التحديثات والمحفزات: هذه نقاط الدخول الجديدة التي يستغلها مجرمو الإنترنت في أنظمة المعلومات

الحفاظ على تحديث أنظمتك لا يزال أحد القواعد الأولى للأمن السيبراني. ومع ذلك، يمكن اختطاف الآليات المصممة لإصلاح الثغرات بنفسها. التحديثات المزيفة، سلسلة التوزيع المخترقة، المحركات المشروعة لكنها ضعيفة: المجرمون السيبرانيون يستغلون الآن مكونات تثق بها الأنظمة بشكل كبير. بالنسبة لرؤساء المعلومات لذلك، يجب على إدارة التصحيحات دمج المزيد من الضوابط، دون إبطاء معالجة الثغرات. 

عندما تصبح التحديثات نفسها حافلا لهجمات إلكترونية

تستغل الهجمات على سلسلة توريد البرمجيات هذه العلاقة من الثقة تحديدا. من خلال اختراق ناشر أو مورد أو بنية تحتية توزيع، قد يسعى المهاجمون لإدخال كود خبيث في البرمجيات أو تحديث. ومن المرجح أن يتم توزيع الملف عبر قناة تعتبرها الشركة عادة شرعية.

تعتمد هجمات أخرى على آليات أكثر مباشرة. يمكن لنصيحة أمنية مزيفة، أو صفحة تحاكي موقع الشركة المصنعة، أو أداة تحديث مزعومة أن تخدع المستخدم لتثبيت برمجيات خبيثة.

ومع ذلك، هناك قيد آخر للثقة بمكون برمجي: حتى لو كان أصليا وموقعا بشكل صحيح، فقد يحتوي على ثغرة قابلة للاستغلال.

السائقون والسائقون الضعفاء: تهديد غالبا ما يستهان به

تضمن برامج التشغيل التواصل بين نظام التشغيل ومكونات الأجهزة. بعضها لديه صلاحيات مرتفعة حتى نواة ويندوز: يمكن بعد ذلك استخدام عيب لتحييد حماية الحاسوب.

هذا هو مبدأ هجمات "أحضر برنامج التشغيل الضعيف الخاص بك" (BYOVD). بدلا من تطوير برنامج تشغيل خبيث يمكن حظره، يقوم المهاجم بإدخال أو استخدام محرك تشغيل شرعي به عيب معروف. يوضح هذا النوع من الهجمات المخاطر المرتبطة بمكونات البرمجيات التي يمنحها النظام صلاحيات مرتفعة. كما يذكرنا بأهمية تحليل المخاطر الذي يغطي نظام المعلومات بأكمله، مثل النهج الذي تدافع عنه Fidens من قبل TVH Consulting، من خلال مهام التدقيق وتحليل المخاطر وحوكمة الأمن.

في أغسطس 2025، وثقت CERT Santé هذه التقنية في عمليات مجموعة برامج الفدية Qilin. على وجه الخصوص، استخدم المهاجمون TPwSav.sys، وهو برنامج تشغيل توشيبا موقع وضعيف، للتدخل في نواة ويندوز وتجاوز الحمايات الأمنية.

انتشار أسطح الهجوم والجماعات الإجرامية الإلكترونية يجعل من الصعب التحكم في المخاطر

التعريفات جزء فقط من المشكلة. أنظمة التشغيل، وتطبيقات الأعمال، وبرامج الأمان، وبرامج تشغيل الأجهزة، والبرمجيات الثابتة تتعايش على نفس محطة العمل. لكل منها دورة صيانة خاصة بها وقد تكون عرضة لثغرات محددة.

يستغل المهاجمون هذه الاختلافات، وكذلك نقص الرؤية للمكونات المثبتة. قد تبقى ثغرة معروفة في برنامج تشغيل قديم موجودة على بعض الأجهزة بينما يتم تحديث معظم الأسطول.

هذا التعقيد يلتقي بجرائم إلكترونية منظمة بشكل متزايد. "أصبحت مجموعات الجريمة الإلكترونية الآن منظمة كشركات حقيقية، مع أدوات وعمليات وتخصصات." يشرح لوران جالفاني، خبير الأمن السيبراني في Fidens من TVH Consulting.

يوضح نموذج الفدية كخدمة (RaaS) هذه التنظيم: بعض الفاعلين يطورون أو يحافظون على الأدوات، بينما يتولى آخرون التعامل مع التسلل واستغلالها.

لذا، التحدي بالنسبة للشركات هو معرفة المكونات الموجودة على معداتها بدقة، وإصداراتها، وتبعياتها، ونقاط الضعف التي تتعرض لها. بدون جرد موثوق، ستظل إدارة التحديثات بالضرورة غير مكتملة.

إعادة التفكير في إدارة التحديثات: لم يعد مجرد تحديث، بل مراقبة مستمرة

قد يبدو تطبيق التحديث بمجرد توفره هو أفضل حماية. في الواقع، تتطلب إدارة التحديثات موازنة بين تقليل المخاطر واستمرارية الأعمال.

يمكن أن يجعل برنامج تشغيل الشبكة المعيب الحاسوب غير متاح. يمكن لإصدار جديد من البرنامج الثابت أن يغير سلوك الجهاز. وعلى العكس، فإن تأجيل التحديث الحرج لفترة طويلة يترك ثغرة قابلة للاستغلال.

قبل أي نشر، يجب التحقق من أصل وسلامة الملفات باستخدام الآليات التي اقترحها الناشرون. يمكن بعد ذلك اختبار أكثر التحديثات حساسية على نطاق تمثيلي، لتحديد أي عدم توافق.

يتيح النشر التدريجي الحد من عواقب الحادث: عدد قليل من الآلات التجريبية، ثم مجموعة أكبر، قبل التعميم. هذا النهج يعني أيضا التنبؤ بالظروف للعودة عندما يسبب التغيير عطلا.

تساعد الأتمتة في جعل هذه العمليات قابلة للتكرار، مع الحفاظ على نقاط التحكم. تمت مناقشة أهمية مراقبة البنية التحتية، والتحقق من الانحرافات، وأتمتة التصحيحات في تحليل سيتم قراءته على موقع Le Monde Informatique.

الأتمتة والمراقبة: نحو إدارة الثغرات بشكل استباقي

المراقبة الفعالة تجمع مخزون المكونات ومراقبة الثغرات ونشر التحديثات معا.

يوفر الجرد المحدث إمكانية تحديد الإصدارات الموجودة على المعدات. يمكن بعد ذلك مقارنة المعلومات التي تنشرها الناشرون ومنظمات الأمن السيبراني مع هذا المخزون لتحديد الأجهزة المتأثرة بثغرة.

تسهل هذه الرؤية ترتيب الأولويات. عادة ما يتطلب العيب الذي يستغل بنشاط على خادم مكشوف للإنترنت استجابة أسرع من الثغرة النظرية المماثلة التي تؤثر على مكون معزول وغير مستخدم.

يمكن لأدوات الإشراف والإدارة في الأسطول أتمتة بعض الأعمال: اكتشاف النسخ القديمة، مراقبة عمليات النشر، الإبلاغ عن الأخطاء، وإنتاج تقارير الامتثال. لقد كان هذا أحد القضايا ذات الأولوية في صميم أقسام تقنية المعلومات لعدة سنوات، كما يذكرنا موقع Cloudlist.fr بانتظام. لكن إطلاق تحديث لا يعني أنه تم تثبيته. محطة العمل مغلقة، أو إعادة تشغيل متأخرة أو فشل صامت يمكن أن تترك الثغرة خلفها. لذا يجب أن تركز المراقبة على الحالة الفعلية للمعدات بعد التدخل.

بالنسبة للتعريفات الحساسة، يمكن تعزيز هذه المراقبة بالتحكم في التطبيقات وآليات حجب التعريفات الضعيفة، مع الأخذ في الاعتبار آثارها المحتملة على توافق الأجهزة.

جعل إدارة الرقعة ركيزة حقيقية في حوكمة السيبران

إدارة التحديثات الجيدة لا تعتمد فقط على الأدوات. تتطلب سياسة مشتركة بين فرق العمليات، ومديري الأمن، وخطوط الأعمال. يجب أن تحدد هذه السياسة أوقات المعالجة المتوقعة وفقا للحرجة، وإجراءات التحقق، والمسؤوليات، وشروط تأجيل التحديث. عندما لا يمكن تطبيق تحديث فورا، يجب دراسة التدابير التعويضية وتوثيق المخاطر المتبقية.

يشمل المعهد الوطني للمعايير والتقنية ( NIST) أيضا إدارة الرقع كجزء من نهج الصيانة الوقائية، حيث يجمع بين التعرف على الترقيعات وتحديد الأولويات والتركيب والتحقق من الرقعات. يشمل هذا النهج المديرين الفنيين، وأيضا خطوط الأعمال عندما تؤثر العمليات على توفر الخدمات.

يمكن استخدام بعض المؤشرات لمراقبة النتائج: نسبة المعدات المحدثة، عدد الثغرات الحرجة غير المصححة، متوسط الوقت للإصلاح، فشل النشر أو الاستثناءات التي تنتظر المعالجة.

تظل التحديثات ضرورية لأمن أنظمة المعلومات. ومع ذلك، فإن الهجمات التي تستغل الثقة الموضوعة في المحركات وآليات التوزيع تذكرنا بضرورة السيطرة عليها. تعتمد إدارة المخاطر الآن على القدرة على تحديد المكونات الضعيفة، ونشر التصحيحات المناسبة، والتحقق من فعاليتها على المدى الطويل.