اختبارات الأمن التي تنجح في إيقاف الهجمات المعروفة قد تفشل أمام السلوك نفسه

قد تنجح أدوات الأمن في إيقاف نسخة معروفة من هجوم ما، لكنها تترك السلوك نفسه يمر عندما يُنفَّذ بطريقة أقل وضوحاً. هذه هي الخلاصة الرئيسية لتحليل يستند إلى Blue Report 2026 الصادر عن Picus Labs، والذي قاس أداء وسائل المنع والكشف في بيئات عملاء حقيقية عبر أكثر من 338 مليون محاكاة لهجمات نُفذت بين يناير ويونيو 2026.

ارتفعت فعالية المنع الإجمالية إلى 69%، مقارنة بـ62% في العام السابق، لتعود إلى مستوى 2024. لكن هذا الرقم يمثل متوسطاً على مستوى منظومة الحماية، ولا يوضح بالضرورة ما يمكن للمهاجم فعله بعد دخول البيئة أو عند تغيير الأداة والطريقة المستخدمة لتحقيق الهدف نفسه.

مؤشر معروف لا يساوي حماية من السلوك

يميز التحليل بين نوعين من الاختبارات. اختبارات المؤشرات المعروفة، أو IOC-based testing، تتحقق من قدرة الجدران النارية ووكلاء الويب وبوابات البريد الآمن على التعرف إلى عينات ضارة معروفة وحظر محاولات تنزيلها. ويُعد هذا القياس مناسباً لطبقة الحماية المحيطية، لكنه لا يجيب عن سؤال مختلف: هل تستطيع المنظومة منع الفعل الذي ينفذه المهاجم بغض النظر عن الأداة أو المسار؟

هنا تأتي الاختبارات السلوكية القائمة على التكتيكات والتقنيات والإجراءات (TTPs). فبدلاً من السؤال عما إذا كانت الأداة Mimikatz معروفة للنظام، تختبر هذه المقاربة ما إذا كان أي برنامج على الجهاز يستطيع الحصول على مواد اعتماد المستخدم. ويصبح هذا السؤال مهماً بالنسبة إلى أدوات حماية نقاط النهاية وأنظمة كشف التسلل، لأن المهاجم يكون غالباً قد بدأ التنفيذ داخل البيئة عند وصول هذه الضوابط إلى مرحلة التدخل.

وتراجع معدل منع تنزيلات البرمجيات الخبيثة المعروفة وفق مؤشرات IOC إلى 50% في بيانات 2026، مقابل 60% في 2025 و71% في 2024. ويشير ذلك إلى أن حتى الطبقة التي تعتمد أكثر على التواقيع لا تحقق تغطية ثابتة، كما أن نتيجة جيدة في اختبار توقيع معروف لا تكشف ما يحدث عندما يتغير السلوك أو طريقة تنفيذه.

مثال Mimikatz يكشف الفجوة

استخدمت بيئات العملاء أداة Mimikatz لتحقيق الهدف نفسه، وهو استخراج بيانات الاعتماد، عبر ثلاثة مسارات. حُظر استخراج البيانات من ذاكرة عملية LSASS في 94% من المحاولات، وهو المسار التقليدي الذي تراقبه المنتجات على نطاق واسع. لكن النسبة انخفضت إلى 17% عند سحب بيانات اعتماد RDP من مواقع أخرى في الذاكرة باستخدام الأداة نفسها، وإلى 3% عند قراءة LSA Secrets من سجل النظام المحلي.

تندرج الحالات الثلاث تحت التقنية الأم نفسها، وهي OS Credential Dumping (T1003)، وتنتهي بالنتيجة ذاتها: امتلاك المهاجم لمواد اعتماد حساسة. الاختلاف كان في مدى وضوح الطريق أمام الضوابط الأمنية. فقراءة ذاكرة lsass.exe تترك أحداثاً يمكن مطابقتها بسهولة أكبر، بينما قراءة خلية سجل بصلاحيات SYSTEM قد تبدو أقرب إلى نشاط إداري عادي.

كما أن نجاح المنع ضد نسخة معروفة من Mimikatz لا يضمن ثبات النتيجة. يمكن تغيير السلاسل النصية التي يعتمد عليها التوقيع، أو إعادة ترجمة الأداة، أو تحميل الشيفرة في الذاكرة من دون تركها على القرص، أو استخدام أدوات موقعة من Microsoft مثل ProcDump أو comsvcs.dll ثم تحليل البيانات لاحقاً. في هذه الحالات يتغير الأثر الذي تبحث عنه التواقيع، بينما يبقى السلوك والهدف النهائيان كما هما.

الحماية داخل البيئة أضعف من الحماية على الحدود

بلغ معدل المنع الإجمالي 69% عند قياسه على مستوى الحدود، لكن اختبارات الاختراق الذاتية التي تقيس ما يستطيع مهاجم فعله بعد الدخول كمستخدم موثّق أظهرت أن 37% فقط من إجراءات ما بعد الاختراق جرى حظرها. وبعبارة أخرى، انتقلت الحماية من إيقاف نحو ثلثي الهجمات عند المحيط إلى إيقاف ما يزيد قليلاً على ثلث الأفعال داخل البيئة.

كانت الأفعال الأعلى ضجيجاً أكثر قابلية للاكتشاف؛ فقد بلغ رصد الحركة الجانبية نحو 90%، وتجاوز UAC نحو 85%، بينما وصل منع إعادة استخدام بيانات الاعتماد وإساءة استخدام Active Directory إلى نحو 63%. في المقابل، هبطت النسب عند الأنشطة الأقل وضوحاً: لم تتجاوز حماية مواد الاعتماد المقروءة سلباً من الذاكرة والسجل 22%، وأقل من 1% في حالة استخراج أسرار السجل المحلي. كما لم تتجاوز أنشطة الاكتشاف والجمع 10%، وشُغلت عمليات تعداد النطاق باستخدام SharpHound وجمع الملفات المحلية في الغالب من دون عوائق.

ما الذي يتغير عملياً؟

النتيجة العملية للتحليل هي أن برامج التحقق الأمني تحتاج إلى قراءة كل اختبار وفق ما يقيسه، لا التعامل مع نتيجة واحدة باعتبارها دليلاً شاملاً على التغطية. تظل اختبارات العينات المعروفة مناسبة للجدران النارية ووكلاء الويب وجدران حماية تطبيقات الويب وبوابات البريد الآمن. أما طبقة نقاط النهاية والكشف، بما في ذلك EDR وIDS ومحتوى SIEM، فتحتاج إلى اختبار كل الطرق المؤدية إلى الهدف نفسه: ذاكرة LSASS، والسجل، ومواقع الذاكرة البديلة، والأدوات الأصلية، والنسخ المعاد ترجمتها.

وتحذر المادة من أن اختبار الإجراء الشهير وحده قد يؤدي إلى إغلاق بند لا يزال مكشوفاً فعلياً. ويقترح التحليل استخدام محاكاة متعددة للسلوك نفسه للتحقق من الضوابط الموجودة، بدلاً من الاكتفاء بإثبات أن توقيعاً واحداً تعرف إلى أداة واحدة. وتذكر Picus Swarm بوصفها طبقة تنسيق لتشغيل هذه التنويعات واختبارها عبر البيئة، في إطار منتجات الشركة وخدماتها.

ولا تتمثل التوصية في إضافة أدوات جديدة بالضرورة، بل في تحديد الضوابط الموجودة القادرة فعلاً على قطع سلسلة الهجوم، ثم اتخاذ قرار موثق بشأن كل تعرض: التصحيح، أو التخفيف، أو المراقبة، أو القبول مع الأدلة. وتبقى نتائج التقرير، وفق المادة، جزءاً من دراسة أوسع تشمل فروق الأداء بين القطاعات والمناطق، والثغرات الأكثر استغلالاً، ومعدل تسجيل بلغ 58% ومعدل تنبيهات بلغ 14%.