00:00:00كان العام الماضي عاماً استثنائياً في عالم الأمن السيبراني، ولكن ليس بطريقة إيجابية.
00:00:04فقد تم نشر أكثر من 48,000 ثغرة أمنية (CVEs) العام الماضي، وهو رسمياً أكبر عدد
00:00:10من الثغرات المكتشفة في عام واحد على الإطلاق.
00:00:13ويبدو أن الأمور لن تصبح أسهل في الفترة القادمة.
00:00:17في هذا الفيديو، سنلقي نظرة أعمق على الإحصائيات لنفهم سبب هذا الارتفاع الكبير
00:00:22في عدد الثغرات، وما الذي يمكننا فعله حيال ذلك.
00:00:29لقد زادت الثغرات العام الماضي بنسبة 18%، وهذا يعني اكتشاف ما متوسطه 130 ثغرة
00:00:35أمنية جديدة في كل يوم من أيام السنة.
00:00:39والأمر الأكثر رعباً هو أنه في أوائل عام 2025، تم إطلاق حوالي 28% من الهجمات المرصودة
00:00:46خلال يوم واحد فقط من الكشف عن الثغرة.
00:00:49وهذا يعني أنه بحلول الوقت الذي أصدر فيه المطورون تحديثاً أمنياً، كان المهاجمون قد بدأوا بالفعل
00:00:54في استغلال الأنظمة واستهدافها بنشاط.
00:00:57وغني عن القول إن البرمجة باستخدام الذكاء الاصطناعي جعلت الأمور أسهل لكلا الطرفين.
00:01:01فمع صعود نهج الـ “vibe coding”، فُتحت ثغرات غير مسبوقة في الأنظمة الجديدة بسبب
00:01:07ضعف الإجراءات الأمنية التي تضعها أدوات البرمجة بالذكاء الاصطناعي.
00:01:11أما بالنسبة للمهاجمين، فقد أصبح فحص الأنظمة بحثاً عن المشكلات الحرجة أسهل وأسرع من أي وقت مضى،
00:01:17إلى جانب القدرة على إنشاء برمجيات خبيثة بسرعة لاستغلال هذه الثغرات المكتشفة حديثاً.
00:01:22لكن عند النظر إلى أنواع الهجمات، نجد للمفاجأة أن ثغرات الـ “Cross-site scripting”
00:01:27و “SQL injection” لا تزال من أكثر طرق الهجوم شيوعاً.
00:01:32لذا فإن تطبيق عملية تنقية المدخلات (input sanitization) بشكل صحيح في تطبيقاتك أو أنظمتك يعد من
00:01:38أسهل الخطوات التي يمكنك اتخاذها لحماية نفسك.
00:01:40وإذا تحدثنا عن أطر عمل الويب، فلا يزال ووردبريس (WordPress) يمثل أكبر مصدر
00:01:45للثغرات الأمنية الجديدة، مع اكتشاف حوالي 7000 ثغرة في ووردبريس وحده.
00:01:52لذا أنصحكم بالحذر من استخدام ووردبريس.
00:01:55لكن إذا قررتم استخدامه في مشاريعكم القادمة، فاحرصوا على تقليل
00:02:00استخدام الإضافات (plugins) قدر الإمكان، لأن الغالبية العظمى -أي 90%- من ثغرات ووردبريس تأتي
00:02:07من إضافات الطرف الثالث، و6% من القوالب، بينما 4% فقط تأتي من نظام ووردبريس الأساسي.
00:02:15لذا فإن نواة ووردبريس آمنة نسبياً، لكن الإضافات غالباً ما تكون سيئة الصيانة
00:02:21وقد يتم تجاهل مشكلاتها الأمنية.
00:02:23وهذا يقودنا إلى نقطة هامة.
00:02:25ما هي اللغات وأطر العمل التي تعتبر آمنة نسبياً؟
00:02:28تُظهر البيانات أن اللغات التي تدعم أمان الذاكرة (Memory-safe) مثل Rust و Java و Go و #C و Python
00:02:36أو Swift تعتبر أكثر أماناً من اللغات غير الآمنة للذاكرة مثل C و ++C أو لغة التجميع (Assembly)،
00:02:43لأن هذه اللغات الأخيرة تسمح بالتعامل المباشر مع عناوين الذاكرة (pointers).
00:02:47وتشير الأبحاث إلى أن حوالي 70% من جميع الثغرات الأمنية شديدة الخطورة في قواعد البيانات البرمجية الضخمة،
00:02:52مثل تلك الموجودة في مايكروسوفت وجوجل، ناتجة عن مشكلات أمان الذاكرة.
00:02:59وقد شهد عام 2025 تحولاً كبيراً تمثل في الضغط القوي من منظمات مثل CISA و NSA
00:03:06والبيت الأبيض لدفع المطورين للابتعاد عن اللغات غير الآمنة للذاكرة.
00:03:11ومن الجدير أيضاً النظر إلى كثافة الثغرات عند تقييم المخاطر، حيث تشير
00:03:16بيانات جوجل لعام 2025 إلى أن لغة Rust لديها كثافة ثغرات تبلغ 0.2 لكل مليون سطر برمجي،
00:03:26مقارنة بما يقرب من 1000 ثغرة لكل مليون سطر في أكواد C أو ++C القديمة.
00:03:32وهذا منطقي تماماً، لأن لغتي C و ++C موجودتان منذ السبعينيات ولديهما
00:03:37الكثير من الأكواد القديمة التي لا تزال تحمل ثغرات محتملة غير مرقعة.
00:03:42لذا إذا كنت محتاراً بين اختيار C أو Rust لمشروعك القادم، فإن هذه الحقيقة
00:03:47وحدها قد ترجح كفة Rust بشكل كبير من منظور أمني بحت.
00:03:52أما إذا نظرنا إلى أنظمة التشغيل، فإن نظام التشغيل الأكثر عرضة للثغرات وبفارق كبير هو
00:03:58نواة لينكس (Linux kernel).
00:03:59وهذا ليس مفاجئاً، لأننا نعلم أن نواة لينكس موجودة في كل مكان.
00:04:04فهي تشغل الخوادم، ونظام أندرويد، وأجهزة إنترنت الأشياء، وغيرها الكثير.
00:04:09كما أنها تخضع لتدقيق شديد من قبل الباحثين.
00:04:12لذا تم اكتشاف والكشف عن الكثير من الأخطاء فيها.
00:04:15بالإضافة إلى ذلك، فإن أي مشروع مفتوح المصدر لا بد أن يجذب انتباهاً أكبر من المهاجمين المحتملين.
00:04:20وبينما نستقبل عام 2026، يظل السؤال: ما الذي يمكننا فعله لنكون أكثر استعداداً ونحمي
00:04:25أنظمتنا من التهديدات القادمة؟
00:04:28الحقيقة هي أننا لم نعد نحارب مجرد قراصنة من البشر.
00:04:32بل نحن ندخل عصراً من حروب الآلات ضد الآلات.
00:04:36إليك ثلاث ركائز أمنية يجب التركيز عليها هذا العام.
00:04:40أولاً: إعطاء الأولوية لأمان الذاكرة.
00:04:43في أي تطوير جديد، اجعل الأولوية للغات آمنة للذاكرة مثل Rust أو Go أو Swift وغيرها.
00:04:49والانتقال بعيداً عن C و ++C هو الطريقة الأكثر فعالية لتقليل كثافة الثغرات لديك.
00:04:55ثانياً: تنفيذ المراقبة المدعومة بالذكاء الاصطناعي.
00:04:58بما أن المهاجمين يستخدمون الآن الذكاء الاصطناعي لشن هجمات خلال 24 ساعة من اكتشاف الثغرة،
00:05:05فإن الرقابة اليدوية لم تعد كافية.
00:05:06يجب عليك نشر أنظمة كشف مؤتمتة تستخدم التحليل السلوكي لتحديد الأنشطة المشبوهة
00:05:12في الوقت الفعلي.
00:05:13وتعد أداة “Better Stack” خياراً رائعاً لهذا النوع من عمليات الرصد.
00:05:17أصبح لدى Better Stack الآن تتبع للأخطاء معتمد على الذكاء الاصطناعي،
00:05:24بل ويتضمن مهندس موثوقية أنظمة (SRE) يعمل بالذكاء الاصطناعي لينبهك في أي وقت عند حدوث خطأ.
00:05:28ثالثاً: تقليل نطاق سلسلة التوريد المعرض للهجوم.
00:05:32هذا الدرس ينطبق على جميع عمليات التطوير الحديثة.
00:05:35قلل من الاعتماد على التبعيات الخارجية.
00:05:37فمعظم الثغرات تنبع من إضافات ومكتبات الطرف الثالث.
00:05:41وقد كان هذا واضحاً جداً في هجوم “React to Shell” الشرس العام الماضي،
00:05:46والذي قدم عنه جيمس شرحاً تفصيلياً رائعاً يمكنك مشاهدته هنا.
00:05:49وأخيراً، الأمر الرابع الذي يجب عليك فعله هو الاشتراك في قناتنا لضمان
00:05:54عدم تفويت أي تحديثات حول الثغرات الأمنية الخطيرة الجديدة.
00:05:58نحن نبذل قصارى جهدنا هنا في قناة Better Stack لنبقيك على اطلاع بآخر التطورات،
00:06:03بما في ذلك تناول الثغرات المكتشفة حديثاً.
00:06:06أتمنى أن تكونوا قد وجدتم هذا الفيديو مفيداً، وإذا كان الأمر كذلك، فأخبرونا
00:06:10من خلال الضغط على زر الإعجاب أسفل الفيديو.
00:06:13كان معكم أندريس من Better Stack، وأراكم في الفيديوهات القادمة.