ما المقصود بالمراقبة المستمرة في مجال الأمن السيبراني وكيف ينبغي تنفيذها؟

تعد المراقبة المستمرة في مجال الأمن السيبراني نموذجًا تشغيليًّا مستمرًا يجمع بين الرؤية الفورية للأصول، وجمع البيانات عن بُعد، وتتبع التكوينات، وتوليد الأدلة تلقائيًّا. وهي توفر لقادة الأمن وعيًا مستمرًا بحالتهم الأمنية وظروف التهديدات التي يواجهونها، بدلاً من الاعتماد على عمليات الفحص الدورية أو التقييمات التي تُجرى في أوقات محددة، والتي تترك ثغرات قابلة للاستغلال بين عمليات الفحص.

لا تُعد المراقبة المستمرة في مجال الأمن السيبراني فئة منتجات واحدة أو قائمة بميزات مزود معين. بل هي نموذج تشغيلي أمني يجمع بين جرد الأصول، وكشف التهديدات، وتطبيق السياسات، والإصلاح الآلي، ليشكل برنامجًا مستمرًا بدلاً من سلسلة من الأحداث المجدولة.

المصطلح الرسمي لهذا النموذج في السياق الفيدرالي بالولايات المتحدة هو «المراقبة المستمرة لأمن المعلومات» (ISCM). ويُعرِّف معيار NIST SP 800-137 المراقبة المستمرة لأمن المعلومات (ISCM) بأنها الحفاظ على وعي مستمر بأمن المعلومات ونقاط الضعف والتهديدات، وذلك لدعم قرارات إدارة المخاطر على مستوى المؤسسة. وينطبق هذا الإطار خارج نطاق الوكالات الفيدرالية، مما يوفر لأي مسؤول أمني طريقة منظمة للتفكير في النتائج التي ينبغي أن يحققها برنامج المراقبة وكيفية إدارته.

تقسم وثيقة NIST SP 800-137 إدارة أمن المعلومات (ISCM) إلى ستة مكونات: تحديد الاستراتيجية، واختيار الضوابط، والتنفيذ، وجمع البيانات، والتحليل وإعداد التقارير، والاستجابة للنتائج. ويستند كل مكون إلى المكون الذي يسبقه، مما يخلق حلقة مغلقة بين القرارات السياساتية والأدلة التشغيلية.

بالنسبة إلى مسؤولي أمن المعلومات (CISOs)، تكمن القيمة العملية للمعيار SP 800-137 في الوضوح الذي يوفره في مجال الحوكمة. فهو يفصل بين هيكل البرنامج (من يحدد الاستراتيجية، ومن يتخذ الإجراءات بناءً على النتائج، ومدى تكرار تقييم الأصول المختلفة) وبين «التقنية» ( أدوات ) المستخدمة لجمع البيانات. ويحول هذا الفصل دون حدوث نمط الفشل الشائع الذي تُعامل فيه المراقبة على أنها مجرد نشر لأداة ما، بدلاً من أن تُعتبر نموذجًا تشغيليًّا يتسم بالمسؤولية والمساءلة.

تتغذى برنامج المراقبة المستمرة من خلال عدة مصادر أدوات : نظام SIEM لربط السجلات، ونظام EDR لقياس أداء النقاط الطرفية عن بُعد، وأدوات فحص الثغرات الأمنية، وتقييم التكوين أدوات ، وأدوات جمع البيانات الخاصة بالتكنولوجيا التشغيلية (OT). ولا تشكل أداة واحدة البرنامج بأكمله. ويتم تحديد نموذج التشغيل من خلال العناصر التي تحكم تلك أدوات: المعايير الأساسية، والسياسات، ولوحات المعلومات، ومسارات التصعيد، وسير عمل الإجراءات التصحيحية.

غالبًا ما تجد المؤسسات التي تشتري أداةً على أمل أن توفر لها مراقبة مستمرة، أنها تمتلك نظام قياس عن بُعد دون أن يكون لديها برنامج محدد. فالبرنامج يتطلب تحديد الجهة المسؤولة، وخطوط أساس معتمدة لحالة الأمن، وسير عمل للاستجابة، وتقارير موجهة للقيادة، قبل أن تتمكن أي أداة من تحقيق قيمتها الكاملة.

تتخذ التقييمات الأمنية الدورية ثلاثة أشكال شائعة: عمليات الفحص الفصلية لنقاط الضعف، واختبارات الاختراق السنوية، ومراجعات التكوين الشهرية. ويقدم كل منها لمحة موجزة عن الوضع. والفترة الفاصلة بين هذه اللمحات هي الفترة التي تحدث فيها الهجمات، ولا يتم اكتشاف الأخطاء في التكوين، وتتفاقم مخاطر التعرض للثغرات الأمنية.

يُطلعك الفحص الفصلي للثغرات الأمنية على حالة التعرض للمخاطر في اليوم الذي تم فيه تشغيل أداة الفحص. فخادم تم نشره حديثًا، أو قاعدة جدار حماية تم تغييرها، أو حمل عمل سحابي تم تفعيله بعد ثلاثة أيام من إجراء الفحص، كلها أمور تظل غير مرئية حتى الفحص التالي. وتجعل البيئات سريعة التغير، مثل البنية التحتية السحابية ونقاط النهاية البعيدة ومواقع التكنولوجيا التشغيلية (OT) الموزعة، التقييم الدوري غير كافٍ من الناحية الهندسية.

ويؤدي انحراف التكوين إلى تفاقم المشكلة. فالخادم الذي تم تكوينه بشكل صحيح عند آخر عملية فحص قد ينحرف عن خط الأساس المعتمد في غضون ساعات من تثبيت تصحيح أو تحديث برمجي أو تغيير في المسؤول. وتكشف المراقبة المستمرة للتكوين عن هذا الانحراف في وقت شبه فوري، بدلاً من الانتظار حتى المراجعة المجدولة التالية.

وفقًا لـ تقرير IBM لعام 2025 حول تكلفة خروقات البيانات، يبلغ متوسط الوقت اللازم لاكتشاف خرق أمني 207 أيام. ولا يعود معظم هذا الوقت إلى نقص في قدرات أنظمة الكشف أدوات ، بل إلى تشتت بيانات القياس عن بُعد، وعدم وضوح الجهة المسؤولة عنها، وعدم توجيه التنبيهات إلى فرق الاستجابة المناسبة.

تؤدي المراقبة المستمرة إلى تقصير وقت الاستجابة من خلال الجمع بين جمع البيانات ومسؤولية سير العمل. فعندما تتدفق بيانات القياس عن بُعد إلى شاشة عرض مركزية، ويتم ربطها بالخطوط الأساسية، وتوجيهها إلى المسؤولين المحددين عن الاستجابة، يتقلص المسار من الكشف إلى الاحتواء. ولا تكمن العقبة الرئيسية في معظم المؤسسات في تقنية الكشف، بل في غياب برنامج يربط بين الكشف واتخاذ الإجراءات.

لا يقتصر برنامج المراقبة المستمرة الشامل على حركة مرور الشبكة أو تنبيهات نقاط النهاية فحسب، بل يمتد ليشمل كل أنواع الأصول والمجالات الأمنية والبيئات التي قد تحدث فيها حوادث أمنية، كما يعالج القيود الخاصة بكل منها.

يشمل النطاق الكامل للمراقبة المستمرة نقاط النهاية، والخوادم، والأجهزة الافتراضية، وأحمال العمل السحابية، والبنية التحتية للشبكة، والهويات، والتطبيقات، ونقاط نقل البيانات، والوسائط القابلة للإزالة، والضوابط الأمنية المُطبَّقة. وتُنتج كل فئة من فئات الأصول بيانات قياس عن بُعد تُدرج ضمن برنامج المراقبة.

غالبًا ما تنشأ النقاط العمياء في برامج المراقبة المستمرة عن الأصول غير المُدارة وقوائم الجرد غير المكتملة. فالأصل غير المدرج في قائمة الجرد لا يخضع للمراقبة، مما يعني أنه لا يساهم في تكوين الصورة الشاملة للوضع الأمني للمؤسسة. وتُعد قائمة الجرد الدقيقة والمُحدَّثة للأصول الأساس الذي يُبنى عليه اختيار أنظمة القياس عن بُعد، وخطوط الأساس، وقياس التغطية.

تشمل فئات القياس عن بُعد التي ينبغي أن يركز عليها برنامج المراقبة المستمرة بيانات نقاط الضعف، وحالة التكوين، وأحداث المصادقة، ونتائج فحص البرامج الضارة، وبيانات تدفق الشبكة، وحالة سلامة الضوابط الأمنية، وحالة الامتثال للسياسات. ولا تتطلب جميع بيانات القياس عن بُعد نفس وتيرة الجمع.

يجب أن يتناسب عمق عملية جمع البيانات مع درجة أهمية الأصول. فالأصول الحيوية (أنظمة التحكم في الإنتاج، والبنية التحتية للهوية، وبوابات نقل البيانات) تستلزم جمعًا أكثر تواترًا ومعايير أساسية أكثر صرامة. أما الأصول الأقل أهمية، فيمكن مراقبتها بوتيرة أقل دون أن يؤدي ذلك إلى ظهور ثغرات كبيرة في الحماية. إن معالجة جميع بيانات القياس عن بُعد بنفس التواتر يؤدي إلى زيادة الضوضاء في المعالجة دون تحسين نتائج الكشف.

غالبًا ما يتم الخلط بين «إدارة المعلومات والأحداث الأمنية» (SIEM)، و«الكشف والاستجابة في بيئة التهديدات المتطورة» ( Endpoint EDR)، و«الكشف والاستجابة الموسعة» (XDR)، و«المراقبة المستمرة للضوابط» (CCM)، أو تُقترح هذه الأنظمة كبدائل للمراقبة المستمرة. لكن كل واحدة منها تمثل قدرة متميزة تندرج ضمن برنامج المراقبة بدلاً من أن تحل محله.

لا تكون المراقبة المستمرة فعالة إلا إذا كان بإمكان فريق الأمن الاطلاع على كل عملية نشر في آن واحد، بما في ذلك تلك التي لا تتصل بالإنترنت مطلقًا. فكل من بيئات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) والبيئات المعزولة عن الشبكة تُنتج نتائج الفحص وإشارات الحالة وحالات السياسات الخاصة بها، وبدون وجود وحدة تحكم واحدة لتجميعها، يضطر مسؤول الأمن إلى فحص أنظمة متعددة للإجابة على سؤال واحد: هل هناك أي شيء معرض للخطر في الوقت الحالي؟

My OPSWAT™ Central Management هي منصة إدارة الأمن المركزية التابعة لشركة OPSWAT ، والمصممة لتوفير رؤية موحدة، وإشراف مركزي، وإجراءات تصحيح مبسطة عبر جميع عمليات نشرMetaDefender في بيئات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) والبيئات المحلية والبيئات المعزولة شبكيًّا.

تبدأ المراقبة المستمرة بمعرفة ما يوجد بالضبط في بيئتك. My OPSWAT Central Management يوفر قائمة جرد مركزية لكل مثيل مسجل من MetaDefender عبر عمليات النشر في السحابة، وداخل المؤسسة، وعمليات النشر المعزولة عن الشبكة.

بفضل وجود مصدر موثوق واحد للمعلومات، يمكن للفرق تحديد الأصول المحمية وغير الخاضعة للإدارة بسرعة، واكتشاف الأجهزة التي توقفت عن إرسال التقارير، وقياس التغطية بدقة عبر الشبكات الموزعة أو المقسمة، حيث غالبًا ما يكون التتبع اليدوي غير عملي.

My OPSWAT Central Management يوفر للمسؤولين نظرة شاملة على أمن أجهزة النهاية في جميع أنحاء المؤسسة. ومن خلال لوحة تحكم واحدة، يمكن للفرق مراجعة حالة أجهزة النهاية، والاطلاع على نتائج الفحص، وتتبع حالة الامتثال دون الحاجة إلى التبديل بين وحدات التحكم.

تُسلط المراقبة المدمجة الضوء على الثغرات الأمنية والانحرافات في التكوين، مما يسهل تحديد الأجهزة التي تقع خارج المعايير الأمنية المحددة واتخاذ الإجراءات التصحيحية قبل أن تتفاقم المشكلات.

احصل على نظرة يتم تحديثها باستمرار على الثغرات الأمنية في جميع الأجهزة والتطبيقات الخاضعة للإدارة. يمكن لفرق الأمن تحديد النقاط الطرفية المتأثرة بسرعة، وفهم التطبيقات المعرضة للخطر، ومراقبة اتجاهات المخاطر بمرور الوقت. يتم تصنيف النتائج حسب درجة الخطورة، مما يساعد الفرق على تحديد أولويات جهود الإصلاح في المجالات التي ستحقق فيها أكبر تأثير، وتتبع التقدم المحرز مع تطور سطح الهجوم.

بالنسبة للمؤسسات التي تعمل في ظل متطلبات تنظيمية، فإن إثبات الامتثال قد يكون بنفس أهمية الحفاظ عليه. My OPSWAT Central Management يقوم هذا النظام بتقييم الأجهزة باستمرار وفقًا لسياسات المؤسسة، ويسجل النتائج في سجلات مركزية، ويُصدر تقارير متوافقة مع أطر عمل مثل NIST وCISA وGDPR. ونظرًا لأن بيانات الأمان تُجمع في مكان واحد، فإن الأدلة تكون متاحة بسهولة لعمليات التدقيق، في حين يمكن تحديد الأجهزة غير المتوافقة ومعالجتها فور خروجها عن السياسة المحددة.

لكي تنجح المراقبة المستمرة في البيئات الموزعة، تحتاج فرق الأمن إلى إدارة أمنية مركزية تجمع جميع الأحداث الأمنية في مكان واحد.

My OPSWAT Central Management يجمع عمليات الكشف عن البرامج الضارة والملفات المحجوبة وأحداث الحجر الصحي والنتائج الأخرى من مختلف أقسام المؤسسة في عرض موحد.

من خلال تحليل الأنشطة عبر المواقع وأنواع النشر، يمكن للفرق الكشف عن الأنماط المتكررة، وتحديد التهديدات الناشئة، وتحديد ما إذا كانت المشكلة معزولة أم أنها تشير إلى خطر أوسع نطاقًا.

لا ينبغي أن تضطر فرق الأمن إلى مراقبة لوحات المعلومات باستمرار للبقاء على اطلاع. My OPSWAT Central Management يقدم تنبيهات في الوقت المناسب بشأن الأحداث الأمنية الحرجة، واكتشاف البرامج الضارة، ومشكلات سلامة النظام، وغيرها من الحالات التي تتطلب الاهتمام.

من خلال إخطار الموظفين المعنيين عند حدوث تغييرات مهمة، تساعد المنصة على تسريع الاستجابة، والحد من الاضطرابات التشغيلية، ومنع المشكلات البسيطة من أن تتطور إلى حوادث أمنية أو متعلقة بالامتثال أكبر حجمًا.

تواصل مع أحد OPSWAT أو تفضل بزيارة صفحةCentral Management My OPSWAT Central Management لتتعرف على كيفية تعزيز عملياتك الأمنية من خلال الإدارة المركزية.