Doogree
الهجوم · الخداع

رموز العسل: كشف اختراق بيقين 100%

06/07/2026 · قراءة ~5 دقائق
رموز العسلالخداعالكناريكشف الاختراق

يعاني كل دفاع قائم على التواقيع أو السلوك — IDS، EDR، مضاد الفيروسات — من العلّة ذاتها: الإنذارات الكاذبة. فهو يخمّن ما إذا كان نشاط ما خبيثًا، ويخطئ أحيانًا. يقلب رمز العسل المعادلة: إنه فخّ رقمي — ملف، أو مفتاح، أو كلمة مرور، أو عنوان — لا تلمسه أي عملية شرعية إطلاقًا. فيكون كل وصول إليه اختراقًا مؤكَّدًا، بـصفر إنذارات كاذبة.

ما هو رمز العسل فعلًا

رمز العسل قطعة طُعم زائفة يزرعها المشغّل في أي مكان حسّاس: URL خداعي، سجلّ DNS، مفتاح سحابي وهمي، مستند "سرّي"، أو زوج بيانات اعتماد لقاعدة بيانات غير موجودة. الفكرة قديمة قِدَم التجسس نفسه — اسم زائف على قائمة بريدية لالتقاط من باعها. في العالم السيبراني يصبح ذلك أنقى إشارة اختراق على الإطلاق: إن قرأ أحدٌ رمز العسل أو فتحه أو استخدمه — فهو لم يكن يُفترض أن يكون هناك. نقطة.

صفر إنذارات كاذبة — لا شعار تسويقي. لا سبيل لدى EDR ليعرف بيقين ما إذا كانت عملية بعينها خبيثة. رمز العسل لا يعاني من هذه المشكلة: لا شيء شرعي هناك. الملامسة نفسها هي الدليل. هذا هو الفرق بين "ربما اخترِقنا" و"اخترِقنا — وهذا هو الـ IP".

كيف يعمل — بلا وكيل 100%

1. الإصدار. من لوحة التحكم يُصدر المشغّل رمز عسل حسب النوع والوسم (مثلًا "مفتاح SSH · خادم النسخ الاحتياطي"). الناتج مجرد سلسلة نصية. 2. الزرع. تلصق السلسلة في أي مكان مُغرٍ — ملف passwords.xlsx على خادم ملفات، مفتاح خداعي في الشيفرة، سجلّ DNS داخلي. لا شيء يُثبَّت على أي جهاز. 3. الإطلاق. لحظة يلمس المهاجم رمز العسل، يصل الوصول إلى Worker عام — منارة سحابية — تسجّل الحدث: عنوان IP المصدر، الموقع الجغرافي، الطابع الزمني. 4. الإثراء. تُقاطِع المنارة عنوان الـ IP مع تغذية الاستخبارات التهديدية (C2) التي تخدم المنصة أصلًا. 5. الإخفاء. يُرجع الـ Worker صورة GIF بريئة بحجم 1×1 — لا يرى المهاجم شيئًا مريبًا ويمضي كأن شيئًا لم يكن. نحن نعلم أصلًا.

ماذا يحدث لحظة الإطلاق

لماذا يهمّ ذلك شركة صغيرة بوجه خاص: معظم الشركات الصغيرة والمتوسطة لا يملك SOC يجلس على التنبيهات. رمز العسل أوثق الإشارات وأرخصها وأقلّها لبسًا عن سؤال "هل اخترِقنا؟" — صامت تمامًا حتى ينطلق، وأكيد تمامًا حينها. وهو بارع بوجه خاص في التقاط التهديدات الداخلية والحركة الجانبية: ازرع زوج بيانات اعتماد وهمي لقاعدة بيانات، أو مفتاح SSH خداعي، أو passwords.xlsx — ومن يحاول استخدامها يفضح نفسه فورًا.

أين يقع في الإطار

بمصطلحات MITRE وNIST هذا خداع في وظيفة الكشف. بينما يتعلّم UEBA وEDR "ما الطبيعي" ويخمّنان الانحرافات، لا يخمّن رمز العسل شيئًا — بل ينصب فخًّا وينتظر. يكمّل النهجان أحدهما الآخر: يضيّق السلوك حقل الرؤية، ويوفّر رمز العسل الدليل النقي. معًا، على منصة واحدة، هما الفرق بين أن تأمل أن تلتقط متسلّلًا — وأن تعلم لحظة دخوله.

← العودة إلى المدونة · كيف يعمل ←