إدارة ومراجعة التحديثات" فكلا الجهازين مدرجان ضمن خانة الكوارث بدرجة الأهمية، وكل واحد يطالب باهتمام وإصلاح وتحديث فوري وتهديد مماثل.

أما استراتيجية هندسة إدارة وتقييم الثغرات المبنية على المخاطر (RBVM) القوية فإنها لن تنظر للتقييم الأعمى، ولكنها ستطابق وتدمج التقييم الأحمر مع "عقلية واستقصاء مراقبة المخترقين في الدارك ويب" وستقيّم (ما أثر سقوط هذا الخاسب على ميزانية وأعمال الشركة الحقيقية؟). فتخبر فريق الأمن التقني بإهمال الحاسب المكتبي وتأجيل تحديث الجهاز (أ) لمدة 30 يوماً ليوم الصيانة الشهري حيث لن يصل إليه أحد بالإنترنت، وستأمرهم بترك كل طعامهم والتصرف بسرعة خارقة واستنزاف الجهد لترقيع وإنعاش الخادم (ب) خلال ثواني استباقية قبل أن تهوي المؤسسة للقاع.

# الكود البرمجي لمبرمجين الأدوات المفتوحة لفحص خطورة النطاقات
nuclei -target https://cayvora.com -tags cve,critical,high -severity high,critical

الاستنتاج

يعد "تشغيل وتحديث" الملفات والرزم البرمجية مجرد أداة تكتيكية واحدة بسيطة ضمن الترسانة الشاملة والموسعة لاستراتيجية وتخصص "إدارة الثغرات". إذا كانت الجلسات والإحاطات الشهرية لإدارة الأمن ومطوري شركتك، تتمحور بأكملها حول "نسب وتغطية التحديثات للأنظمة" وتتفاخر بجودة الرقع المثبتة، بدلاً من التطرق والنظر إلى "مقاييس خفض هجمات الهكر والمخاطر الفعلية المسببة للتدمير"، فإن مجلس قادة إدارتك العُليا يطير ويُقاد نحو الحائط وهو أعمى.