المفاهيم الأساسية

OSAFIS 2.0.0-draft.1 · مقترح بحثي · 11 دقائق للقراءة

OSAFIS 2.0.0-draft.1 | مقترح بحثي | 7 سبتمبر 2026

الغاية والوضع الحالي

يقترح OSAFIS معجمًا لوصف الإخفاقات الأمنية في الأنظمة الذكية والأدلةِ اللازمة لتقييمها. ووحدة التحليل فيه نظامٌ منشور أو محدد المواصفات ضمن سياقٍ تشغيلي. فقد يُسهم كلٌّ من النموذج، والتطبيق، وعملية الموافقة البشرية، وشبكةٍ من الخدمات المتعاونة في الإخفاق نفسه. ولكي يكون التحليل مفيدًا، يجب أن يحدد العلاقات الفعلية بينها بدلًا من أن ينسب كل عاقبة إلى النموذج.

التعريفات الواردة أدناه أعرافٌ اصطلاحية خاصة بهذا المقترح. وهي لا تثبت أن فئاته شاملة، أو متنافية فيما بينها، أو متفوقة تجريبيًا على المقاربات الأخرى. وتتوقف قيمتها على قدرة مقيّمين مستقلين على تطبيقها باتساق، وإعداد اختبارات مفيدة، وتحديد ضوابط قابلة للتنفيذ. والمتطلبات المذكورة هنا تحكم أي تقييم يدّعي تطبيق هذه المسودة؛ وليست ادعاءً بأن أي تنفيذ قد استوفاها.

الأنظمة الذكية وحدود التقييم

النظام الذكي نظامٌ حاسوبي يفسّر المدخلات، أو يُصدر أحكامًا أو مخرجات، أو يختار أفعالًا، مستخدمًا إجراءاتِ استدلالٍ متعلَّمة أو محددة صراحةً. وقد يضم نماذج، وبرمجيات تقليدية، وموارد معرفية، ومشاهدات، وحالةً محتفَظًا بها، وتخطيطًا، وأدوات، وبشرًا، وأجهزةً مادية. ولا يلزم أن يمتلك كل هذه الوظائف، أو أن يحتفظ بذاكرة طويلة الأمد، أو أن يعمل باستقلالٍ ذاتي. فهذه الخصائص تحدد نطاق التقييم، لا أهليةَ النظام له بحسب التسمية التجارية للمنتج.

وتحدد حدودُ النظام المكوّناتِ والعلاقاتِ المشمولة في الادعاء. أما بيئته فتشمل الفاعلين والتبعياتِ والمواردَ والظروفَ ذات الصلة الواقعة خارج تلك الحدود. فقد تقع خدمةٌ خارجية خارج نطاق التحكم في التنفيذ، مع بقائها داخل التفسير السببي. ويجب على المقيّمين أن يبيّنوا من يتحكم في كل عنصر، وما الإصدارات والتهيئات التي فُحصت، وما الافتراضات البيئية التي يستند إليها الادعاء. والنتيجة التي يُحصل عليها من نقطة نهايةٍ معزولة لنموذجٍ ما لا تصف تلقائيًا سيرَ عملٍ منشورًا يستخدم ذلك النموذج.

والتمثيل المفضّل رسمٌ بياني يضم المكوّنات الفعلية والبشرَ والخدماتِ المشتركة والموارد. وقد تنفّذ العُقد عدة مجالات أمنية. وتُصنَّف الحواف بحسب نوعها إلى: مشاهدة، أو معلومات، أو تعليمات، أو تفويض سلطة، أو فعل، أو مزامنة حالة، أو تغذية راجعة، أو اعتماد على مورد. ويمكن أن تحمل الحافة الواحدة أكثر من علاقة محددة صراحةً. وتلقّي المعلومات لا يمنح سلطةً بحد ذاته. ويجب أن تبقى العقد المشتركة ظاهرة: فرسمُ نسخة منفصلة من خدمة ذاكرةٍ مشتركة واحدة لكل وكيل من شأنه أن يخفي تبعيةً مشتركة. وبعض الإخفاقات يتعلق بمجموعةٍ أو برسمٍ بياني جزئي، لا بمكوّن واحد أو حافةٍ ثنائية.

العقود الأمنية والخصائص المحمية

تُسمّي الخاصية الأمنية نوعًا من الالتزام، مثل «السرية» أو «سلامة الهدف». أما العقد الأمني فيجسّد ذلك الالتزام بالنسبة إلى كائنٍ أو علاقةٍ بعينها. فهو ينصّ على الكائن المحمي، والجهات الفاعلة المصرَّح لها، والتغييرات أو الآثار المسموح بها، وظروف التشغيل ذات الصلة، ومعيارٍ قابل للرصد للخرق. ويجب أن يسبق العقدُ نتيجةَ التقييم؛ فتعريفه بعد رؤية مُخرَجٍ غير مرغوب فيه يفتح الباب لتصنيفٍ دائري.

فعلى سبيل المثال، لا تكفي عبارة «يجب أن يكون النظام آمنًا». ومن العقود الأيسر تقييمًا عقدٌ يشترط على خدمةٍ لمراجعة الوثائق ألا تكشف السجلات إلا للحساب الذي طلبها، وأن تستخدم الوثائق المسترجَعة دليلًا لا سلطةً لتغيير المهمة، وأن تحصل على ترخيص الجهة المعتمِدة المعيَّنة قبل مشاركة أي تقرير. ويوفّر كل بندٍ معيارًا مستقلًا محتملًا للإخفاق. ويجب على مالك السياسة أن يحدد ما يُعدّ تطابقًا في الحساب، وتغييرًا صالحًا في المهمة، وموافقةً.

وتقدّم المعرّفات P01–P23 في «الخصائص الأمنية» تعريفاتٍ للخصائص قابلةً لإعادة الاستخدام. وهي ليست قائمةَ تحققٍ إلزامية بوظائف تنطبق على كل الأنظمة، ولا تأكيدًا على أن جميع الالتزامات قد حُددت. ويمكن أن تنطبق عدة خصائص على عقد واحد. والخاصية الأكثر تحديدًا تقدّم عادةً تسميةً أغنى بالمعلومات من خاصية «السلامة» العامة؛ ومع ذلك ينبغي تسجيل الإخفاقات المستقلة كلًّا على حدة. ومعرّف الخاصية إحالةٌ إلى تعريف، لا دليلٌ على وجود حماية.

الأهداف المصرَّح بها والأهداف المتنازع عليها

الهدف المصرَّح به مهمةٌ أو نتيجةٌ تحددها جهةٌ فاعلة مخوَّلة بتحديدها، ضمن القيود الحاكمة والتفويض الساريين على ذلك النظام. ويجب تسجيل مصدره: كسياسة نشرٍ تصدرها الجهة المسؤولة، وطلبٍ صالح من مستخدمٍ موثَّق الهوية، والسلطةِ المحدودة الممنوحة لخدمةٍ تعمل بناءً على ذلك الطلب. وأسبقيةُ هذه المصادر بعضِها على بعض قرارٌ خاص بالنشر يجب التصريح به. ولا يفترض الإطار ترتيبًا عامًا يسري على جميع المطوّرين والمشغّلين والمستخدمين والأشخاص المتأثرين والسلطات الخارجية.

ويتعلق الترخيص بالأحقية وبالنطاق معًا. فطلبُ مستخدمٍ حقيقي لا يرخّص بالضرورة كلَّ وسيلةٍ لإنجازه، ولا كلَّ أثرٍ يطال موارد شخص آخر. ولا يمكن للمحتوى المسترجَع، ولا للأقوال المحفوظة في الذاكرة، ولا لرسالة وكيلٍ آخر أن تغيّر الهدف لمجرد ادعائها الاستعجال أو السلطة. وفي المقابل، لا يُعدّ التغيير المشروع المصرَّح به إخفاقًا في السلامة لمجرد أن المهمة قد تغيّرت.

وقد تتعارض الأهداف أو تكون محددةً تحديدًا ناقصًا. وينبغي أن يسجّل التقييم المتطلباتِ المتنافسة، وصاحبَ القرار المعيَّن، وإجراءَ الحسم المسموح به. وحيثما توقّف فعلٌ ذو عواقب على سلطةٍ لم يُحسم أمرها، ينبغي أن يحدد العقد توقفًا مؤقتًا، أو تصعيدًا، أو بديلًا احتياطيًا مقيّدًا. وعلى المقيّمين، إذا لم توجد قاعدة من هذا القبيل، أن يبلغوا عن افتراضٍ حوكمي لم يُحسم، بدلًا من اختلاق الهدف «الحقيقي». فـ«سلامة الهدف» تحمي علاقة الترخيص القائمة، ولا تشهد بأن الهدف المصرَّح به أخلاقي أو مشروع قانونًا أو مرغوب فيه. فهذه المسائل تتطلب معاييرها الموضوعية الخاصة ومراجعةً خاضعة للمساءلة.

التهديدات والثغرات والهجمات والحوادث

التهديد قدرةٌ لدى فاعلٍ ما، أو حالةٌ، أو حدثٌ، أو ظرفٌ يمكن أن يُفشل عقدًا أمنيًا. ويحدد نموذج التهديد من يستطيع التأثير في ماذا، وما الذي يعرفه، وما الوصول الذي يملكه، وما القيود التي تحدّ منه. ويمكنه أيضًا أن يصف اضطراباتٍ غير عدائية تتصل بالعقد نفسه. ولا يُفترض وجود مهاجمٍ لمجرد وقوع إخفاق.

الثغرة ضعفٌ في مكوّن، أو تهيئة، أو عملية، أو علاقة، يسمح بخرق عقدٍ أمني في ظل شروطٍ مذكورة. ويجب أن تربط الأدلةُ الضعفَ بالخرق، أو أن تثبت مسارًا ممكنًا مدعومًا بما يكفي. فالنص غير المألوف، والإجابة الخاطئة، والاحتمال الخطِر ليست بحد ذاتها براهينَ على وجود ثغرة. ويتعلق عيب الجودة بالإخفاق في تلبية توقعٍ للأداء؛ وقد يكون أيضًا ضعفًا أمنيًا إذا أفشل حمايةً محددة. والخطر حالةٌ من شأنها أن تُحدث ضررًا. والحادثة واقعةٌ فعلية ذات صلةٍ بالأمن أو ذات أثرٍ أمني. وقد تتداخل هذه الفئات دون أن تصبح مترادفات.

تقنية الهجوم طريقةٌ لممارسة التأثير بغرض استغلال ضعفٍ ما. والاستغلال تنفيذٌ ملموس لهذه التقنية أو تطبيقٌ فعلي لها ضد هدفٍ محدد. وتصف الآليةُ كيفيةَ عمل التأثير عند مستوى مفيد من التجريد. ويفصل «تصنيف الهجمات» بين الآليات، والعائلات، والتقنيات، والمُعدِّلات؛ وتحتفظ المعرّفات M01–M12 بمعانيها المعتمدة. وتسميةُ آليةٍ ما لا تثبت وجود ثغرة، ولا جِدّتها، ولا قابليتها للاستغلال.

وقد يكشف عطلٌ غير خبيث عن إخفاقٍ في العقد دون أن يثبت وجود استغلالٍ عدائي. فعلى سبيل المثال، قد يكشف تأخرٌ في تحديث الترخيص عن فحصِ أذوناتٍ متقادم، حتى لو لم يتسبب أحدٌ في هذا التأخير عمدًا. ويجب أن يميّز التقييم المحفّزَ المرصود من أي قدرةٍ مفترضة لدى مهاجمٍ على إعادة إحداثه. وهذا يتيح لأدلة الأمن وأدلة الأمان أن يُغني بعضُها بعضًا دون اختلاق خصم.

المجالات والأبعاد ودورة الحياة والأثر

يُحتفظ بالمصطلح الموروث «طبقة» في المعرّفات L1–L9، لكنه يدل على مجالٍ أمني تحليلي مؤقت. ويجمع المجالُ كائناتٍ أو وظائفَ أو علاقاتٍ محمية ذات عقودٍ مترابطة. والمجالات هي: النماذج والحوسبة؛ والبرمجيات والبنية التحتية؛ والبيانات والمعرفة؛ والإدراك وتمثيل العالم؛ والتفسير والأهداف؛ والذاكرة واستمرارية الحالة؛ والتخطيط والفعل؛ وتفاعل الإنسان والنظام؛ والتفاعل الجماعي والنظامي.

وليست هذه المجالات خطواتِ تنفيذ، ولا مستوياتِ خطورة، ولا تدرّجًا في نطاق العواقب. والعدد تسعة تقسيمٌ عملي ينتظر التقويم. والمعتبر هو قابلية التطبيق الوظيفية: فقد يقدّر وكيلٌ نصي حالةَ بيئةٍ رقمية متغيرة، في حين قد لا يمتلك تطبيقٌ متعدد الوسائط أي ذاكرة تشغيلية محتفَظ بها. ويجوز للمقيّم أن يسند عدة مجالات إلى مكوّن واحد، أو أن يترك التصنيف معلّقًا مع بيان السبب. وتقدّم «الطبقات الأمنية» الحدودَ والأسئلةَ الفاصلة بين المجالات.

والبعد المشترك منظورٌ يمكن أن يُسهم في صياغة العقود في عدة مجالات. فالبعد D1 هو الهوية والثقة والترخيص؛ وD2 الحوكمة والمساءلة؛ وD3 سلسلة التوريد والمنشأ؛ وD4 الخصوصية والأمان؛ وD5 دورة الحياة وإدارة التغيير؛ وD6 قابلية المراقبة والتسجيل والتدقيق؛ وD7 المرونة والتعافي. وتختلف قابلية التطبيق والأدلة باختلاف السياق. ولا تحل الأبعاد محل التصنيف بحسب المجالات، ولا تشكّل طبقاتٍ إضافية.

ومرحلة دورة الحياة ونطاق الأثر واصفان منفصلان. فقد يُدخَل ضعفٌ في أثناء التدريب، ويُستثار في أثناء التشغيل، ولا يُكتشف إلا عند إخراج النظام من الخدمة. وقد تطال عواقبه فردًا، أو مؤسسة، أو خدماتٍ مترابطة، أو جمهورًا أوسع. والأثر الكبير لا يثبت بحد ذاته انطباق L9: فهذا المجال يتطلب عقدًا متميزًا للتفاعل الجماعي وآليةَ اقترانٍ محددة. فقد يُحدث نموذجٌ مشترك مخترَق عواقبَ واسعة، بينما يبقى العقد الذي ثبت إخفاقه ضمن L1.

المسارات السببية والتركيب

يصل مسار الهجوم بين تأثيرٍ أولي وعاقبةٍ أمنية عبر انتقالاتٍ مرصودة أو مفترضة. أما «مسار الإخفاق السببي» فهو المصطلح الأعم حين تغيب النية الخبيثة أو تكون مجهولة. وينبغي أن يفصل السجل بين نقطة الدخول، والعقود التي أخفقت، والانتشار الوسيط، والضوابط التي اعترضت المسار، والأثر الناتج. والحافة التي يُعبَر منها دون خرق عقدها جزءٌ من الانتشار، لا ثغرةٌ إضافية.

ولا يلزم أن تكون المسارات خطية. فحلقات التغذية الراجعة، والحالة المتأخرة، والطلبات المتوازية، والتبعيات المشتركة قد تستلزم رسمًا بيانيًا جزئيًا مقرونًا بخطٍّ زمني. وقد تُسهم عدة إخفاقاتٍ مستقلة في العقود في حادثةٍ واحدة. واختيار مجالٍ أساسي واحد لأغراض الفهرسة أمرٌ اختياري، ويجب ألا يؤدي إلى إغفال إخفاقاتٍ أخرى تدعمها الأدلة. وفي المقابل، لا ينبغي أن يؤدي إطلاق عدة تسمياتٍ على الالتزام نفسه إلى مضاعفة عدد الاكتشافات.

لنأخذ سيناريو توضيحيًا لم يُنفَّذ: تقريرٌ مسترجَع يتضمن تعليمةً زائفة بتغيير الجهة التي يُرسَل إليها ملخّصٌ ما. يدخل التقرير بوصفه معلومات؛ فيعامله المفسِّر بوصفه سلطة؛ ثم تجتاز عمليةُ إرسالٍ مقترحة فحصًا قاصرًا للمستلم. نقطة الدخول هي التقرير. ويقع الإخفاق المحتمل في سلطة التعليمات ضمن L5، ويقع قصور فحص الفعل، وهو قصورٌ مستقل، ضمن L7. ومجرد استرجاع التقرير ونقله لا يثبت إخفاقًا في L3. ولو كان فحص المستلم سليمًا لقطع المسار، حتى مع بقاء إخفاق التفسير.

الأدلة وادعاءات التقييم

تتألف الأدلة من المشاهدات، والآثار الموثّقة، والاستدلال الذي يدعم ادعاءً محددًا. وقد تشمل مصادرها الفحصَ، والتجاربَ المضبوطة، وسجلاتِ الحوادث، وإعادةَ الإنتاج، والتكرارَ المستقل، ولكلٍّ منها استنتاجاتٌ مختلفة يدعمها. فالإخفاق المرصود قد يثبت أن مسارًا ما ممكن دون أن يقدّر تواتره؛ والحجة المعمارية المعقولة قد تسوّغ الاختبار دون أن تبرهن على الاستغلال. ويجب أن تحفظ الأدلة التهيئةَ ذات الصلة، والمدخلات، والحالة، والشرطَ المتوقع، والمشاهدةَ الفعلية، والقيود، بقدرٍ يكفي للمراجعة المستقلة حيثما أمكن.

أوراكل الحكم قاعدةٌ أو مشاهدةٌ تُستخدم للفصل في ما إذا كان العقد قد خُرق. وينبغي أن يحدد كل اختبار أوراكلَ الحكم الخاص به، وخطَّ الأساس، وقدراتِ التهديد، وحالاتِ الضبط السلبية، وشروطَ التوقف. وتساعد حالات الضبط السلبية على تمييز الآلية المقترحة من التباين العادي في أداء المهمة أو من ضعفٍ لا صلة له بها. وينبغي أن ترصد أدواتُ القياس القراراتِ والآثارَ اللازمة للادعاء دون افتراض الوصول إلى استدلالٍ داخلي موثوق. والاختبارات المقترحة في هذه المجموعة توضيحيةٌ ولم تُنفَّذ، ما لم يرافقها سجلُّ تنفيذٍ منفصل.

ويصف مستوى الثقة مدى قوة دعم الأدلة للادعاء. وتتعلق قابليةُ إعادة الإنتاج بتكرّر النتيجة في ظل شروطٍ محددة؛ وقابليةُ التكرار في إعدادٍ واحد أضيقُ نطاقًا من التكرار المستقل. وتصف التغطيةُ الأجزاءَ التي فُحصت من فضاءٍ محدد للتهديدات والتشغيل. ولا يحل أيٌّ منها محل الخطورة، ولا يثبت أي تقويمٍ محدود انعدامَ المخاطر. وتحدد «منهجية التقييم» سجلَّ الدراسة، ويحدد «سجل الثغرات» سجلَّ الادعاء والمراجعة.

المخاطر والخطورة وقابلية العكس والضوابط

تتعلق المخاطر باحتمال وقوع خسارةٍ أمنية وبعواقبها في سياقٍ محدد وأفقٍ زمني محدد. وهي تتوقف على التعرّض، وقدرة التهديد، وسلوك النظام، والضوابط، وعدم اليقين. وتصف الخطورةُ عاقبةَ إخفاقٍ محددٍ متحقق في ظل افتراضاتٍ مذكورة. فالعاقبة المحتملة الخطيرة قد تكون أدلتها ضعيفة أو التعرّض لها محدودًا. ويجب أن تبقى هذه الحقائق ظاهرةً كلٌّ على حدة؛ ولا تفرض هذه المسودة مقياسًا عدديًا عامًا ولا ضربَ تسمياتٍ ترتيبية بعضها في بعض.

وتتعلق قابلية العكس بآثار الفعل في ظل ظروفٍ معينة للتعافي. والاستعادة والاحتواء والتعويض أمورٌ متمايزة: فاستعادة ملفٍ لا تمحو واقعة كشفه، ودفع التعويض لا يعيد الشخص المصاب إلى حاله. وقد يكون التعافي جزئيًا ومحدودًا زمنيًا. وعلى المقيّمين أن يحددوا النقطة التي يصبح عندها الأثر المعني غير قابلٍ للعكس، ومن يستطيع التدخل قبلها، وما الذي يبقى قابلًا للاستعادة بعدها.

وتظل الأدلة الاحتمالية ذات معنى في حالة الضرر غير القابل للعكس. فعدم قابلية العكس يغيّر قواعد القرار المقبولة والحاجةَ إلى الاحتواء؛ لكنه لا يُفقد الاحتمالَ معناه، ولا يعني أن تقدير معدلٍ ما قبولٌ بالضرر. وتتطلب النتائج النادرة أو الكارثية حذرًا خاصًا إزاء قلة المشاهدات، والاعتماد المتبادل، وتغيّر التوزيع، والمسارات غير المرصودة. وينبغي أن تستخدم الاختبارات المحاكاةَ، أو بدائلَ خاملة، أو بيئاتٍ محتواة حيثما تكون الآثار الفعلية غير مقبولة.

الضابط الأمني تدبيرٌ تقني أو إجرائي أو تنظيمي أو تشغيلي يُقصد به صون العقد أو كشف خرقه والحدّ منه. والتخفيف يقلّل التعرّض أو الاحتمال أو الانتشار أو الأثر دون أن يزيل الضعف بالضرورة. وللضوابط افتراضاتها الخاصة، وهي تحتاج إلى تحققٍ خاص بها؛ فوجود اشتراطٍ موثّق للموافقة ليس دليلًا على أن التنفيذ مرهونٌ فعلًا بالموافقة. وتبقى المخاطر المتبقية ومسارات الإخفاق المُزاحة جزءًا من التقييم.

التطور والاستشهاد

فئة الثغرات الناشئة تجميعٌ مرشّح لا تمثّل التعريفاتُ القائمة التزامَه المحمي أو آليتَه تمثيلًا كافيًا. وينبغي لأي مقترحٍ أن يشرح صعوبة التصنيف، ويقارن الفئات المجاورة، ويعرض الأدلة، ويتيح الطعن المستقل. والحالات الملتبسة أدلةٌ مفيدة على حدود الإطار؛ ولا ينبغي حشرها في تسميةٍ مألوفة حفاظًا على اكتمالٍ ظاهري.

ويجب أن يستشهد كل تصنيف بإصدار الإطار وبمعرّفاتٍ ثابتة. وتحكم «الإصدارات والمعرّفات» التغييراتِ والترحيل. وتوفّر مجموعة المصادر الموسومة بالإصدار 1.0 خطَّ الأساس التاريخي؛ ولا يثبت هذا الوسم أنها نُشرت للعموم. وهذا التنقيح يغيّر حدود المجالات، ولذلك يتطلب مراجعةً بشرية للتصنيفات السابقة المتأثرة. وتتوقف القيمة العلمية على صون ما تدعمه الأدلة فعلًا، بما في ذلك عدم اليقين، لا على صون مظهر تصنيفٍ مكتمل.