تقليل سطح الهجوم على نقاط النهاية باستخدام GravityZone

ما تقليل سطح الهجوم، ولماذا يتصدر الاهتمام في 2026؟

تقليل سطح الهجوم (Attack Surface Reduction) هو حصر النقاط التي يمكن للمهاجم من خلالها إدخال البيانات أو استخراجها أو السيطرة على النظام فيما يحتاجه العمل فعلًا. وعلى نقطة النهاية يعني ذلك إيقاف الخدمات غير اللازمة، وتصحيح أخطاء الإعداد، وتثبيت التحديثات الأمنية، وتضييق الأدوات التي يمكن لكل مستخدم تشغيلها.

تقدّم الموضوع بسبب تحوّل أساليب المهاجمين. فقد أصدرت CISA وNSA وFBI مع مراكز الأمن السيبراني في أستراليا وكندا والمملكة المتحدة ونيوزيلندا في 7 فبراير 2024 دليلًا مشتركًا يصف استخدام جهات مدعومة من دول لتقنيات العيش على موارد النظام (Living off the Land, LOTL)، ويشير إلى انتشار هذا الأسلوب في بيئة التهديدات الأوسع.

وأعلنت Bitdefender في بيانها الصادر في 23 أبريل 2025 أن الأدوات المشروعة وتقنيات LOTL حاضرة، وفق تحقيقاتها الخاصة، في أكثر من 70% من الحوادث الأمنية الكبرى؛ وهذه نسبة صادرة عن الشركة نفسها. ولمعرفة كيف تُخطَّط طبقة نقاط النهاية مع الشبكة والهاتف والبريد، راجع دليل البنية التحتية لتقنية المعلومات في مكاتب الشركات الصغيرة والمتوسطة.

لماذا تُربك هجمات Living off the Land برامج مكافحة الفيروسات التقليدية؟

في هجوم LOTL لا يجلب المهاجم ملفًا خبيثًا جديدًا، بل يسيء استخدام أدوات موقّعة وموثوقة موجودة أصلًا في نظام التشغيل. ويؤكد الدليل المشترك أن هذا النشاط لا يترك تقريبًا مؤشرات اختراق تقليدية (IOCs)، وأن كثيرًا من المؤسسات تفتقر إلى خط أساس للسلوك الطبيعي، فيصعب تمييزه عن أعمال الإدارة المشروعة.

تصف قاعدة المعرفة MITRE ATT&CK هذه السلوكيات بتقنيات مستقلة، وأكثرها شيوعًا لدى فرق الدفاع أربع:

• T1218 System Binary Proxy Execution: استخدام ملفات ثنائية موقّعة من Microsoft ومضمّنة في Windows وسيطًا لتشغيل ملفات أو أوامر أخرى.
• T1059.001 PowerShell: إساءة استخدام بيئة البرمجة النصية المدمجة في Windows للاستطلاع وتنفيذ الشيفرة.
• T1047 Windows Management Instrumentation: تنفيذ الأوامر عبر بنية الإدارة في Windows (WMI).
• T1197 BITS Jobs: استغلال خدمة نقل الملفات في الخلفية في Windows للتنزيل والبقاء في النظام.

وأهم تحذير عملي في الدليل: إتاحة أداة إدارية مشروعة للجميع ليست آمنة. فالفرق الحمراء لدى CISA تجد كثيرًا أدوات LOLBins متاحة حتى للمستخدمين العاديين، واستثناءات واسعة جدًا لأداة PsExec. لذلك يكمّل الكشفُ التحصينَ ولا يغني عنه؛ وقد تناولنا طبقة الكشف في مقال الفرق بين EDR وXDR وMDR.

ما مكونات GravityZone التي تقلّص سطح الهجوم؟

تقلّص سطحَ الهجوم في GravityZone ثلاثةُ مكونات: Risk Management يكتشف أخطاء الإعداد والثغرات، وPatch Management يسد الثغرات المعروفة، وPHASR يقيّد الأدوات لكل مستخدم. أما EDR/XDR فلا يقلّص السطح، بل يكشف الهجمات المتبقية.

تجد قوائم الميزات الكاملة واختيار الباقة حسب ملف المؤسسة في مقارنة باقات GravityZone؛ أما هنا فننظر إلى سطح الهجوم فقط. وتفاصيل المنتجات متاحة في صفحات GravityZone Business Security Enterprise وGravityZone XDR وGravityZone Patch Management.

كيف يعمل GravityZone PHASR؟

تقنية GravityZone PHASR (Proactive Hardening and Attack Surface Reduction، أي التحصين الاستباقي وتقليل سطح الهجوم من Bitdefender) تبني ملفًا سلوكيًا لكل تركيبة من المستخدم والجهاز، وتقيّد الأدوات أو الإجراءات الخطرة التي لا يستخدمها هذا الملف. وقد أعلنتها Bitdefender ضمن برنامج وصول مبكر في 23 سبتمبر 2024، ثم أتاحتها عالميًا في 23 أبريل 2025.

ووفق وثائق Bitdefender TechZone تراقب PHASR على Windows وmacOS وLinux خمسة أنواع من النشاط: أدوات LOLBins، وأدوات العبث (Tampering Tools)، وأدوات القرصنة، وبرامج تعدين العملات المشفرة، وأدوات الإدارة عن بُعد. وتضم أكثر من 1,100 قاعدة مراقبة.

ما يميزها هو الحظر على مستوى الإجراء: لا تُمنع الأداة كليًا، بل يُمنع استخدامها الخطِر فقط. ففي مثال الوثائق يبقى WMIC متاحًا لجمع معلومات النظام لكنه يُحظر للتنقل الجانبي (Lateral Movement)، ولدى مستخدم يعتمد على PowerShell كثيرًا تُوقف فقط السكربتات المموّهة (Obfuscated) أو المشفّرة.

تستغرق مرحلة التعلّم 30–60 يومًا بحسب القواعد المراقبة، ويمكن أن تُختصر إلى دقائق بالبيانات التاريخية عند استخدام GravityZone EDR. بعدها يتوفر وضعان للتشغيل، وتوضح مصفوفة القرار التالية متى يناسب كلٌّ منهما.

ومع ملاحظات إصدار سبتمبر 2026 جاءت ميزة PHASR for AI Agents التي تعامل وكلاء الذكاء الاصطناعي على نقطة النهاية كملفات سلوكية مستقلة عن المستخدم؛ فمنح الوكيل صلاحية PowerShell لا يوسّع صلاحية الشخص. والميزة متاحة حاليًا على نقاط النهاية العاملة بنظام Windows.

كيف يُنفَّذ تحصين نقاط النهاية خطوة بخطوة؟

دورة من ثماني خطوات تبدأ بالجرد وتنتهي بالقياس تتوافق مع الدليل المشترك ومع مسار «حدّد، رتّب الأولويات، عالج، تابع» في GravityZone Risk Management.

1. أعدّ الجرد وخط الأساس. سجّل البرامج والأدوات الإدارية العاملة على كل جهاز؛ فأول ضابطين في CIS Controls v8.1 يقومان على هذا الجرد. ويوصي الدليل المشترك أيضًا بخط أساس للاستخدام الطبيعي لأدوات LOLBins.
2. جدوِل فحص المخاطر. يُفعَّل Risk Management بفحص مجدول من إعدادات السياسة، ويمكن تشغيل مهمة Risk Scan عند الحاجة لنقاط نهاية تختارها من صفحة Network.
3. صحّح أخطاء الإعداد. في صفحة Findings تتوفر لكل نتيجة معالجة تلقائية وخطوات يدوية وتجاهل مؤقت والتراجع عن الإصلاح؛ ويعرض قسم CIS compliant النتائج المطابقة لـ CIS v8.
4. ثبّت التصحيحات. للتطبيقات ذات الثغرات المسجلة في قسم Vulnerabilities، يحدّث خيار Patch App التطبيق عبر Patch Management إلى إصدار يسد الثغرة.
5. ابدأ PHASR بوضع Direct Control في مجموعة تجريبية. راقب التوصيات خلال مرحلة التعلّم دون فرضها، وقيّم ملفات فرق تقنية المعلومات والمسؤولين على حدة.
6. طبّق التوصيات حسب الأثر. ابدأ بتوصيات Restrict access الأعلى أثرًا، وأبلغ المستخدمين بإمكانية طلب الوصول عبر Request Access.
7. قلّص أدوات الوصول عن بُعد. ينصح الدليل المشترك بتعطيل أدوات الوصول عن بُعد غير اللازمة مع التنبيه عند استخدامها، والاكتفاء بحل رئيسي وآخر احتياطي.
8. قِس وكرّر. تابع درجة مخاطر الشركة ونسبة التعرض لسطح الهجوم في لوحة PHASR، وانقل الفئات ذات السلوك المستقر إلى Autopilot.

هذه الدورة ليست إلا الجزء الخاص بنقاط النهاية من خطة أشمل لمواجهة برامج الفدية؛ وللنسخ الاحتياطي والمصادقة متعددة العوامل والاستجابة للحوادث راجع خطة الحماية من برامج الفدية في 10 خطوات للشركات الصغيرة والمتوسطة.

أي النتائج تُعالَج أولًا؟

تحدد الأولويةَ أربعةُ معايير مجتمعة: الأثر، ووجود دليل على الاستغلال، وعدد الأجهزة المتأثرة، وخطر تعطّل العمل عند الإصلاح. ويبيّن مؤشر Industry Modifier في GravityZone ما إذا كانت الثغرات المسجلة في بيئتك قد استُغلت لدى مؤسسات أخرى في قطاعك.

للترتيب البسيط امنح كل معيار قيمة من 1 إلى 3 واستخدم: درجة الأولوية = الأثر × دليل الاستغلال × مدى الانتشار ÷ خطر التعطّل. وحدّد العتبة وفق مستوى تقبّلك للمخاطر.

ما أكثر الأخطاء شيوعًا في التحصين؟

أكثر الأخطاء شيوعًا إيقاف الأداة كليًا بما يعطل سير العمل، أو ترك الاستثناءات «المؤقتة» قائمة إلى الأبد. راجع هذه القائمة قبل كل جولة:

• إيقاف الأداة كليًا: تشير TechZone إلى أن كثيرًا من تطبيقات الجهات الخارجية تستخدم PowerShell وCertutil أيضًا، وأن تعطيلهما قد يسبب اضطرابًا كبيرًا؛ فضّل التقييد على مستوى الإجراء.
• نسيان الصلاحيات المؤقتة: وصول PowerShell الممنوح لمهمة واحدة يوسّع السطح إن لم يُسحب؛ وتوصي PHASR بسحب الوصول غير المستخدم.
• الاكتفاء بإعدادات السجلات الافتراضية: يوصي الدليل المشترك بتسجيل مفصّل ومركزي لأسطر الأوامر ونشاط PowerShell وWMI.
• نسيان المخاطر المتجاهَلة: النتيجة المتجاهَلة تخرج من درجة مخاطر الشركة؛ دوّن السبب وموعد المراجعة.
• ترك الهوية السحابية مكشوفة: يشير الدليل أيضًا إلى خطوط أساس آمنة لإعداد Microsoft 365؛ راجع قائمة التحقق من إعدادات أمان Microsoft 365.

الأسئلة الشائعة

هل يحل تقليل سطح الهجوم محل مكافحة الفيروسات؟

لا، فهما يكمّلان بعضهما. مكافحة الفيروسات وEDR تكشفان النشاط الخبيث وتوقفانه، بينما يزيل تقليل سطح الهجوم مسبقًا الأدوات والإعدادات والثغرات التي قد يستغلها المهاجم. ويعامل الدليل المشترك أيضًا الكشف والتحصين بوصفهما مجالين منفصلين، ويؤكد صعوبة رصد إساءة استخدام الأدوات المشروعة بالكشف وحده.

في أي باقة من GravityZone تتوفر PHASR؟

وفق صفحة المنتج لدى Bitdefender، تُقدَّم PHASR ترخيصًا إضافيًا لـ Business Security Enterprise وخدمات MDR وحلول GravityZone Cloud MSP، وكذلك منتجًا مستقلًا يعمل مع أدوات EDR/XDR من جهات أخرى. ولمناقشة إضافتها إلى ترخيصك الحالي استخدم نموذج اطلب عرض سعر.

كم تستغرق مرحلة تعلّم PHASR؟

وفق TechZone تستغرق مرحلة التعلّم 30–60 يومًا بحسب القواعد المراقبة. وإذا كنت تستخدم مكوّن EDR في GravityZone فقد تختصر البيانات التاريخية المدة إلى دقائق. أما وكيل PHASR المستقل فلا يمكنه استخدام سجل EDR، فلا تُختصر مرحلة تعلّمه بهذه الطريقة؛ خطّط للتجربة على هذا الأساس.

ماذا يحدث إذا أعاق التقييد عمل أحد الموظفين؟

على Windows يستطيع المستخدم طلب الوصول عبر Request Access مع ذكر السبب، ويُحال الطلب إلى المسؤول. وفي وضع Autopilot يمكن للمسؤولين منذ سبتمبر 2026 تجاوز التقييد يدويًا: يبقى الوصول مفتوحًا خمسة أيام، ويعود التقييد إن لم تُستخدم الأداة. والبدء بمجموعة تجريبية يكشف هذه الطلبات مبكرًا.

هل يمكن منع هجمات Living off the Land تمامًا؟

وفق الدليل المشترك، لا يوجد حل معصوم يمنع نشاط LOTL أو يكشفه بالكامل. والنهج الموصى به متعدد الطبقات: تسجيل مفصّل ومركزي، وخطوط أساس سلوكية، وقوائم سماح للتطبيقات، وتقسيم الشبكة، ومصادقة متعددة العوامل مقاومة للتصيد. وتقليل سطح الهجوم إحدى هذه الطبقات ويعمل على أفضل وجه مع بقيتها.

ما الفرق بين قائمة السماح للتطبيقات و PHASR؟

وفق NIST SP 800-167 فإن قائمة السماح للتطبيقات (Application Allowlist) هي قائمة التطبيقات المصرّح بتشغيلها في المؤسسة، وهي تقرر ما إذا كان التطبيق سيعمل أصلًا. أما PHASR فتحدد، بناءً على السلوك، أي الإجراءات داخل الأداة المسموح بها متاحة لأي مستخدم. ويوصي الدليل المشترك على Windows بـ AppLocker وWindows Defender Application Control، ويمكن الجمع بين النهجين.

الخلاصة

• تستخدم هجمات LOTL أدوات مشروعة، لذا يصعب رصدها بالكشف وحده؛ ويضع الدليل المشترك خطوط الأساس وقوائم السماح في المقدمة.
• في GravityZone يتولى Risk Management أخطاء الإعداد والثغرات، وPatch Management التصحيحات، وPHASR تقييد الأدوات لكل مستخدم.
• بدء PHASR بوضع Direct Control في مجموعة تجريبية ثم نقل الفئات المستقرة إلى Autopilot يخفض خطر تعطّل العمل.
• رتّب النتائج حسب الأثر ودليل الاستغلال ومدى الانتشار وخطر التعطّل، ووثّق كل تجاهل بسببه وتاريخه.

تقدّم Sora Yazılım Teknolojileri خدمات الاختيار والتوريد والتركيب والدعم والخدمات المُدارة لحلول Bitdefender GravityZone، ويُحدَّد نطاق أعمال التحصين في العقد. احجز مكالمة استكشاف مجانية لتقييم بيئتك معنا.

مكالمة استكشاف مجانية · واتساب: دعم واتساب · الهاتف: +90 544 785 21 87 · البريد الإلكتروني: talep@sorayazilim.com

المصادر

1. Identifying and Mitigating Living Off the Land Techniques (دليل مشترك) — CISA وNSA وFBI وACSC وCanadian Centre for Cyber Security وNCSC-UK وNCSC-NZ وغيرها، 7 فبراير 2024. ncsc.govt.nz (تاريخ الاطلاع: 19 أكتوبر 2026)
2. صفحات تقنيات MITRE ATT&CK v20 — MITRE. T1218، T1059.001، T1047، T1197 (تاريخ الاطلاع: 19 أكتوبر 2026)
3. CIS Critical Security Controls v8.1 — Center for Internet Security. cisecurity.org (تاريخ الاطلاع: 19 أكتوبر 2026)
4. SP 800-167, Guide to Application Whitelisting — NIST، أكتوبر 2015. csrc.nist.gov (تاريخ الاطلاع: 19 أكتوبر 2026)
5. مقالات Bitdefender TechZone: PHASR، Risk Management، Endpoint Risk Management (تاريخ الاطلاع: 19 أكتوبر 2026)
6. صفحة منتج GravityZone PHASR — Bitdefender. bitdefender.com (تاريخ الاطلاع: 19 أكتوبر 2026)
7. بيانات Bitdefender الصحفية عن PHASR: 23 سبتمبر 2024 و23 أبريل 2025 (تاريخ الاطلاع: 19 أكتوبر 2026)
8. What's New in GravityZone September 2026 (v 6.77) — Bitdefender. bitdefender.com (تاريخ الاطلاع: 19 أكتوبر 2026)
9. صفحتا GravityZone Patch Management ومقارنة الباقات — Bitdefender (تاريخ الاطلاع: 19 أكتوبر 2026)

كيف أُعدّ هذا المقال

إعداد: فريق Sora Yazılım. أُعدّ هذا المقال بمساعدة الذكاء الاصطناعي، وقورنت المعلومات التقنية بمصادر الشركة المصنّعة والمصادر الرسمية المرتبطة في النص حتى 19 أكتوبر 2026.

مقالات ذات صلة

• دليل إعداد البنية التحتية لتقنية المعلومات في مكاتب الشركات الصغيرة والمتوسطة — المقال المحوري الذي يجمع الشبكة والهاتف والبريد وحماية نقاط النهاية في خطة واحدة.
• مقارنة باقات Bitdefender GravityZone — اختيار الباقة حسب ملف المؤسسة.
• قائمة التحقق من إعدادات أمان Microsoft 365 — تحصين الهوية والأجهزة والبريد.
• الفرق بين Microsoft 365 Business Basic وStandard وPremium — أي خطة تناسب أي فريق.
• انتهاء دعم Exchange Server — الاختيار بين Exchange Online وExchange SE.
• Ruijie Reyee أم سلسلة RG المؤسسية؟ — اختيار منتجات الشبكة حسب الحجم.
• Wi-Fi 7 في الشبكات المؤسسية — متى يكون الانتقال منطقيًا.
• خيارات نشر مقسم 3CX الهاتفي (IP PBX) — السحابة والتثبيت المحلي و SIP Trunk.
• تكامل 3CX مع Microsoft Teams — إجراء المكالمات من Teams عبر المقسم.