في خطوة استراتيجية لتعزيز حماية البنية التحتية السحابية والهويات الرقمية، أعلنت شركة مايكروسوفت يوم الإثنين عن نقل خدمة توقيع حسابات Microsoft (MSA) إلى الآلات الافتراضية السرية (Confidential VMs) على منصة Azure. كما أكدت أنها بصدد ترحيل خدمة توقيع هوية Entra ID إلى نفس البيئة المحمية.
خلفية التحرك الأمني: دروس من هجوم Storm-0558
تأتي هذه التحسينات بعد سبعة أشهر من إعلان مايكروسوفت عن تحديثات جوهرية في Entra ID وMicrosoft Services (للسحابة العامة وسحابة الحكومة الأمريكية)، لتوليد وتخزين وتدوير مفاتيح توقيع رموز الوصول (Access Tokens) تلقائيًا باستخدام خدمة Azure Managed HSM (وحدة الأمن المادي المُدارة).
صرّح تشارلي بيل، نائب الرئيس التنفيذي لأمن مايكروسوفت، قائلاً:
“كل هذه التحسينات تهدف إلى الحد من نواقل الهجوم التي نعتقد أن جهة التهديد استخدمتها في هجوم Storm-0558 في عام 2023”.
في ذلك الهجوم، استغلت مجموعة تهديد مدعومة من دولة قومية صينية ضعفًا في التحقق البرمجي سمح بتزوير رموز Entra ID باستخدام مفتاح توقيع خاص بحسابات MSA، ما أدى إلى اختراق أكثر من عشرين مؤسسة في أوروبا والولايات المتحدة والوصول غير المصرح به إلى بيانات البريد الإلكتروني.
أبرز إجراءات التحصين السيبراني
في إطار مبادرة “Secure Future Initiative (SFI)” — والتي وصفتها مايكروسوفت بأنها “أضخم مشروع هندسي للأمن السيبراني في تاريخ الشركة” — نفذت الشركة مجموعة من الإجراءات الصارمة، منها:
-
نقل توقيع رموز MSA إلى بيئة حوسبة سرية عبر Azure Confidential VMs.
-
90% من رموز الهوية من Entra ID يتم التحقق منها عبر SDK مقوى للأمان.
-
92% من حسابات الموظفين تعتمد على المصادقة متعددة العوامل المقاومة للتصيد (Phishing-resistant MFA).
-
81% من فروع الشيفرة البرمجية الإنتاجية تخضع لحماية MFA من خلال تقنيات إثبات الحضور.
-
فرض سياسة احتفاظ بسجلات الأمان لمدة عامين.
-
نقل سيناريوهات دعم العملاء إلى مستأجر مستقل للحد من حركة التهديدات الجانبية.
مرونة الأنظمة والتعافي من الكوارث
عززت مايكروسوفت أيضًا أنظمة التعافي من الكوارث عبر إطلاق “مبادرة مرونة ويندوز (Windows Resiliency Initiative)”، وتشمل ميزة “Quick Machine Recovery” التي تسمح لمسؤولي تكنولوجيا المعلومات بإصلاح أجهزة ويندوز حتى عندما تفشل في الإقلاع.
الميزة تعمل تلقائيًا من داخل بيئة استرداد ويندوز (WinRE)، حيث تتحقق من إعدادات محددة ، وإذا كانت البيئة مؤهلة (مثلاً توفر الاتصال بالشبكة والإضافات اللازمة)، يتم تفعيل الاسترداد بصمت دون تدخل المستخدم.
تحليل: أهمية الحوسبة السرية وأمن مفاتيح التوقيع
يُعد انتقال خدمات توقيع الهويات إلى الآلات الافتراضية السرية على Azure نقطة تحوّل ي آليات الحماية. توفر هذه البيئة تشفيرًا شاملاً للبيانات أثناء المعالجة، ما يمنع الجهات الخبيثة — حتى في حال وصولها إلى الخوادم — من الوصول إلى محتوى المفاتيح الحساسة.
كما تعزز إجراءات التحقق الصارم والمصادقة متعددة العوامل مرونة البنية التحتية ضد الهجمات المتقدمة، خاصة في ظل تصاعد استهداف أنظمة إدارة الهوية من قبل مجموعات تهديد مدعومة من دول.
