EASM: سطح الهجوم من منظور المهاجم

يشير EASM إلى التحديد والجرد والتقييم المستمر لجميع أصول المؤسسة القابلة للوصول من الإنترنت – من المنظور الخارجي ودون معرفة مسبقة بالجرد الداخلي. ويتركز الاهتمام على «unknown unknowns»: النطاقات الفرعية المنسية، والأنظمة القديمة، وبيئات الاختبار والتجهيز (Staging)، والموارد السحابية التي تقتنيها الإدارات المتخصصة بشكل مستقل (Shadow IT)، والخدمات المكشوفة مثل منافذ الوصول عن بُعد وواجهات الإدارة وقواعد البيانات. وتصف OWASP سطح الهجوم بأنه مجموع كل المسارات التي تدخل عبرها البيانات والأوامر إلى النظام وتخرج منه – ويطبّق EASM هذا المنظور بشكل منهجي على كامل البنية التقنية للمؤسسة المتاحة للعموم.

انطلاقًا من نقاط بداية قليلة («Seeds» مثل النطاقات الرئيسية أو نطاقات IP أو أسماء الشركات) تربط أساليب EASM بين مصادر بيانات متاحة للعموم: DNS النشط والسلبي، وسجلات Certificate Transparency (سجلات عامة قابلة للإضافة فقط لشهادات TLS الصادرة وفق RFC 9162)، وبيانات WHOIS/RDAP، وتخصيصات ASN وIP لدى سجلات الإنترنت، وبيانات المسح الشاملة للإنترنت عن المنافذ والخدمات المفتوحة. ويُضاف إلى ذلك مصادر التسريب مثل تفريغات بيانات الاعتماد ومواقع اللصق (Paste-Sites) لاكتشاف بيانات الاعتماد المكشوفة الخاصة بنطاقات المؤسسة. ولأن المصادر نفسها متاحة للمهاجمين أيضًا، تُظهر النتيجة الصورة ذاتها التي يراها المهاجم أثناء الاستطلاع.

ليست كل نتيجة خطرًا ذا صلة. إذ يجب أولًا نسب البيانات الخام الناتجة عن الاكتشاف: هل ينتمي الأصل فعلًا إلى المؤسسة نفسها، أم إلى مقدم خدمة، أم إلى شبكة CDN؟ ثم يُتحقق من النتائج – هل الخدمة قابلة للوصول فعلًا، وهل الإعداد ضعيف حقًا، وهل الثغرة قابلة للاستغلال عمليًا؟ – وتُرتَّب أولوياتها حسب درجة الانكشاف وقابلية الاستغلال والأهمية للأعمال. ودون هذه الخطوات يُنتج EASM قوائم طويلة بدلًا من نتائج قابلة للتنفيذ؛ ومعها تتركز المعالجة على النتائج التي سيستغلها المهاجم واقعيًا أولًا.

يفحص ماسح الثغرات الأنظمة المعروفة مقابل الثغرات الأمنية المعروفة – فهو يفترض وجود جرد محدَّث ويبقى أعمى عن الأصول التي لم يسجّلها أحد. ويفحص اختبار الاختراق نطاقًا محددًا مسبقًا يدويًا وفي العمق، لكنه يقدم لقطة آنية. أما EASM فيأتي قبلهما: إذ يجيب أولًا عن سؤال الجرد («ما الذي يظهر أصلًا من الخارج؟») ويوفّر بذلك النطاق الذي يحتاجه الفحص واختبار الاختراق. ولا يحل أحد هذه الأساليب الثلاثة محل الآخر، بل تتكامل: يجد EASM المساحة، ويفحصها الفحص على نطاق واسع، واختبار الاختراق في العمق.

تتغير أسطح الهجوم الخارجية باستمرار: فعمليات النشر السحابية الجديدة، والشهادات الصادرة آليًا، وتغييرات الإعدادات، وعمليات الاستحواذ، والعقود المنتهية تغيّر الصورة يوميًا أحيانًا. ولا يعكس فحص سنوي أو اختبار اختراق سنوي هذا التغير. ويُظهر مدى قِصَر الفترات المعتمدة حاليًا ما تفرضه الجهة الأمريكية للأمن السيبراني CISA: إذ يُلزم توجيهها BOD ⁦23-01⁩ (2022) الجهات الاتحادية الأمريكية باكتشاف آلي للأصول مرة كل سبعة أيام على الأقل، وبحصر الثغرات الأمنية في جميع الأصول المكتشفة كل 14 يومًا. كما يرسّخ NIST Cybersecurity Framework 2.0 الاحتفاظ بجرد محدَّث للعتاد والبرمجيات والخدمات (الفئة ID.AM) أساسًا لإدارة المخاطر.

يتبع EASM عمليًا دورة متكررة: انطلاقًا من نقاط البداية (Seeds) تُحدَّد الأصول عبر الاكتشاف، وتُجمع في جرد موحَّد، ويُسند كل منها إلى مسؤول. وتنتقل النتائج المقيَّمة والمتحقَّق منها بوصفها تذاكر ذات أولوية وموثَّقة بشكل قابل للتتبع إلى العمليات القائمة (إدارة الثغرات الأمنية، وITSM) – مع توصية معالجة محددة مثل الإيقاف أو التحديث أو التحصين أو النقل خلف منافذ VPN أو Zero-Trust. وبعد المعالجة تؤكد إعادة الفحص من الخارج أن الانكشاف قد أُزيل فعلًا. وتجعل مؤشرات مثل الوقت حتى المعالجة وعدد الأصول المجهولة المكتشفة حديثًا مستوى النضج قابلًا للقياس عبر الزمن.