مع ظهور نموذج Mythos من شركة Anthropic، أصبح الحديث في الأوساط الأمنية يدور حول تسريع جداول الاستغلال. لكن السؤال الحقيقي ليس ما إذا كانت خطة إدارة الثغرات بحاجة إلى التغيير، بل أي جزء منها كان يُدار بشكل خاطئ منذ البداية. التركيز غالبًا ينصب على سرعة الاكتشاف، حيث يُنظر إلى الذكاء الاصطناعي كأداة تعزز الاستطلاع وتساعد المهاجمين على ربط التقنيات بسرعة غير مسبوقة. لكن المشكلة الأعمق تكمن في أن معظم فرق الأمن لم تكن تكسب معركة الأولويات حتى قبل ظهور Mythos.
فجوة السياق التي تعيق الاستجابة
الاعتماد على تصنيف CVSS وحده لا يكفي. فالثغرة ذات التصنيف 9.8 قد تكون أقل خطورة من ثغرة 5.5 إذا كانت الأخيرة على بُعد خطوة واحدة من قاعدة بيانات العملاء. المؤسسات الكبيرة التي تستخدم أدوات مثل Qualys وTenable وRapid7 وCrowdStrike وWiz وOkta وSplunk ما زالت تعمل بقوائم مرتبة حسب CVSS، وهو ما يخلق تراكمًا بلا بوصلة. السبب ليس ضعف أدوات الفحص بل غياب ثلاثة عناصر أساسية:
- سياق الهوية: من يملك صلاحيات الوصول إلى النظام المعرض للخطر؟
- قابلية الوصول: هل الأصل مكشوف على الإنترنت أو قريب من أصل حيوي؟
- استمرارية المسار: هل توجد سلسلة استغلال مؤكدة تربط الثغرة بأصل مهم للأعمال؟
ما الذي يغيره Mythos وما الذي لا يغيره
النماذج مثل Mythos تقلص الوقت بين الإعلان عن الثغرة واستغلالها، من أسابيع إلى أيام أو حتى ساعات. لكن هذا لا يغير المشكلة المعمارية الأساسية، بل يجعل تكلفة تجاهلها أعلى بكثير. الفِرق التي تعتمد على قوائم ضخمة مرتبة حسب CVSS لن تستفيد من تسريع جداول الاستغلال، لأنها تبدأ من القائمة الخاطئة. السؤال الحقيقي هو: هل الأولويات لديك سريعة ودقيقة بما يكفي لمجاراة المهاجمين؟
الفجوة المعمارية في أدوات الأمن
المكدس الأمني النموذجي في المؤسسات يتضمن أدوات لإدارة الهوية مثل Okta، وأمن السحابة مثل Wiz، وإدارة الثغرات مثل Qualys، وأمن الأجهزة الطرفية مثل CrowdStrike، وأمن الشبكات مثل Zscaler، وأنظمة SIEM مثل Splunk. كل أداة ترى جزءًا من الصورة، لكن لا توجد أداة تربط بين الهوية والسحابة والجهاز الطرفي والثغرة في مسار هجوم واحد يصل إلى قاعدة بيانات العملاء. هذه الفجوة المعمارية هي ما يستغله Mythos، حيث لا يمنح المهاجم وقتًا للربط اليدوي بين الأدوات.
الأولويات المبنية على مسارات الهجوم
البديل هو إدارة الأولويات وفق مسارات الهجوم، أي طرح السؤال: هل يمكن لهذه الثغرة أن تصل إلى أصل حيوي عبر هوية معينة وعبر أي حدود ثقة وبأي نطاق تأثير؟ إضافة سياق الهوية يغير الحسابات جذريًا. حساب مفرط الصلاحيات بجوار ثغرة غير مرقعة ليس مجرد مشكلة متوسطة، بل مسار هجوم حرج. القوائم التي يمكن الدفاع عنها أمام مجلس الإدارة ليست تلك التي تحتوي على 50,000 ثغرة مرتبة حسب الخطورة، بل تلك التي تحدد 12 ثغرة فقط لها مسار مؤكد إلى أصول حيوية.
خطة العمل الجديدة
الخطة القديمة كانت: تشغيل أدوات الفحص، ترتيب النتائج حسب CVSS، توزيع المهام، متابعة معدلات الإصلاح. الخطة الجديدة يجب أن تكون:
- ربط الأدوات عبر طبقة ذكاء موحدة تربط بين الهوية والسحابة والأجهزة الطرفية والثغرات.
- الأولوية حسب المسار لا حسب الدرجة، أي تحديد الثغرات التي لها طريق مؤكد إلى أصل حيوي.
- التحقق قبل الإصلاح، أي التأكد من أن المسار قابل للاستغلال فعليًا قبل استهلاك الموارد.
- العمل بشكل مستمر لا دوري، لأن نافذة الاستغلال قد تُغلق في ساعات، والتقييمات الدورية لم تعد كافية.
