4.4الهويات والـ MFA والأمن (Entra ID)
الأساسي في 30 ثانية
- في السحابة تصبح الهوية المحيط الأمني الحقيقي: نتّصل من كل مكان، وحماية الهوية تحمي الوصول إلى كل شيء.
- Entra ID (سابقاً Azure AD) يدير هويات M365؛ وMFA يضيف عاملاً ثانياً ويحجب سرقة كلمة المرور وحدها — أكثر التدابير مردودية.
- الوصول المشروط يكيّف الاشتراط حسب السياق (مكان، جهاز، خطر)؛ ونحمي أولاً حسابات المديرين.
حالة صغيرة متسلسلة — Sofiane يشدّد وصول الشركة
Sofiane، مسؤول الأنظمة في شركة توزيع صغيرة في الجزائر، يُجري تدقيقاً للهويات في Entra ID. يلاحظ أن الـ MFA غير مُفعَّل في كل مكان، وأن حسابَي مدير مُعفَيان منه «للإسراع». يصحّح: MFA مطلوب للجميع، أولاً على الحسابات ذات الامتياز، ثم قاعدة وصول مشروط بسيطة — MFA إلزامي خارج المكتب. ويحدّد أيضاً التصرّف عند حساب مخترَق: إعادة التعيين وإبطال الجلسات. ويدوّن الممارسة: حماية الهويات هي حماية كل الوصول.
حالة مستقلة لهذا القسم: تعود في الدرس والمخطّط والنص البرمجي وتحدّي 48 ساعة في القسم 4.4.
1. الهوية، المحيط الجديد
في السحابة لم يعد ثمّة «جدار» شبكة حول المؤسسة: نتّصل من كل مكان. والمحيط الحقيقي يصبح الهوية. وEntra ID (سابقاً Azure AD) يدير هذه الهويات لـMicrosoft 365. وحماية الهوية هي حماية الوصول إلى كل شيء — ومن هنا أهمية تجاوز كلمة المرور وحدها.
2. الـ MFA، لا غنى عنه
كلمة مرور وحدها تُسرَق (تصيّد، تسرّب، إعادة استخدام). والـMFA (المصادقة متعدّدة العوامل) يضيف عاملاً ثانياً: شيء نملكه (تطبيق مصادقة، رمز) فوق شيء نعرفه (كلمة المرور). وحتى مع كلمة المرور، يبقى المهاجم محجوباً بلا العامل الثاني. إنه أكثر التدابير مردوديةً ضدّ سرقة الحسابات.
3. الوصول المشروط
نمضي أبعد بـالوصول المشروط: قواعد تكيّف الاشتراط حسب السياق («اشترِط MFA خارج المكتب»، «احجب الدخول من بلدان غير معنيّة»، «اشترِط جهازاً متوافقاً»). الفكرة: كلّما كان السياق أخطر، طلبنا ضمانات أكثر. ونحمي أولاً الحسابات ذات الامتياز، دون إعفائها من القواعد أبداً.
🔎 مثال ملموس — 🔎 مثال ملموس — كلمة مرور مسروقة بالتصيّد
يُدخِل مستخدم كلمة مروره في موقع مزيّف؛ ويقارن Sofiane الحالتين:
بلا MFA : المهاجم يسجّل الدخول -> حساب مخترَق X
مع MFA : المهاجم يملك كلمة المرور لكن لا العامل الثاني
-> دخول محجوب + تنبيه OK
القراءة : الـ MFA يبطل سرقة كلمة المرور وحدها.
الدرس : تفعيل الـ MFA أكثر التدابير مردوديةً ضدّ الاستيلاء على الحساب.القراءة: الـ MFA يبطل سرقة كلمة المرور وحدها — المهاجم لا يملك العامل الثاني.
الدرس: تفعيل الـ MFA أكثر التدابير مردوديةً ضدّ الاستيلاء على الحساب، خصوصاً على المديرين.
مفردات القسم
- Entra ID
- خدمة هوية Microsoft السحابية (سابقاً Azure AD) لـM365.
مثال بسيط: يدير Sofiane الحسابات والـ MFA من Entra ID.
ما ليس كذلك: خدمة تخزين ملفات الفريق.
رد فعل: هويات M365 → Entra ID.
- الهوية
- حساب يثبت من أنت؛ المحيط الأمني الحقيقي في السحابة.
مثال بسيط: حماية الهوية تحمي الوصول إلى كل شيء، يذكّر Sofiane.
ما ليس كذلك: كابل أو منفذ شبكة لا يصادق على أحد.
رد فعل: الاتّصال من كل مكان → حماية الهوية.
- MFA
- المصادقة متعدّدة العوامل: كلمة مرور + عامل ثانٍ مملوك.
مثال بسيط: يفرض Sofiane الـ MFA على الجميع، المديرين أولاً.
ما ليس كذلك: كلمة مرور وحدها، مُعاد استخدامها وسهلة السرقة.
رد فعل: حجب سرقة كلمة المرور → MFA.
- الوصول المشروط
- قواعد تكيّف اشتراط المصادقة حسب السياق.
مثال بسيط: يفرض Sofiane الـ MFA خارج المكتب.
ما ليس كذلك: قاعدة واحدة متطابقة في كل الحالات.
رد فعل: خطر أعلى → اشتراط معزّز.
- التصيّد
- خداع لسرقة المُعرِّفات عبر موقع أو رسالة مزيّفة.
مثال بسيط: بوابة مزيّفة تحاكي دخول M365 لسرقة كلمة المرور.
ما ليس كذلك: عطل عتاد يقطع الاتصال.
رد فعل: كلمة مرور تُطلب برسالة → احترس.
في التطبيق — في التطبيق — تعزيز وصول مستأجر
- تحقّق أن الـ MFA مُفعَّل لكل الحسابات، خصوصاً المديرين، كما يفعل Sofiane.
- حدّد قاعدة وصول مشروط بسيطة (مثل MFA خارج المكتب).
- حدّد الحسابات ذات الامتياز التي تستحقّ حماية معزّزة.
- خطّط للتصرّف عند حساب مخترَق (إعادة التعيين، إبطال الجلسات).
نص برمجي خطوة بخطوة — تشديد الوصول كما يفعل Sofiane (5 د)
1) افتح Entra ID وأدرِج الحسابات، مع رصد حسابات المديرين. 2) تحقّق أن الـ MFA مُفعَّل في كل مكان — ولا يُعفى منه المديرون أبداً. 3) أنشئ قاعدة وصول مشروط بسيطة: MFA إلزامي خارج المكتب. 4) دوّن الحسابات ذات الامتياز والحماية المعزّزة المقرّرة. 5) اكتب إجراء الاختراق: إعادة التعيين وإبطال الجلسات.
تذكير: هذه الإعدادات تندرج في سياسة تُصادق عليها المؤسسة — مبدأ أقل صلاحية، دون تجاوز الأمان.
قالب جاهز للنسخ — بطاقة أمن الهويات
المحيط : الهوية (لا الشبكة) — Entra ID يدير حسابات M365
MFA : مطلوب في كل مكان، أولاً على حسابات المديرين
الوصول المشروط: تكييف الاشتراط حسب السياق (مكان، جهاز، خطر)
الامتيازات: أقل صلاحية، ولا إعفاء «للإسراع» أبداً
الاختراق : إعادة تعيين الحساب + إبطال الجلساتكلمة مرور مسروقة
بفضل الـ MFA، يحجب Sofiane المهاجم الذي يملك كلمة المرور وحدها.
مدير محميّ
يطبّق Sofiane الـ MFA أولاً على الحسابات ذات الامتياز، دون إعفاء أبداً.
خارج المكتب
يفرض الوصول المشروط الـ MFA بمجرّد أن يأتي الاتصال من الخارج.
تنبيه مُعالَج
يتفاعل Sofiane مع اتصال مشبوه: إعادة التعيين وإبطال الجلسات.
✓ ممارسات جيدة
- فعّل MFA في كل مكان، أولاً على المديرين.
- كيّف الاشتراط حسب السياق (الوصول المشروط).
- عامِل الهوية كالمحيط الحقيقي.
✗ أخطاء شائعة
- الاعتماد على كلمة المرور وحدها.
- إعفاء حسابات المديرين من الـ MFA «للراحة».
- تجاهل تنبيهات الدخول المشبوه.
النقاط الأساسية
- في السحابة، الهوية هي المحيط الأمني الحقيقي.
- Entra ID يدير هويات M365.
- الـ MFA يحجب سرقة كلمة المرور وحدها: أكثر التدابير مردودية.
- الوصول المشروط يكيّف الاشتراط حسب السياق (مكان، جهاز، خطر).
تحدٍّ 48 ساعة — طبّقه غدًا
كما يفعل Sofiane، دقّق هويات مستأجر: تحقّق أن MFA مُفعَّل في كل مكان (المديرون أولاً) واكتب قاعدة وصول مشروط بسيطة (مثل MFA خارج المكتب). حدّد في جملة التصرّف عند حساب مخترَق (إعادة التعيين، إبطال الجلسات).
- أستطيع شرح لماذا الهوية هي محيط الأمان.
- أعرف لماذا يحجب الـ MFA سرقة كلمة المرور.
- أفهم الوصول المشروط وأولوية حسابات المديرين.
أسئلة شائعة
هل الـ MFA ضروري فعلاً إن كانت كلمات المرور قوية؟
نعم: حتى كلمة المرور القوية تُسرَق بالتصيّد أو التسرّب. يضيف الـ MFA حاجزاً يفتقده المهاجم، ويبطل الغالبية العظمى من عمليات الاستيلاء الآلية. إنه التدبير الأفضل من حيث الجهد/الحماية.
لماذا حماية حسابات المديرين أولاً؟
لأن مديراً مخترَقاً يعطي مفاتيح المستأجر كله. نحميهم أولاً (MFA، وصول مشروط، حسابات مخصّصة) ولا نعفيهم أبداً من القواعد «للإسراع».
لماذا يحمي الـ MFA حتى لو سُرقت كلمة المرور؟