قمة كشف التهديدات والاستجابة للحوادث تشير إلى تحول نحو عمليات أمنية مدعومة بالذكاء الاصطناعي

قمة اكتشاف التهديدات والاستجابة للحوادث تُطلق إشارة: عمليات أمن المؤسسات تدخل مرحلة «الذكاء الاصطناعي ضد الذكاء الاصطناعي»

أعلنت SecurityWeek مؤخرًا أن Threat Detection & Incident Response Summit قد أتاح جميع الجلسات عند الطلب. ووفقًا لجدول الأعمال المنشور، دارت هذه الفعالية حول موضوعات مثل إرهاق التنبيهات، والرصد المدعوم بالذكاء الاصطناعي، ورؤية الهوية، والاستجابة السحابية، واستخبارات التهديدات، وتحليل الاحتيال، وأمن التطبيقات، وBreach Response، بمشاركة مختصين وباحثين في الأمن من مؤسسات مثل Amazon وIDC وWiz وOkta وAbnormal AI وCensys. بالنسبة لقطاع الأمن، ليست مثل هذه الأجندة في حد ذاتها حدثًا خبريًا؛ لكن بالنسبة إلى صناع القرار في الشركات فهي إشارة واضحة جدًا: مركز العمليات الأمنية (SOC) ينتقل من «تكديس الأدوات» إلى «التنسيق الآلي وإدارة أولويات المخاطر»، وهذا التحول لم يعد مجرد رؤية مستقبلية، بل أصبح ضغطًا واقعيًا.

ماذا يعني ذلك لأمن المؤسسات؟

ظاهريًا، هذا مجرد إعادة عرض لمحتوى قمة افتراضية في القطاع؛ لكن موضوعاتها الأساسية تعكس عدة مشكلات تواجهها المؤسسات على نطاق واسع:

1. إرهاق التنبيهات يزداد سوءًا باستمرار: تتلقى فرق الأمن إشارات أكثر فأكثر، لكن نسبة التنبيهات عالية القيمة التي تتحول إلى إجراءات قابلة للتنفيذ لم ترتفع بالوتيرة نفسها. 2. أصبحت الهوية المدخل الرئيسي للهجمات: تناولت الجلسات موضوع حماية الهوية مرارًا، ما يدل على أن سرقة بيانات الاعتماد، واختطاف الجلسات، وإساءة استخدام الصلاحيات لا تزال تهديدات واقعية. 3. الذكاء الاصطناعي هو في الوقت نفسه قدرة دفاعية ومُضاعِف للهجمات: ظهور موضوعات مثل “Prompt Fraud” و“AI-Powered Attacks” و“Agentic SOC” في الأجندة يوضح أن الذكاء الاصطناعي التوليدي دخل بالفعل إلى جانبي الهجوم والدفاع معًا. 4. اتسعت فجوات الرؤية في البيئات السحابية والإنترنت: في بيئات السحابة الهجينة، وتعدد SaaS، والعمل عن بُعد، تصبح حدود الأصول ضبابية، وتضعف فعالية نماذج الكشف التقليدية القائمة على الحدود الثابتة.

من منظور المخاطر، هذا ليس ثغرة واحدة، ولا جماعة هجوم واحدة، ولا حادثة إقليمية منفردة؛ لذلك لا ينبغي فهم مستوى الخطر على أنه “خطر مرتفع ينفجر فورًا”، بل ينبغي تعريفه على أنه مخاطر تشغيلية استراتيجية متوسطة إلى عالية: فإذا كانت المؤسسة لا تزال تعتمد على تنبيهات متفرقة، وسجلات معزولة، وعمليات استجابة يدوية، فإن كفاءة المعالجة في حالات الاختراق الحقيقي أو تسرب البيانات أو هجمات الفدية ستتراجع بشكل ملحوظ.

التحليل التقني وتحليل المخاطر

أساليب الهجوم: من «تجاوز الكشف» إلى «إنتاج الضوضاء»

لا يركز الموضوع الرئيسي في هذه القمة على عينات هجوم محددة، بل على تطور أنماط الهجوم التي تواجهها المؤسسات اليوم. ويمكن ملاحظة عدة اتجاهات:

• التصيد الاحتيالي والهندسة الاجتماعية بمساعدة الذكاء الاصطناعي: تجعل النصوص والنبرة والسياقات الأكثر طبيعية رسائل البريد والرسائل أكثر صعوبة في أن تُحجب بواسطة القواعد التقليدية.- التصيّد والهندسة الاجتماعية بمساعدة الذكاء الاصطناعي: النصوص والنبرة والسياق الأكثر طبيعية تجعل رسائل البريد الإلكتروني والرسائل أصعب في الاعتراض بواسطة القواعد التقليدية.
• سرقة الاعتمادات وإساءة استخدام الهوية: غالبًا لا يحتاج المهاجمون إلى ثغرات معقدة؛ فمجرد الحصول على بيانات اعتماد صالحة قد يتيح لهم التحرك أفقياً داخل SaaS أو VPN أو لوحات تحكم السحابة أو التطبيقات الداخلية.
• تجنّب التنبيهات وإدخال الضوضاء: يحاول المهاجمون تمويه الأنشطة الخبيثة على أنها سلوك طبيعي للمستخدم، أو تعمّد توليد كميات كبيرة من الإشارات منخفضة القيمة لإبطاء سرعة التحليل.
• هجمات الترابط بين السحابة وطبقة التطبيقات: الدخول إلى البيئة عبر خدمات مكشوفة أو أخطاء في الإعداد أو مسارات سلسلة التوريد، ثم توسيع الأثر بالاعتماد على صلاحيات الهوية.

الأصول الرئيسية المعنية

استنادًا إلى محتوى الأجندة، فإن الأصول الأكثر تأثرًا بشكل مباشر تشمل عادةً:

• نظام الهوية: SSO، MFA، خدمات الدليل، الحسابات ذات الامتيازات
• النقاط الطرفية: محطات العمل، الحواسيب المحمولة، الأجهزة المحمولة، وحدات الإدارة
• بيئة السحابة: IaaS، PaaS، SaaS، الحاويات وبيئات تشغيل التطبيقات
• حزمة عمليات الأمن: SIEM، SOAR، EDR/XDR، منصات استخبارات التهديدات
• أصول البيانات: بيانات العملاء، بيانات الهوية، السجلات، سجلات التدقيق، معلومات المعاملات التجارية

تحليل أثر الأعمال: ليس “هل تم الاختراق”، بل “كم يستغرق اكتشافه واحتواؤه”

بالنسبة إلى المؤسسات، فإن الخسارة الحقيقية غالبًا لا تأتي من الاختراق الأولي فقط، بل من تأخر الاكتشاف وبطء الاستجابة:

• مخاطر التشغيل: يعجز مركز عمليات الأمن عن التمييز السريع بين الأحداث عالية الأولوية، مما يطيل مدة تعطل الأعمال.
• المخاطر المالية: تتراكم تكاليف التحقيق في الحوادث، والأدلة الجنائية الخارجية، والاستعادة، والتكاليف القانونية، بما يؤثر في الميزانية ومطالبات التأمين.
• مخاطر الامتثال: إذا كانت سجلات الهوية أو تدقيق الوصول أو سجلات الوصول إلى البيانات غير مكتملة، فقد تجد المؤسسة صعوبة في تلبية المتطلبات التنظيمية ومتطلبات التدقيق.
• مخاطر السمعة: بالنسبة إلى العملاء والشركاء، تؤثر سرعة الاستجابة والشفافية مباشرةً في مستوى الثقة.
• مخاطر البيانات: غالبًا ما تؤدي إساءة استخدام الهوية وسوء إعدادات السحابة إلى تسريب بيانات “منخفضة الضجيج ظاهريًا لكنها شديدة الحساسية فعليًا”.

ملاحظة على اتجاهات الصناعة: مركز عمليات الأمن ينتقل من “الاكتشاف” إلى “اتخاذ القرار”

يمكن ملاحظة من موضوعات القمة أن اهتمام الصناعة قد تغيّر: ففي السابق كان التركيز على “كيفية اكتشاف المزيد من التهديدات”، أما الآن فصار التركيز أكثر على “كيفية تقليل الضوضاء واتخاذ القرار بسرعة أكبر”. وتقف خلف ذلك ثلاثة اتجاهات طويلة الأمد:

1. دفاع وهجوم الذكاء الاصطناعي يدخلان في خط مواجهة واحد

لم يعد الذكاء الاصطناعي التوليدي مجرد أداة لرفع الكفاءة؛ بل أصبح يغيّر طريقة توليد المهاجمين لمحتوى التصيّد، وكتابة السكربتات الخبيثة، وتزوير التفاعلات، وتفادي الاكتشاف. وإذا ظل المدافعون متمسكين بالقواعد الثابتة والفرز اليدوي، فسيتأخرون من حيث السرعة.### 2. أصبحت الهوية الحدود الأمنية الجديدة

إن تكرار ظهور حماية الهوية، والتحقيق في الاحتيال، وBreach Response في جدول أعمال المؤتمر يوضح أن الهوية أصبحت بالفعل أحد أكثر عناصر مركز التحكم المؤسسي استحقاقًا للأولوية في الحوكمة. وبالنسبة للشركات كثيفة الاعتماد على SaaS، فإن تكلفة الاستيلاء على الحسابات غالبًا ما تكون أعلى من تكلفة إصابة جهاز طرفي واحد.

3. أصبحت العمليات الأمنية أكثر منصّية وترابطًا وأتمتة

لا تستطيع الأدوات المنفردة حلّ تعقيد العمل عبر السحابة والأجهزة الطرفية ونطاقات الهوية. وما ستكون له قيمة أكبر في المستقبل هو الجمع بين SIEM وEDR وXDR وذكاء التهديدات وتنسيق الاستجابة، لتكوين حلقة إغلاق أقصر.

توصيات الدفاع والاستجابة

على مستوى المؤسسة

• بناء ضوابط Zero Trust تتمحور حول الهوية: أقلّ صلاحية ممكنة، وصول مشروط، تحقق مستمر.
• إعادة تقييم الحسابات الحساسة وحسابات المديرين ومسارات وصول الأطراف الثالثة.
• إدراج المورّدين وSaaS وعمليات التشغيل الخارجية ضمن إدارة موحّدة لمخاطر الأطراف الثالثة.

على المستوى التقني

• تعزيز MFA مع إعطاء الأولوية لأساليب المصادقة المقاومة للتصيّد.
• رفع معدل تغطية EDR/XDR، وضمان إمكانية الربط والتحليل المتبادل بين سجلات الأجهزة الطرفية والهوية والسحابة.
• تحديد أولويات الأحداث ووضع سيناريوهات استجابة آلية داخل SIEM/SOAR، لتقليل الفرز اليدوي.
• استخدام Threat Intelligence بالاقتران مع القياس الداخلي عن بُعد، بدل الاكتفاء بالاستهلاك السلبي للذكاء الخارجي.
• إنشاء كشف مترابط لرسائل البريد، والشذوذ في الهوية، وتغييرات إعدادات السحابة، ونداءات API عالية الخطورة.

على المستوى الإداري

• اعتبار Incident Response قدرة على استمرارية الأعمال، لا مجرد عملية تقنية.
• إجراء تمارين دورية على برمجيات الفدية، وتسرب بيانات الاعتماد، واختراق حسابات السحابة، وحوادث سلسلة التوريد.
• إنشاء مؤشرات قابلة للقياس للعمليات الأمنية، مثل متوسط زمن الاكتشاف، ومتوسط زمن الاستجابة، ومدة معالجة الإنذارات الكاذبة.
• تعزيز إشراف مجلس الإدارة والإدارة العليا على مخاطر الهوية، ومخاطر السحابة، ومخاطر الذكاء الاصطناعي.

SecurityPost Insight

هذه القمة بحد ذاتها ليست حادثًا أمنيًا، لكن القضايا التي ركزت عليها تكفي لإظهار واقع واضح: إن محور المنافسة في أمن المؤسسات ينتقل من "من يملك أدوات أكثر" إلى "من يستطيع تحديد التهديدات الحقيقية بسرعة أكبر وإكمال الاستجابة المغلقة". وبالنسبة إلى CISO، فإن قيمة الذكاء الاصطناعي لا تكمن في استبدال فريق الأمن، بل في مساعدته على التخلص من الضوضاء؛ ولكن يجب أيضًا إدراك أن المهاجمين يستخدمون الذكاء الاصطناعي لخفض تكلفة التصيّد، والتقمص، وتجاوز الاكتشاف.خلال الأشهر 12 إلى 24 المقبلة، ما يستحق التركيز عليه ليس نوعًا واحدًا من الهجمات المنفردة، بل الأثر التراكمي بين إساءة استخدام الهوية، وسوء الإعدادات من جهة السحابة، والخداع التوليدي بالذكاء الاصطناعي، وأتمتة SOC. إذا استمرت المؤسسات في إدارة الكشف، والهوية، والسحابة، والاستجابة بشكل منفصل، فسيكون من الصعب للغاية اتخاذ قرارات فعّالة ضمن نافذة الهجوم الحقيقية. وستتجسد النضج الأمني الحقيقي في قدرة المؤسسة على الارتقاء من «اكتشاف المشكلة» إلى «الحكم السريع، والعزل السريع، والتعافي السريع».