التحقق والمراقبة المستمران

لا ينتهي مبدأ انعدام الثقة عند المصادقة. يجب إعادة تقييم قرارات الوصول باستمرار طوال الجلسات، استنادًا إلى إشارات المخاطر في الوقت الفعلي. فقد تصبح جلسة موثوقة عند الساعة 9 صباحًا غير موثوقة عند الساعة 9:05 صباحًا إذا تعرّض الجهاز للاختراق.

الإشارات المستخدمة للتحقق المستمر:

• تغيّر حالة امتثال الجهاز (تنبيه من EDR أو فشل التحديث)
• شذوذ في سلوك المستخدم (وقت وصول أو حجم غير معتاد)
• تغيّر الموقع (سفر مستحيل)
• معلومات استخباراتية عن تهديدات الشبكة (اكتشاف اتصال بـ C2)
• شذوذ في الوصول إلى التطبيقات

تعدّل المصادقة التكيفية متطلبات المصادقة ديناميكيًا استنادًا إلى مستوى المخاطر. في حالة الوصول منخفض المخاطر (جهاز معروف وساعات عمل معتادة) → لا حاجة إلى إجراءات إضافية. أما إشارات المخاطر المرتفعة → فتتطلب إعادة المصادقة أو تصعيد المصادقة متعددة العوامل. وتنفذ موفّرات الهوية المدركة للسياق (Okta وAzure AD) ذلك.

عند إطلاق إشارة خطر، يجب أن يكون بالإمكان إبطال الجلسات فورًا. ويتضمن التنفيذ:

• أعمار قصيرة للرموز (15 دقيقة) + رموز التحديث
• قوائم إبطال الرموز
• إبطال جلسة الدخول الأحادي لدى موفّر الهوية
• فرض إعادة المصادقة عبر تسجيل الخروج الخلفي في OIDC

تجمع SIEM السجلات من جميع المصادر (موفّر الهوية ونقطة النهاية والشبكة والتطبيق) وتربط الأحداث لاكتشاف الهجمات. وتراقب SIEM الخاصة بانعدام الثقة ما يلي:

• أحداث المصادقة والشذوذات
• تصعيد الصلاحيات
• الوصول غير المعتاد إلى البيانات أو استخراجها
• انتهاكات السياسات

تنشئ UEBA خطوط أساس سلوكية للمستخدمين والكيانات، ثم تكتشف الانحرافات عنها:

• يصل المستخدم X دائمًا من مدينة نيويورك — إطلاق تنبيه عند الوصول من موسكو
• لا ينشئ حساب الخدمة اتصالات خارجية مطلقًا — إطلاق تنبيه عند حدوث ذلك
• شذوذ في حجم تنزيل البيانات — إطلاق تنبيه عند بلوغ التنزيل 100 ضعف الحجم المعتاد

يمثل البحث عن التهديدات عملية استباقية للبحث عن تهديدات لم تكتشفها الأدوات الآلية. يضع الباحثون فرضيات استنادًا إلى المعلومات الاستخباراتية عن التهديدات وتقنيات وتكتيكات وإجراءات ATT&CK، ثم يبحثون في السجلات عن الأدلة. فلا ينتظرون التنبيهات، بل يبحثون بنشاط عن المهاجمين المختبئين في البيئة.

حزمة شاملة لقابلية الرصد لمراقبة انعدام الثقة:

• السجلات: Elasticsearch + Kibana (ELK)، وSplunk
• المقاييس: Prometheus + Grafana
• آثار التتبع: Jaeger وZipkin (التتبع الموزع)
• الشبكة: Zeek وSuricata وسجلات تدفق VPC

يمتد انعدام الثقة ليشمل الامتثال المستمر:

• تفحص أدوات CSPM إعدادات السحابة باستمرار، وليس على فترات متباعدة
• يفرض Policy as Code (OPA/Rego) الامتثال تلقائيًا
• ترسل آلية اكتشاف الانحراف تنبيهات عند ابتعاد الإعدادات عن خط الأساس

تغذي المراقبة المستمرة الاستجابة الآلية (SOAR):

• عزل الجهاز المخترق من موفّر الهوية → حظر كل الوصول فورًا
• حظر عنوان IP ضار في جدار الحماية وشبكة CDN في الوقت نفسه
• إنشاء تذكرة حادث، وإخطار المناوب، ووضع النظام في الحجر

السرعة مهمة — إذ تعمل الاستجابة الآلية خلال ثوانٍ، مقابل دقائق في حالة الاستجابة اليدوية.

قياس التقدم في تطبيق انعدام الثقة:

• النسبة المئوية للمستخدمين الذين يستخدمون مصادقة متعددة العوامل مقاومة للتصيد
• النسبة المئوية للأجهزة المسجلة في MDM والممتثلة
• النسبة المئوية للتطبيقات التي يتم الوصول إليها عبر ZTNA مقارنةً بـ VPN
• متوسط الوقت اللازم لاكتشاف الوصول الشاذ
• النسبة المئوية لحركة المرور من الشرق إلى الغرب التي تستخدم TLS متبادلًا

أي نظام ينشئ خطوط أساس سلوكية للمستخدمين والكيانات لاكتشاف شذوذات مثل السفر المستحيل أو تنزيلات البيانات غير المعتادة؟

يتطلب انعدام الثقة التحقق المستمر بما يتجاوز المصادقة الأولية. وتؤدي إشارات المخاطر في الوقت الفعلي (صحة الجهاز، والشذوذات السلوكية، والمعلومات الاستخباراتية عن التهديدات) إلى تفعيل المصادقة التكيفية أو إبطال الجلسة. وتكتشف SIEM وUEBA الهجمات، بينما يعثر البحث عن التهديدات على ما تفوته الأتمتة. وتؤتمت SOAR الاستجابة خلال ثوانٍ. ويمكن تتبع نضج انعدام الثقة عبر تغطية MFA، والتسجيل في MDM، ونسب استخدام mTLS لحركة المرور من الشرق إلى الغرب.