أمن النقاط الطرفية و EDR: لماذا لم يعد الأنتي فيروس كافيًا

كلمة نقطة طرفية (Endpoint) تعني أي جهاز يتصل بشبكتك ويعالج بياناتها: حاسوب الموظف، هاتفه، الخادم، حتى الطابعة الذكية. ومع انتشار العمل عن بُعد، صار عدد هذه الأبواب كبيرًا، وكل باب غير محمي هو نقطة دخول محتملة لمهاجم. أمن النقاط الطرفية هو مجموعة الأدوات والسياسات التي تحمي هذه الأجهزة تحديدًا، بدل الاكتفاء بحماية محيط الشبكة.

لعقود، كان الأنتي فيروس التقليدي هو خط الدفاع الأساسي. طريقته بسيطة: يحتفظ بقائمة «تواقيع» (بصمات) لبرمجيات خبيثة معروفة، ويطابق كل ملف معها. المشكلة أن المهاجمين اليوم يستخدمون برمجيات جديدة أو متغيّرة لا توجد بصمتها في أي قائمة، وبعض الهجمات لا تستخدم ملفًا خبيثًا أصلًا بل تستغل أدوات النظام نفسها (fileless attacks). هنا يعجز النموذج القائم على التواقيع وحده.

EDR (Endpoint Detection and Response) يقلب المعادلة: بدل السؤال «هل هذا الملف في قائمة الخبثاء؟»، يسأل «هل هذا السلوك طبيعي؟». يراقب EDR ما يحدث على الجهاز باستمرار — أي عملية بدأت، أي اتصال شبكي فُتح، أي ملف تغيّر — ويطلق إنذارًا عند رصد نمط مشبوه، مثل برنامج يحاول تشفير آلاف الملفات فجأة (سلوك فدية نموذجي). والأهم أنه يسجّل كل ذلك، فيتيح لفريق الأمن التحقيق ومعرفة كيف دخل المهاجم وأين وصل، ثم عزل الجهاز عن بُعد.

الجدول التالي يوضّح الفرق بين المستويات الثلاثة:

عمليًا، الفرد العادي يكفيه أنتي فيروس حديث محترم مع تحديثات النظام. أما الشركة التي تملك بيانات عملاء فيجب أن تفكّر في EDR على الأقل. وإذا لم يكن لديها فريق أمني، فحلول MDR (Managed Detection and Response) تقدّم قدرات EDR مع فريق خبراء يراقب نيابةً عنها على مدار الساعة — خيار عملي يوازن بين التكلفة والحماية.

المصادر

• NIST — Guide to Enterprise Patch Management (SP 800-40)
• CISA — Endpoint Detection and Response guidance
• MITRE ATT&CK — Adversary tactics and techniques