كشفت دراسة بحثية مشتركة جديدة أجرتها شركتا SentinelOne® وTenable أن المهاجمين السيبرانيين يستهدفون بشكل متزايد منظومات الموردين بأكملها، بدلاً من التركيز على الثغرات الأمنية الفردية. وتشير الدراسة إلى اتساع الفجوة بين أساليب اكتشاف الثغرات والإفصاح عنها وبين الطريقة التي يجري بها استغلالها فعلياً في الهجمات.

وجمعت SentinelOne، شركة الأمن المدعومة بالذكاء الاصطناعي والمدرجة في بورصة نيويورك تحت الرمز S، وTenable Holdings، شركة إدارة التعرضات الأمنية المدرجة في بورصة ناسداك تحت الرمز TENB، مجموعتي بيانات مختلفتين لإعداد التقرير. وأسهمت Tenable ببيانات عن التعرضات الأمنية مستمدة من آلاف المؤسسات، إلى جانب بيانات تتبع عمليات المعالجة. فيما أضافت SentinelOne بيانات اكتشاف التهديدات على نقاط النهاية وما بعد استغلال الثغرات. وتقدم مجموعتا البيانات معاً صورة أوضح عن الأماكن التي تتراكم فيها المخاطر السيبرانية، بما يحمل تداعيات مهمة مع بروز عصر الذكاء الاصطناعي المتقدم.

وتتمثل النتيجة الرئيسية للدراسة في أن قراصنة الجهات الحكومية والجماعات الإجرامية يركزون على الموردين ونقاط الضعف عبر سطح الهجوم، بدلاً من التركيز على ثغرات CVE محددة. ويكتسب هذا التحول أهمية خاصة، نظراً إلى أن الجداول الزمنية للمهاجمين أصبحت تتجاوز بالفعل دورات تثبيت التصحيحات التقليدية. ويمكن لنماذج الذكاء الاصطناعي المتقدمة الجديدة تقليص فترة اكتشاف الثغرات من أشهر إلى ساعات. ونتيجة لذلك، انخفض الوقت الذي يحتاجه المهاجمون للانتقال من الإعلان عن ثغرة إلى تطوير شفرة استغلال فعالة إلى نحو أسبوع، في حين لا تزال المؤسسة النموذجية تستغرق خمسة أشهر لمعالجة الثغرات المعروفة.

ووفقاً للبحث، تتطابق بيانات التعرضات الأمنية وبيانات اكتشاف الهجمات أثناء التشغيل مع منظومات موردي أجهزة الحافة نفسها في 79% من الحالات. إلا أن نسبة التداخل تنخفض بشكل حاد إلى 21% فقط عند القياس على مستوى الثغرة الأمنية الفردية. وبعبارة أخرى، تميل الجهات المدعومة من الدول ومشغلو برمجيات الفدية إلى استغلال المجموعة الصغيرة نفسها من الثغرات عالية الخطورة والمستغلة فعلياً. وتظل أسطح الهجوم ثابتة إلى حد كبير، حتى مع تغير الجهات التي تستغلها.

وأطلقت Tenable على هذا النمط مصطلح «المورد المستهدف باستمرار» (Persistently Targeted Vendor)، في إشارة إلى أن مجموعة محدودة من خطوط منتجات الموردين، وليس ثغرات CVE المعزولة، تمثل وحدة المخاطر الأكثر استدامة بمرور الوقت.

وبرزت عدة نتائج أخرى في الدراسة. فقد حملت 12 ثغرة أمنية ضمن مجموعة البيانات إسناداً مؤكداً من نوع «متعدد المحاور» (multi-nexus)، ما يعني أن جهات مدعومة من دول ومجموعات متخصصة في برمجيات الفدية استغلت الثغرات نفسها بشكل مستقل. وشملت هذه الأنشطة خمس فئات مختلفة من التهديدات، بما في ذلك جهات مرتبطة بالصين وروسيا وكوريا الشمالية (DPRK) وإيران، إلى جانب مجموعات إجرامية ذات دوافع مالية.

وفي سياق منفصل، تواجه أكثر من نصف المؤسسات التي تستخدم منتجات F5، وتحديداً 54% منها، ثغرة واحدة على الأقل مكشوفة ومستغلة فعلياً. وفي المقابل، يسجل عملاء Citrix أبطأ فترة لمعالجة الثغرات بين جميع الموردين الذين شملتهم الدراسة، بمتوسط يبلغ 461 يوماً. ويبرز هذا الفارق استمرار تعرض بعض خطوط المنتجات للخطر لفترات طويلة بعد توفر الإصلاحات. كما تؤدي تعقيدات معالجة الثغرات ذات الأولوية العالية إلى تأخير إضافي ذي دلالة إحصائية يبلغ 24 يوماً، ما يوسع الفترة الزمنية المتاحة للمهاجمين لتسليح الثغرة واستغلالها.

وقال ستيف ستون، الرئيس التنفيذي لشؤون العملاء في SentinelOne، إن السرعة وحدها ليست كافية. وأوضح أنه بحلول الوقت الذي تصل فيه الثغرة إلى قائمة انتظار المعالجة، يكون الخصوم قد بدأوا بالفعل في تطوير أسلوب استغلالها. وأضاف أن التواقيع الثابتة تعمل وفق جداول زمنية بشرية، في حين لا تلتزم التهديدات بهذه الجداول. ولذلك، ينبغي لقدرات اكتشاف السلوك أثناء التشغيل مواكبة هذه الوتيرة المتسارعة، ورصد أنماط الاستغلال فور ظهورها بدلاً من اكتشافها بعد وقوع الأضرار.

من جانبه، أكد فلاد كورسونكسي، الرئيس التنفيذي للتكنولوجيا في Tenable، هذا التوجه، مشيراً إلى أن المهاجمين يستهدفون بشكل منهجي منظومات محددة للموردين توفر لهم مساراً للوصول، بدلاً من التركيز المفرط على ثغرة أمنية واحدة. وأضاف أن على المدافعين تبني العقلية نفسها.

وبحسب كورسونكسي، يؤكد البحث المشترك أن المهاجمين، سواء كانوا من الجهات الكبيرة أو الصغيرة، يميلون إلى استهداف أسطح الهجوم نفسها في معظم الأحيان. وقال إن النتائج تعزز المبادئ الأساسية لإدارة التعرضات الأمنية، والمتمثلة في رؤية التعرضات التي تشكل خطراً حقيقياً على الأعمال وتحديد أولوياتها ومعالجتها. ومع تزايد استخدام المهاجمين للذكاء الاصطناعي لتجاوز الدفاعات بسرعة أكبر، أوضح أن المؤسسات التي تتبنى إدارة التعرضات ستكون في موقع أفضل.

ويأتي التقرير في إطار شراكة متنامية بين الشركتين. واللافت أن SentinelOne انضمت كعضو مؤسس إلى CyberAgents Exchange التابعة لـ Tenable، والتي أُعلن عنها خلال فعالية Black Hat USA 2026. وتعكس هذه الشراكة، بشكل عام، زيادة استثمارات الشركتين في مجال الأمن المدعوم بالذكاء الاصطناعي. ومع استمرار تطور التهديدات التي تستهدف منظومات الموردين، أكدت الشركتان أن مزيداً من الأبحاث المشتركة سيتبع. ويتوفر التقرير الكامل عبر موقعي SentinelOne وTenable.

مقالات ذات صلة

عرض الكل