كل رقعة هي اعتراف.
في اللحظة التي يشحن فيها البائع إصلاحًا أمنيًا، فإن الفرق بين الكود القديم والكود الجديد يخبر أي شخص يراقب بالضبط ما تم كسره وأين تم كسره. قم بتحويل هذا الاختلاف مرة أخرى إلى ثغرة فعالة، ويمكنك ضرب كل نظام لم يتم تحديثه بعد. هذا هو استغلال N-day، وكان دائمًا سباقًا: تصحيحات البائع، وتبدأ الساعة، ويحاول المدافعون النشر قبل أن ينتهي المهاجم من الهندسة العكسية للإصلاح.
على مدى السنوات الثلاثين الماضية، عادة ما يفوز المدافعون بهذا السباق.
كانت الهندسة العكسية للتصحيح وتحويله إلى برمجية استغلال موثوقة عملية بطيئة ومتخصصة – وتتطلب عادةً أسابيع من الجهد على مستوى الخبراء. تاريخيًا، امتدت الفجوة بين التصحيح والاستغلال العام العامل لأسابيع، وغالبًا لأشهر.
يفترض قواعد اللعبة التقليدية أن لديك بضعة أسابيع على الأقل. لم تعد كذلك. ولا حتى قريبة.
كانت الهندسة العكسية للرقعة تستغرق أسابيع. ميثوس يفعل ذلك في ساعة واحدة.
قام فريق الأنثروبيك الأحمر بقياس ذلك بالضبط.
نظرًا للفرق العام والبنيتين، قام Claude Mythos Preview بتحويل 18 تصحيحًا لمتصفح Firefox إلى 8 عمليات استغلال لتنفيذ التعليمات البرمجية من تلقاء نفسه. حدث استغلالها الأول بعد أقل من ساعة من شحن Mozilla للتصحيح. إصدار Firefox الذي يحمل هذا الإصلاح كان لا يزال موجودًا بعد 18 يومًا.
لا تزال نتائج Windows أكثر صعوبة: لا يوجد كود مصدر، فقط تم تجريد الثنائيات ومخرجات برنامج فك التحويل البرمجي. ومع ذلك، فمن بين 21 خطأً في النواة، قامت ببناء 18 حالة تعطل لإثبات المفهوم (الأسرع في 31 دقيقة) وربطت 8 منها بالسلاسل على طول الطريق إلى SYSTEM، بتكلفة 2000 دولار تقريبًا لكل منها.
 |
| الشكل 1. حان الوقت لإعادة إنتاج إثباتات المفهوم (PoCs) لـ 21 من التهديدات المشتركة لـ Windows kernel بواسطة Anthropic |
ويزداد الأمر سوءًا: إحدى سلاسل SYSTEM تلك كانت بسبب خطأ وضعت Microsoft علامة عليه “الاستغلال غير محتمل”، وتمت معايرة هذه التصنيفات للباحثين البشريين. ومن الواضح أن هذه المعايرة لم تعد صالحة.
نماذج كلود العامة، مع تشغيل وسائل الحماية الخاصة بها، بنت برمجيات إكسبلويت أيضًا، ولكن أقل، لذا فهذه ليست قدرة واحدة مقفلة خلف نموذج مسور واحد.
يمكن للمدافعين أن يشعروا ببعض الارتياح لأن تحويل الاستغلال إلى اقتحام كامل لا يزال يتطلب المزيد من العمل والتسليم والاستهداف والتهرب. لكن الخطوة التي كانت تستخدم لشراء المدافعين لأسابيعهم – تحويل التصحيح إلى استغلال عملي – هي بالضبط الخطوة التي انهار جدولها الزمني تمامًا.
وكما قال فريق أنثروبيك: “N-hour أقرب إلى الواقع الذي نعمل فيه الآن.”
آسف، لا يمكنك تصحيح طريقك للخروج من هذا
هذا هو عدم التماثل الذي يكسر قواعد اللعبة القديمة: التصحيح الذي يهدف إلى حمايتك هو نفس القطعة الأثرية التي تسلح المهاجم. يا فتى.
أرسل الإصلاح، وقم بتسليم المهاجمين خريطة طريق إلى الخطأ، ويصبح كل من لم يقم بالتحديث هدفًا. يطلق الباحثون الآن على نقطة التحول هذه اسم “Vulnpocalypse”، وهي اللحظة التي يستطيع فيها النموذج استخدام الكشف كسلاح بشكل أسرع من قدرة المدافعين على نشر الإصلاح.
وهذا هو السبب في أن استغلال يوم واحد لا يقرأ شيئًا كما حدث قبل عامين.
إن الاستجابة غير المحسوبة للتصحيح بشكل أسرع هي اقتراح خاسر. الأرقام تؤكد ذلك:
- تحدد DBIR لعام 2026 من Verizon متوسط الوقت لإصلاح الخلل المعروف المستغل في 43 يومًا، ارتفاعًا من 32 في العام السابق، مع 26 بالمائة فقط من التصحيح الكامل. حتى أفضل الشركات أداءً أغلقت ما بين 30 إلى 40 بالمائة فقط من الثغرات الأمنية المعروفة المستغلة في الأسبوع الأول.
- تحدد ساعة Zero Day Clock متوسط الوقت اللازم للاستغلال في عام 2026 أقل من 24 ساعة، انخفاضًا من حوالي 53 يومًا في عام 2024.
تنتظر التصحيحات اختبار الانحدار وتغيير النوافذ والتزامات وقت التشغيل؛ إن خفض الإنتاج لتجاوز الاستغلال هو مجرد انقطاع مختلف. ومع وجود ما يقرب من 135 تحديًا جديدًا للتطرف العنيف يوميًا (حاليًا بنسبة تصل إلى 40 بالمائة تقريبًا على أساس سنوي)، فليس من المستغرب أن فرقك لن تتمكن أبدًا من إنهاء الأعمال المتراكمة. والخروقات التي نشهدها اليوم تحدث بشكل متزايد في تلك الفجوة.
لذا فإن السؤال لم يعد “ما هو الضعف؟” الأعمال المتراكمة التي يسجل فيها كل شيء 9.8 لا تعطي الأولوية لأي شيء بشكل فعال. والسؤال الذي يجب طرحه بدلاً من ذلك هو “ما هي حالات التعرض التي يمكن للمهاجم استغلالها فعليًا هنا، وهل ستوقف ضوابطنا المحاولة، وهل يمكننا إثبات ذلك؟”
التحقق من الصحة لا يجعلك تقوم بالتصحيح بشكل أسرع. يجعل سرعة التصحيح أقل أهمية.
 |
| احصل على خطة عمل ما بعد الأسطورة: خمس حركات، واختبار النجاح لكل منها، وخطة البدء لمدة خمسة أيام. البدء في سد الفجوة الآن. قم بالتنزيل الآن. |
التحقق من إمكانية الاستغلال، لا تفترض ذلك
وإثبات ذلك يتطلب ثلاث طرق، لأنه لا يمكن لأحد أن يصل إلى البيئة بأكملها.
الأول: أطلق برمجية إكسبلويت حقيقية حيث يمكنك القيام بذلك بأمان.
إن سلسلة الاستغلال المباشر ضد الأصول التي يمكن الوصول إليها هي أقوى دليل على ذلك، وهذا ما يفعله اختبار الاختراق المستقل. لكن الاستغلال المباشر لا يمكن أن ينفجر إلا عندما يكون التفجير آمنًا. هذا يستبعد أنظمة الأعمال الحرجة, الشبكات المقيدة، و قطاعات ذات فجوات هوائية، والتي عادة ما تكون الأصول الأكثر أهمية. فهو يستبعد كل برامج مكافحة التطرف العنيف دون أي استغلال عام وآمن. وفي اليوم الأول، يكون هناك تأخير قبل ظهور أي استغلال. قم بإضافتها وستكون الشريحة القابلة للاختبار بأمان من إجمالي تعرضك هي 10 إلى 15 بالمائة من بيئتك.
بغض النظر عن عدد أدوات الاختراق التي تمتلكها، فإنها جميعًا تصطدم بنفس الجدار في النهاية. أما نسبة 85 إلى 90 في المائة الأخرى، وهي جواهر التاج التي لا يمكنك لمسها والتهديدات التي لم يستخدمها أحد كسلاح بعد، فهي حيث يعيش القرار فعليًا.
ثانيًا: بالنسبة إلى نسبة 85 إلى 90 بالمائة، اثبت ضد ضوابطك بدلاً من إطلاق برمجيات إكسبلويت.
هذه ليست قراءة التكوين والافتراض؛ إنها تدير سلوكيات المهاجم الفعلية ضد مكدسك المباشر وتراقب ما يحدث. فكر في صاروخ لا يمكنك إطلاقه، أو صاروخ فريد من نوعه، أو صاروخ بطاقم بشري، أو ربما لا يزال قيد التطوير. يمكنك إثبات ذلك على الأرض بكل الطرق الممكنة قبل تلك الرحلة التجريبية الأولى، واختبار كل مكون في ظل الظروف الحقيقية؛ إذا فشل الجزء المطلوب، فلن يطير، وأنت تعلم أنه بدون تكلفة الإطلاق المباشر وتعرضه للخطر.
إن برمجية إكسبلويت هي في الأساس نفس الفكرة: سلسلة من التقنيات تعمل بالتسلسل.
 |
| الشكل 3. تسلسل TTP عن طريق التحقق من صحة التعرض بيكوس |
قم بتفكيك CVE إلى تلك السلسلة وتحقق من صحة كل رابط مقابل عناصر التحكم الفعلية وسياسة EDR والتجزئة والقائمة المسموح بها وجدار الحماية.
قم بكسر الرابط المطلوب وستعلم أن التعرض غير قابل للاستغلال هنا، مع الأدلة، حتى على الأصول التي لا يمكنك لمسها أبدًا وضد التهديدات التي لم يستخدمها أحد كسلاح بعد.
ثالثًا: أثبت أن الضوابط الخاصة بك صامدة بالفعل.
قم بتشغيل أحدث تقنيات المهاجم بشكل مستمر ضد مجموعة أدوات المنع والكشف المباشرة الخاصة بك، حتى تعرف ما الذي تم حظره، وما الذي ينزلق عبره بصمت، وأين انجرف عنصر التحكم، قبل أن يكتشفه المهاجم لك.
عند تشغيلها معًا، تتوقف هذه العمليات عن كونها ثلاث عمليات منفصلة وتصبح حلقة واحدة مستمرة: التحقق من صحة, يقرر, يصلح, إعادة التحقق من صحة. هذا هو التحول الذي تصفه عملية التحقق من صحة التعرض الخصومة لشركة Gartner، وهو ما يحول النتيجة الحاسمة إلى دعوة يمكن الدفاع عنها: تصحيح، أو تخفيف، أو مراقبة، أو قبول، بدلاً من التخمين الذي يعتمد على درجة الخطورة.
حيث يناسب بيكوس
لم يكن العثور على التعرض هو الجزء الصعب أبدًا. إثبات الاتصال الصحيح هو أن الحلقة التي يعملها Picus بشكل مستمر، وبالتالي فإن الإجابة لن تصبح قديمة أبدًا.
- عندما يكون إطلاق برمجيات إكسبلويت مباشرة آمنًا، فإن اختبار الاختراق الذاتي Picus يقدم لك أقوى دليل على ذلك من خلال تشغيل السلسلة الحقيقية ضد الأصول التي يمكن الوصول إليها.
- بالنسبة لكل شيء لا يمكنك لمسه بأمان، والأنظمة المقيدة والمعزولة بالهواء والمهمة للأعمال، بالإضافة إلى التهديدات الخطيرة التي لم يتم استغلالها بعد، تثبت عملية التحقق من صحة Picus Exposure إمكانية الاستغلال من خلال سلسلة TTP، دون الحاجة إلى تفجير، مع إجابة في اليوم الأول من الكشف.
- وتستمر لعبة Picus Breach and Attack Simulation في التحقق من حزمة الأمان المباشرة الخاصة بك وفقًا لأحدث التقنيات. عندما ينزلق عنصر التحكم، فإنه يعيد التوقيع أو القاعدة الدقيقة لسد الفجوة، ثم يعيد التحقق من أنه تم إغلاقه بالفعل.
ثلاث طرق، حلقة واحدة. كل ذلك يتم قيادته بسرعة الآلة بواسطة Picus Swarm، وهو فريق من عملاء الذكاء الاصطناعي الذين يعملون داخل حواجز الحماية التي تضعها، مع سلسلة حراسة يمكن تتبعها، ولا توجد نتائج مبهمة أو مسارات هجوم مهلوسة.
فيما يلي النتائج الفعلية للعملاء، من سد الفجوات الحقيقية بدلاً من شراء المزيد من الأدوات:
- انخفاض بنسبة 92% في انتهاكات جيش تحرير السودان (SLA) في النتائج العالية والحرجة
- 89% أقل من MTTR
- فعالية التحكم مضاعفة خلال ثلاثة أشهر
هذه هي حالة العمل: استمر في تشغيل العمليات وإنفاق الميزانية حيث يؤدي ذلك إلى تغيير النتيجة، بدلاً من تصحيح كل شيء وعدم حماية أي شيء، وإشعال النار في شعر فريقك أثناء هذه العملية. لقد انتقل سؤال مجلس الإدارة من “هل قمنا بالتصحيح؟” إلى “هل نحن آمنون الآن، وهل يمكنك إثبات ذلك؟”
اكتشف ما يمكن للمهاجم استغلاله فعليًا في بيئتك قبل حدوث موجة التصحيح التالية. اطلب عرضك التجريبي المجاني هنا.
ملاحظة: تمت كتابة هذا المقال بواسطة سيلا أوزيرين هاجي أوغلو، مهندس أبحاث الأمن في Picus Security.
