أمضت الصناعة الأشهر الأولى بعد كشف Anthropic’s Mythos في 7 أبريل ركزت على الأحداث مقدار. ما هو عدد CVEs الجديدة التي ستضيفها Mythos إلى خط أنابيب مثقل بالفعل؟ ما مدى سرعة تغلب طوفان الاكتشافات المعتمدة على الذكاء الاصطناعي على قدرات الفرز؟ كم من الوقت سيستغرق الخصوم لتسليح نتائج ميثوس على نطاق واسع؟ تلك الأسئلة كانت ولا تزال قائمة. ومع ذلك، فإنها جميعًا لا تصل إلى حد معالجة المقياس الوحيد الذي يحدد ما إذا كانت أي من نقاط الضعف هذه تؤدي بالفعل إلى الاختراق: نافذة التعرض.
فترة التعرض – الفجوة بين اللحظة التي تصبح فيها الثغرة قابلة للاستغلال واللحظة التي يقوم فيها فريقك بإصلاحها – هي الوقت الذي يتعين على المهاجم فيه إحداث ضرر فعلي. هذه النافذة مفتوحة حاليا بعيد واسع جدًا. في عام 2025، انخفض متوسط وقت اختراق الجرائم الإلكترونية إلى 29 دقيقة. حتى PCI DSS – وهو إطار الامتثال الأكثر صرامة في الصناعة – يسمح بـ 30 يومًا لمعالجة ثغرة أمنية حرجة. وهذه فجوة تبلغ 1000 إلى 1 بين مدى سرعة تحرك المهاجمين ومدى السرعة المتوقعة من المؤسسات للاستجابة. والعصا التي تدعم نافذة التعرض هذه مفتوحة؟ التعبئة – الملكية والمعالجة والتعقيد التنظيمي الذي يقلل من أوقات الاستجابة ويزيد من المخاطر.
في هذه المقالة، سأشرح لماذا أصبحت نافذة التعرض الآن هي المقياس الأكثر أهمية، وما الذي يبقيها مفتوحة، وكيف يجبر الاكتشاف المعتمد على الذكاء الاصطناعي فرق الأمان الاستباقية على اعتماد المقاييس القائمة على السرعة التي استخدمتها فرق SOC لسنوات.
لم تقم Mythos بإنشاء نافذة التعرض. لقد وسعته.
كان نموذج إدارة الثغرات الأمنية يظهر بالفعل تشققات قبل ظهور Mythos على الساحة. تم الكشف عن 48,185 من التهديدات الخطيرة في عام 2025 – بزيادة قدرها 22% عن عام 2024. وكانت معظم الفرق الأمنية غارقة بالفعل في أعمال الإصلاح المتراكمة. وتشير التوقعات الحالية إلى أنه سيتم إدراج 66000 من هذه التهديدات الجديدة في عام 2026. وفي كثير من الأحيان، ينتهي الأمر بكل واحدة من هذه التحديات في نفس مسار المعالجة – مع مراعاة الموافقات اليدوية، والملكية المجزأة، وتغيير النوافذ التي تتحرك بوتيرة تكنولوجيا المعلومات في المؤسسة – وليس بوتيرة المهاجمين.
يحدد إطار CTEM الخاص بـ Gartner خمس مراحل: تحديد النطاق، والاكتشاف، وتحديد الأولويات، والتحقق من الصحة، والتعبئة. يتم الآن تشغيل المراحل الثلاث الأولى بسرعة الآلة. لقد تحسن التحقق من الصحة – وهو التأكد من أن عناصر التحكم لديك توقف فعليًا التهديدات الحقيقية – نظرًا لأن الأنظمة الأساسية لديها اختبار آلي لمسار الهجوم. ومع ذلك، لا تزال عملية التعبئة تسير بالسرعة التنظيمية.
وتعترف التحركات السياسية الأخيرة بهذا التفاوت. والجدير بالذكر أن BOD 26-04 الخاص بـ CISA يحول الوكالات الفيدرالية من تصحيح CVSS أولاً نحو قابلية الاستغلال وسياق الأصول (وهو ما دعا إليه CTEM طوال الوقت). لكن هذا التوجيه لا يزال يتناول فقط نقاط الضعف التي يجب إصلاحها أولاً. ولا يتناول مدى سرعة تعبئة المنظمات لتنفيذ الإصلاح. بمعنى أنه لا يزال يترك نافذة التعرض مفتوحة على مصراعيها.
لماذا التعبئة هي المكان الذي تتوقف فيه البرامج؟
إن الفجوة بين معرفة أي ثغرة يجب إصلاحها وإصلاحها فعليًا هي مشكلة تعبئة. يحدد فريق الأمان مكان التعرض، ويجب على فريق مختلف – فريق له أولوياته الخاصة، ونوافذ التغيير الخاصة به، وسلاسل الموافقة الخاصة به – علاجه. إن عملية التسليم هذه هي نقطة الضعف الناعمة لمعظم برامج CTEM. تم بناء عمليات المعالجة المؤسسية لخط أنابيب يتحرك بسرعة الإنسان، ولكن كل مرحلة من مراحل التعبئة لم تعد تفعل ذلك.
النقطة المهمة هي أن نافذة التعرض تظل مفتوحة لأن الآلية التنظيمية بين “إصلاح هذا” و”إصلاح” تستغرق أسابيع أو أشهر لتتحول، بينما يحتاج المهاجمون إلى دقائق فقط. مما يطرح السؤال: إلى متى يمكن لفرق الأمن الاستباقية الاستمرار في قياس النجاح على مدار ساعة مختلفة عن المهاجمين؟
تعمل الفرق الاستباقية الآن وفقًا لجداول زمنية تفاعلية
تنقسم المنظمات الأمنية تقليديًا إلى وضعين تشغيليين. تقوم فرق SOC – الجانب التفاعلي – بتتبع وقت السكون ومتوسط وقت الاستجابة وسرعة الاحتواء. وتتمثل مهمتهم في الحد من الأضرار الناجمة عن التهديدات الموجودة بالفعل داخل البيئة. تقوم فرق VM وفرق الأمان السحابية وفرق أمان الشبكات – الجانب الاستباقي – بتتبع تغطية التصحيح حسب مستوى الخطورة أو الوقت لإصلاح التكوينات الخاطئة. مهمتهم هي تقليل التعرض قبل وصول المهاجم.
الأمر هو أن الاكتشاف المعتمد على الذكاء الاصطناعي يضع كلا الفريقين على نفس ساعة التوقيت.
عندما تنتقل الثغرات الأمنية من الكشف عنها إلى التسليح في ساعات ويتم قياس وقت الاختراق بالدقائق، فإن معدل التصحيح ربع السنوي بنسبة 90٪ لا يعني شيئًا إذا ظلت الأصول المهمة قابلة للاستغلال لأسابيع بينما كانت تلك التصحيحات تنتظر في قائمة الانتظار. تحتاج الفرق الاستباقية الآن إلى نفس المقاييس القائمة على السرعة التي استخدمتها SOC دائمًا – لأنه لا يمكن لأي عملية إصلاح أن تتجاوز وقت الاختراق الذي يبلغ 29 دقيقة من تلقاء نفسها.
تحتاج الفرق إلى قبول أن نافذة التعرض لن تغلق بالكامل أبدًا. بل علينا أن نسأل أنفسنا إلى أي مدى يمكننا إغلاقها، وعندما يتحرك المهاجم عبر الفجوة، ما هو عدد الأصول المهمة التي يمكنه الوصول إليها؟
تقليص نصف قطر الانفجار
إن مجموعة الأصول التي يمكن الوصول إليها – نصف قطر الانفجار – هي التي تحدد المخاطر الفعلية للأعمال. نظرًا لعدم قدرة أي منظمة على إغلاق كل تعرضات بالسرعة التي يتحرك بها المهاجمون، يجب أن تتحول الأولوية إلى المسارات التي تربط حالات التعرض القابلة للاستغلال بالأصول المهمة. يقدم 2026 Verizon DBIR هذه الحالة لتحليل مسار الهجوم – بهدف جعل نصف قطر الانفجار مرئيًا.
ليس كل تعرض يؤدي إلى مكان خطير. يُظهر تحليل مسار الهجوم أي حالات التعرض تفتح الطرق للأصول المهمة وأيها هي ببساطة طرق مسدودة. يؤدي هذا إلى تضييق نطاق التعبئة – من الأعمال المتراكمة غير القابلة للانتهاء إلى مجموعة محدودة من المسارات. وبمجرد أن تبدأ الفرق في تتبع المدة التي تظل فيها الأصول المهمة قابلة للوصول، تصبح سرعة المعالجة مقياسًا لمخاطر الأعمال. تتوقف التعبئة عن إبقاء نافذة التعريض مفتوحة وتبدأ في إغلاقها.
Mythos لم يكسر برنامج الأمان الخاص بك. قد تكون نافذة التعرض الخاصة بك – إذا سمحت للتعبئة بمواصلة دعمها مفتوحة.
ملحوظة: تمت كتابة هذه المقالة بعناية وتقديمها لجمهورنا بواسطة رايان بلانشارد، مدير تسويق المنتجات في XM Cyber.
