إدارة التصحيحات واتفاقيات SLA

يخبرك تحديد الأولويات بما يجب إصلاحه؛ أما إدارة التصحيحات فهي العملية المنضبطة التي تدفع هذه الإصلاحات فعليًا إلى الاكتمال، في الوقت المحدد، وعلى مستوى البيئة بأكملها.

تحدّد اتفاقيات مستوى الخدمة (SLAs) مدى السرعة المطلوبة لمعالجة درجات الخطورة المختلفة. ومن دونها، تتأخر الإصلاحات العاجلة وتتلاشى المساءلة.

تحافظ دورة قابلة للتكرار على حداثة الأنظمة:

• تحديد التصحيحات المتاحة (منشورات المورّدين ونتائج الفحص).
• تقييم مدى الصلة ومخاطر التطبيق.
• اختبار التصحيح في بيئة غير إنتاجية.
• نشر التصحيح على مراحل مضبوطة.
• تحقّق من تطبيق التصحيح وسلامة النظام.

توجد مسؤولون وأدلة لكل خطوة، بما يحاكي دورة حياة إدارة الثغرات الأوسع.

تحوّل اتفاقية مستوى الخدمة النية إلى موعد نهائي. فهي تحدد الحد الأقصى المسموح به من وقت اكتشاف الثغرة إلى معالجتها، وفق مستويات للخطورة. أمثلة على الأهداف:

• حرجة / KEV: من 7 إلى 15 يومًا (أو أقل للأصول المكشوفة على الإنترنت).
• مرتفعة: 30 يومًا.
• متوسطة: 90 يومًا.
• منخفضة: وفق أفضل جهد / في الدورة التالية.

تجعل اتفاقيات مستوى الخدمة مدة بقاء الثغرات قابلة للقياس، وتدفع إلى إغلاقها لا إلى مجرد الإقرار بوجودها.

اربط المهلة الزمنية بالمخاطر الفعلية، لا بدرجة CVSS وحدها. يجب أن تكون المهلة المحددة لثغرة حرجة مدرجة في KEV أو مكشوفة على الإنترنت أقصر من المهلة المحددة لثغرة متوسطة في أصل داخلي.

تساعد الأطر المرجعية في ذلك: تفرض CISA على الجهات الفدرالية معالجة ثغرات KEV خلال مواعيد نهائية محددة، وتعتمد مؤسسات كثيرة جداول زمنية مماثلة ومسرّعة للثغرات المستغلة بنشاط، بصرف النظر عن درجة CVSS.

قد تتسبب التصحيحات في تعطّل بعض الوظائف. يكشف الاختبار في بيئة التجهيز حالات التراجع قبل وصولها إلى الإنتاج:

• طبّق التصحيح أولًا على مجموعة اختبار تمثيلية.
• تحقّق من الوظائف الأساسية والأداء.
• تأكّد من عدم وجود تعارضات مع البرامج الحالية.

وازن بين السرعة والسلامة: فإذا كانت ثغرة KEV مستغلة فعليًا، فاقبل قدرًا أكبر من المخاطر وطبّق التصحيح بسرعة أكبر مقارنةً بالتحديث الاعتيادي.

انشر على دفعات (النشر الحلقي): ابدأ بالمجموعة التجريبية، ثم الحلقات الأوسع، ثم انشر على الجميع. راقب سلامة الأنظمة في كل حلقة قبل الانتقال إلى التالية.

احرص دائمًا على وجود خطة للتراجع: لقطات النظام، أو خفض إصدار الحزمة، أو استعادة الإعدادات. فإذا تسبب التصحيح في انقطاع، يجب أن تتمكن من التراجع سريعًا أثناء التحقيق.

لا يمكن توسيع نطاق تطبيق التصحيحات يدويًا. استخدم أدوات مركزية:

• WSUS / SCCM / Intune لنظام Windows.
• إدارة الإعدادات (Ansible، Puppet، Chef) لمجموعات Linux.
• إعادة إنشاء الصور الأساسية/المرجعية بعد تضمين التصحيحات للسحابة والحاويات.

تفرض الأتمتة الاتساق وتقلّص الفترة بين إصدار التصحيح ونشره.

قد لا تتمكن أحيانًا من تطبيق التصحيح فورًا بسبب تأخر المورّد، أو هشاشة نظام قديم، أو متطلبات التوافر المستمر. طبّق ضوابط تعويضية لتقليل المخاطر مؤقتًا:

• تقسيم الشبكة / قواعد جدار الحماية.
• التصحيح الافتراضي من خلال توقيعات WAF أو IPS.
• تعطيل الميزة أو الخدمة المتأثرة بالثغرة.

تمنحك هذه الإجراءات وقتًا إضافيًا، لكنها ليست بديلًا دائمًا عن الإصلاح الحقيقي.

قد لا يتوفر أي تصحيح للأنظمة التي انتهى عمرها الافتراضي. وتشمل الخيارات:

• عزلها في جزء مقيّد من الشبكة.
• إحاطتها بضوابط وصول ومراقبة صارمة.
• التخطيط لترحيلها أو إيقاف تشغيلها ضمن موعد نهائي.
• قبول المخاطر المتبقية رسميًا مع تحديد تاريخ انتهاء.

وثّق كل شيء؛ فالنظام غير القابل للتصحيح إذا تُرك دون توثيق يمثل خطرًا في التدقيق واختراقات البيانات.

تابع مدى التزام البرنامج بتعهداته فعليًا:

• MTTR حسب درجة الخطورة، مقارنةً بالهدف المحدد في اتفاقية مستوى الخدمة.
• معدل الالتزام باتفاقية مستوى الخدمة (النسبة المئوية للعناصر المغلقة ضمن المهلة).
• العناصر المتأخرة / مدة بقائها حسب الفريق والأصل.
• تغطية التصحيحات (النسبة المئوية من البيئة التي تعمل بأحدث الإصدارات).

أصدر التقارير حسب الفريق المسؤول، حتى تكون المساءلة واضحة وتحظى المجالات البطيئة بالاهتمام.

بعد النشر، تحقّق: أعد الفحص للتأكد من زوال CVE وسلامة النظام، ثم أغلق النتيجة مع إرفاق الأدلة. وأعد إدخال المشكلات المتكررة (مثل مكتبة تعود للظهور باستمرار أو فريق يتأخر مزمنًا) في عملية تحسين الإجراءات.

تحوّل إدارة التصحيحات المنفذة جيدًا المخاطر ذات الأولوية إلى خفض ملموس للمخاطر في الوقت المحدد.

تأكّد من دور اتفاقيات مستوى الخدمة الخاصة بالمعالجة.

تدفع إدارة التصحيحات النتائج ذات الأولوية إلى الاكتمال من خلال التحديد والتقييم والاختبار والنشر المرحلي والتحقق، مدعومةً بخطط التراجع والأتمتة. وتضع اتفاقيات مستوى الخدمة مواعيد نهائية مصنفة حسب درجة الخطورة والمخاطر (وتكون أقصر في حالات KEV والأصول المكشوفة على الإنترنت)، لضمان تنفيذ الإصلاحات في الوقت المحدد.

عندما يكون تطبيق التصحيح مستحيلًا، استخدم ضوابط تعويضية وقبولًا موثقًا ومحدد المدة للمخاطر. وقِس MTTR والالتزام باتفاقيات مستوى الخدمة والتغطية، وأعد إدخال الدروس المستفادة في دورة الحياة.