إدارة الثغرات الأمنية و ثغرات Zero-Day

إدارة الثغرات الأمنية عملية مستمرة، لا مشروع لمرة واحدة. وتبدأ بجرد كامل للأصول، إذ لا يمكن فحص إلا الأنظمة المعروفة – بما فيها الموارد السحابية والحاويات والخدمات القابلة للوصول من الإنترنت. ثم يلي ذلك فحص منتظم، مع مصادقة قدر الإمكان، من الداخل والخارج، وترتيب أولويات النتائج على أساس المخاطر، والمعالجة عبر التصحيح أو تغيير الإعدادات أو الضوابط التعويضية، والتحقق بإعادة الفحص. وهذه الدورة المغلقة مع أزمنة إنجاز موثَّقة هي وحدها ما يجعل العملية قابلة للإدارة والتدقيق.

يتوفر Common Vulnerability Scoring System الصادر عن FIRST منذ نوفمبر 2023 في الإصدار 4.0، ويضم أربع مجموعات مقاييس: Base وThreat وEnvironmental وSupplemental. ويوضح مقياس التهديد «Exploit Maturity» ما إذا كانت شيفرة الاستغلال متاحة أو أن الثغرة تُستغل فعليًا؛ وتبيّن التسمية CVSS-B/-BT/-BE/-BTE بشفافية المجموعات التي دخلت في حساب الدرجة. وتوضح FIRST بنفسها أن CVSS يقيس درجة الخطورة التقنية ولا ينبغي استخدامه مقياسًا وحيدًا للمخاطر. ومن يصحّح بناءً على Base-Score وحده يعالج بإلحاح كبير ثغرات كثيرة لن تُستغل أبدًا – ويغفل ثغرات تتعرض للهجوم فعلًا بدرجة متوسطة.

يُعد Exploit Prediction Scoring System (EPSS) الصادر عن FIRST نموذج تعلم آلي يقدّر يوميًا لكل CVE منشور احتمال استغلاله فعليًا خلال الأيام الثلاثين التالية؛ والدرجات متاحة مجانًا عبر CSV وAPI. أما كتالوج Known Exploited Vulnerabilities (KEV) الصادر عن الجهة الأمريكية للأمن السيبراني CISA فيُدرج الثغرات الأمنية التي ثبت استغلالها. وعمليًا تتكامل ثلاث إشارات: يجيب CVSS عن مدى جسامة الاستغلال، وEPSS عن مدى احتماله، وKEV عما إذا كان يحدث بالفعل. والنتائج المدرجة في KEV على الأنظمة القابلة للوصول تأتي في مقدمة قائمة الانتظار بصرف النظر عن Base-Score.

تحدد اتفاقيات مستوى الخدمة (SLAs) الموثوقة مهل معالجة ملزمة لكل مستوى من الأهمية والانكشاف، مع عملية استثناء تتضمن قبولًا موثَّقًا للمخاطر. ويصلح توجيه CISA BOD ⁦26-04⁩ (10.06.2026، يحل محل BOD ⁦22-01⁩) نموذجًا مرجعيًا: فهو يستمد المهل من أربعة معايير – قابلية الوصول من الإنترنت، وحالة KEV، وقابلية أتمتة الهجوم، والأثر التقني – ويتدرج من 3 أيام (بما في ذلك فحص جنائي عند الإدراج في KEV إضافة إلى سيطرة كاملة على النظام) مرورًا بـ 14 و60 يومًا حتى المعالجة مع الترقية الاعتيادية التالية. والتوجيه ملزم للجهات الاتحادية الأمريكية فقط، لكنه بوصفه نموذج مهل قائمًا على المخاطر يقدّم للشركات أيضًا توجيهًا مفهومًا.

تُعد ثغرة Zero-Day ثغرة أمنية تُستغل أو تصبح معروفة للعموم قبل أن توفر الشركة المصنِّعة تصحيحًا – فلا يبقى لفريق الدفاع أي مهلة («صفر أيام»). ولأن التصحيح التقليدي غير متاح، تُطبَّق إجراءات تعويضية: يحجب التصحيح الافتراضي (Virtual Patching) محاولات الاستغلال عبر قواعد WAF أو IPS قبل وصولها إلى التطبيق، دون تغيير الشيفرة؛ وتصنّف OWASP هذا النهج صراحةً في Virtual Patching Cheat Sheet حلًا مؤقتًا لا يغني عن الإصلاح الفعلي. ويُضاف إلى ذلك الحلول المؤقتة الواردة في النشرات الأمنية للشركات المصنِّعة، وتجزئة الشبكة، والتعطيل المؤقت للوظائف المكشوفة. والشرط المسبق رصد منهجي للنشرات الأمنية – مثل نشرات الشركات المصنِّعة، وخدمة التحذير والمعلومات التابعة لـ CERT-Bund/BSI، وكتالوج KEV.

يرسّخ ISO/IEC 27001:2022 الموضوع في الضابط 8.8 من الملحق A («Management of technical vulnerabilities»): يجب الحصول على معلومات عن الثغرات الأمنية التقنية، وتقييم مدى انكشاف المؤسسة، واتخاذ الإجراءات المناسبة. كما يشترط NIS2 (التوجيه (EU) 2022/2555) في المادة 21(2)(e) إجراءات أمنية عند اقتناء أنظمة الشبكات والمعلومات وتطويرها وصيانتها، بما في ذلك إدارة الثغرات الأمنية والإفصاح عنها. وتُدار العملية عبر مؤشرات مثل متوسط زمن المعالجة (MTTR) لكل فئة أهمية، ونسبة الالتزام باتفاقيات مستوى الخدمة، وتغطية الفحص للجرد، وعمر الثغرات المفتوحة – ولا سيما المدرجة في KEV – ونسبة تكرار الظهور بعد التحقق. وتنتمي هذه القيم إلى التقارير الإدارية المنتظمة لنظام إدارة أمن المعلومات (ISMS).