## ما هي القائمة البيضاء للتطبيقات؟
القائمة البيضاء للتطبيقات هي مفهوم يعني أن لديك قائمة بالبرامج المسموح لها بالعمل، وأي شيء آخر غير مسموح له بالعمل.
ستجمع أكثر تقنيات القوائم البيضاء للتطبيقات تقدمًا نوعًا ما من منطق المصدر والوجهة. على سبيل المثال، قد تنص قائمة بيضاء لتطبيق ما على أن "برنامج Windows notepad مسموح له بالوصول إلى مجلد الضرائب على سطح المكتب الخاص بي، لكن Microsoft Word غير مسموح له بذلك."
سنقوم بتقييم هذا الأمر بمزيد من التفصيل لاحقًا، ولكن بشكل عام، تعتمد استراتيجيات الدفاع القائمة على القوائم البيضاء للتطبيقات بشكل كبير على هذين المتغيرين:
1. يوافق المهاجمون على اتباع القواعد التي وضعتها لهم فيما يتعلق بأداة الأمن السيبراني الخاصة بالقائمة البيضاء للتطبيقات لديك.
2. بيئتك صغيرة جدًا وتحتوي على عدد قليل من التطبيقات التي تظل مستقرة إلى حد ما، وبدون ثغرات قابلة للاستغلال.
# عيوب تقنيات القوائم البيضاء للتطبيقات
## التعقيد
### شبكات تقنية المعلومات أشبه بكائنات معقدة
حتى شبكات تقنية المعلومات الصغيرة هي كيانات في تغير مستمر ولها سلوكيات لا حصر لها. يقوم المستخدمون باستمرار بإضافة التطبيقات وإزالتها. كما يقوم مطورو البرامج باستمرار بإضافة الوحدات (modules) داخل التطبيقات وإزالتها، خاصة عند التحديث. وأخيرًا، بالإضافة إلى تغيرات الشيفرة البرمجية التي تؤدي إلى تغيرات في السلوك، فإن سلوكيات التطبيقات نفسها تُستخدم بطرق مختلفة من قبل مستخدمين مختلفين في أوقات مختلفة. تخيل الآن الفريق الذي سيتعين عليه متابعة ذلك باستمرار، وتذاكر الدعم الفني التي سترد باستمرار إلى مكتب مساعدة تقنية المعلومات.
واقعيًا، البيئة التقنية المستقرة الوحيدة هي تلك التي تعمل بواسطة أكشاك (kiosks)، حيث يتم تثبيت البرامج دون إمكانية الترقية أو الإضافة أو الإزالة، ويُسمح للمستخدمين بأداء وظيفة أو وظيفتين فقط بشكل ضيق. ربما كشك لطباعة الصور أو ما شابه. في هذه الحالة، لن تحتاج القائمة البيضاء للتطبيقات إلى التحديث إلا كل مرة تتم فيها ترقية جهاز الكشك، ربما مرتين في السنة.
### القوائم البيضاء الأكثر تقدمًا للتطبيقات تعني مزيدًا من التعقيد
أبسط القوائم البيضاء للتطبيقات تحتوي ببساطة على قوائم بالبرامج المسموح بوجودها في نظام المستخدم.
قد يكون هذا بحد ذاته أمرًا صعب الإدارة، لكنه يؤدي إلى مجموعة متنوعة من التحسينات المحتملة.
على سبيل المثال، لمجرد أن قسم الرواتب لديه تطبيق للتفاعل مع نظام رواتب الشركة، ألا ينبغي أن تكون هناك مجموعة منفصلة من القواعد لفريق المستودع، الذي لديه تطبيقات مختلفة (غير متعلقة بالرواتب)؟
لذا، فإن التحسينات المتعلقة بتحديد الأقسام أو المستخدمين المسموح لهم بتشغيل تطبيقات معينة هي تحسين واضح. تحسين أوجد الآن تعقيدًا إضافيًا، بالإضافة إلى مجرد تتبع عدد وأنواع وإصدارات البرامج الموجودة على شبكتك.
الآن، لنفترض أننا بحاجة إلى مجموعة أخرى من التحسينات - نحتاج إلى تحديد أي مستخدم لديه صلاحية الوصول إلى أي تطبيق، ولأي مجموعة من البيانات.
وهذا أيضًا منطقي تمامًا، أليس كذلك؟ لا تريد أن يتمكن فريق المستودع لديك من الوصول إلى سجلات الموارد البشرية، وفريق الموارد البشرية على الأرجح لا يحتاج إلى الوصول إلى بيانات عمليات فريق تسليم المستودع.
هذه مجموعة معقدة بشكل سخيف من التركيبات التي يجب تتبعها، الآن بعد أن أُضيفت مواقع البيانات كمتغير.
لذا - مع كل تحسين ضروري لجعل تقنيات القوائم البيضاء للتطبيقات فعالة، فإن الإدارة والتهيئة والدعم المستمر (يمكن القول إنه لا ينتهي ويتصاعد باستمرار) اللازم للحفاظ على عملها يجعل التقنية غير قابلة للاستخدام. والنتيجة عادة هي أن مجموعات كبيرة من المستخدمين تُمنح صلاحية الوصول إلى مجموعات كبيرة من التطبيقات، وعلى الأرجح إلى معظم البيانات. وبالتالي - تهيئة شبه عديمة الفائدة للتقنية، لأنه لا توجد شركة لديها الموارد الكافية للحفاظ على إدارتها بشكل صحيح.
## التطبيقات تتفاعل مع بعضها البعض
من الشائع في أنظمة التشغيل الحديثة أن تتفاعل التطبيقات مع تطبيقات أخرى. أحيانًا، يكون هذا التفاعل ناتجًا عن تكامل بين تطبيقين، مما يعزز تجربة المستخدم - مثل فتح مستند Word لتطبيق Microsoft Photos. وفي أحيان أخرى (وهذا أمر شائع جدًا) تحدث استدعاءات بين البرامج بطريقة تكون عادة غير مرئية للمستخدم النهائي.
- [مقدمة](#bkmrk-introduction)
- [أنواع الإدراج في القائمة البيضاء للتطبيقات - وصف غير تقني](#bkmrk-types-of-application)
- [تصريح المرور الواضح والمرهق (أمر جيد)](#bkmrk-the-obvious-%26-cumber)
- [تصريح المرور العام (على الأرجح ليس أمرًا جيدًا)](#bkmrk-the-generic-hall-pas)
- [تصريح المرور العام المحدد](#bkmrk-the-generically-spec)
- [تصريح المرور المحدد تحديدًا](#bkmrk-the-specific-specifi)
- [التطبيق المخترق](#bkmrk-the-compromised-appl)
- [بإيجاز - أسئلة يجب طرحها عند فحص قدرة القائمة البيضاء للتطبيقات](#bkmrk-in-summary---questio)
- [قراءة معمقة من المعهد الوطني للمعايير والتقنية (NIST)](#bkmrk-deep-reading-from-th)
# مقدمة
الإدراج في القائمة البيضاء للتطبيقات، في سياق Cyber Crucible، هو منح تطبيق ما الإذن بأداء إجراء معين قد يُعتبر خلاف ذلك مشبوهًا أو ضارًا.
تُوجد تقنية الإدراج في القائمة البيضاء للتطبيقات عادةً في أساليب الدفاع القائمة على التحليل السلوكي، رغم أن بعض المهاجمين يستخدمونها أيضًا (وهو أمر غير مشمول هنا) في عملياتهم.
تخيّل الأمر مثل المدرسة، حيث لم يكن يُسمح للطلاب عادةً بالتجول في الممرات أثناء الحصص الدراسية. ومع ذلك، إذا مُنحوا "تصريح مرور" بشكل ما من قبل شخصية ذات سلطة، فلم يكن الطلاب يُعادون إلى فصلهم الدراسي أو يُرسلون إلى مكتب المدير.
# أنواع الإدراج في القائمة البيضاء للتطبيقات - وصف غير تقني
إذا واصلنا استخدام تشبيه "تصريح المرور"، يمكن أن توجد تقنيات مختلفة تعلمها مسؤولو إدارة المدرسة، ساعدت في إضفاء الطابع الرسمي على السلوكيات التي قد يحاول بعض الطلاب (وبالتأكيد ليس رئيسنا التنفيذي دينيس) الإفلات بها. ولهذه جميعًا علاقة مباشرة بعمليات الأمن.
## تصريح المرور الواضح والمرهق (أمر جيد)
هل تتذكر يومًا حصولك على تصريح مرور، أو مفتاح لغرفة ما، كان كبيرًا وواضحًا بشكل مبالغ فيه؟
كان هناك سببان وجيهان لذلك:
1. حتى لا يُفقد.
2. لتقليل الوقت والجهد المستثمَر من قبل الشخصية ذات السلطة، في التحقق السريع من الأنشطة المعتمدة للطالب.
لن "يفقد" البرنامج الجيد قائمة بيضاء، ولكن برنامج القائمة البيضاء للتطبيقات ينبغي أن يُمكّن من التحقق السريع والفعّال من حيث الموارد من أن التطبيق قد تم فحصه.
## تصريح المرور العام (على الأرجح ليس أمرًا جيدًا)
ربما يكون هذا الأقل فائدة بالنسبة لمراقبة التطبيقات وللمدارس على حد سواء، لكنه يتطلب أقل قدر من الإدارة أو الخبرة.
في هذه الحالة، يُسمح للطالب بإنجاز مهمته في الممر. قد يعلم المعلم بذلك، على سبيل المثال، لكن لا يوجد تحقق من مراقبي الممر بشأن ما يفعله الطالب. كذلك، إذا كانت هناك محاولة للتحقق، فهناك مستويان من الاستثمار الكبير في الموارد:
1. مستوى الجهد اللازم للاقتراب من الطالب واستجوابه بشأن سلوكياته ونيته
2. مستوى الجهد اللازم للتأكد من صدق الطالب، للتحقق من تفسير الطالب
مع التطبيقات، يُشاهَد هذا غالبًا عندما يُضاف برنامج إلى قائمة بيضاء، دون أي تحقق إضافي من السلوكيات أو الأنشطة المسموح بها. ولسوء الحظ، فإن القدرة على اكتساب سياق سلوكيات التطبيق لا تكون عادةً متاحة للحصول عليها ما لم تُتَبَّع خارجيًا بواسطة إطار عمل آخر.
## تصريح المرور العام المحدد
لا يُخلط بينه وبين، "تفضل أيها التطبيق، افعل ما تشاء!"
لنعد إلى تصريح دورة المياه، لأنه ملائم جدًا هنا. نظرًا لوضوح التصريح، من السهل نسبيًا تقييم ما ينبغي أن يقوم به الطالب. يمكن تقييم السلوكيات الفادحة التي تخرج عن نطاق سلوكيات "الذهاب إلى دورة المياه" دون صعوبة كبيرة.
الإدراج في القائمة البيضاء للتطبيقات ذات الحدود العامة للأنشطة هو الأكثر شيوعًا، رغم أن هذه الحدود في كثير من الحالات تعادل السماح لطالب يحمل تصريح دورة المياه باللعب في الملعب.
## تصريح المرور المحدد تحديدًا
لا يُخلط بينه وبين "تصريح المرور العام المحدد"!
بينما نعلم، مع تصريح المرور العام المحدد، أن الطالب يستخدم دورة المياه - في مدرسة كبيرة، لا نعلم
1\. من منح الطالب الإذن
2\. من أين أتى للتو.
3\. أي دورة مياه كانت في ذهن الشخصية ذات السلطة عندما منحت الموافقة.
4\. منذ متى والطالب "خارجًا ومتجولًا".
تطلّب هذا مزيدًا من العمل على إطار السلطة الخاص بالمدرسة.
وللعودة إلى الإدراج في القائمة البيضاء للتطبيقات، يكون التحليل السلوكي أكثر دقة كلما زادت المتغيرات المضافة إلى أي قدرة على اتخاذ القرار.
بالإضافة إلى ذلك، عند التحقق من تصريح مرور صادر، لا تحتاج عادةً إلى تتبع سلسلة من 5 معلمين للوصول إلى المصدر. كما يمكنك دائمًا تقريبًا الوثوق بأن المعلم لم يكن نوعًا من "المعلم السيئ" الذي يوجّه الطلاب للتصرف بشكل غير لائق. الإدراج في القائمة البيضاء للتطبيقات، في مثال القائمة البيضاء المحددة تحديدًا، يتطلب العمل بشكل عكسي، لفحص كل تطبيق أب أو سلف فتح التطبيق التالي. على سبيل المثال، قد تكون قطعة من البرمجيات الخبيثة قد فتحت أداة شرعية من أدوات Windows.
الأسئلة التالية تعادل تقريبًا "تصريح مرور الطالب" أعلاه:
1. لأي غرض بدأ التطبيق، أو ماذا طُلب منه أن يفعل؟ نحتاج إلى معرفة السلوك المقصود.
2. من قام بتشغيل التطبيق؟ عادةً ما يكون هذا برنامجًا آخر.
3. أي برامج "أب" أو "سلف" أدت إلى فتح هذا البرنامج؟ ماذا كان كل منها يفعل، أو ينوي فعله؟
## التطبيق المخترق
هل تتذكر في مختلف أعمال الخيال العلمي، أو أدب وأفلام الرعب، عندما يستولي محتال ما بطريقة ما
على السيطرة على سلوك شخصية ما؟ في المدارس، لا توجد فرصة تُذكر لأن يستولي كائن فضائي على معلّم.
الاستيلاء على التطبيق هو تقنية مفضلة لدى المهاجمين لأنه، كما في الأفلام، لا يلاحظ معظم المراقبين شيئًا غير طبيعي حتى فوات الأوان.
في هذه الحالة، يأخذ المهاجم برنامجًا قيد التشغيل، محملاً حاليًا في الذاكرة. وبذلك، يُتجاهل البرنامج السليم تمامًا الموجود في نظام الملفات. يُعدَّل البرنامج الموجود في الذاكرة لإضافة شيفرة المهاجم. تمامًا مثل كائن فضائي داخل جسد إنسان. يقوم المهاجم بأنشطته الإجرامية، وعندما ينتهي تشغيل البرنامج، تختفي معظم الأدلة. عندما يعمل البرنامج الشرعي مرة أخرى، إذا لم يُعدّل المهاجم الشيفرة مرة أخرى، فإنه يعمل تمامًا كما قصد المبرمجون الشرعيون الأصليون. ربما يكون التشبيه الأنسب، في هذه الحالة، هو المستذئب؟
عندئذٍ، تحتاج القائمة البيضاء للتطبيقات إلى عمل إضافي لضمان أن البرنامج، وأي أسلاف أو برامج أب، سليمة دون أن يُعدّلها القراصنة أثناء تشغيلها.
# بإيجاز - أسئلة يجب طرحها عند فحص قدرة القائمة البيضاء للتطبيقات
احرص على فهم حدود ما تسمح به القائمة البيضاء، عند مناقشة الإدراج في القائمة البيضاء للتطبيقات مع فريق التقنية أو المورّد لديك.
1. هل تفحص هذه القدرة وتتبّع ما يُفترض أن يقوم به البرنامج، وتقارن السلوكيات المتوقعة بالسلوكيات الفعلية المُلاحَظة؟
2. ما مقدار التفاصيل التي تلتقطها قدرة القائمة البيضاء في عملية اتخاذ القرار؟ أكثر أم أقل من تصريح مرور طالب مفصّل؟
3. هل تتتبّع قدرة القائمة البيضاء البرامج الأب والسلف وتفحصها بحثًا عن أي نية خبيثة؟ (البرنامج A يفتح B، يفتح C، يفتح D - أمر شائع جدًا)
4. هل تتحقق قدرة القائمة البيضاء من أن البرنامج قيد التشغيل لم يُعبث به؟
# قراءة معمقة من المعهد الوطني للمعايير والتقنية (NIST)
منشور موثوق ليس مخصصًا للقراءة العابرة، لكنه وصفي للغاية.
رغم أنه لا يغطي كل سيناريو، ولا تُحدَّث التفاصيل بشكل متكرر بما يكفي لمواكبة كل سيناريو، فإن الأوصاف استراتيجية بما يكفي لتكون ذات قيمة في معظم الظروف.
يُقدّر فريق Cyber Crucible دائمًا الرؤى المستمدة من منشورات NIST، ويخصص وقتًا لذلك وفقًا لذلك.
[https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-167.pdf](https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-167.pdf)
يمكن للمستخدمين معرفة استجابات الابتزاز التي كانت ستُعلَّق في حال عدم وجود سلوك مخصص، وذلك بالانتقال أولاً إلى صفحة استجابات الابتزاز الموجودة ضمن علامة التبويب العمليات في الشريط الجانبي.
يُظهر عمود "المستبعد" ما إذا كانت استجابة الابتزاز قد تم استبعادها أم لا، ويعرض عامل التصفية الافتراضي للعمود الاستجابات غير المستبعدة وغير الصامتة.
لعرض الاستجابات المستبعدة، افتح عامل تصفية عمود "المستبعد" وحدد "مستبعد" فقط.
بعد النقر على "تطبيق"، سيعرض الجدول استجابات الابتزاز المستبعدة التي كانت ستُعلَّق لولا وجود السلوك المخصص.
لمعرفة السلوك المخصص الذي تم تطبيقه على استجابة معينة، انقر أولاً على السهم الموجود في عمود "عدد الحوادث" للصف المحدد. في الجدول الداخلي الذي يظهر بعد النقر على السهم، سيعرض عمود "قاعدة الإخفاء" اسم السلوك المخصص الذي تم تطبيقه على الاستجابة.
- [كيفية إنشاء سلوك مخصص](#bkmrk-how-to-create-a-tail)
- [كيفية إنشاء وتعديل السلوكيات المخصصة المؤقتة](#bkmrk-how-to-create-and-ed)
- [كيفية حذف السلوكيات المخصصة](#bkmrk-how-to-delete-tailor)
- [كيفية نسخ السلوكيات المخصصة إلى مجموعة مختلفة](#bkmrk-how-to-copy-tailored)
- [إنشاء سلوك مخصص من صفحة الاستجابة للابتزاز](#bkmrk-creating-a-tailored-)
يمكن العثور على صفحة السلوكيات المخصصة ضمن علامة التبويب العمليات في الشريط الجانبي. يُرجى ملاحظة أنه يجب أن يمتلك المستخدمون صلاحية "عرض السلوكيات المخصصة" لمجموعة ما ليتمكنوا من رؤية السلوكيات المخصصة لتلك المجموعة في هذه الصفحة
# كيفية إنشاء سلوك مخصص
بعد الانتقال إلى صفحة السلوكيات المخصصة، انقر على أيقونة استبعاد العملية الموجودة أعلى هذا الجدول.
سيؤدي النقر على هذه الأيقونة إلى ظهور نافذة منبثقة لإنشاء السلوك المخصص.
لدى المستخدمين خيار تحديد برنامج رئيسي (parent program) مع الاستثناء
 أدخل القيود الإضافية التي ترغب في تطبيقها
أصبح لدى المستخدمين الآن خيار تقييد الاستثناء بمحفزات وصول ملفات محددة، وتكون جميع محفزات وصول الملفات مُضمَّنة افتراضيًا. يُرجى ملاحظة أن الوكلاء (agents) بالإصدار 4.4.6.2 وما فوق فقط يمتلكون قدرة محفز وصول الملفات هذه.
يمتلك المستخدمون أيضًا القدرة على إنشاء سلوكيات مؤقتة، انظر المزيد في القسم التالي
# كيفية إنشاء وتعديل السلوكيات المخصصة المؤقتة
يمكن للمستخدمين إنشاء سلوك مخصص مؤقت باتباع العملية الاعتيادية لإنشاء سلوك كما هو موضح أعلاه، ثم تفعيل مفتاح تبديل "جعل هذا السلوك المخصص مؤقتًا". يمكن للمستخدمين بعد ذلك إدخال عدد الساعات حتى انتهاء صلاحية السلوك المؤقت (بحد أقصى أسبوع واحد).
يمكن رؤية تاريخ انتهاء صلاحية السلوك في عمود تاريخ الانتهاء على الجدول.
لتعديل سلوك مؤقت لتمديد تاريخ الانتهاء، أو لجعل سلوك مؤقت دائمًا، أو لجعل سلوك دائم مؤقتًا، انقر على أيقونة التعديل الخاصة بالسلوك المطلوب في عمود تاريخ الانتهاء.
سيؤدي النقر على هذه الأيقونة إلى فتح نافذة منبثقة يمكن للمستخدمين من خلالها تعديل تاريخ انتهاء صلاحية السلوك حسب الرغبة
# كيفية حذف السلوكيات المخصصة
لحذف سلوك واحد، أو عدة سلوكيات في آن واحد، حدد أولًا السلوك (السلوكيات) المراد حذفها على الجدول وانقر على أيقونة سلة المهملات أعلى الجدول.
ثانيًا، اكتب "delete" وانقر على زر الحذف.
# كيفية نسخ السلوكيات المخصصة إلى مجموعة مختلفة
لنسخ سلوك واحد (أو عدة سلوكيات في آن واحد) إلى مجموعة أخرى، حدد السلوك (السلوكيات) المراد نسخها على الجدول وانقر على أيقونة النسخ أعلى الجدول.
سيؤدي النقر على هذه الأيقونة إلى ظهور نافذة منبثقة يمكنك من خلالها تحديد المجموعة التي يجب نسخ السلوك (السلوكيات) إليها.
تحتوي هذه النافذة المنبثقة أيضًا على خيار لحذف السلوكيات الموجودة حاليًا في المجموعة المحددة (باستثناء السلوكيات المُنشأة تلقائيًا)، والاكتفاء بالسلوكيات المنسوخة فقط في المجموعة المحددة بعد إرسال الطلب.
بعد إرسال الطلب، ستظهر السلوكيات المنسوخة الآن للمجموعة المحددة.
# إنشاء سلوك مخصص من صفحة الاستجابة للابتزاز
لدى المستخدمين القدرة على إنشاء سلوكيات مخصصة من صفحة استجابات الابتزاز.
أولًا، انقر على السهم في صف استجابة الابتزاز المطلوبة ضمن عمود عدد الحوادث لإظهار الجدول الداخلي.
ثانيًا، انقر على أيقونة استبعاد الاستجابة في عمود اسم الاستجابة، مما سيؤدي إلى ظهور نافذة منبثقة لإنشاء السلوك المخصص.
في هذه النافذة المنبثقة، يمكنك إنشاء سلوكيات باستخدام مسارات الملفات التنفيذية المقترحة أو إرسال الاستجابة للمراجعة إذا لم تجد ما تحتاجه ضمن المسارات المقترحة.
يمكنك أيضًا النقر على زر "خذني إلى صفحة السلوكيات المخصصة"، والذي سيقوم بتحويلك إلى صفحة السلوكيات المخصصة ويملأ تلقائيًا النافذة المنبثقة لإنشاء السلوك بنفس المجموعة والمسار ووسائط البرنامج من الاستجابة.
يُرجى ملاحظة أن إعداد "تقييد الاستثناء بالبرنامج + البرنامج الرئيسي" يكون معطلًا افتراضيًا. سيتم أيضًا ملء مسار البرنامج الرئيسي ووسائطه من استجابة الابتزاز تلقائيًا إذا قمت بتفعيل هذا الإعداد.
استثناء السلوك المخصص بعد النقر على إنشاء مع تفعيل إعداد "تقييد الاستثناء بالبرنامج + البرنامج الرئيسي":
