بنية الثقة المعدومة لتطبيقات المؤسسات

المحيط ميت. في عالم يعمل فيه الموظفون من المقاهي، وتعيش بيانات الشركة في ثلاثة موفري خدمات سحابية مختلفين، ويتمتع شركاء سلسلة التوريد لديك بإمكانية وصول VPN إلى شبكتك، فإن فكرة إمكانية الوثوق بأي شيء داخل جدار الحماية أصبحت فكرة عفا عليها الزمن بشكل خطير. تستبدل بنية الثقة المعدومة هذا الافتراض بمبدأ بسيط لا هوادة فيه: لا تثق أبدًا، تحقق دائمًا.

صاغت شركة Forrester Research مصطلح "الثقة المعدومة" في عام 2010، لكن الأمر استغرق موجة هائلة من العمل عن بعد بسبب الوباء والهجوم المدمر على سلسلة التوريد SolarWinds لدفع الشركات نحو التنفيذ الفعلي. بحلول عام 2025، تشير تقارير جارتنر إلى أن 60% من المؤسسات قد اعتمدت شكلاً من أشكال الثقة المعدومة، ولكن أقل من 10% منها حققت التنفيذ الشامل عبر جميع أعباء العمل.

الوجبات الرئيسية

• تعمل الثقة المعدومة على إزالة الثقة الضمنية من خلال التحقق من كل طلب وصول بغض النظر عن الشبكة المصدر أو المصادقة المسبقة
• يعمل التقسيم الدقيق على تقليل مخاطر الحركة الجانبية بنسبة 85% مقارنة ببنيات الشبكات المسطحة
• تحل الوكلاء المدركون للهوية محل شبكات VPN باعتبارها آلية الوصول الأساسية عن بعد لتطبيقات المؤسسات
• توفر خارطة طريق التنفيذ المرحلي على مدار 18 إلى 24 شهرًا تحسينات أمنية قابلة للقياس في كل مرحلة

---

مبادئ الثقة المعدومة

الثقة المعدومة ليست منتجًا تشتريه. إنها فلسفة معمارية مبنية على خمسة مبادئ أساسية توجه كل قرار تصميمي عبر مؤسستك.

الركائز الخمس للثقة المعدومة

لا تثق أبدًا، تحقق دائمًا. يجب مصادقة كل طلب وصول والترخيص به بغض النظر عن مصدره. يتم التعامل مع الطلب المقدم من أحد مكاتب الشركة بنفس التدقيق الذي يتم التعامل به مع الطلب من شبكة WiFi عامة. المصادقة السابقة لا تضمن الوصول في المستقبل.

افترض الاختراق. صمم الأنظمة كما لو أن المهاجمين موجودون بالفعل داخل شبكتك. يؤدي هذا الافتراض إلى التجزئة والمراقبة واتخاذ القرارات ذات الامتيازات الأقل. إذا تم اختراق جزء ما، فيجب احتواء نصف قطر الانفجار.

تحقق بشكل صريح. تستخدم قرارات المصادقة والترخيص جميع الإشارات المتاحة: هوية المستخدم، وصحة الجهاز، والموقع، والوقت من اليوم، وحساسية الموارد، والتحليلات السلوكية. عامل واحد (مثل رمز جلسة صالح) لا يكفي أبدًا.

الوصول الأقل امتيازًا. يحصل المستخدمون والتطبيقات والخدمات على الحد الأدنى من الوصول المطلوب لأداء وظائفهم. يتم تحديد نطاق الوصول حسب الموارد والإجراء والوقت. يتم إلغاء الامتيازات الدائمة لصالح منح الوصول في الوقت المناسب.

التحقق المستمر. المصادقة ليست حدثًا لمرة واحدة عند تسجيل الدخول. يتم تقييم الجلسات بشكل مستمر، ويتم إلغاء الوصول في الوقت الفعلي عندما تتغير إشارات الخطر (تدهور وضع الجهاز، اكتشاف السفر المستحيل، ملاحظة السلوك الشاذ).

الأمن التقليدي مقابل الثقة المعدومة

يعد التناقض بين الأمن المحيطي التقليدي والثقة المعدومة أمرًا أساسيًا:

---

التقسيم الجزئي

التجزئة الدقيقة هي تطبيق الشبكة بدون ثقة. بدلاً من شبكة مسطحة حيث يمكن لأي نظام الاتصال بأي نظام آخر، يقوم التقسيم الدقيق بإنشاء مناطق معزولة تفرض سياسات اتصال واضحة.

كيف تعمل التجزئة الدقيقة

تقسيم الشبكة التقليدية يقسم الشبكة إلى عدد قليل من المناطق الكبيرة (المنطقة المجردة من السلاح، الإنتاج، التطوير، الإدارة). يأخذ التقسيم الدقيق هذا الأمر إلى أبعد من ذلك من خلال إنشاء شرائح دقيقة مثل أحمال العمل الفردية أو طبقات التطبيق.

مثال: نشر نظام تخطيط موارد المؤسسات (ERP) بدون التجزئة الدقيقة

يمكن لخادم الويب المخترق الوصول إلى خادم قاعدة البيانات وخادم الملفات وخادم الطباعة وكل نظام آخر على نفس شبكة VLAN. يمكن للمهاجم الذي يستغل ثغرة XSS في بوابة العميل أن يرتكز على قاعدة البيانات التي تحتوي على السجلات المالية.

مثال: نفس نشر نظام تخطيط موارد المؤسسات (ERP) مع التجزئة الدقيقة

يمكن لخادم الويب الاتصال فقط بخادم التطبيق على المنفذ 8069. ويمكن لخادم التطبيق الاتصال فقط بخادم قاعدة البيانات على المنفذ 5432. ولا يمكن لخادم قاعدة البيانات بدء أي اتصالات صادرة. لا يحتوي خادم الويب المخترق على مسار إلى قاعدة البيانات ولا يوجد مسار إلى طبقات التطبيق الأخرى.

أساليب التنفيذ

التقسيم الجزئي لمنصات الأعمال

بالنسبة للمؤسسات التي تقوم بتشغيل Odoo ERP، وموصلات Shopify، والخدمات التي تدعم الذكاء الاصطناعي، يجب أن يقوم التقسيم الجزئي بإنشاء حدود العزل التالية:

• طبقة تطبيق ERP --- معزولة عن جميع أحمال العمل الأخرى، ولا يمكن الوصول إليها إلا عبر الوكيل المدرك للهوية
• طبقة قاعدة البيانات --- يمكن الوصول إليها فقط من طبقة تطبيق ERP على منافذ محددة
• طبقة التكامل --- موصلات السوق وبوابات واجهة برمجة التطبيقات (API) معزولة عن كل من طبقات تخطيط موارد المؤسسات (ERP) وقاعدة البيانات
• أحمال عمل AI/ML --- معزولة بقواعد خروج محددة لاستدعاءات واجهة برمجة التطبيقات النموذجية
• التطوير/التدريج --- منفصلان تمامًا عن الإنتاج ولا يوجد مسار شبكة بينهما

---

الوكلاء المدركون للهوية

الوكلاء المدركون للهوية (IAPs) هم بوابة الوصول في بنية الثقة المعدومة. إنها تحل محل شبكات VPN التقليدية من خلال مصادقة كل طلب والترخيص به قبل إعادة توجيهه إلى التطبيق الوجهة.

كيفية عمل الوكلاء المدركين للهوية

عندما يحاول مستخدم الوصول إلى تطبيق مؤسسة:

1. يصل الطلب إلى الوكيل المدرك للهوية بدلاً من التطبيق مباشرةً
2. يتحقق الوكيل من وجود جلسة صالحة ويعيد التوجيه إلى موفر الهوية في حالة عدم وجوده
3. يقوم موفر الهوية بمصادقة المستخدم (كلمة المرور + MFA) وإرجاع مطالبات الهوية
4. يقوم الوكيل بتقييم سياسات التفويض مقابل مطالبات الهوية ووضعية الجهاز والسياق
5. في حالة التفويض، يقوم الوكيل بإعادة توجيه الطلب إلى التطبيق. إذا لم يكن الأمر كذلك، فسيتم رفض الطلب

لا يحتوي التطبيق نفسه على نقاط نهاية مواجهة للعامة. ولا يمكن الوصول إليه إلا من خلال الوكيل. يؤدي هذا إلى إزالة فئة كاملة من الهجمات التي تعتمد على الوصول المباشر إلى التطبيق.

حلول الوكيل المدركة للهوية

• Google BeyondCorp Enterprise (IAP) --- متكامل مع Google Cloud، ويدعم أي تطبيق ويب
• Cloudflare Access --- يعمل مع أي بنية تحتية، وأداء عالمي ممتاز
• Azure AD Application Proxy --- التكامل العميق للنظام البيئي لـ Microsoft
• Pomerium --- مفتوح المصدر، ومستضاف ذاتيًا، ولا يلتزم بالبروتوكول
• Authentik --- مزود هوية مفتوح المصدر مع وكيل تطبيق مدمج (يستخدم في منصة ECOSIRE)

IAP مقابل VPN

تمنح شبكات VPN الوصول على مستوى الشبكة. بمجرد الاتصال، يمكن للمستخدم (أو المهاجم الذي لديه بيانات اعتماد VPN المسروقة) الوصول إلى كل نظام على الشبكة. تمنح الوكلاء المدركون للهوية حق الوصول على مستوى التطبيق. كل تطبيق لديه سياسة الترخيص الخاصة به، ولا يتم منح الوصول إلى الشبكة مطلقًا.

بالنسبة إلى أمان واجهة برمجة التطبيقات، تُكمل IAPs OAuth2/OIDC عن طريق إضافة وضعية الجهاز والإشارات السياقية إلى قرار التفويض.

---

فحص وضعية الجهاز

تعمل الثقة المعدومة على توسيع عملية التحقق إلى ما هو أبعد من المستخدم إلى الجهاز. لا تزال بيانات اعتماد المستخدم الصالحة على جهاز مخترق تمثل خطرًا أمنيًا. تقوم فحوصات وضعية الجهاز بتقييم صحة نقطة النهاية وامتثالها قبل منح الوصول.

ما هي فحوصات وضعية الجهاز التي يتم تقييمها

• إصدار نظام التشغيل --- هل تم تصحيح نظام التشغيل إلى الحد الأدنى من الإصدار المقبول؟
• تشفير القرص --- هل مساحة تخزين الجهاز مشفرة (BitLocker، FileVault، LUKS)؟
• حالة جدار الحماية --- هل تم تمكين جدار الحماية المضيف وتكوينه بشكل صحيح؟
• حالة EDR/مكافحة الفيروسات --- هل يعمل برنامج الكشف عن نقطة النهاية والاستجابة لها بالتوقيعات الحالية؟
• قفل الشاشة --- هل تم تكوين قفل الشاشة التلقائي بمهلة مقبولة؟
• كسر الحماية/اكتشاف الجذر --- هل تم اختراق نموذج الأمان الخاص بالجهاز؟
• شهادة الحضور --- هل يحتوي الجهاز على شهادة مؤسسة صالحة؟

التقييم المستمر للجهاز

تعد عمليات التحقق الأولي من الوضعية في وقت المصادقة ضرورية ولكنها غير كافية. يمكن أن يتغير وضع الجهاز أثناء الجلسة: قد يقوم المستخدم بتعطيل جدار الحماية الخاص به، أو قد يتعطل وكيل EDR، أو قد يتم الكشف عن ثغرة أمنية جديدة في إصدار نظام التشغيل الخاص بالجهاز.

يعمل التقييم المستمر للجهاز على إعادة تقييم الوضع على فترات منتظمة (عادةً كل 5 إلى 15 دقيقة) ويمكن أن يلغي الوصول في الوقت الفعلي عندما يخرج الجهاز عن الامتثال. وهذا يتوافق مع مبدأ الثقة الصفرية للتحقق المستمر.

---

خريطة طريق التنفيذ

يعد تطبيق مبدأ الثقة المعدومة عبر المؤسسة بمثابة رحلة متعددة المراحل. تؤدي محاولة تنفيذ كل شيء في وقت واحد إلى فشل المشروع، وإحباط المستخدم، وحدوث ثغرات أمنية أثناء عملية الانتقال. توفر خريطة الطريق التالية تقدمًا منظمًا لمدة 18-24 شهرًا.

المرحلة الأولى: التأسيس (الأشهر 1-3)

الهدف: إنشاء البنية التحتية للهوية وإمكانية الرؤية.

• نشر أو دمج موفر الهوية (Authentik، Okta، Azure AD)
• فرض MFA على جميع المستخدمين عبر جميع التطبيقات (راجع أفضل ممارسات IAM لـ Odoo)
• جرد جميع التطبيقات ومخازن البيانات وتدفقات الشبكة
• نشر مراقبة الشبكة لتحديد أنماط حركة المرور الأساسية
• تحديد [سياسات الأمان وإطار الحوكمة] الأولي (/blog/cybersecurity-business-platforms-erp-ecommerce)

المرحلة الثانية: تحديث الوصول (الأشهر 4-8)

الهدف: استبدال الوصول المعتمد على المحيط بالوصول الواعي بالهوية.

• نشر الوكيل المدرك للهوية للتطبيقات ذات الأولوية القصوى (تخطيط موارد المؤسسات، والأنظمة المالية)
• تنفيذ فحوصات وضعية الجهاز للأجهزة المُدارة
• البدء في التقسيم الدقيق لأحمال عمل الإنتاج بدءًا من طبقة قاعدة البيانات
• الترحيل من VPN إلى الوصول لكل تطبيق للعاملين عن بعد
• تنفيذ إدارة الوصول المميز (PAM) للحسابات الإدارية

المرحلة الثالثة: التقسيم والمراقبة (الأشهر 9-14)

الهدف: تحقيق التقسيم الدقيق الشامل ومراقبة السلوك.

• تجزئة دقيقة كاملة عبر جميع أعباء عمل الإنتاج
• نشر UEBA (تحليلات سلوك المستخدم والكيان) للكشف عن الحالات الشاذة
• تنفيذ الوصول في الوقت المناسب (JIT) للعمليات المميزة
• توسيع عمليات فحص وضعية الجهاز لتشمل الأجهزة غير المُدارة/أجهزة BYOD
• دمج إدارة الوضع الأمني السحابي

المرحلة الرابعة: التحقق المستمر (الأشهر 15-18)

الهدف: تحقيق قرارات وصول مستمرة واعية بالسياق.

• تنفيذ المصادقة المستمرة مع تسجيل المخاطر في الوقت الحقيقي
• نشر أدلة التشغيل للاستجابة الآلية للإشارات عالية المخاطر
• تمديد الثقة الصفرية إلى اتصالات واجهة برمجة التطبيقات (API) إلى واجهة برمجة التطبيقات (TLS المتبادلة، وشبكة الخدمة)
• تنفيذ عناصر التحكم في الوصول على مستوى البيانات (التشفير على مستوى الحقل، والإخفاء الديناميكي)
• قم بإجراء تمرين الفريق الأحمر للتحقق من صحة ضوابط الثقة المعدومة

المرحلة الخامسة: التحسين (الأشهر 19-24)

الهدف: التحسين والأتمتة والقياس.

• سياسات الوصول التكيفية القائمة على الذكاء الاصطناعي بناءً على الخطوط الأساسية السلوكية
• جمع أدلة الامتثال الآلي وإعداد التقارير
• التحسين المستمر بناءً على بيانات الحادث ونتائج الفريق الأحمر
• توسيع نطاق مبادئ الثقة المعدومة لتشمل وصول الجهات الخارجية والموردين
• نشر بطاقة أداء نضج الثقة الصفرية لإعداد التقارير التنفيذية

---

مخاطر الثقة المعدومة الشائعة

التعامل مع الثقة المعدومة على أنها شراء منتج. لا يوفر أي بائع واحد ثقة مطلقة كاملة. إنها بنية تتكون من العديد من عناصر التحكم التي تعمل معًا.

تجاهل تجربة المستخدم. إن الإفراط في مطالبات المصادقة واحتكاك الوصول يدفع المستخدمين إلى البحث عن حلول بديلة تقوض الأمان. تعمل المصادقة الذكية القائمة على المخاطر على الموازنة بين الأمان وسهولة الاستخدام.

إهمال التطبيقات القديمة. لا تستطيع العديد من التطبيقات المهمة للأعمال دعم المصادقة الحديثة محليًا. خطط للوكلاء العكسيين وبوابات المصادقة وتخزين بيانات الاعتماد للأنظمة القديمة.

تخطي مرحلة رؤية الشبكة. يؤدي التقسيم الجزئي دون فهم أنماط حركة المرور الحالية إلى انقطاع التطبيقات. استثمر في رسم خرائط شاملة لحركة المرور قبل تطبيق سياسات التجزئة.

نسيان حركة مرور واجهة برمجة التطبيقات (API) من الشرق إلى الغرب. إن انعدام الثقة في وصول المستخدم هو نصف المعركة فقط. يجب أيضًا مصادقة الاتصال من خدمة إلى خدمة داخل النظام الأساسي الخاص بك والترخيص به باستخدام TLS المتبادل أو رموز الخدمة أو سياسات شبكة الخدمة.

---

الأسئلة المتداولة

ما الوقت الذي يستغرقه تنفيذ بنية الثقة المعدومة؟

عادةً ما يستغرق التنفيذ الشامل لثقة الصفر ما بين 18 إلى 24 شهرًا بالنسبة للمؤسسات متوسطة الحجم. ومع ذلك، فإن النهج المرحلي يحقق تحسينات أمنية في كل مرحلة. يمكن تنفيذ تطبيق MFA (المرحلة 1) في أسابيع ويحظر على الفور 99.9% من هجمات بيانات الاعتماد. المفتاح هو البدء بأصول عالية القيمة وعالية المخاطر والتوسع تدريجياً.

هل تحل الثقة المعدومة محل جدران الحماية والشبكات الافتراضية الخاصة (VPN)؟

الثقة المعدومة لا تقضي على جدران الحماية، ولكنها تغير دورها. تظل جدران الحماية مفيدة لتصفية حركة المرور على نطاق واسع عند حدود الشبكة، ولكنها لم تعد الآلية الأساسية للتحكم في الوصول. يتم استبدال شبكات VPN بوكلاء مدركين للهوية للوصول إلى التطبيقات. تحتفظ بعض المؤسسات بشبكات VPN مؤقتًا للتطبيقات القديمة التي لا يمكنها دعم المصادقة الحديثة.

هل الثقة المعدومة أمر واقعي بالنسبة للشركات الصغيرة ومتوسطة الحجم؟

قطعاً. يعمل موفرو الهوية المستندة إلى السحابة (Authentik وGoogle Workspace وMicrosoft 365) وخدمات الأمان المُدارة على تسهيل الوصول إلى الثقة المعدومة للمؤسسات من أي حجم. يمكن للشركات الصغيرة والمتوسطة تحقيق فوائد كبيرة من الثقة المعدومة من خلال التركيز على ثلاثة عناصر تحكم: المصادقة متعددة العوامل (MFA) في كل مكان، والوكلاء المدركين للهوية للتطبيقات المهمة، والتجزئة الدقيقة الأساسية بين طبقات التطبيق.

كيف تؤثر الثقة المعدومة على أداء التطبيق؟

تضيف الوكلاء المدركون للهوية زمن وصول يتراوح من 1 إلى 5 مللي ثانية لكل طلب للتحقق من المصادقة والترخيص. بالنسبة لمعظم تطبيقات الأعمال، هذا أمر غير محسوس. يكون للتجزئة الدقيقة تأثير على الأداء يقترب من الصفر عند تنفيذها على مستوى برنامج Hypervisor أو موفر السحابة. تكلفة الأداء لا تذكر مقارنة بالمزايا الأمنية.

---

ما هو التالي

إن بنية الثقة المعدومة ليست اختيارية للمؤسسات الحديثة --- إنها بنية الأمان التي تتوافق مع واقع اليوم للقوى العاملة الموزعة والتطبيقات السحابية الأصلية والجهات الفاعلة في مجال التهديد المتطورة. ابدأ بتوحيد الهوية وMFA، ثم تقدم من خلال الوصول الواعي بالهوية والتقسيم الجزئي، ثم قم بالبناء نحو التحقق المستمر.

تطبق ECOSIRE مبادئ الثقة المعدومة في كل عملية نشر للنظام الأساسي. يتضمن تعزيز أمان OpenClaw AI عناصر التحكم في الوصول المدركة للهوية والتجزئة الدقيقة، بينما تعمل تطبيقات Odoo ERP على بناء الوصول المستند إلى الأدوار وتكامل تسجيل الدخول الموحد (SSO) من الأساس. اتصل بنا لمناقشة رحلة الثقة المعدومة الخاصة بك.

---

تم النشر بواسطة ECOSIRE --- مساعدة الشركات على التوسع باستخدام الحلول المدعومة بالذكاء الاصطناعي عبر Odoo ERP، وShopify eCommerce، وOpenClaw AI.