الفحص وجرد الأصول

يرتكز كل برنامج لإدارة الثغرات على أساس واحد: معرفة ما تملكه. يحدد جرد الأصول الدقيق نطاق الفحص؛ وأي شيء مفقود منه يمثل نقطة عمياء غير خاضعة للمراقبة.

تختبئ الاختراقات في تقنية المعلومات الظلية، ونسخ السحابة المنسية، والحاويات غير المُدارة. ابدأ بالجرد، ثم نفّذ الفحص.

يشمل الجرد الحديث أكثر من الخوادم:

• المضيفون الفعليون والافتراضيون، وأجهزة الكمبيوتر المحمولة، وأجهزة الشبكة.
• النسخ السحابية، والوظائف عديمة الخوادم، وحاويات التخزين.
• الحاويات والصور.
• البرامج المثبتة وإصدارات نظام التشغيل.
• النطاقات وعناوين IP والشهادات المواجهة للعامة.

تتبع مالكًا وبيئة ومستوى أهمية لكل أصل، وليس عنوان IP فقط.

يفحص الاستكشاف النشط الشبكة (عمليات مسح ping وفحص المنافذ) للعثور على المضيفين النشطين. وهو شامل لكنه يسبب ضوضاء، وقد يفوّت الأصول المتوقفة أثناء الفحص.

يراقب الاستكشاف السلبي حركة المرور وDHCP والسجلات لرصد الأصول دون فحصها مباشرةً. اجمع بين الأسلوبين: السلبي للحصول على رؤية مستمرة، والنشط لتحقيق العمق والتحقق.

يؤثر هذا التمييز مباشرةً في الدقة:

• يرى الفحص غير الموثَّق ما يراه شخص من خارج النظام: المنافذ المفتوحة، واللافتات، والخدمات المكشوفة. وعمقه محدود، وتكثر فيه النتائج الإيجابية الزائفة.
• يسجّل الفحص الموثَّق (المعتمد على بيانات الاعتماد) الدخول ويقرأ الحزم المثبتة ومستويات التصحيح والإعدادات. وهو أدق بكثير.

فضّل الفحص الموثَّق للأصول الداخلية، واقصر الفحص غير الموثَّق على عرض سطح الهجوم الخارجي.

تتصل ماسحات الشبكة بالأصول وفق جدول زمني؛ وهي ممتازة من حيث الاتساع، لكنها لا ترى المضيفين غير المتصلين أو المؤقتين.

تُبلغ الوكلاء المثبتة على نقاط النهاية باستمرار، حتى بالنسبة إلى أجهزة الكمبيوتر المحمولة المتنقلة وأحمال العمل السحابية المؤقتة. وتجمع برامج كثيرة بين الأسلوبين: الوكلاء لنقاط النهاية المُدارة، وفحص الشبكة لأجهزة IoT/OT والأجهزة غير المُدارة.

تطابق الماسحات إصدارات البرامج والإعدادات المرصودة مع قاعدة بيانات للثغرات، مفهرسة باستخدام معرّفات CVE وCPE.

• CVE — معرّف فريد لثغرة محددة.
• CPE — اسم موحّد لمنتج وإصداره.

إذا كان المضيف يشغّل CPE مرتبطًا بآثار CVE معروفة، يضع الماسح علامة على ذلك. وتعتمد الدقة على اكتشاف الإصدار الصحيح.

الماسحات غير مثالية:

• الإيجابيات الزائفة — نتائج معلَّمة لكنها غير قابلة للاستغلال فعليًا (مثل أن يخفي تصحيح مُعاد إصداره الإصدار الحقيقي).
• السلبيات الزائفة — ثغرات لم تُكتشف بسبب فشل المصادقة، أو حظر المنافذ، أو عدم معرفة البرنامج.

يقلل الفحص الموثَّق والتحقق من النوعين. احرص دائمًا على ضبط الفحص والتحقق منه قبل إحالة النتائج إلى فرق المعالجة.

للفحص تأثير تشغيلي. خطط له كما يلي:

• خفّض معدل الفحص لتجنب إرهاق الأنظمة الهشة أو أنظمة OT/الأنظمة القديمة.
• جدول عمليات الفحص المكثفة ضمن نوافذ الصيانة.
• استخدم أوضاع الفحص الآمن، وتجنب المكونات الإضافية الاقتحامية في بيئة الإنتاج.
• نسّق مع NOC حتى لا يُساء تفسير الفحص على أنه هجوم.

إذا تسبب الفحص في تعطيل وحدة تحكم خاصة بالإنتاج، فستفقد التفويض الممنوح للبرنامج.

الأصول السحابية مؤقتة، لذلك تتقادم عمليات الجرد الثابتة بسرعة. استخدم الاستكشاف المعتمد على واجهات API:

• استعلم عن واجهات API الخاصة بموفر السحابة للحصول على النسخ والوظائف والحاويات التخزينية ومجموعات الأمان.
• افحص صور الحاويات في السجل، وليس الحاويات قيد التشغيل فقط.
• أضف علامات إلى الموارد عند إنشائها حتى تصبح الملكية تلقائية.

ادمج الفحص في CI/CD حتى يجري التحقق من الصور قبل النشر.

لا يكون الجرد مفيدًا إلا إذا كان محدثًا. اعتمد على مصادر موثوقة لتغذيته:

• وفّق بين عمليات فحص الشبكة والوكلاء وواجهات API السحابية في مصدر واحد للحقيقة (CMDB).
• ضع علامة للمراجعة على الأصول التي لم تُرصد خلال N يومًا.
• أطلق تنبيهًا عند ظهور أصول جديدة أو غير متوقعة (قد تكون من تقنية المعلومات الظلية).

تُعد نسبة التغطية (الأصول التي خضعت للفحص مقارنةً بالأصول المعروفة) مقياسًا أساسيًا للبرنامج.

ينتج عن الجرد ونتائج الفحص نتائج، لكن السياق يحولها إلى مخاطر. يتيح وسم الأصول باستخدام الأهمية، والتعرض، وحساسية البيانات تحديد الأولويات: إذ يتقدم خادم جوهري مواجه للإنترنت على جهاز VM اختباري معزول يضم CVE نفسها.

يُغذي سياق الأصل هذا مباشرةً تقنيات تحديد الأولويات التي سنتناولها لاحقًا.

يمثل الجرد الدقيق أساس إدارة الثغرات: تتبع المضيفين والسحابة والحاويات والبرامج والسطح الخارجي مع تسجيل المالك ومستوى الأهمية. اجمع بين الاستكشاف النشط والسلبي، وفضّل الفحص الموثَّق أو المعتمد على الوكلاء لتحقيق الدقة، وراعِ الإيجابيات والسلبيات الزائفة وسلامة الفحص.

حافظ على حداثة الجرد من خلال التوفيق المعتمد على واجهات API، وأضف سياقًا إلى الأصول حتى يمكن تحديد أولويات النتائج. والموضوع التالي هو كيفية تحديد ما يجب إصلاحه أولًا باستخدام CVSS وEPSS وKEV.