شرح مضاد الفيروسات وEPP وEDR وXDR وDLP وUEBA ووكلاء SIEM

1المقدمة

يُباع أمن الأجهزة الطرفية بالاختصارات، ويوسع المورّدون كل اختصار ليغطي أكبر قدر من السوق. والنتيجة أن منتجين بالتسمية نفسها قد يفعلان أشياء مختلفة جدًا، بينما قد يتداخل منتجان بتسميتين مختلفتين بالكامل تقريبًا. يعيد هذا الدليل كل مصطلح إلى وظيفته، وما يمكنه رؤيته، وما يمكنه فعله.

2مضاد الفيروسات وEPP: إيقاف الضار المعروف

يقارن مضاد الفيروسات التقليدي الملفات ببصمات البرمجيات الخبيثة المعروفة، مع بعض الأساليب التقديرية للنسخ القريبة منها. وهو رخيص وسريع وما زال يوقف التهديدات الشائعة، لكنه لا يكشف مهاجمًا يستخدم أدوات مشروعة مثل PowerShell أو برامج الإدارة عن بُعد أو بيانات اعتماد مسروقة.

منصة حماية الأجهزة الطرفية (EPP) هي التطور الحديث لمضاد الفيروسات. فهي تضيف نماذج تعلم آلة للملفات غير المعروفة، وحماية من الاستغلال وللذاكرة، وحظرًا سلوكيًا لأنماط الفدية، والتحكم في أجهزة USB، وجدار حماية محليًا، وغالبًا التحكم في التطبيقات. وهدفها الوقاية: حظر التهديد قبل تشغيله، بهدوء وتلقائيًا.

3EDR وXDR: رؤية ما تجاوز الحماية

يفترض الكشف والاستجابة على الأجهزة الطرفية (EDR) أن الوقاية ستفشل أحيانًا. يسجل الوكيل بدء العمليات وأوامر التشغيل واتصالات الشبكة وتغييرات الملفات والسجل، ويرسلها إلى لوحة تحكم يبحث فيها المحللون ومنطق الكشف عن سلوك المهاجمين. وعند اكتشاف أمر ما، يتيح لك EDR عزل الجهاز عن الشبكة وإيقاف العمليات وجمع الملفات والتحقيق في سلسلة الأحداث كاملة.

يطبق الكشف والاستجابة الموسعان (XDR) الفكرة نفسها خارج الجهاز الطرفي. فهو يربط بيانات الأجهزة بإشارات الهوية والبريد والسحابة والشبكة، فتظهر رسالة تصيد وتسجيل دخول مشبوه وعملية خبيثة على حاسوب كحادثة واحدة بدل ثلاثة تنبيهات منفصلة. يستخدم XDR “الأصلي” منتجات مورّد واحد، بينما يستقبل XDR “المفتوح” مصادر خارجية. وعمليًا تبدأ معظم منتجات XDR من EDR قوي.

4DLP وUEBA: البيانات والسلوك

يهتم منع فقدان البيانات (DLP) بالمعلومات لا بالبرمجيات الخبيثة. يصنّف وكيل DLP المحتوى الحساس، مثل أرقام البطاقات وأرقام الهوية الوطنية والمستندات المصنفة سرية، ويراقب كيف يخرج من الجهاز: النسخ إلى USB، والرفع إلى سحابة شخصية، والطباعة، واللصق في نماذج الويب ومنها أدوات الدردشة بالذكاء الاصطناعي. ويمكن للسياسات التسجيل أو تحذير المستخدم أو الحظر. ويستهلك DLP أيضًا معظم جهد الضبط، لأن السياسة الصارمة التي تعيق العمل الفعلي ينتهي بها الأمر إلى الإيقاف.

يبني تحليل سلوك المستخدمين والكيانات (UEBA، ويُختصر أحيانًا إلى UBA) خط أساس للنشاط الطبيعي لكل مستخدم وجهاز وحساب خدمة، ثم يقيّم الانحرافات: موظف مالية يسجل دخوله في الساعة 3 صباحًا من بلد جديد، أو حساب خدمة يقرأ فجأة آلاف الملفات، أو مسؤول يستخدم أداة لم يستخدمها من قبل. وغالبًا لا يكون UEBA وكيلًا، بل طبقة تحليل داخل SIEM أو منصة XDR تستهلك السجلات التي تنتجها الأدوات الأخرى.

5وكيل SIEM: جامع وليس مدافعًا

يرسل وكيل SIEM، أو ناقل السجلات، السجلات من الجهاز إلى SIEM مركزي. ومن الأمثلة Splunk Universal Forwarder وAzure Monitor Agent لـ Microsoft Sentinel وElastic Agent ووكيل Wazuh. وتقرنه فرق كثيرة بأداة Microsoft Sysmon على Windows لإنتاج أحداث أغنى عن العمليات والشبكة. لا يحظر الوكيل نفسه شيئًا، وتكمن قيمته في منح مركز العمليات الأمنية سجلًا طويل الأمد قابلًا للبحث، يبقى حتى لو مُسح الجهاز، ويمكن ربطه بكل مصدر آخر في المؤسسة.

6أين تتداخل الفئات

• تأتي معظم منتجات EDR اليوم مع وقاية EPP في الوكيل نفسه، لذلك يكون شراء كل منهما على حدة هدرًا للمال غالبًا.
• تتداخل بيانات EDR كثيرًا مع ما يجمعه وكيل SIEM وSysmon. وترسل فرق كثيرة تنبيهات EDR إلى SIEM وتبقي البيانات الخام في EDR، مما يخفض تكلفة الاستقبال.
• تتضمن عدة منصات XDR تحليلات شبيهة بـ UEBA، وتتضمن عدة منصات SIEM ربطًا شبيهًا بـ XDR. قارن القدرات لا التسميات.
• DLP هي الفئة الأقل تداخلًا. قد يرى EDR نسخ ملف إلى USB، لكنه لن يعرف أن الملف يحتوي على بيانات عملاء.

7ما يجب نشره حسب النضج

1. المؤسسات الصغيرة دون مركز عمليات أمنية: وكيل EDR واحد مع تفعيل الوقاية، ويفضل مع خدمة كشف واستجابة مُدارة (MDR) تراقبه على مدار الساعة.
2. المؤسسات النامية: إضافة إشارات الهوية والبريد عبر XDR، وSIEM للاحتفاظ وسجلات الامتثال، وDLP للبيانات التي تهتم بها الجهات التنظيمية.
3. مراكز العمليات الناضجة: SIEM مع UEBA كطبقة تحليل طويلة الأمد، وEDR أو XDR كأداة الكشف والاستجابة الرئيسية، وSOAR لأتمتة الإجراءات الروتينية بينها.

8الخاتمة

تتداخل أسماء هذه المنتجات، لكن الوظائف مختلفة: حظر التهديدات المعروفة، وكشف ما يتجاوز الحماية، وحماية البيانات الحساسة، وجمع السجلات للتحليل. حدد الوظائف التي تحتاجها ومن سيتصرف بناءً على النتائج قبل مقارنة المنتجات.

لا بأس بوكيل واحد لكل وظيفة. أما خمسة وكلاء متداخلين على كل حاسوب فلا: فكل منهم يستهلك المعالج، ويضيف تعارضات أثناء التحديثات، ويوسع سطح الهجوم. والاكتفاء بعدد أقل من الأدوات جيدة التشغيل يحسّن الأمن غالبًا أكثر من إضافة فئة جديدة.