ألون نوي، الرئيس التنفيذي والشريك المؤسس لشركة Astelia – سلسلة مقابلات

ألون نوي، الرئيس التنفيذي والشريك المؤسس لشركة Astelia، قائد في مجال الأمن السيبراني، يتمتع بخبرة تزيد على 15 عامًا في الأمن الهجومي والدفاعي. خدم سابقًا في الوحدة 8200 الإسرائيلية، ثم تولّى قيادة الفريق الأحمر الوطني الإسرائيلي للأمن السيبراني، حيث شمل عمله اختبار قدرة البنى التحتية الحيوية على الصمود أمام الهجمات، والتعاون مع فرق الأمن لتحديد مسارات الهجوم الفعلية والتصدي لها. كما أدار نوي مؤسسات كبيرة للبحث والتطوير، وتخرّج في برنامج تالبوت الإسرائيلي، ويحمل درجة الماجستير في علوم الحاسوب من Tel Aviv University. وأسهمت خبرته في العمل من منظور المهاجم والمدافع على حد سواء في صياغة النهج الذي تتبعه Astelia، والذي يركز على تحديد الثغرات التي يمكن الوصول إليها واستغلالها فعليًا ضمن بيئة المؤسسة.

Astelia شركة متخصصة في الأمن السيبراني، صُممت بالاعتماد على الذكاء الاصطناعي، وتركز على إدارة التعرض للتهديدات والثغرات الأمنية. أسسها محاربون قدامى وقادة سابقون في الفريق الأحمر الوطني الإسرائيلي، وتستخدم الشركة الذكاء الاصطناعي والتحليل الخاص بكل شبكة لتحديد الثغرات التي تتيح مسارات حقيقية للهجوم، بدلًا من الاعتماد أساسًا على درجات الخطورة العامة. وترسم منصتها خريطة لبيئة المؤسسة من خلال عمليات تكامل تتيح القراءة فقط، وتحلل متطلبات استغلال الثغرات في ضوء بنية الشبكة، وتساعد فرق الأمن على تحديد أولويات الثغرات التي ثبت إمكانية الوصول إليها، مع تحديد خيارات المعالجة، مثل تثبيت التصحيحات أو تغيير الإعدادات أو تقسيم الشبكة أو استخدام ضوابط تعويضية. ويتمثل الهدف الأوسع للشركة في مساعدة المؤسسات على تقليل عدد تنبيهات الثغرات التي يتعين عليها التحقيق فيها، وتوجيه مواردها إلى مواطن التعرض التي يمكن للمهاجمين استغلالها واقعيًا.

قبل تأسيس Astelia، أمضيت أكثر من عقد في مجال الأمن القومي الإسرائيلي، بما في ذلك العمل في الوحدة 8200 وقيادة الفريق الأحمر الوطني الإسرائيلي للأمن السيبراني، حيث كانت مهمتك التفكير والتصرف كمهاجم. ما الذي علمتك إياه تلك التجارب عن الكيفية التي تقع بها الهجمات المتطورة فعلًا؟ وما الثغرة في سوق الأمن السيبراني التي دفعتك في نهاية المطاف إلى المشاركة في تأسيس Astelia؟

على مدى أكثر من عقد، كان عملي في جوهره أن أفكر كالشخص الذي يحاول اختراق الأنظمة، لا كالشخص الذي يحاول منعه. وأوضح درس تعلمته من تلك التجربة هو أن الهجمات المتطورة نادرًا ما تعتمد على ثغرة واحدة كبيرة ومفاجئة. فعادة ما تنشأ من أمرين أو ثلاثة أمور صغيرة لم يظن أحد أن أيًا منها مهم بمفرده: حساب لم يُعطّل قط، أو جزء من الشبكة كان من المفترض عزله لكنه لم يُعزل، أو صلاحية أوسع مما يلزم، وما إلى ذلك. عندما قدت الفريق الأحمر الوطني، أمضينا وقتًا أطول بكثير في فهم الطريقة التي تعمل بها شبكة الجهة المستهدفة فعلًا مما أمضيناه في بناء أداة الاستغلال نفسها. فما إن تعرف المسارات، حتى يصبح استغلالها تقريبًا الجزء الأسهل. وعندما انتقلت إلى الجانب الدفاعي، بدأت ألاحظ نمطًا متكررًا: قائمة طويلة من الثغرات المصنفة على أنها «حرجة»، من دون وسيلة حقيقية لمعرفة أيها يستطيع المهاجم الوصول إليه فعلًا. وهذا هو الخلل الذي أُنشئت Astelia لمعالجته، وذلك بتوظيف تحليل إمكانية الوصول، وهي العملية التي يستخدمها المهاجمون للعثور على طريق إلى الداخل، لصالح المدافعين بدلًا منهم.

تتبع Astelia نهجًا مختلفًا في إدارة الثغرات، إذ ترسم خريطة للبنية الفعلية لشبكة المؤسسة وتستخدم الذكاء الاصطناعي الوكيلي لتحديد الثغرات التي يمكن الوصول إليها واستغلالها بالفعل. كيف يجري ذلك عمليًا؟ ولماذا تعتقد أن أساليب تقييم الثغرات التقليدية غالبًا ما تدفع المدافعين إلى ترتيب أولوياتهم على نحو خاطئ؟

نرسم خريطة للشبكة الفعلية للمؤسسة، بما يشمل كيفية اتصال الأنظمة بعضها ببعض في الواقع، ومواقع ضوابط الشبكة القائمة التي تعترض طريق المهاجم، وذلك باستخدام عمليات تكامل تتيح القراءة فقط. وبعد تكوين هذه الصورة، يفحص الذكاء الاصطناعي كل ثغرة، ويحدد ما يلزم فعلًا لاستغلالها، مثل مستوى الوصول المطلوب، والمسار عبر الشبكة، والشروط التي ينبغي توافرها. ثم يطابق كل ذلك مع بنية الشبكة الفعلية وضوابطها القائمة. ومن بين كل ما ترصده أدوات الفحص، يتبين عادة أن أقل من 1% من الثغرات يمكن الوصول إليها فعلًا. وتواجه كل من CVSS وEPSS المشكلة الأساسية نفسها: إذ تقيّمان الثغرة كما لو كانت جميع الشبكات متشابهة، وكأن النظام مكشوف على الإنترنت العام، أو كما لو كانت اتجاهات الاستغلال على مستوى القطاع كله تخبرنا بشيء عن بيئتك تحديدًا. وفي معظم البيئات، لا يصح أي من هذين الافتراضين. فالثغرة المصنفة حرجة والموجودة خلف شبكة مقسمة على بُعد ثلاث قفزات ليست بمستوى خطورة ثغرة على خادم متصل بالإنترنت مباشرة، كما أن الثغرة التي تحظى بدرجة EPSS مرتفعة على مستوى القطاع قد يتعذر الوصول إليها تمامًا عبر شبكتك. وهذه الدرجات ثابتة عند نقطة زمنية معينة، ولا تعكس واقع شبكتك. أما إمكانية الوصول فتتغير باستمرار، لأن الشبكات والضوابط التي تحميها تتغير كذلك.

قلت إن كثيرًا مما يقلق المدافعين لا صلة له بكيفية عمل المهاجمين الفعليين. واستنادًا إلى خبرتك في شن هجمات مصرح بها على بيئات شديدة التأمين، ما أكثر ما تخطئ فرق الأمن في فهمه بشأن الطريقة التي يكتشف بها المهاجمون مواطن الضعف ويربطون بينها؟

ثمة افتراض شائع بأن المهاجمين يستهدفون كل ما يُصنَّف على أنه الأشد خطورة. لكننا نادراً ما نفعل ذلك في الواقع. نستهدف ما يقرّبنا من هدفنا بأسرع وقت، وغالباً ما يكون شيئاً صنّفه الماسح على أنه متوسط الخطورة أو منخفضها: مشاركة ملفات ذات أذونات غير سليمة، أو بيانات اعتماد متبقية من مشروع يُفترض أنه أُغلق، أو موطئ قدم صغير لم يصبح خطيراً إلا بعد جمعه مع شيء آخر لم يظن أحد أنه مرتبط به. تقيّم الماسحات النتائج كلّاً على حدة. لكن الهجمات لا تسير بهذه الطريقة؛ فالمهاجم ينظر دائماً إلى الروابط بين الأشياء. وقد يكون شيء يبدو غير مؤذٍ بمفرده هو بالضبط ما يحتاج إليه المهاجم للانتقال من حساب محدود الصلاحيات إلى السيطرة الكاملة. لا يزال معظم المدافعين مهيئين لتقييم المخاطر نتيجةً نتيجة، ولهذا يستمرون في إغفال المسارات المهمة فعلاً.

يقلل الذكاء الاصطناعي بدرجة كبيرة الوقت والخبرة اللازمين لتحويل الثغرات التي يُكشف عنها حديثاً إلى ثغرات قابلة للاستغلال. كيف يغيّر ذلك اقتصاديات الهجمات الإلكترونية، وما أنواع المهاجمين الأكثر استفادة من نماذج الذكاء الاصطناعي المتزايدة القدرة؟

كانت الخبرة هي الجانب المكلف في بناء ثغرة قابلة للاستغلال: العثور على الخلل، وتحديد طريقة استغلاله بدقة، وجعل الاستغلال موثوقاً. وما كان يستغرق عادةً أشهراً من فريق من الخبراء، بات بإمكان مهاجم عادي لديه إمكانية الوصول إلى أحدث النماذج إنجازه في ساعات. وهذا تحول حقيقي في اقتصاديات الهجمات. كان تحويل ثغرة CVE جديدة إلى سلاح يتطلب استثماراً فعلياً؛ أما الآن فلا يكاد يتطلب شيئاً، كما أن الفترة بين الكشف عن ثغرة وظهور استغلال ناجح لها تتقلص باستمرار. لم تُصمَّم معظم دورات تثبيت التحديثات الأمنية للعمل بهذه السرعة. والمهاجمون الأكثر استفادة من ذلك ليسوا الجهات الحكومية من الصف الأول، التي كانت تمتلك أصلاً قدرات هجومية قوية، بل المجموعات الأصغر والمجرمون الانتهازيون الذين لم تتوفر لديهم قط خبرة من هذا النوع داخل مؤسساتهم، والذكاء الاصطناعي يضعها فعلياً في متناولهم.

تقوم مبادرة GOLD EAGLE التابعة للبيت الأبيض على تعزيز التعاون بين الحكومة وشركات التكنولوجيا والجهات المشغّلة للبنية التحتية الحيوية، مع استخدام أحدث تقنيات الذكاء الاصطناعي لتحديد الثغرات ومعالجتها بسرعة أكبر. من منظور المهاجم، ما الجوانب التي يصيب فيها هذا النموذج، وأين قد لا يكون كافياً؟

تحدد GOLD EAGLE على نحو سليم مقدار الوقت المهدور بسبب تكرار الجهود، إذ تفحص مؤسسات مختلفة الثغرة المُعلَن عنها نفسها وتفرزها كلٌّ على حدة قبل أن يتخذ أحد أي إجراء فعلي. إن توحيد هذه الجهود واستخدام الذكاء الاصطناعي لتسريع التنسيق بين الحكومة والجهات المشغّلة للبنية التحتية يقللان فعلاً الوقت المتاح للمهاجم، وهذا، من منظور المهاجم، هو الجانب الأهم. فالسرعة هي كل شيء في هذا المجال. أما موطن القصور في رأيي، فهو أن التنسيق على مستوى القطاع بأكمله لا يخبر أي شركة بمفردها ما إذا كان من الممكن الوصول إلى ثغرة بعينها داخل شبكتها. فقد تتمكن مؤسسة من الاطلاع على موجز تهديدات مُرتب جيداً حسب الأولوية، ومع ذلك لا تعرف إن كان ينطبق عليها. وتظل الخطوة الأخيرة، أي التحقق من الثغرة في ضوء طوبولوجيا شبكتها، مسؤولية كل مؤسسة على حدة.

حذرت أكثر من 100 منظمة تعمل في مجالات التكنولوجيا والأمن السيبراني والقطاع المالي والبنية التحتية من أن الوقت المتاح لتعزيز الدفاعات قد يكون محدوداً قبل أن تصبح الهجمات المدعومة بالذكاء الاصطناعي أوسع انتشاراً بدرجة كبيرة. هل تشاطرهم هذا الشعور بالإلحاح، وما الذي ينبغي للمؤسسات أن تنجزه واقعياً خلال هذه «الفترة المتاحة للمدافعين»؟

أشاطرهم الشعور بالإلحاح، وإن كنت سأصوغ السبب بطريقة مختلفة بعض الشيء. فالهجمات المدعومة بالذكاء الاصطناعي ليست تهديداً مستقبلياً؛ إذ تتقلص بالفعل الفترة بين الكشف عن ثغرة وظهور استغلال ناجح لها بسرعة تفوق قدرة معظم المؤسسات على تثبيت التحديثات الأمنية. وليس من الواقعي محاولة الفوز في هذا السباق بمجرد تثبيت التحديثات بسرعة أكبر. أما الواقعي فهو استغلال هذه الفترة لفهم بيئة المؤسسة نفسها. وهذا يعني معرفة طوبولوجيا الشبكة الفعلية، وتحديد الثغرات التي يمكن الوصول إليها حقاً، وتركيز الجهود على هذه المجموعة الأصغر بدلاً من توزيعها على آلاف النتائج النظرية. ومن المجدي أيضاً استخدام هذه الفترة لتطوير خيارات للمعالجة تتجاوز تثبيت التحديثات، مثل تقسيم الشبكة إلى قطاعات أو إجراء تغييرات على إعداداتها، لأن سرعة تثبيت التحديثات وحدها لن تواكب تسارع تطوير الثغرات القابلة للاستغلال بفضل الذكاء الاصطناعي.

يعتمد الدفاع السيبراني الجماعي بدرجة كبيرة على تبادل المؤسسات المعلومات الاستخباراتية عن الثغرات والتهديدات. ما الذي ينبغي تغييره، تقنيًا أو ثقافيًا، لكي تتبادل الحكومات والشركات الخاصة معلومات مفيدة بالسرعة الكافية لإحداث فرق، من دون أن يؤدي ذلك إلى نشوء مخاطر أمنية جديدة؟

التحدي التقني أسهل في الحل. أما المشكلة الأصعب فهي الثقة. لا تريد أي مؤسسة الإفصاح عن نقطة ضعف في بيئتها والمخاطرة بأن تُنسب إليها، لا سيما إذا ظهرت لاحقاً في تقرير عن اختراق أمني. والحل الفعّال هو مشاركة معلومات مفيدة من دون أن تكشف هوية الجهة، أي مشاركة نمط استغلال الثغرة بدلاً من وصف محدد بما يكفي للدلالة على شركة بعينها. ويتطلب ذلك بنية تحتية أفضل، وبيانات تهديدات قابلة للقراءة آلياً تنتقل عبر قنوات مؤتمتة بدلاً من ملفات PDF والقوائم البريدية، لكن البنية التحتية لم تكن العائق الحقيقي قط. فالعائق هو أن معظم المؤسسات لا تزال ترى في المشاركة مسؤولية قانونية محتملة، لا أمراً يحميها. ويُعد وجود وسيط محايد موثوق به جزءاً مما تسعى GOLD EAGLE إلى توفيره، وقد يسهم كثيراً في تغيير ذلك.

تركّز Astelia على «قابلية الوصول» بدلًا من الاكتفاء بدرجة الخطورة أو وجود ثغرة معروفة قابلة للاستغلال. ومع تسريع الذكاء الاصطناعي لعملية تطوير الثغرات القابلة للاستغلال، واحتمال شيوعها أكثر، هل تصبح قابلية الوصول مقياسًا أهم للمخاطر؟ وكيف ينبغي لكبار مسؤولي أمن المعلومات إعادة التفكير في ترتيب أولويات الثغرات استنادًا إلى هذا المفهوم؟

لا تزداد أهمية قابلية الوصول فحسب، بل أصبحت المقياس الحاسم فعليًا. لطالما كانت درجة الخطورة تقديرًا تقريبيًا للضرر الذي قد يسببه شيء ما؛ أما قابلية الوصول فتجيب عن سؤال ما إذا كان بالإمكان استغلاله في بيئتك الآن. كان المدافعون يراهنون سابقًا على أن معظم النتائج منخفضة الخطورة يمكن أن تبقى بلا إصلاح لأشهر، لأن أحدًا لن يستغلها عمليًا. لكن هذا الافتراض لم يعد قائمًا بعدما أصبح توليد الثغرات القابلة للاستغلال سريعًا ورخيصًا. ويجب أن يتحول النهج من قائمة متراكمة مرتبة بحسب درجة الخطورة إلى إزالة مواطن التعرض التي يمكن الوصول إليها فعليًا. وما يميز العدد القليل من الثغرات المهمة عن سواها هو قدرة المهاجم على الوصول إليها عبر شبكتك الفعلية. ينبغي لكبار مسؤولي أمن المعلومات طلب دليل على قابلية الوصول، لا إضافة درجة أخرى إلى CVSS.

تستخدم Astelia أيضًا وكلاء الذكاء الاصطناعي في جوانب من دورة حياة الثغرات، بدءًا من تحديد مواطن التعرض الجديدة ووصولًا إلى تنسيق المعالجة. إلى أي مدى ينبغي أن يتمتع وكلاء الأمن السيبراني بالاستقلالية في نهاية المطاف عندما يصبحون قادرين على إجراء تغييرات في بيئات الإنتاج، وأين ينبغي أن يظل البشر مشاركين في اتخاذ القرار؟

ينبغي أن يتمتع الوكلاء باستقلالية حقيقية في التحليل: رسم خريطة الشبكة، وتحديد متطلبات استغلال الثغرات، وربط الإفصاحات الجديدة بعضها ببعض، والكشف عما يمكن الوصول إليه. هنا تكتسب السرعة أهميتها القصوى، والخطأ لا يتجاوز تقديم توصية سيئة يلتقطها إنسان. وأضع حدًا واضحًا أمام إجراء تغييرات غير خاضعة للإشراف في بيئات الإنتاج. فمن دون بيانات عن قابلية الوصول عبر الشبكة، يكون الوكيل الذي يطبّق إصلاحًا مجرد مخمّن، وقد يتسبب إعداد خاطئ لجدار الحماية أو تغيير في تقسيم الشبكة بضرر يفوق ضرر الثغرة التي كان المقصود سدّها. وهذا أيضًا سبب كون معظم ما يُسوّق اليوم على أنه «معالجة ذاتية» ليس في الواقع سوى إنشاء تلقائي للتذاكر. تريد المؤسسات أن يوافق إنسان على هذا النوع من التغييرات، ولا سيما أن التصحيح قد لا يكون متاحًا أصلًا في بعض الأحيان. والنموذج المناسب هو أن يقترح الوكلاء إصلاحات مدعومة بالأدلة، على أن يوافق عليها شخص قبل إجراء أي تغيير في بيئة الإنتاج. وستتسع حدود استقلالية الوكلاء مع نضوج بيانات قابلية الوصول وبناء الثقة في فئات أضيق من التغييرات، جرى اختبارها جيدًا، لكنني لا أرى أن البدء بإجراءات غير خاضعة للإشراف في بيئة الإنتاج هو الخيار المناسب.

بالنظر إلى المستقبل، ومع إتاحة أنظمة ذكاء اصطناعي مستقلة تزداد قدراتها للمهاجمين والمدافعين على حد سواء، كيف تتوقع أن يتغير التوازن بين الأمن السيبراني الهجومي والدفاعي؟ وما الذي سيميز المؤسسات المستعدة لهذه المرحلة المقبلة عن غير المستعدة لها؟

يحتفظ المهاجمون بالأفضلية في المراحل الأولى من استخدام الذكاء الاصطناعي، لأنهم لا يحتاجون إلا إلى مسار واحد ناجح، والذكاء الاصطناعي ملائم للعثور عليه بسرعة: إذ تتسارع عمليات الاستطلاع وتطوير الثغرات القابلة للاستغلال، ويصبح محتوى التصيد الاحتيالي أكثر إقناعًا. ولا يرد المدافعونم هذه الفجوة باستخدام الذكاء الاصطناعي لإنجاز الأشياء نفسها بسرعة أكبر. بل يردمونها باستخدامه لاكتشاف الثغرات التي يمكن الوصول إليها فعليًا في شبكاتهم وإزالتها، استنادًا إلى سياقهم الخاص، بدلًا من إدارة المخاطر بالاعتماد على بيانات تهديدات عامة تشمل القطاع بأكمله. وما سيميز المؤسسات المستعدة هو ما إذا كانت قد أجرت هذا التحول قبل أن تضطر إليه، وما إذا كانت قادرة على تحديد الثغرات القابلة للاستغلال فعليًا في بيئتها، مدعومة بالأدلة، بدلًا من التعويل على مواكبة جدول التصحيحات لديها للتطورات. أما المؤسسات التي لا تزال تدير المخاطر في سياق عام، فستظل تفاجأ بتهديد صنّفه ماسحها الخاص قبل عام على أنه منخفض الأولوية.

شكرًا على هذه المقابلة الرائعة. ويمكن للقراء الراغبين في معرفة المزيد زيارة Astelia.