هجمات طبقات OSI: 38 هجمة على الشبكة حسب الطبقة وكيفية التخفيف منها.

ما هي الهجمات الشائعة التي تستهدف طبقات مختلفة من نموذج OSI؟

يمكن أن تحدث الهجمات على نموذج الشبكة OSI في أي من طبقاته السبع. إليك أمثلة على الهجمات التي تستهدف كل طبقة:

الطبقة الفيزيائية (الطبقة 1)

• التلاعب/تدمير الأجهزة: يتم استخدام الوصول الفيزيائي لإلحاق الضرر بمكونات الشبكة مثل الكابلات أو الأجهزة، أو لإدخال أجهزة خبيثة مثل مسجلات المفاتيح.
• اعتراض الإشارات/التنصت: استخدام معدات متطورة لاعتراض الإشارات أو وضع بطاقة واجهة الشبكة (NIC) في وضع promiscuous لالتقاط جميع البيانات على جزء.

طبقة ربط البيانات (الطبقة 2)

• تزييف عنوان MAC: يقوم المهاجم بانتحال شخصية جهاز شرعي من خلال تزوير عنوان MAC الخاص به للوصول أو إعادة توجيه الحركة.
• تزييف ARP: يقوم المهاجم بإرسال رسائل ARP مزيفة لربط عنوان MAC الخاص به بعنوان IP لجهاز شرعي، مما يؤدي إلى إعادة توجيه حركة المرور إلى جهاز المهاجم.
• VLAN hopping: استغلال الثغرات في تكوينات الشبكة الافتراضية للحصول على وصول غير مصرح به إلى أجزاء من الشبكة.

طبقة الشبكة (الطبقة 3)

• تزييف عنوان IP: تزييف عنوان IP المصدر للتظاهر بأنه جهاز موثوق.
• تلاعب المسار: تغيير جداول التوجيه لتوجيه، أو حجب، أو اعتراض حركة المرور.
• الخصم في المنتصف (AiTM): اعتراض أو تعديل حركة المرور بين الأطراف المتواصلة.

طبقة النقل (الطبقة 4)

• هجوم TCP SYN flooding: استنزاف موارد الخادم عن طريق إرسال طلبات اتصال TCP غير مكتملة.
• أنماط DDoS: تدفقات مرورية منسقة من مصادر متعددة لإغراق هدف.

طبقة الجلسة (الطبقة 5)

• تلاعب رمز المصادقة: تزييف أو تعديل الرموز للحصول على وصول غير مصرح به للجلسة.
• استغلال استمرارية الجلسة: إساءة استخدام موازن التحميل أو منطق إدارة الجلسات لخطف الجلسات.

طبقة العرض (الطبقة 6)

• اعتراض SSL/TLS: فك تشفير حركة المرور الآمنة باستخدام شهادات أو بروكسيات غير موثوقة.
• هجمات التخفيض: إجبار استخدام تشفير ضعيف من خلال استغلال تفاوض البروتوكول.
• حقن الشيفرة: تضمين شيفرة قابلة للتنفيذ في البيانات المعالجة في طبقة العرض.

طبقة التطبيقات (الطبقة 7)

• هجمات البرمجة عبر المواقع (XSS): حقن سكريبتات خبيثة في صفحات الويب التي يشاهدها المستخدمون.
• حقن SQL: إدخال أوامر SQL ضارة في استعلامات قاعدة البيانات من خلال إدخال المستخدم.

فيما يلي نغطي هذه الهجمات وغيرها من هجمات طبقات نموذج OSI بمزيد من التفصيل.

هذا جزء من سلسلة من المقالات حول طبقات OSI.

هجمات الطبقة الفيزيائية (الطبقة 1)

1. التلاعب بالأجهزة

يتضمن التلاعب بالأجهزة التلاعب غير المصرح به بمعدات الشبكات مثل المحولات والموجهات أو بطاقات واجهة الشبكة. قد يقوم المهاجمون بتثبيت أجهزة غير مصرح بها، أو تغيير الإعدادات، أو التلاعب جسديًا بالأنظمة للحصول على وصول دائم أو التسبب في انقطاع الخدمة. إن الوصول الجسدي إلى البنية التحتية غالبًا ما يجعل آليات الأمان العليا غير فعالة، حيث يمكن للمهاجمين تجاوز الضوابط المنطقية تمامًا.

قد لا تترك حالات التلاعب آثارًا رقمية، مما يجعل اكتشافها وتحديد مصدرها أكثر صعوبة مقارنةً بالهجمات التي تحدث في الطبقات العليا.

2. اعتراض الإشارات

يُعتبر اعتراض الإشارات تهديدًا آخر في الطبقة الفيزيائية، حيث يقوم المهاجمون بالتقاط البيانات الخام أثناء انتقالها عبر الكابلات أو الإشارات اللاسلكية. باستخدام أدوات متخصصة، يمكنهم اعتراض الإشارات الكهربائية أو الضوئية أو الترددية، مما يعرض البيانات غير المشفرة أو بيانات الاعتماد الحساسة. هذا النوع من الاعتراض لا يتطلب الوصول المنطقي إلى الشبكة، بل يتطلب فقط القرب من الأجهزة أو قنوات النقل.

تتركز الاستراتيجيات الدفاعية على الحواجز المادية، وإغلاق المعدات، واستخدام الكابلات المحمية أو المدرعة للحد من فرص التلاعب والتنصت.

3. الهجمات الكهرومغناطيسية

تستغل الهجمات الكهرومغناطيسية الانبعاثات غير المقصودة من الأجهزة الإلكترونية. يمكن أن تتسرب هذه الانبعاثات معلومات حساسة من المعدات، مثل المفاتيح التشفيرية وكلمات المرور أو محتوى الوثائق، من خلال تحليل القنوات الجانبية. يقوم المهاجمون بجمع الإشارات الكهرومغناطيسية المنبعثة من أجهزة الشبكة أو الحواسيب أو الشاشات، ويستخدمون خوارزميات متخصصة لإعادة بناء البيانات التي تم اعتراضها.

تخفيف مثل هذه المخاطر يتضمن استخدام دروع كهرومغناطيسية وتجنب وضع البنية التحتية الحيوية للشبكة بالقرب من الأماكن العامة أو غير الموثوقة.

4. هجمات الترددات الراديوية

تستهدف هجمات الترددات الراديوية (RF) تقنيات الشبكات اللاسلكية، والتي تُستخدم عادةً للواي فاي والبلوتوث أو اتصالات أخرى تعتمد على الترددات الراديوية. قد يقوم المهاجمون بالتقاط أو حقن أو تشويش الإشارات الراديوية لاعتراض أو تعطيل أو انتحال حركة المرور اللاسلكية الشرعية. يمكن أن يؤدي التشويش على الترددات الراديوية إلى تعطيل شبكة لاسلكية كاملة، بينما يمكن للمهاجمين المتقدمين تنفيذ هجمات "رجل في المنتصف" باستخدام محطات قاعدة مزيفة.

تشمل الدفاعات مراقبة الطيف الترددي، والمصادقة الآمنة على الشبكات اللاسلكية، والضوابط البيئية لتقليل سطح الهجوم.

5. تنصت الكابلات

يتضمن التنصت على الكابلات الاتصال الفعلي بكابلات الشبكة للتجسس على أو تسجيل تبادل البيانات. يقوم المهاجمون بإدخال أجهزة التنصت أو الموزعات في خطوط النحاس أو الألياف الضوئية، وغالبًا ما يكون لذلك تأثير ضئيل على عمليات الشبكة. يمكن أن يكون التنصت على الألياف الضوئية صعب الاكتشاف بشكل خاص لأنه لا يقطع نقل الضوء بشكل ملحوظ.

تعتبر التدقيقات المنتظمة على الشبكة، واستخدام كابلات تظهر التلاعب، ونشر نقل البيانات المشفرة ضرورية لمواجهة مخاطر التنصت على الكابلات.

6. تشويش الكابلات

يؤدي التشويش إلى تدهور أداء الشبكة من خلال إدخال تداخل في خطوط الاتصال، مما يغمر الإشارات الشرعية ويجعل الأجهزة غير قابلة للاستخدام. على المستوى الفيزيائي، يمكن أن ينشأ التشويش من هجمات متعمدة أو مصادر بيئية. عادة ما يكون الضرر قصير الأمد ولكنه شديد الاضطراب، مما يؤدي إلى فقدان البيانات والاتصال حتى يتوقف التداخل.

تشمل الدفاعات درعًا كهرومغناطيسيًا، ومسارات كابلات زائدة، ومراقبة في الوقت الحقيقي لاكتشاف الشذوذات في الإشارات والاستجابة السريعة للاضطرابات الفيزيائية.

هجمات طبقة الربط البيانات (الطبقة 2)

7. انتحال عنوان MAC

تُعتبر تقنية تزوير عنوان التحكم في الوصول إلى الوسائط (MAC) أسلوبًا يستخدمه المهاجمون لتخفي عنوان MAC لجهازهم من أجل انتحال شخصية جهاز آخر على الشبكة. نظرًا لأن مفاتيح الشبكة تستخدم عناوين MAC لتوجيه حركة المرور، فإن هذا يمكّن المهاجمين من اختراق الجلسات، والحصول على وصول غير مصرح به، أو اعتراض حركة المرور المخصصة لأجهزة أخرى. يُعتبر تزوير عنوان MAC ضارًا بشكل خاص في البيئات التي تعتمد فيها السياسات الشبكية على المصادقة أو التحكمات القائمة على عناوين MAC.

تشمل التدابير المضادة أمان الموانئ، مصادقة الأجهزة، وضوابط الوصول إلى الشبكة المعتمدة على الشهادات أو معايير 802.1X.

8. فيضان MAC

يستغل هجوم إغراق MAC سلوك المحول من خلال إغراقه بعدد كبير من عناوين MAC المزيفة، مما يجبر المحول على العودة إلى وضع البث. في هذه الحالة، يتم توصيل حركة المرور الحساسة المخصصة لمستلم معين إلى جميع الأجهزة في شريحة الشبكة، مما يسهل على المهاجمين التقاط حزم البيانات.

يمكن لمديري الشبكات منع فيضانات MAC عن طريق تكوين أمان المنافذ، وتحديد عدد عناوين MAC المسموح بها لكل منفذ، وتنفيذ تقسيم الشبكة للحد من نطاق البث.

9. تسمم ARP

تسمم ARP (أو انتحال ARP) يستهدف بروتوكول حل العناوين، الذي يربط عناوين IP بعناوين MAC على شبكة محلية. يقوم المهاجمون بإرسال رسائل ARP مزيفة، مما يخدع الأجهزة لربط عنوان MAC الخاص بالمهاجم بعنوان IP صالح. تتيح هذه التقنية تنفيذ هجمات الرجل في المنتصف، واختطاف الجلسات، أو حرمان الخدمة.

تشمل وسائل الدفاع ضد تسمم ARP إدخالات ARP الثابتة للأنظمة الحرجة، وميزات فحص ARP الديناميكي على المحولات، ومراقبة حركة مرور الشبكة بشكل دوري لرصد الشذوذ.

10. قفز VLAN

تسمح تقنية تجاوز الشبكة الافتراضية المحلية (VLAN hopping) للمهاجمين بإدخال حزم بيانات إلى جزء من الشبكة الافتراضية المحلية (VLAN) لا ينبغي لهم الوصول إليه، متجاوزين تقسيم الشبكة المنطقي. يتم تحقيق ذلك من خلال سوء تكوين المحولات، أو التوسيم المزدوج، أو استغلال نقاط الضعف في الشبكة الافتراضية الأصلية. بمجرد دخولهم إلى شبكة افتراضية غير مصرح بها، قد يتمكن المهاجمون من الوصول إلى أنظمة مقيدة أو اعتراض اتصالات حساسة.

تشمل الخطوات الوقائية تعطيل المنافذ غير المستخدمة، وتكوين VLAN بشكل صارم، وإزالة التعيين الافتراضي لـ VLAN من جميع المنافذ.

11. نقاط الوصول غير المصرح بها

نقاط الوصول غير المصرح بها هي أجهزة لاسلكية غير مصرح بها متصلة بشبكة سلكية، مما يوفر نقطة دخول يتحكم فيها المهاجم. قد تظل هذه الأجهزة غير ملحوظة في النشر الكبير، مما يسمح للخصوم بالتنصت، أو شن الهجمات، أو تجاوز الضوابط الأمنية الموجودة.

الاكتشاف الآلي والتحقق من الهوية لجميع الأجهزة المتصلة بالشبكة، بالإضافة إلى التدقيقات المنتظمة على الشبكة اللاسلكية، أمران حيويان لاكتشاف وإزالة نقاط الوصول غير الشرعية. كما أن استخدام أنظمة كشف التسلل اللاسلكية وتحديد عناوين MAC المسموح بها في إعدادات نقاط الوصول يقلل من المخاطر.

12. التشويش اللاسلكي

يؤدي التشويش اللاسلكي إلى تعطيل الاتصالات من خلال إغراق ترددات الواي فاي بالضوضاء أو التداخل، مما يمنع الأجهزة الشرعية من إنشاء أو الحفاظ على الاتصالات. يمكن أن ينكر التشويش المستهدف الخدمة بشكل انتقائي لأصول أو مستخدمين حرجين، بينما تؤثر الهجمات واسعة النطاق على أجزاء كاملة من الشبكة.

يجب على المنظمات استخدام أدوات تحليل الطيف، وتأمين البنية التحتية اللاسلكية بشكل فعلي، ونشر تقنيات التردد المتنقل أو الطيف المنتشر لتقليل تأثير هجمات التشويش المتعمدة.

تعرف على المزيد في دليلنا المفصل حول الطبقة الثانية من نموذج OSI (سيتم نشره قريبًا)

هجمات طبقة الشبكة (الطبقة 3)

13. انتحال عنوان IP

يتضمن تزييف عنوان IP تزوير عنوان IP المصدر في حزم الشبكة لتقليد المستخدمين أو الأجهزة الشرعية. وهذا يمكّن المهاجمين من تجاوز المصادقة المعتمدة على IP، وتفادي المراقبة الأمنية، أو إعادة توجيه الحركة عبر مضيفين خبيثين. يُعتبر تزييف عنوان IP أساسياً للعديد من التهديدات المتقدمة، بما في ذلك هجمات الحرمان من الخدمة الموزعة (DDoS) واختطاف الجلسات.

تشمل التدابير الدفاعية تصفية صارمة للدخول والخروج، والتحقق من عنوان الشبكة، واستخدام أدوات المراقبة التي تكشف عن الشذوذ في استخدام عنوان بروتوكول الإنترنت.

14. تلاعب بالمسار

تستغل هجمات التلاعب بالمسارات بروتوكولات التوجيه الديناميكية (مثل OSPF وBGP أو RIP) لتغيير المسارات الشبكية الشرعية. قد يقوم المهاجمون بحقن إعلانات مسار زائفة، مما يتسبب في تحويل حركة المرور أو إخفائها أو مراقبتها. يمكن أن تؤدي مثل هذه الهجمات إلى اعتراض بيانات ضخمة أو حرمان من الخدمة على نطاق واسع.

يتطلب الحماية من التلاعب بالمسارات تكوين بروتوكولات توجيه آمنة، والتحقق من الهوية بين أجهزة التوجيه المجاورة، والتحقق النشط من المسارات مع مراقبة التغييرات المشبوهة في بنية الشبكة.

16. إعادة توجيه ICMP

تستغل هجمات إعادة توجيه ICMP بروتوكول رسائل التحكم في الإنترنت لتوجيه حركة المرور بعيدًا عن وجهتها الأصلية. تقوم رسائل إعادة التوجيه الضارة بإرشاد المضيفين لإعادة توجيه الحزم عبر بوابات يتحكم بها المهاجم، مما يمكّن من اعتراض حركة المرور أو التنصت عليها. نظرًا لأن العديد من الأنظمة تثق بإعادة توجيه ICMP بشكل افتراضي، يمكن للمهاجمين بسرعة التلاعب بمسارات الشبكة.

تعطيل معالجة رسائل ICMP غير الضرورية وتكوين جدران الحماية على المضيفين لرفض عمليات إعادة التوجيه هي تدابير مضادة أساسية.

17. تسمم نظام أسماء النطاقات

تسمم نظام أسماء النطاقات (المعروف أيضًا بتسمم ذاكرة التخزين المؤقت لنظام أسماء النطاقات) يفسد الروابط بين أسماء النطاقات وعناوين IP، مما يعيد توجيه المستخدمين إلى وجهات ضارة. يقوم المهاجمون بحقن استجابات DNS زائفة في ذاكرة التخزين المؤقت لمحلل الهدف، مما يمكّن من التصيد الاحتيالي أو توزيع البرمجيات الضارة. يمكن أن يؤدي نجاح تسمم نظام أسماء النطاقات إلى تعريض حركة الإنترنت الخاصة بكامل المؤسسة للخطر.

تشمل التدابير المضادة استخدام DNSSEC (امتدادات أمان نظام أسماء النطاقات) للتحقق التشفيري، واستخدام موصلات موثوقة، ومراقبة الأنماط غير الطبيعية في استجابات DNS.

18. تقنيات الخصم في المنتصف

الهجمات من قبل الخصم في المنتصف (AiTM)، والمعروفة عمومًا بهجمات الرجل في المنتصف (MitM)، تتضمن اعتراض أو تعديل الاتصالات بين نقاط الشبكة. من خلال وضع أنفسهم بين المرسل والمستقبل، يمكن للمهاجمين التنصت، تعديل البيانات، أو حقن محتوى ضار دون اكتشاف. تشمل الطرق الشائعة تزييف ARP، واختطاف DNS، أو استغلال نقاط الوصول اللاسلكية غير الشرعية، وغالبًا ما يتم دمجها مع هجمات أخرى خاصة بالطبقات لتحقيق الاستمرارية وسرقة البيانات.

تشمل الدفاعات ضد هجمات AiTM عدة طبقات، لكنها مهمة بشكل خاص في طبقة الشبكة. تشمل الاستراتيجيات تنفيذ المصادقة المتبادلة، والتشفير القوي لجميع حركة المرور على الشبكة، واستخدام بروتوكولات آمنة (مثل HTTPS وSSH ونفق VPN).

تعرف على المزيد في دليلنا المفصل عن الطبقة الثالثة من نموذج OSI (سيصدر قريبًا)

هجمات طبقة النقل (الطبقة 4)

19. هجوم فيضان TCP SYN

هجوم "TCP SYN flooding" هو هجوم حرمان من الخدمة يستغل عملية المصافحة التي تبدأ اتصال TCP. يقوم المهاجمون بإرسال عدد كبير من طلبات SYN دون إكمال المصافحة، مما يتسبب في تخصيص الخادم المستهدف لموارد للاتصالات نصف المفتوحة وفي النهاية استنفاد الاتصال. هذا يعطل الوصول الشرعي ويمكن أن يؤدي إلى تعطيل التطبيقات أو الخدمات العامة.

تشمل دفاعات هجوم SYN flood تحديد معدل الطلبات، وملفات تعريف SYN، ونشر أجهزة الشبكة التي تراقب مصافحة TCP.

20. أنماط هجمات حجب الخدمة الموزعة

تقوم هجمات الحرمان الموزعة من الخدمة (DDoS) بتوسيع هذه التقنيات من خلال استخدام أنظمة متعددة عبر الإنترنت لإطلاق هجمات متزامنة، تستهدف عرض النطاق الترددي، وقوة المعالجة، أو موارد التطبيقات. يقوم المهاجمون المتقدمون بتغيير نوع الحزم ومحاولات الاتصال، مما يجعل الكشف عن هذه الهجمات أكثر تحديًا.

يجب على المنظمات استخدام دفاعات متعددة الطبقات، بما في ذلك تصفية البيانات في المراحل الأولية، وخدمات الحماية من هجمات DDoS المستندة إلى السحابة، وكشف الشذوذ المتقدم لمكافحة أنماط DDoS الحديثة.

21. فحص المنافذ

مسح المنافذ هو نشاط استكشافي حيث يقوم المهاجمون بفحص مضيفي الشبكة بحثًا عن المنافذ المفتوحة أو الضعيفة. من خلال توثيق الخدمات المعرضة، يقوم المهاجمون بتحديد أولويات الأهداف للاستغلال أو تقديم حمولات مخصصة.

تركز الاستراتيجيات الدفاعية على تقليل سطح الهجوم: يجب أن تبقى المنافذ الضرورية مفتوحة فقط، ويجب على الأجهزة تنفيذ جدران الحماية ونظم منع التسلل للحد من رؤية الفحص والاستجابة للنشاط المشبوه.

22. اختطاف الجلسات

اختراق الجلسات في طبقة النقل يتضمن سرقة أو تعديل رموز الجلسة أو المعلمات للحصول على وصول غير مصرح به إلى اتصال جارٍ. قد يقوم المهاجمون بالتقاط معرفات الجلسة من خلال مراقبة حركة المرور غير المشفرة أو استغلال تنفيذات البروتوكول الضعيفة. بمجرد الحصول عليها، يمكن للمهاجم انتحال شخصية مستخدم شرعي أو تعطيل الجلسة.

استخدام بروتوكولات مشفرة، وتغيير معرفات الجلسات بشكل عشوائي، وإعادة تعيين الجلسات عند اكتشاف أي شذوذ هي دفاعات فعالة ضد مثل هذه الهجمات.

23. ثغرة في بروتوكولات النقل

تستهدف هجمات تجاوز سعة الذاكرة ضد بروتوكولات النقل المعالجة غير الكافية للبيانات داخل معالجات البروتوكول أو الخدمات التي تعمل في هذه الطبقة. من خلال إرسال حزم بيانات كبيرة جدًا أو مشوهة، يمكن للمهاجمين الكتابة فوق الذاكرة، وتعطيل خدمات الشبكة، أو تنفيذ تعليمات برمجية عشوائية على النظام المستهدف. تعتبر تطبيقات البروتوكول القديمة معرضة بشكل خاص للخطر إذا كانت تفتقر إلى التحقق المناسب من الحدود أو التحقق من صحة المدخلات.

يُعتبر تحديث جميع البرمجيات وتصحيحها خط الدفاع الأساسي ضد هذه الثغرات. كما أن تدقيق الشيفرة البرمجية بانتظام، واستخدام أساليب الفحص للبروتوكولات، واستخدام لغات برمجة آمنة من حيث الذاكرة، تعزز من أمان الخدمات الشبكية ضد هجمات تجاوز السعة.

تعرف على المزيد في دليلنا المفصل حول الطبقة الرابعة من نموذج OSI (سيصدر قريبًا)

هجمات طبقة الجلسة (الطبقة الخامسة)

24. اختطاف الجلسة

اختراق الجلسات في طبقة الجلسة ينطوي على الاستيلاء على جلسة اتصال شرعية بين نقطتين نهائيتين. يستغل المهاجمون نقاط الضعف في آليات المصادقة أو إدارة الجلسات لسرقة معرفات الجلسة، مما يسمح لهم بانتحال هوية المستخدمين أو تعطيل التبادلات الجارية. تشمل التقنيات التقاط ملفات تعريف الارتباط للجلسة، واستغلال نقاط الضعف في البروتوكولات، أو توقع قيم المعرفات.

إن فرض التحقق القوي من الجلسات وتنفيذ خصائص الكوكيز الآمنة هما خطوات دفاعية حاسمة.

25. هجمات إعادة التشغيل

تحدث هجمات إعادة التشغيل عندما يقوم المهاجمون بالتقاط وإعادة إرسال رسائل جلسة صالحة لخداع الهدف للقيام بأفعال غير مصرح بها. وهذا يكون فعالاً بشكل خاص في البروتوكولات التي تفتقر إلى توقيع زمني مناسب للرسائل أو التحقق من التسلسل.

تشمل التدابير المضادة تنفيذ رموز فريدة (nonces)، واستخدام توقيت الرسائل، وفرض قيود صارمة على مدة الجلسة وإعادة المصادقة على العمليات الحساسة لمنع المهاجمين من إعادة تشغيل التبادلات الصالحة بنجاح.

26. تلاعب رمز المصادقة

تعتبر رموز المصادقة جزءًا أساسيًا من إدارة هويات الجلسات وحقوق الوصول. قد يقوم المهاجمون بتزوير أو سرقة أو تعديل الرموز لتصعيد الامتيازات أو تجاوز ضوابط الأمان. يمكن أن يحدث ذلك نتيجة لقيم رموز متوقعة، أو عيوب في التحقق من التوقيع، أو نقل غير آمن لبيانات الرموز عبر الشبكات العامة.

للدفاع ضد التلاعب بالتوكنات، يجب على المنظمات استخدام توكنات عشوائية قوية من الناحية التشفيرية، وتنفيذ فحوصات لسلامة التوكنات، وتطبيق سياسات انتهاء صلاحية للتوكنات.

27. استغلال استمرارية الجلسة

تضمن استمرارية الجلسة (أو الجلسات الثابتة) أن الاتصالات المستمرة من المستخدم يتم التعامل معها باستمرار بواسطة نفس الخادم الخلفي. بينما تعتبر هذه العملية حيوية للحفاظ على الحالة في التطبيقات الموزعة، فإن آليات استمرارية الجلسة غير الصحيحة يمكن أن تؤدي إلى قابلية التنبؤ واستغلال الثغرات. قد يقوم المهاجمون بتحليل خوارزميات موازن الحمل أو معرفات الجلسة لفرض الجلسات على موارد مخترقة أو لتجاوز الضوابط الأمنية.

يمكن أن يساعد تخصيص الجلسات بشكل عشوائي ومراقبة تخصيصات الخوادم الخلفية بنشاط في التخفيف من هذه المخاطر. إن تنفيذ مهلات قصيرة للجلسات، وإعادة المصادقة الإلزامية على الإجراءات الحساسة، وتتبع الجلسات النشطة عبر البنية التحتية أمر ضروري لسد الثغرات الناتجة عن ضعف أو إساءة استخدام استمرارية الجلسات.

تعرف على المزيد في دليلنا المفصل عن الطبقة الخامسة من نموذج OSI (سيصدر قريبًا)

هجمات طبقة العرض (الطبقة 6)

28. اعتراض SSL/TLS

تسعى هجمات اعتراض SSL/TLS إلى كسر سرية الاتصالات المشفرة من خلال إدخال عناصر خبيثة بين نقاط النهاية. قد يستخدم المهاجمون شهادات مزورة، أو يختطفون سلطات الشهادات الموثوقة، أو يتلاعبون بإعدادات العميل لفك تشفير الاتصالات. يمكن أن يؤدي ذلك إلى كشف البيانات الحساسة ومعلومات الجلسات.

إن فرض استخدام الشهادات المثبتة والموثوقة ومراقبة الشذوذ في سلاسل الشهادات هي دفاعات مطلوبة ضد اعتراض SSL/TLS.

29. هجمات التخفيض

تجبر هجمات تخفيض المستوى المستخدمين والخدمات على التفاوض بشأن بروتوكول تشفير أقل أمانًا مما كان مقصودًا في الأصل. يستغل المهاجمون الثغرات في التوافق أو عيوب التفاوض في البروتوكول لإضعاف التشفير وجعل التنصت أو التلاعب أسهل.

يتطلب منع هجمات التخفيض تطبيقًا صارمًا للبروتوكولات الحديثة (مثل TLS 1.2 وما فوق) على جانب العميل والخادم، والتخلي عن خوارزميات التشفير القديمة، وإجراء تقييمات دورية للثغرات في جميع نقاط التشفير في الشبكة.

30. حقن الشيفرة

يستهدف حقن الشيفرة في طبقة العرض الأنظمة التي لا تتحقق بشكل كافٍ من صحة أو تحليل البيانات من المستخدمين النهائيين أو أنظمة الشركاء. قد يقوم المهاجمون بإدخال شيفرة خبيثة في الحمولة التي يتم تنفيذها لاحقًا ضمن الخدمات السفلية، مما قد يؤدي إلى تنفيذ شيفرة عن بُعد أو التلاعب غير المصرح به بالبيانات. تشمل الطرق الشائعة لذلك عارضات الوثائق، وأدوات تحويل البيانات، أو مكتبات تحليل الملفات التي تعمل في هذه الطبقة.

تساعد تقنيات تنظيف المدخلات المحسّنة وبيئات المعالجة المعزولة في الدفاع ضد تهديدات حقن الشيفرة.

31. عيوب تسلسل البيانات

تحدث عيوب تسلسل البيانات عندما تقوم التطبيقات بتسلسل أو فك تسلسل البيانات الهيكلية بشكل غير صحيح، مما يسمح للمهاجمين بإدخال كائنات مصممة بشكل خاص تؤدي إلى سلوكيات ضارة أو تتجاوز ضوابط الوصول. تعتبر ثغرات التسلسل خطيرة بشكل خاص في المعمارية الموزعة أو المعمارية الدقيقة حيث تعتمد الاتصالات بين الخدمات بشكل كبير على ترميز الكائنات القياسي.

تعتبر مكتبات التسلسل الآمنة، وفحوصات السلامة، وتحديد أنواع البيانات المقبولة ضرورية لمعالجة مخاطر التسلسل في طبقة العرض.

32. استغلال معايير التشفير الضعيفة أو القديمة

يستغل المهاجمون معايير التشفير الضعيفة أو القديمة لتجاوز ضوابط السرية، واستعادة البيانات النصية، أو التلاعب بالجلسات الآمنة. تشمل الأمثلة الشائعة استخدام بروتوكولات SSL المهجورة، والتشفيرات ذات الدرجة التصديرية، أو الخوارزميات التي تحتوي على نقاط ضعف رياضية معروفة. يستخدم الخصوم أدوات متاحة بسهولة لكسر التشفير القديم، واستخراج الأسرار، أو انتحال شخصية المستخدمين أثناء النقل.

يعد ضمان استخدام جميع الأنظمة لخوارزميات تشفير حديثة ومراجعة أساسياً لأمن البنية التحتية. يجب أن تحدد الفحوصات التلقائية للثغرات بشكل روتيني وجود خوارزميات قديمة أو إصدارات بروتوكولات وتبلغ عن المخاطر من أجل اتخاذ إجراءات فورية.

تعرف على المزيد في دليلنا المفصل حول الطبقة السادسة من OSI (سيصدر قريبًا)

هجمات طبقة التطبيقات (الطبقة 7)

33. البرمجة عبر المواقع (XSS)

ثغرة البرمجة عبر المواقع (XSS) هي ثغرة شائعة حيث يقوم المهاجمون بحقن سكريبتات خبيثة في تطبيقات الويب. يتم تنفيذ هذه السكريبتات في متصفح المستخدمين غير المشبوهين، مما يسمح للمهاجمين بسرقة الكوكيز، واختطاف الجلسات، أو تشويه محتوى الويب. تستغل ثغرة XSS نقص التنظيف الصحيح للمدخلات وترميز المخرجات في الحقول المقدمة من المستخدم.

تعتبر مراجعات الشيفرة البرمجية الشاملة، والماسحات الآلية، وتنفيذ جدران الحماية لتطبيقات الويب من العناصر الأساسية لتقليل مخاطر XSS.

34. حقن SQL

يستهدف حقن SQL قواعد البيانات الخلفية من خلال إدخال أوامر SQL مصممة عبر مدخلات غير مُعالجة. يحصل المهاجمون على وصول غير مصرح به إلى سجلات قاعدة البيانات، أو تعديلها، أو حذفها، مما يؤدي غالبًا إلى خروقات كبيرة في البيانات.

تعتبر ممارسات البرمجة الآمنة، واستخدام الاستعلامات المعلمة، والاختبارات الديناميكية الروتينية لواجهات التطبيقات ضرورية لمنع ثغرات حقن SQL وحماية البيانات الحساسة.

35. التصيد

تستخدم هجمات التصيد الاحتيالي الهندسة الاجتماعية لخداع المستخدمين للكشف عن معلومات حساسة مثل أسماء المستخدمين وكلمات المرور أو تفاصيل الدفع. يقوم المهاجمون بنشر مواقع إلكترونية ورسائل بريد إلكتروني أو قنوات اتصال مزيفة تشبه بشكل وثيق المنظمات أو الخدمات الشرعية. تكمن فعالية التصيد الاحتيالي في التلاعب النفسي ونقص وعي المستخدم.

تدريب المستخدمين بشكل منتظم، وحلول تصفية البريد الإلكتروني، ومراقبة النطاقات تقلل من التعرض لحملات التصيد الاحتيالي.

36. سرقة بيانات الاعتماد

يمكن أن تشمل سرقة بيانات الاعتماد تقنيات تتجاوز التصيد الاحتيالي، مثل تسجيل ضغطات المفاتيح، واستخدام بيانات الاعتماد المسروقة، واستغلال ضعف إدارة كلمات المرور. وغالبًا ما تُستخدم بيانات الاعتماد المخترقة للتحرك الجانبي في الشبكات أو لإعادة بيعها في الأسواق السوداء.

تعتبر المصادقة متعددة العوامل، وسياسات كلمات المرور القوية، وخزائن البيانات، ورصد تسريبات البيانات ضرورية للحد من تأثير سرقة بيانات الاعتماد على مستوى التطبيقات.

37. إساءة استخدام واجهات برمجة التطبيقات

استغلال واجهات برمجة التطبيقات يستهدف واجهات برمجة التطبيقات التي لا تتمتع بأمان كافٍ، والتي تكشف عن منطق الأعمال أو البيانات الحساسة. قد يتجاوز المهاجمون المصادقة، ويستكشفون النقاط النهائية، أو يتلاعبون بطلبات API لتغيير البيانات، أو تعطيل العمليات، أو تصعيد الامتيازات.

تشمل تدابير الأمان التحكم الصارم في بوابات واجهة برمجة التطبيقات، والتحقق القوي من هوية النقاط النهائية، وتقييم الثغرات بشكل دوري لواجهات برمجة التطبيقات العامة والداخلية. كما أن مراقبة الاستخدام وتحديد المعدلات يقللان من التعرض للاستغلال الآلي على نطاق واسع.

38. استغلالات بدون نقر

تستغل الهجمات التي لا تتطلب نقرات ثغرات داخل التطبيقات التي لا تحتاج إلى تفاعل المستخدم؛ حيث يقوم المهاجمون باختراق الأنظمة ببساطة عن طريق إرسال حركة مرور مصممة إلى نقاط النهاية الضعيفة، مثل تطبيقات المراسلة أو مكتبات عرض الصور. وتعتبر هذه الهجمات ذات قيمة بسبب خفائها وسرعة انتشارها.

إن الحفاظ على تحديث البرمجيات، واستخدام تقنية العزل للوظائف الخطرة، وتطبيق تصحيحات الأمان بسرعة، هي أمور أساسية للدفاع ضد التهديدات التي لا تتطلب أي تفاعل من المستخدم.

تعرف على المزيد في دليلنا المفصل حول الطبقة السابعة من نموذج OSI (سيصدر قريبًا)

أفضل الممارسات للتخفيف من هجمات طبقات OSI

إليك بعض الطرق التي يمكن للمنظمات من خلالها حماية نفسها من الهجمات على مستويات مختلفة من نموذج OSI.

1. تنفيذ ضوابط وصول قوية وإدارة الهوية

يعتبر التحكم القوي في الوصول وإدارة الهوية عناصر أساسية لتأمين كل طبقة من طبقات نموذج OSI. تحد الضوابط الدقيقة من الوصول إلى الشبكة والأنظمة والبيانات بناءً على أدوار المستخدمين ونوع الأجهزة والبيانات السياقية. تفرض منصات إدارة الهوية والوصول المركزية سياسات مثل أقل الامتيازات، والمصادقة متعددة العوامل، وتوفير الوصول في الوقت المناسب. يعزز تدقيق الأذونات بانتظام وإلغاء الوصول غير الضروري هذه الدفاعات بشكل أكبر.

تقلل الفيدرالية الهوية وتسجيل الدخول الموحد (SSO) من تعب كلمات المرور، لكنها تتطلب تكوين أمان دقيق. إن استخدام بروتوكولات مصادقة قوية (مثل SAML أو OAuth)، وفرض تعقيد قوي لكلمات المرور، والحفاظ على تحديث مخازن بيانات الاعتماد يقلل بشكل كبير من فرص الهجوم عبر جميع الطبقات.

2. تشفير البيانات أثناء السكون وعند الانتقال

يظل التشفير وسيلة دفاع رئيسية ضد سرقة البيانات أو تعرضها بسبب هجمات طبقات OSI. إن تشفير البيانات المخزنة يمنع الوصول غير المصرح به إلى المعلومات المخزنة، بينما يضمن تشفير البيانات أثناء النقل السرية والسلامة أثناء انتقال البيانات عبر الشبكات. إن تشفير القرص الكامل، وتشفير البريد الإلكتروني، وتكوينات SSL/TLS القوية في طبقات النقل هي عناصر حاسمة لاستراتيجية تشفير شاملة.

تتطلب سياسات التشفير الفعالة إدارة قوية للمفاتيح، بما في ذلك تخزين المفاتيح بشكل آمن، وإجراءات التدوير، وضوابط الوصول لحماية ضد التهديدات الداخلية. يجب أن تتحقق التدقيقات المنتظمة من استخدام المعايير التشفيرية الحالية، وتعطيل الخوارزميات الضعيفة، والامتثال للأطر التنظيمية المتعلقة بحماية البيانات الحساسة.

3. تقسيم الشبكة والتقسيم الدقيق

تقسيم الشبكة يقسم البنية التحتية إلى مناطق أو أقسام متميزة، مما يحد من انتشار الهجمات ويعزل الموارد الحساسة. من خلال تخصيص ضوابط أمان ومستويات مراقبة مختلفة لكل قسم، تحدد المؤسسات من الحركة الجانبية وتقلل من سطح الهجوم. يستخدم التقسيم التقليدي VLANs والجدران النارية والشبكات الفرعية المخصصة لفرض الحدود بين مجموعات المستخدمين والخوادم والأصول الحيوية.

تطبق التجزئة الدقيقة هذه المبادئ على مستوى دقيق، غالبًا على مستوى العمل أو الجهاز، باستخدام الشبكات المعرفة بالبرمجيات أو التحكمات المعتمدة على الوكلاء. إنها تمكّن من العزل الديناميكي والواعي للسياق، مما يمنع وصول المهاجمين حتى بعد حدوث اختراق أولي. تتطلب التجزئة الدقيقة مراقبة مستمرة وتطبيق سياسات تكيفية لمواجهة التهديدات المتطورة وضمان الامتثال لقواعد التجزئة.

4. تجاوز الوقاية: استخدم كشف التهديدات المدعوم بالذكاء الاصطناعي والأتمتة.

لم تعد الدفاعات التقليدية المعتمدة على الوقاية كافية ضد الهجمات الحديثة متعددة المراحل التي تستغل نقاط الضعف عبر عدة طبقات من نموذج OSI. تقوم منصات الكشف عن التهديدات المدفوعة بالذكاء الاصطناعي بتحليل الإشارات من جميع الطبقات - من الطبقة الفيزيائية إلى طبقة التطبيقات - لربط الأحداث التي تبدو غير مرتبطة. على سبيل المثال، قد تشير حادثة انتحال عنوان MAC (الطبقة 2) تليها وصول غير طبيعي لواجهة برمجة التطبيقات (الطبقة 7) إلى هجوم "الخصم في المنتصف" الذي قد يتم تجاهله إذا تم تقييم كل تنبيه بشكل منفصل.

تضيف تحليلات السلوك، مثل تحليلات سلوك المستخدم والكيان (UEBA)، طبقة إضافية من الذكاء من خلال تحليل الأنشطة الطبيعية والإشارة إلى الانحرافات التي قد تشير إلى اختراق. بدلاً من الاعتماد فقط على التوقيعات أو التنبيهات المعتمدة على القواعد، تتعلم نماذج الذكاء الاصطناعي الأنماط مع مرور الوقت، مما يمكّن من الكشف المبكر عن التهديدات الداخلية وسوء استخدام بيانات الاعتماد والحركة الجانبية التي تتجاوز الدفاعات التقليدية. تعتبر UEBA مفيدة بشكل خاص في اكتشاف سوء استخدام بيانات الاعتماد الشرعية والهجمات البطيئة.

تساعد الأتمتة في توسيع نطاق الكشف والاستجابة من خلال تفعيل خطط العمل التي تحقق في التهديدات وتحتويها وتصلحها دون تدخل يدوي. يمكن لمنصات الذكاء الاصطناعي إثراء التنبيهات ببيانات سياقية، وتحديد أولويات الحوادث بناءً على المخاطر، وحتى بدء سير العمل مثل عزل نقاط النهاية أو تعطيل الحسابات المخترقة. لا يقلل هذا فقط من متوسط الوقت للاستجابة (MTTR)، بل يخفف أيضًا من إرهاق التنبيهات ويسمح لفرق الأمن بالتركيز على المبادرات الاستراتيجية.

5. مكن فريقك من خلال البحث الاستباقي عن التهديدات.

تمكن المنصات المدفوعة بالذكاء الاصطناعي من الصيد الاستباقي للتهديدات من خلال توفير رؤية موحدة عبر جميع طبقات نموذج OSI، بما في ذلك سجلات الوصول الفيزيائي، وبيانات الشبكة، وأحداث النقاط النهائية، ونشاط التطبيقات، ضمن واجهة بحث وتحليل واحدة. يمكن للمحللين التنقل بين مصادر البيانات، وإنشاء منطق كشف مخصص، والتحقيق في الأنماط التاريخية لكشف التهديدات الخفية التي تتجاوز الدفاعات التقليدية.

مع قدرات البحث المتقدمة والتحليلات المسبقة، يمكن لفرق الأمان البحث بشكل استباقي عن مؤشرات الهجوم المعروفة، ومسارات الوصول غير العادية، أو استخدام البروتوكولات الشاذة عبر الشبكات المقسمة. يقلل الصيد المدعوم بالذكاء الاصطناعي من الاعتماد على التحقيق اليدوي، ويسرع من اختبار الفرضيات، ويساعد في كشف الأسباب الجذرية قبل أن يحقق المهاجمون أهدافهم.

منع هجمات طبقة OSI باستخدام Exabeam

تعزز منصة عمليات الأمان الخاصة بشركة Exabeam، وخاصة من خلال Exabeam Nova، أمان الشبكة من خلال معالجة التهديدات وتنفيذ التخفيفات عبر جميع الطبقات السبع لنموذج OSI. Exabeam Nova، وهو نظام منسق من وكلاء الذكاء الاصطناعي، مدمج في New-Scale Security Operations Platform ويدعم سير العمل في الكشف والتحقيق والاستجابة. يستفيد من التحليلات السلوكية والأتمتة للكشف عن الأنشطة الشاذة في كل طبقة، مما يمكّن فرق الأمان من الاستجابة بسرعة وثقة.

إليك كيف يمكن لـ Exabeam حماية ضد الهجمات على طبقات نموذج OSI:

• الطبقة الفيزيائية (الطبقة 1): بينما إدارة الأمان الفيزيائي مباشرة خارج نطاق منصة البرمجيات، فإن قدرة Exabeam على "الإدراك" من خلال بناء خطوط أساسية سلوكية تساعد في اكتشاف الانحرافات الطفيفة. هذا يعني أنه إذا أدى اختراق فيزيائي إلى سلوك غير عادي في الشبكة، يمكن لـ Exabeam الإشارة إليه. مراقبة أنظمة التحكم في الوصول الفيزيائي وإدارة الأصول أمر حاسم، وستقوم Exabeam بربط أي شذوذ في الشبكة ناتج.
• طبقة ربط البيانات (Layer 2): يمكن لمنصة Exabeam اكتشاف التهديدات مثل انتحال MAC، وتسمم ARP، والقفز عبر VLAN من خلال تحليل معلومات تدفق الشبكة وسجلات النظام. ستقوم قدرتها "Perceive" بإنشاء معايير للعمليات الطبيعية في Layer 2 وتحديد الانحرافات مثل تغييرات عنوان MAC غير المتوقعة أو حركة مرور ARP غير العادية، مما يشير إلى احتمال وجود اختراق.
• طبقة الشبكة (Layer 3): تساعد Exabeam في تحديد التزوير في IP، وهجمات التوجيه، ومحاولات حرمان الخدمة (DoS)/حرمان الخدمة الموزعة (DDoS). من خلال تحليل العناوين المنطقية، وتحديثات جدول التوجيه، وأحداث توجيه الحزم، يمكن لـ Exabeam Nova "التفكير" من خلال الارتباطات بين الأنشطة المشبوهة، مثل تحديثات التوجيه غير النمطية أو ارتفاعات حركة مرور DDoS، لفهم العواقب المحتملة للهجوم.
• طبقة النقل (Layer 4): تحمي المنصة من فيضانات SYN، ومسح المنافذ، واختطاف الجلسات من خلال مراقبة حالات الاتصال، وتدفق القطع، ونشاط المنافذ. يمكن لنمذجة سلوك Exabeam اكتشاف هجمات معقدة في الطبقة الرابعة تتجاوز الدفاعات التقليدية، مثل محاولات الاتصال غير العادية أو الشذوذ في استخدام المنافذ، ثم "تعمل" على أتمتة جمع الأدلة وتصنيفها.
• طبقة الجلسة (الطبقة 5): تساعد Exabeam في مكافحة اختطاف الجلسات، تثبيت الجلسات، واستئناف الجلسات غير المصرح بها. من خلال جمع وتحليل سجلات إنشاء الجلسات، نقاط التزامن، وآليات التحكم في الحوار، يمكن للمنصة أن "تدرك" و"تفكر" في الأحداث المشبوهة مثل محاولات اختطاف الجلسات غير المعتادة أو الشذوذ في عمليات استعادة الجلسات.
• طبقة العرض (الطبقة 6): Exabeam تساهم في تأمين هذه الطبقة من خلال تحليل سجلات تحويل البيانات، وتدفقات الاتصالات المشفرة، ومعلومات الحمولة التطبيقية. إنها تساعد في اكتشاف التغييرات غير العادية في طرق التشفير أو استغلالات ترميز البيانات من خلال إنشاء معايير للعمليات النموذجية في الطبقة 6 وإشارة الانحرافات.
• طبقة التطبيقات (الطبقة 7): تتميز منصة Exabeam بفعاليتها العالية في هذا المجال، حيث توفر حماية ضد هجمات الحقن، وإساءة استخدام واجهات برمجة التطبيقات، والبرمجيات الخبيثة. من خلال مراقبة تفاعلات التطبيقات، وأنشطة المستخدمين، وتبادل البروتوكولات، يستطيع وكيل "Advise" في Exabeam Nova تقديم رؤى يومية حول حالة النظام، وربط عمليات الكشف بأطر عمل مثل إطار MITRE للهجوم والتكتيكات والتقنيات المشتركة (ATT&CK)، واقتراح التحسينات، بالإضافة إلى "العمل" على أتمتة جمع الأدلة وإنشاء ملفات القضايا المتعلقة بالأنشطة الخبيثة في الطبقة 7.

تُطبق الوظائف الأساسية لنظام Exabeam Nova - الإدراك، والتفكير، والعمل، والنصح - عبر هذه الطبقات لمراقبة الأنظمة بشكل مستمر، واكتشاف الانحرافات الطفيفة، وربط الأحداث في جداول زمنية للتهديدات، وأتمتة إجراءات الاستجابة، وتقديم رؤى لتحسين وضع الأمان. يمكّن هذا النهج المتكامل المدعوم بالذكاء الاصطناعي من تحقيق تحقيقات أسرع، وزيادة إنتاجية المحللين، ورؤية أقوى لبرنامج الأمان.