اعرف اللي قصادك. احمي أرضك.
YoriSecCyber Operationsالصفحة الرئيسية
الفرق الزرقاء — الدفاع

Threat Modeling & Compliance — الورق مش بيحمي

STRIDE و NIST و ISO 27001 و GDPR — تستخدمها إزاي بجد

المستوى
متقدم
المدة
55m
الترتيب
الدرس 19 من 85
STRIDENISTISO27001GDPR

من التهديد إلى الامتثال

تشبيه يقرّب الفكرة
بُص. قبل ما المهندس يبني بيت بيسأل نفسه: إيه اللي ممكن يهدّ البيت ده؟ زلزال؟ فيضان؟ حرامي؟ وبعدين يصمّم على الأساس ده. فلسفة Threat Modeling نفس الكلام: فكّر زي المهاجم قبل ما تكتب أول سطر كود. لو ما عملتش كده، أنت بتبني على رمل.

STRIDE — أبسط نموذج تهديد

طورته Microsoft. كل حرف = فئة تهديد:

S — Spoofing
انتحال هوية. الحماية: مصادقة قوية (MFA, mTLS).
T — Tampering
العبث بالبيانات. الحماية: integrity checks (HMAC, signing).
R — Repudiation
إنكار الفعل. الحماية: logging موثوق + توقيع.
I — Information Disclosure
تسريب بيانات. الحماية: تشفير + ACLs.
D — Denial of Service
إيقاف الخدمة. الحماية: rate limiting + redundancy.
E — Elevation of Privilege
رفع صلاحيات. الحماية: least privilege + separation of duties.

منهجية الـ Threat Modeling

  1. ارسم النظام — Data Flow Diagram (DFD) مع الـ trust boundaries.
  2. طبّق STRIDE على كل عنصر و كل تدفق.
  3. قيّم الخطر — DREAD أو CVSS.
  4. صمّم mitigations لكل تهديد ذي خطر متوسط فأعلى.
  5. وثّق و راجع دورياً (مع كل تغيير معماري).

أدوات: Microsoft Threat Modeling Tool, OWASP Threat Dragon, IriusRisk, pytm.

نماذج بديلة

  • PASTA (7 خطوات) — أعمق من STRIDE، يربط التهديد بالأعمال.
  • OCTAVE — يركّز على الأصول المؤسسية.
  • VAST — Visual, Agile, Simple Threat — يدمج DevOps.
  • LINDDUN — متخصص في الخصوصية (GDPR).
  • Attack Trees — تفصيل سيناريوهات هجوم محددة.

NIST Cybersecurity Framework (CSF 2.0)

إطار رسمي مرن. ست وظائف:

  1. Govern — استراتيجية و سياسات و إدارة مخاطر (جديد في 2.0).
  2. Identify — جرد الأصول و المخاطر.
  3. Protect — إجراءات وقائية.
  4. Detect — كشف الحوادث.
  5. Respond — احتواء.
  6. Recover — استعادة الخدمة و الدروس.

ISO/IEC 27001:2022 — معيار عالمي

  • ISMS — نظام إدارة أمن المعلومات.
  • يتطلّب Statement of Applicability ضد Annex A (93 control).
  • دورة Plan-Do-Check-Act (PDCA).
  • تدقيق خارجي كل 3 سنوات + مراقبة سنوية.
  • ISO 27002:2022 يقدم guidance لتطبيق controls الـ Annex A.

GDPR و حماية البيانات

المفاهيم الأساسية

  • Data Subject — الشخص الذي تخصّه البيانات.
  • Controller — من يقرر الـ processing (شركتك).
  • Processor — من ينفّذ نيابة (مثل AWS).
  • Data Protection Officer (DPO) — مطلوب في حالات معينة.

الحقوق

  • الوصول (Article 15)، التصحيح (16)، النسيان (17)، النقل (20).
  • الإبلاغ عن الخروقات خلال 72 ساعة (Article 33).

الغرامات

حتى 4% من الإيرادات السنوية العالمية أو 20 مليون يورو، أيهما أعلى.

معايير قطاعية

PCI DSS v4.0
المدفوعات. 12 متطلب رئيسي. تدقيق سنوي (QSA) للشركات الكبرى.
HIPAA
الرعاية الصحية في الولايات المتحدة. PHI = Protected Health Information.
SOC 2
للـ SaaS — Trust Services Criteria (Security, Availability, Confidentiality...).
FedRAMP
للـ cloud services التي تخدم الحكومة الأمريكية.
NIS2 / DORA
الاتحاد الأوروبي — البنية الحيوية و القطاع المالي.
السايبر السعودي (NCA)
ECC (Essential Cybersecurity Controls) و CCC للسحابة.

من «الورق» إلى التطبيق الفعلي

  1. GRC platforms: Vanta, Drata, Tugboat Logic, Hyperproof — أتمتة الأدلة.
  2. Continuous compliance: ربط الـ controls بـ telemetry حية (logs, configs).
  3. Policy as Code: Open Policy Agent (OPA), Conftest, Cloud Custodian.
  4. Compliance is a floor, not a ceiling — الامتثال أرضية، مش سقف. كونك Compliant ما يعنيش إنك Secure.

مقاييس الأمن — KPIs/KRIs

  • MTTD (Mean Time To Detect).
  • MTTR (Mean Time To Respond).
  • نسبة patch SLA compliance.
  • نسبة phishing click rate vs report rate.
  • عدد الـ critical findings المفتوحة و عمرها.
  • تغطية الـ MFA على الحسابات الـ privileged.
  • نتائج تمارين IR (red/purple team) كل ربع.

اوعى تعمل الغلطات دي

الخلاصة الناشفة

الورق من غير تطبيق = مسرح.

التطبيق من غير توثيق = شغل ضايع وقت الأزمة.

الاتنين مع بعض = الفرق بين فريق ناضج وفريق هاوي.

اكتبها على المكتب: لو فريقك بيشتغل علشان الأودِيتور، أنت متحصّن من الأودِيتور. مش متحصّن من الـ APT.

خلّصت الدرس؟

علّمه علشان تفضل عارف انت فين على السكة.