تعني نمذجة التهديدات تحديد ما تحتاج إلى حمايته، وممن تحتاج إلى حمايته، ومقدار الجهد الذي يستحقه ذلك. إنها الخطوة التي تخبرك ما إذا كانت الأداة أو الإعداد أو العادة تستحق وقتك قبل أن تستثمر فيه أي جهد.
بدونها، يميل الناس إلى الوقوع في أحد فخين: فبعضهم لا يفعل شيئاً لأن الأمان يبدو خياراً بلا نهاية، بينما يلاحق آخرون كل تحذير حتى يصابوا بالإنهاك. وتصف مؤسسة الجبهة الإلكترونية (EFF) محاولة حماية جميع بياناتك من كل شيء طوال الوقت بأنه أمر غير عملي ومجهد. يضيق نموذج التهديد نطاق المهمة لتقتصر على التهديدات التي تنطبق عليك فعلياً.
بعد قراءة هذه الصفحة، ستكون قادرًا على كتابة خطة من صفحة واحدة، وستدرك لماذا يمكن لشخصين عقلانيين اتخاذ قرارات مختلفة بشأن الأداة نفسها. إنها لا توصي بأدوات محددة، بل تفترض الصفحات الأخرى أنك قمت بهذه الخطوة أولاً.
ما هي نمذجة التهديدات بعبارات بسيطة
في أمن الحاسوب، التهديد هو حدث محتمل يمكن أن يخل بجهودك للدفاع عن بياناتك. أما نموذج التهديد فهو القائمة القصيرة للتهديدات التي قررت التعامل معها بجدية، بالإضافة إلى ما ستفعله تجاه كل منها. وتطلق مؤسسة EFF على هذه العملية اسم “الخطة الأمنية”.
يستخدم المحترفون المفهوم نفسه ولكن على نطاق أوسع. فتصف منظمة OWASP، وهي منظمة غير ربحية تركز على أمن البرمجيات، نمذجة التهديدات بأنها طريقة لتحديد التهديدات والتواصل بشأنها وفهمها، بالإضافة إلى طرق الحد منها. وهي تنطبق على أي شيء ذي قيمة، بدءًا من البرمجيات الشبكات إلى العمليات التجارية. ويصف “بيان نمذجة التهديدات”، الذي كتبه مجموعة من الممارسين والباحثين عام 2020، العملية بأنها تحليل لتمثيل نظام ما لاكتشاف المخاوف الأمنية ومتعلقات الخصوصية. يختلف النطاق لكن الأسئلة تظل هي نفسها.
النموذج التوضيحي المبدئي لمؤسسة EFF هو المنزل: إذا كانت ممتلكاتك قيمة وكانت عمليات الاقتحام شائعة في منطقتك، فإن تركيب قفل أفضل وجهاز إنذار يعد أمراً منطقياً. أما إذا كانت عمليات الاقتحام نادرة، فإن إنفاق مبالغ طائلة على أقفال إضافية ليس كذلك. وينطبق المنطق نفسه على كلمات المرور والهواتف والحسابات.
أربعة مصطلحات ستراها
| المصطلح | ماذا يعني | مثال |
|---|---|---|
| الأصل (Asset) | شيء تقدره وتريد حمايته، وعادة ما يكون معلومات | بريدك الإلكتروني، جهات الاتصال، الرسائل، الموقع، المستندات، والأجهزة التي تحتويها |
| الخصم (Adversary) | شخص أو مجموعة يشكلون تهديداً لأصل ما | شريك سابق، متسلل على شبكة Wi-Fi عامة، صاحب عمل |
| التهديد (Threat) | حدث محتمل قد يضعف حمايتك | شخص يسجل الدخول إلى بريدك الإلكتروني باستخدام كلمة مرور مسربة من موقع آخر |
| المخاطرة (Risk) | مدى احتمال حدوث تهديد معين ضد أصل معين | تجربة كلمة مرور مسربة على بريدك الإلكتروني أمر محتمل، لكن نشر شركة الهواتف لسجلاتك أمر غير محتمل |
تُعرّف مؤسسة EFF المخاطرة على أنها ذلك الاحتمال. بينما يستخدم معهد (NIST)، وهو هيئة المعايير الأمريكية، تعريفاً رسمياً يزن أيضاً الأثر في حال حدوث التهديد. ونحن نستخدم الاثنين معاً، وتطرح الأسئلة أدناه مدى احتمال حدوث التهديد ومدى سوء أثره.
كيفية بناء نموذج التهديد
تتكون الخطة الأمنية لمؤسسة EFF من ستة أسئلة. أجب عن كل منها في جملة أو جملتين. الترتيب ليس ثابتاً، وغالباً ما ستعود لإجابة سابقة لتعديلها.
ما الذي أريد حمايته؟
اكتب قائمة بأصولك. بالنسبة لمعظم الناس، يعني ذلك المعلومات: البريد الإلكتروني، جهات الاتصال، الرسائل، الموقع الجغرافي، والمستندات. وتُحسب الأجهزة نفسها أيضاً، ونضيف إليها الحسابات التي تمنح إمكانية الوصول إلى كل ذلك. لكل أصل، دون أين يُحفظ، ومن لديه إمكانية الوصول، وما الذي يمنع الآخرين حالياً من الدخول.
ممن أريد حمايته؟
تتضمن أمثلة الخصوم لدى مؤسسة EFF: المدير في العمل، إنفاذ القانون، الشريك السابق، المنافس تجارياً، الحكومة، أو متسلل على شبكة عامة. كما تشمل أيضاً الأشخاص الموثوقين الذين قد يعرضون أصولك للخطر بسبب إهمالهم في أمنهم الخاص.
الخصم الأكثر احتمالاً لمعظم الناس أقل دراماتيكية بكثير من حكومة. ففي دراسة استمرت عاماً كاملاً حول اختطاف حسابات Google أجراها باحثون في جامعة نيويورك وجامعة كاليفورنيا في سان دييغو، جاءت معظم الهجمات من برامج مبرمجة آلية (bots) تستخدم كلمات مرور مسربة في اختراقات لمواقع أخرى. بينما كانت هجمات التصيد والهجمات المستهدفة موجودة ولكنها أقل شيوعاً.
ما مدى سوء العواقب إذا فشلت؟
فكر في ما يمكن للخصم فعله بالأصل؛ يمكنه قراءته، أو حذفه، أو استخدامه ضدك. تتراوح أمثلة مؤسسة EFF بين رابط خبيث يضر بجهاز الكمبيوتر وشخص يلتقط صورة لرسائلك الخاصة. اسأل نفسك ما إذا كان بإمكانك استبدال ما فُقد، وما إذا كان الآخرون سيتأثرون أيضاً.
ضع في اعتبارك قدرة الخصم؛ فمزود خدمة الهاتف المحمول الخاص بك يمكنه رؤية سجلات مكالماتك، بينما قد يصل خصم أقوى إلى أبعد من ذلك بكثير.
ما مدى احتمال احتياجي لحمايته؟
القدرة والاحتمالية أمران مختلفان. مزود خدمة المحمول يمكنه رؤية جميع سجلاتك، ولكن احتمال نشرها لإيذائك منخفض. تقارن مؤسسة EFF ذلك بانهيار مبنى: أمر ممكن في أي مكان، ولكنه أكثر احتمالاً بكثير في منطقة زلازل مثل سان فرانسيسكو مقارنة بستوكهولم.
هذا التقدير شخصي. تلاحظ مؤسسة EFF أن بعض الناس يرفضون التهديد بغض النظر عن احتماليته لأنه لا يستحق التكلفة، بينما يتجاهل آخرون المخاطر العالية لأنهم لا يرونها مشكلة. اكتب التهديدات التي ستتعامل معها بجدية وتلك التي تعد نادرة جداً، أو غير ضارة، أو يصعب مواجهتها.
ما مقدار المتاعب التي أنا مستعد لتحملها؟
لا يوجد خيار مثالي. مثال مؤسسة EFF هو محامٍ يتعامل مع قضية حساسة تتعلق بالأمن القومي، والذي قد يقبل قدرًا أكبر بكثير من عدم الراحة مقارنة بقريب يرسل مقاطع فيديو للقطط عبر البريد الإلكتروني. يجب أن تأخذ إجابتك في الاعتبار المال والوقت والمهارة التقنية والأشخاص من حولك.
من هم حلفائي؟
تتداخل الخصوصية والأمان مع خصوصية وأمان الأشخاص من حولك، لذا فإن التهديد الموجه إليك غالباً ما يصل إليهم أيضاً. تقترح مؤسسة EFF الاتفاق مع الأشخاص الذين يشاركونك المخاوف حول كيفية الاعتناء ببعضكم البعض وما ستثقون به لدى بعضكم. كما تذكرك بأن شخصاً ما في دائرة ثقتك قد يشكل تهديداً داخلياً، وتؤكد أن ذلك لا ينبغي أن يمنعك من بناء تلك الروابط.
أصل واحد، ثلاث خطط
قد يحتاج الأصل نفسه إلى مستويات حماية مختلفة تماماً. إليك ثلاثة أمثلة توضيحية لأشخاص يشعر كل منهم بالقلق بشأن حسابه البريدي الرئيسي.
| بريا (مترجمة حرة) | دانيال (صحفي يغطي قضايا الفساد المحلي) | مي (غادرت شريكًا مسيطرًا) | |
|---|---|---|---|
| الخصم الأكثر احتمالاً | برامج الآلية (Bots) والتصيد العشوائي الموسع | مهاجم مصمم يرسل رسائل مخصصة ومقنعة | شخص يعرف بالفعل عاداتها وقد يعرف كلمات مرورها |
| تكلفة الفشل | فقدان ملفات العملاء والدخل | كشف المصادر والسلامة الشخصية | السلامة والخصوصية في المنزل |
| الجهد الذي يستحقه الأمر | قدر معتدل يطبق في كل مكان | المزيد من المال وعدم الراحة | مساعدة من متخصصين، وليس مجرد قائمة مراجعة |
تختلف الخطط لأن الخصوم يختلفون، وليس لأن شخصاً يهتم أكثر من الآخر. تظهر دراسة Google سبب أهمية هذا عملياً: أدى رمز SMS المرسل إلى هاتف الاسترداد إلى حظر جميع البرامج الآلية، و 96% من هجمات التصيد الموسع، و 76% من الهجمات المستهدفة. بينما حظرت الإشعارات على الجهاز 100%، و 99%، و 90% على التوالي. ولم يقع أي مستخدم اعتمد فقط على مفاتيح الأمان الفيزيائية ضحية للتصيد المستهدف خلال الدراسة. تغطي هذه البيانات حسابات Google في عام 2019، لذا لن تنطبق تماماً على الخدمات الأخرى أو هجمات اليوم، لكن النمط لا يزال سائداً. أخطار بريا هي غالبًا من النوع الأول من الهجمات، بينما أخطار دانيال أقرب إلى النوع الاخير.
تصف هذه الأرقام المهاجمين الذين يتعين عليهم الاختراق من الخارج. لكنها لا تقول الكثير عن شخص يعرف بالفعل كلمات مرورك أو يمكنه التقاط هاتفك، وهو وضع “مي”. إذا كان هذا هو وضعك، فإن خدمات العنف الأسري ذات الخبرة في السلامة التقنية يمكنها المساعدة في سلامتك وأجهزتك معاً، إذ لا يمكن للنصائح العامة أن تحل محل ذلك.
لكتابة خطتك الخاصة، اختر أصلاً واحداً، مثل حساب بريدك الإلكتروني الرئيسي، وأجب عن الأسئلة الستة في جملة لكل منها. احفظ الصفحة في مكان خاص؛ وتلفت مؤسسة EFF إلى أن قائمة الخصوم قد تكون شيئاً ترغب في إتلافه بمجرد الانتهاء منه.
ما لا تستطيع نمذجة التهديدات فعله
- لا تنتج أماناً مطلقاً. تتحدث مؤسسة EFF بصراحة عن عدم وجود خيار مثالي، بل توجد فقط خطة معقولة لظرفك.
- تكون جودتها بقدر ما تعرفه فقط. إذا كان لديك سبب للاعتقاد بأن شخصاً أو مجموعة مصممة تستهدفك، فإن الخطة ذاتية الصنع ليست كافية وعليك التحدث إلى منظمة متخصصة.
- لا يمكنها الوصول إلى البيانات التي يحتفظ بها الآخرون عنك. تحتفظ الشركات والوكالات بسجلات عنك، والتسريبات من تلك الأنظمة خارج نطاق خطتك. يغطي قسم لماذا تهم الخصوصية هذه المشكلة.
- قد تضل الطريق إذا ركزت بشكل ضيق للغاية. يحذر “بيان نمذجة التهديدات” من المبالغة في التركيز على الخصوم أو الأصول أو التقنيات وإغفال الصورة الكاملة.
ملاحظة أخيرة حول المنهجية: إطار الأسئلة الأربعة لأدام شوستاك (ما الذي نعمل عليه، ما الذي يمكن أن يذهب جفاءً، ما الذي سنفعله حيال ذلك، هل قمنا بعمل جيد) هو المعيار في العمل الاحترافي. ويذكر شوستاك أنه صُمم للأشخاص الذين يبنون الأنظمة وهو أقل ملاءمة للمستخدمين النهائيين، ولهذا السبب تستخدم هذه الصفحة نسخة اللغة البسيطة لمؤسسة EFF بدلاً منه.
خرافات شائعة
“نمذجة التهديدات مخصصة للجواسيس والناشطين”
يجيب “البيان” على أطروحته الخاصة حول من يجب عليه نمذجة التهديدات بـ “أنت” و “الجميع”. النموذج المبدئي لمؤسسة EFF هو منزل وقفل، وليس خصماً على مستوى دولة.
“الخيار الأكثر أماناً هو الأفضل دائماً”
تتطلب الحماية الأقوى عادةً المزيد من المال أو الوقت أو الراحة، وتقول مؤسسة EFF بوضوح إنه لا أحد يحصل على خيار مثالي. الخيار الأفضل هو الذي ستستمر في استخدامه ضد التهديدات التي تواجهها بالفعل.
“عليّ التخطيط لكل مهاجم محتمل”
تقول OWASP إن محاولة تقييم كل مزيج من المهاجمين والهجمات ونقاط الضعف والأثر غالباً ما تكون إهداراً للوقت والجهد. إن تضييق نطاق البحث ليقتصر على التهديدات التي تهمك هو الهدف الأساسي من التمرين.
متى تجري مراجعة للنموذج
يصف نموذج التهديد حياتك في لحظة واحدة، وحياتك تتغير. تقول مؤسسة EFF إن عليك مراجعة خطتك بانتظام وتقترح وضع تاريخ للمراجعة في تقويمك. وتنصح OWASP بتحديث النموذج بعد أحداث مثل إضافة ميزة جديدة أو وقوع حادث أمني. بالنسبة لشخص، قد يكون الميزان هو البدء في وظيفة جديدة، أو إنهاء علاقة، أو الظهور للعلن، أو شراء جهاز جديد (هذه أمثلتنا وليست أمثلة EFF).
المصادر
- Your Security Plan، مؤسسة الجبهة الإلكترونية (الدفاع عن النفس ضد المراقبة)، آخر مراجعة في أكتوبر 2023.
- Threat Modeling، منظمة OWASP، تم الوصول إليه في أكتوبر 2026.
- Threat Modeling Manifesto، مجموعة عمل بيان نمذجة التهديدات، 2020.
- Shostack’s Four Question Frame for Threat Modeling، أدام شوستاك، تم الوصول إليه في أكتوبر 2026.
- Risk (glossary entry)، المعهد الوطني للمعايير والتكنولوجيا، تم الوصول إليه في أكتوبر 2026.
- New research: How effective is basic account hygiene at preventing hijacking، مدونة أمان Google، 2019.