نمذجة التهديدات: استباق الهجمات قبل كتابة الشيفرة

تتبع معظم النُهج الحديثة إطار الأسئلة الأربعة لـ Adam Shostack («Threat Modeling: Designing for Security»، 2014): على ماذا نعمل؟ ما الذي قد يسوء؟ ماذا نفعل حيال ذلك؟ هل أدّينا عملًا جيدًا؟ تنظّم الأسئلة الأربعة العملية في نمذجة النظام، وتحديد التهديدات، واستخلاص الإجراءات، والتحقق – بغض النظر عن المنهجية المستخدمة تحديدًا. ويعرّف Threat Modeling Manifesto نمذجة التهديدات تبعًا لذلك بأنها تحليل تمثيلات النظام لاستخلاص المخاوف المتعلقة بخصائصه الأمنية وخصائص حماية البيانات. والحاسم هو تغيير المنظور: ليس التحقق مما إذا كانت المتطلبات مستوفاة، بل السؤال المنهجي عمّا يمكن للمهاجم أن يفعله بالتصميم.

تصنّف STRIDE – التي صاغها Loren Kohnfelder وPraerit Garg لدى Microsoft عام 1999 وأصبحت لاحقًا عنصرًا أساسيًا في Microsoft Security Development Lifecycle – التهديدات في ست فئات تنتهك كلٌّ منها هدف حماية: Spoofing (المصادقة)، وTampering (السلامة)، وRepudiation (عدم الإنكار)، وInformation Disclosure (السرية)، وDenial of Service (التوافر)، وElevation of Privilege (التفويض). أما PASTA (Process for Attack Simulation and Threat Analysis؛ UcedaVélez/Morana، 2015) فتعمل بتمحور حول المخاطر: في سبع مراحل – من تحديد الأهداف مرورًا بالنطاق التقني والتفكيك وتحليل التهديدات والثغرات حتى نمذجة الهجمات وتحليل المخاطر/الأثر – تربط المنهجية الهجمات المحاكاة بأثرها على الأعمال. وتنمذج أشجار الهجوم (Bruce Schneier، 1999) هدف الهجوم كعقدة جذرية وتفكّكه عبر روابط AND/OR إلى مسارات هجوم ملموسة يمكن تقييمها مثلًا حسب التكلفة أو احتمال النجاح. وفي الممارسة تتكامل هذه النُهج: STRIDE للاتساع المنهجي، وPASTA لمنظور المخاطر، وأشجار الهجوم للتحليل المعمّق لسيناريوهات بعينها.

أساس كل تحليل تقريبًا هو مخطط تدفق البيانات (DFD): تمثّل الكيانات الخارجية والعمليات ومخازن البيانات وتدفقات البيانات النظام، وتحدّد حدود الثقة الانتقالات بين مناطق ذات مستويات ثقة مختلفة – مثلًا بين الإنترنت والواجهة الخلفية أو بين التطبيق وقاعدة البيانات. وتتركّز التهديدات عند هذه الحدود، ولذلك فهي نقطة الانطلاق الطبيعية للمراجعة المنهجية. وفي الأنظمة المعقدة من المعتاد وجود عدة مخططات بمستويات تفصيل مختلفة: نظرة عامة على النظام ككل، مكمّلة بمناظير تفصيلية للمكوّنات الحرجة. ويبقى المخطط وسيلة لا غاية – فالنموذج الذي يدعم النقاش داخل الفريق أهم من الاكتمال المثالي.

في عام 2020 نشرت مجموعة من 15 خبيرًا من الممارسة والبحث بيان Threat Modeling Manifesto، مستوحى عمدًا من Agile Manifesto. وهو يصوغ خمس قيم، منها: ثقافة اكتشاف مشكلات التصميم ومعالجتها بدلًا من الامتثال الشكلي بوضع علامات الاختيار، والناس والتعاون فوق العمليات والمنهجيات والأدوات، والتحسين المستمر بدلًا من التسليم لمرة واحدة. وتجسّد أربعة مبادئ التنفيذ – مثل أن التحليل المبكر والمتكرر يحسّن الأمن وحماية البيانات، وأن نمذجة التهديدات يجب أن تتناسب مع ممارسات التطوير ودورات العمل لدى الفريق. ويحدّد البيان إضافة إلى ذلك أنماطًا داعمة مثل النهج المنهجي وتعدّد وجهات النظر، وأنماطًا مضادة مثل «Hero Threat Modeler» أو السعي إلى التمثيل المثالي.

يتوفّر OWASP Threat Dragon كأداة نمذجة مجانية بحالة OWASP-Production، تُنشئ المخططات كتطبيق ويب وسطح مكتب وتوثّق التهديدات وفق STRIDE وLINDDUN وPLOT4ai من بين أمور أخرى (الإصدار الحالي 2.6.2، مايو 2026)؛ كما أن Microsoft Threat Modeling Tool راسخ إلى جانبه. ويسلك OWASP pytm (مشروع Lab) طريقًا مختلفًا: تُوصف البنية كشيفرة Python، ومنها يولّد الإطار مخططات تدفق البيانات ومخططات التسلسل وتقارير التهديدات. تجعل نمذجة التهديدات كشيفرة هذه النماذج قابلة لإدارة الإصدارات، وقابلة للفحص في مراجعة الشيفرة، وقابلة للأتمتة في خطوط CI/CD – فتمرّ البنية ونموذج التهديدات بعملية التغيير نفسها. ولا تحلّ الأتمتة محلّ التحليل المشترك داخل الفريق، بل توسّع نطاقه: قوائم التهديدات المولّدة نقطة انطلاق، لا نتيجة نهائية.

يجعل NIST Secure Software Development Framework (SP ⁦800-218⁩، الإصدار 1.1) نمذجة التهديدات جزءًا ثابتًا من التطوير الآمن: تشترط المهمة PW.1.1 أشكالًا من نمذجة المخاطر – صراحةً مثل Threat Modeling أو Attack Modeling أو Attack-Surface-Mapping – لتقييم المخاطر الأمنية للبرمجيات. وفي الفرق الرشيقة لا يعمل ذلك كورشة عمل كبيرة لمرة واحدة، بل بشكل تدريجي: الميزات ذات الصلة بالأمن أو الواجهات الجديدة أو تغييرات البنية تطلق تحليلًا مركّزًا تتدفق نتائجه إلى قائمة العمل؛ وعند ترسيخه كمعيار في Definition of Done يصبح تحليل التهديدات القاعدة لا الاستثناء. وهذا تحديدًا ما يطالب به البيان أيضًا: تحليل مبكر ومتكرر، متكيّف مع دورات عمل الفريق. غير أن المنهجيات التقليدية تقصر بالنسبة لأنظمة الذكاء الاصطناعي الوكيلي – ولهذا الغرض قدّمت Cloud Security Alliance عام 2025 إطار MAESTRO الخاص المكوّن من سبع طبقات، والذي نتعمّق فيه في مقالنا المعرفي حول MAESTRO ضمن مجال أمن الذكاء الاصطناعي الوكيلي.