حركة واحدة تمنع الفيروسات من اختراق جهازك في Windows 11 بدون برامج! عزز أمان الويندوز

عند تثبيت نظام التشغيل Windows 11 لأول مرة على جهاز الكمبيوتر، يقوم معالج الإعداد الافتراضي (OOBE) بخطوة تبدو مريحة للمستخدم العادي، لكنها تمثل ثغرة أمنية هيكلية من منظور الأمن السيبراني: منح الحساب الأول الذي يتم إنشاؤه صلاحيات المدير الكاملة أو ما يُعرف تقنياً باسم Administrator Account.

هذا السلوك الافتراضي يعني أن كل جلسة عمل يومية، بدءاً من تصفح الإنترنت وفتح مرفقات البريد الإلكتروني وصولاً إلى تشغيل البرامج العادية، تتم عبر حساب يمتلك مفاتيح التحكم الكاملة في نواة النظام وملفاته الحساسة. في هذا الدليل التقني المفصل، سنقوم بتشريح المخاطر الحقيقية لهذا الإعداد، مع تصحيح بعض المفاهيم الشائعة حول طريقة عمل الصلاحيات في وندوز، ثم ننتقل إلى التطبيق العملي خطوة بخطوة لتأمين النظام عبر تطبيق مبدأ الأقل صلاحية (Principle of Least Privilege - PoLP) وفصل حساب الاستخدام اليومي عن حساب الإدارة الفعلي.

تحليل المخاطر والقيود: لماذا لا يكفي الإعداد الافتراضي؟

قبل الشروع في تعديل إعدادات النظام، من الضروري فهم الآلية التقنية الدقيقة التي يتعامل بها Windows 11 مع الحسابات، وتوضيح الفجوة الأمنية التي يستغلها المهاجمون، بالإضافة إلى القيود التي قد تواجهك أثناء تطبيق هذا الإعداد.

1. حقيقة وضع Admin Approval Mode وهجمات UAC Bypass

من الأخطاء الشائعة الاعتقاد بأن الحساب الإداري الافتراضي ينفذ كل شيء بصمت تام دون تدخل. تقنياً، تطبق شركة مايكروسوفت آلية تُسمى Admin Approval Mode (AAM) عبر أداة التحكم في حساب المستخدم User Account Control (UAC). عندما يسجل المستخدم ذو الصلاحيات الإدارية دخوله، يقوم النظام بإنشاء رمزي وصول (Two Access Tokens): الأول بصلاحيات مستخدم قياسي لتشغيل البرامج العادية، والثاني بصلاحيات مدير كاملة يبقى في حالة خمول حتى يطلب برنامج ما صلاحيات مرتفعة (Elevation).

تكمن المشكلة الحقيقية هنا في نقطتين رئيسيتين:

• الموافقة بضغطة زر (Consent Prompt): بما أن الحساب يمتلك صلاحيات إدارية أصيلة، فإن نافذة UAC تطلب فقط الضغط على زر "Yes" دون المطالبة بكلمة مرور. هذا الأمر يؤدي إلى ما يُعرف بـ "إرهاق التنبيهات" (Prompt Fatigue)، حيث يعتاد المستخدم على الضغط على "نعم" بشكل لا إرادي، أو قد تقوم برمجيات خبيثة بمحاكاة ضغطة الزر برمجياً.
• ثغرات تخطي التحكم (UAC Bypass): تحتوي بنية وندوز على عمليات نظام موثوقة تمتلك خاصية Auto-Elevation (رفع الصلاحيات التلقائي دون إظهار نافذة تنبيه) بشرط أن يكون المستخدم الحالي عضواً في مجموعة المدراء (Administrators Group). البرمجيات الخبيثة المتقدمة مثل Ransomware و Rootkits وأحصنة طروادة للتحكم عن بعد RATs (Remote Access Trojans) تستغل هذه الخاصية عبر تقنيات مثل DLL Hijacking أو تعديل مفاتيح معينة في Windows Registry لتمرير حمولتها الخبيثة (Payload) بصلاحيات كاملة وبصمت تام.

2. مخاطر ومحدودية تطبيق الفصل بين الحسابات

على الرغم من أن تحويل حسابك الشخصي إلى Standard User وتفعيل حساب Built-in Administrator مستقل يُعد خطوة دفاعية صلبة، إلا أنه يجب الانتباه إلى ثلاثة مخاطر وقيود أساسية قبل التنفيذ:

1. خطر قفل النظام (System Lockout): إذا قمت بتحويل حسابك الحالي إلى مستخدم قياسي قبل التأكد بنسبة 100% من تفعيل حساب الـ Administrator وتعيين كلمة مرور معروفة له، فستفقد القدرة تماماً على إدارة جهازك أو تثبيت أي برنامج، ولن تتمكن من التراجع إلا عبر الدخول إلى بيئة الاسترداد Windows Recovery Environment (WinRE).
2. غياب أداة إدارة المستخدمين في نسخ Home: أداة Local Users and Groups الرسومية (lusrmgr.msc) الموجودة داخل Computer Management متاحة فقط في نسخ Windows 11 Pro و Enterprise و Education. مستخدمو نسخة Windows 11 Home لن يجدوا هذه الأداة، ولذلك سنعتمد في شرحنا على أوامر Command Prompt كحل جذري يعمل على كافة الإصدارات دون استثناء.
3. تغيير سلوك المسارات (Profile Path Resolution): عند تشغيل برنامج التثبيت من داخل حساب Standard User وتفويضه عبر إدخال كلمة مرور حساب Administrator، فإن عملية التثبيت نفسها تعمل في سياق حساب المدير. بعض البرامج القديمة أو سيئة البرمجة التي تثبت ملفاتها في المسار المحلي للمستخدم %APPDATA% قد تضع الملفات داخل مجلد حساب الـ Administrator بدلاً من حسابك القياسي.

الفرق الجوهري بين حساب Administrator وحساب Standard User

لتوضيح الصورة بشكل عملي، عندما تعمل بحساب Standard User، يتحول أسلوب UAC من مجرد نافذة موافقة (Consent Prompt) إلى نافذة تفويض صارمة تُسمى تقنياً Credential Prompt أو Over-the-Shoulder (OTS) Elevation.

في هذا الوضع، لا يمتلك حسابك الحالي أي رمز وصول إداري مخفي. وبالتالي، تفشل جميع تقنيات UAC Bypass التقليدية تلقائياً لأن النظام يرفض منح خاصية Auto-Elevation لأي حساب لا ينتمي لمجموعة المدراء. علاوة على ذلك، لن يتمكن أي ملف خبيث، سواء تم تحميله من متصفح الإنترنت أو عبر مرفق بريد إلكتروني، من إجراء أي تعديلات على المسارات والخدمات التالية دون إدخال كلمة المرور الإدارية يدوياً:

• تعديل ملفات النظام الأساسية داخل مجلد C:\Windows\System32.
• إيقاف أو تعطيل خدمات الحماية مثل Windows Defender Antivirus أو جدار الحماية Windows Firewall.
• الكتابة في مفاتيح السجل الحساسة على مستوى النظام HKEY_LOCAL_MACHINE (HKLM).
• تثبيت تعريفات وهمية على مستوى النواة (Kernel-mode Drivers) التي تستخدمها برمجيات Rootkits للتخفي.

للتعمق أكثر في البنية المعمارية لآلية عمل التصاريح، يمكنك مراجعة الوثائق الرسمية لشركة مايكروسوفت حول آلية عمل User Account Control والتي تشرح بالتفصيل هندسة رموز الوصول (Access Tokens).

خطوات تأمين Windows 11 عبر فصل الصلاحيات (خطوة بخطوة)

لتنفيذ هذه الهيكلة الأمنية بنجاح ودون الوقوع في مشكلة فقدان الصلاحيات، يجب الالتزام بالترتيب المنطقي للخطوات التالية بدقة متناهية. لا تقم أبداً بتقديم خطوة على أخرى.

الخطوة الأولى: تفعيل حساب Built-in Administrator وتأمينه بكلمة مرور

يأتي نظام Windows 11 مزوداً بحساب مدير مدمج (Built-in Administrator)، ولكنه يكون معطلاً افتراضياً (Disabled) وبدون كلمة مرور. سنقوم الآن بتفعيله وتعيين كلمة مرور قوية له.

الطريقة الأولى: باستخدام موجه الأوامر Command Prompt (تعمل على كافة نسخ وندوز بما فيها Home)

هذه هي الطريقة الأكثر موثوقية وسرعة لجميع المستخدمين:

1. اضغط على زر البحث في شريط المهام واكتب cmd.
2. من النتائج الظاهرة، اضغط بزر الفأرة الأيمن على Command Prompt واختر Run as administrator.
3. لتفعيل الحساب المدمج، اكتب الأمر التالي بدقة ثم اضغط على مفتاح Enter:

   net user "Administrator" /active:yes

4. ستظهر لك رسالة The command completed successfully والتي تؤكد تفعيل الحساب.
5. الآن، يجب تعيين كلمة مرور قوية لهذا الحساب فوراً عبر كتابة الأمر التالي (تأكد من وجود مسافة ثم علامة النجمة في النهاية) ثم اضغط Enter:

   net user "Administrator" *

6. سيطلب منك موجه الأوامر كتابة كلمة المرور الجديدة (ملاحظة تقنية: لن تظهر أي أحرف أو نجوم أثناء الكتابة لحماية الخصوصية، اكتب كلمة المرور بشكل طبيعي واضغط Enter، ثم أعد كتابتها للتأكيد واضغط Enter مرة أخرى).

الطريقة الثانية: باستخدام الواجهة الرسومية Computer Management (لنسخ Pro و Enterprise فقط)

إذا كنت تستخدم نسخة Windows 11 Pro وتفضل الواجهة الرسومية:

1. اضغط بزر الفأرة الأيمن على قائمة ابدأ (Start Button) واختر Computer Management.
2. من القائمة الجانبية اليسرى، انتقل إلى المسار System Tools ثم Local Users and Groups ثم اضغط على مجلد Users.
3. ستلاحظ وجود حساب باسم Administrator وبجانبه سهم يشير للأسفل (مما يعني أنه معطل).
4. اضغط بزر الفأرة الأيمن على حساب Administrator واختر Set Password، ثم اضغط على Proceed في نافذة التحذير، وأدخل كلمة مرور قوية ومميزة.
5. بعد تعيين كلمة المرور، اضغط بزر الفأرة الأيمن مرة أخرى على نفس الحساب واختر Properties.
6. أزل علامة الصح من أمام خيار Account is disabled، ثم اضغط على Apply ثم OK.

الخطوة الثانية: تأمين حسابك الشخصي بكلمة مرور مستقلة

قبل تغيير نوع حسابك الشخصي، تأكد من أنه محمي بكلمة مرور خاصة به (مختلفة عن كلمة مرور حساب الـ Administrator التي أنشأناها في الخطوة السابقة). لتعيين كلمة مرور لحسابك من خلال لوحة التحكم:

1. افتح قائمة البحث واكتب Control Panel ثم قم بتشغيل لوحة التحكم.
2. اضبط طريقة العرض (View by) في الأعلى على Category، ثم اضغط على خيار User Accounts، واضغط مجدداً على User Accounts.
3. اضغط على خيار Manage another account.
4. اختر حسابك الشخصي الحالي، ثم اضغط على Create a password (أو Change the password إذا كان لديك واحدة بسيطة)، وأدخل كلمة مرور قوية خاصة باستخدامك اليومي.

الخطوة الثالثة: رفع مستوى User Account Control (UAC) للحد الأقصى

لضمان عدم تمرير أي تغييرات في النظام أو إعدادات وندوز دون علمك، يجب ضبط حساسية UAC إلى أعلى مستوى أمان متاح قبل خفض صلاحيات حسابك:

1. من داخل نافذة User Accounts في لوحة التحكم Control Panel، اضغط على الرابط المسمى Change User Account Control settings.
2. ستظهر لك نافذة تحتوي على مؤشر منزلق رأسي بأربعة مستويات.
3. اسحب المؤشر إلى أعلى مستوى على الإطلاق، وهو خيار Always notify me when: Apps try to install software or make changes to my computer, or I make changes to Windows settings.
4. اضغط على OK ثم وافق على رسالة التأكيد بالضغط على Yes.

الخطوة الرابعة: تحويل حسابك الشخصي إلى Standard User

بعد أن أصبح حساب Administrator مفعلاً ومحمياً بكلمة مرور، وبعد ضبط إعدادات UAC، يمكنك الآن بأمان تام سحب الصلاحيات الإدارية من حسابك اليومي:

1. ارجع إلى نافذة User Accounts داخل Control Panel.
2. اضغط على خيار Change your account type.
3. ستجد خيارين: Standard و Administrator. قم بتحديد زر الاختيار الخاص بـ Standard.
4. اضغط على زر Change Account Type لحفظ التغييرات.
5. خطوة إلزامية: قم بتسجيل الخروج من الحساب (Sign out) أو إعادة تشغيل الكمبيوتر (Restart) ليقوم النظام بتدمير رمز الوصول الإداري الحالي وتوليد جلسة عمل جديدة كلياً بصلاحيات مستخدم قياسي.

اختبار البيئة الأمنية الجديدة: كيف يعمل النظام الآن؟

بعد إعادة تشغيل الجهاز وتسجيل الدخول إلى حسابك الشخصي (الذي أصبح الآن Standard User)، ستلاحظ أن تجربة الاستخدام اليومية (تصفح الويب، تشغيل الألعاب، تحرير المستندات) تعمل بنفس الكفاءة والسرعة دون أي تغيير.

الفرق الجوهري سيظهر فوراً عند محاولة القيام بأي إجراء يتطلب صلاحيات على مستوى النظام. على سبيل المثال، عند تحميل ملف تنفيذي بصيغة .exe أو .msi ومحاولة تشغيله، أو عند محاولة فتح Command Prompt كمدير:

• ستنبثق فوراً نافذة User Account Control بلون تحذيري وتعتيم لسطح المكتب (Secure Desktop).
• بدلاً من ظهور زر "Yes" فقط، ستظهر لك خانة تطلب إدخال كلمة المرور الخاصة بحساب Administrator لتفويض العملية.
• إذا لم تكن أنت من بدأ هذه العملية (مثلاً: كنت تتصفح موقعاً وفجأة ظهرت لك نافذة تطلب كلمة المرور لتشغيل ملف غريب في الخلفية)، فهذا مؤشر قاطع على وجود محاولة اختراق أو Malware يحاول تثبيت نفسه.
• كل ما عليك فعله حينها هو الضغط على زر No، وسيتم إجهاض الهجوم فوراً ومنع الملف الخبيث من إحداث أي ضرر في ملفات النظام أو تعطيل برامج الحماية.

نصائح أمنية متقدمة للحفاظ على استقرار النظام

لتحقيق أقصى استفادة من هذه الهيكلة الأمنية دون الوقوع في أخطاء تشغيلية، التزم بالقواعد الهندسية التالية:

• لا تسجل الدخول بحساب Administrator للاستخدام اليومي: الهدف من تفعيل حساب Built-in Administrator هو استخدامه كحساب "تفويض في الخلفية" فقط عندما تطلب منك نافذة UAC كلمة المرور. إذا قمت بتسجيل الدخول الفعلي إلى سطح المكتب الخاص بحساب Administrator واستخدمته لتصفح الإنترنت، فستكون في وضع أخطر من الوضع الافتراضي السابق.
• استخدم كلمات مرور مختلفة تماماً: لا تجعل كلمة مرور حسابك القياسي هي نفسها كلمة مرور حساب الـ Administrator. الفصل بين كلمات المرور يضمن أنه حتى لو تمكن شخص متطفل من معرفة كلمة مرور دخولك اليومي، فلن يتمكن من تثبيت برامج التجسس أو تغيير إعدادات الأمان.
• فحص اسم الناشر والمسار في نافذة UAC: قبل كتابة كلمة مرور المدير في نافذة التفويض، اضغط دائماً على خيار Show more details في نافذة UAC لقراءة مسار الملف الذي يطلب الصلاحية والتأكد من التوقيع الرقمي للناشر (Verified Publisher).

يُعد المستخدم دائماً خط الدفاع الأول، وفي الوقت ذاته الحلقة الأضعف في سلسلة الأمن السيبراني إذا تم إعداد النظام بطريقة متساهلة. من خلال تطبيق مبدأ الأقل صلاحية (Principle of Least Privilege)، وتحويل حساب الاستخدام اليومي في Windows 11 إلى Standard User مع حصر صلاحيات التعديل والتثبيت في حساب Administrator محمي بكلمة مرور ومقترن بأعلى إعدادات UAC، فإنك تبني جداراً عازلاً يمنع الغالبية العظمى من برمجيات الفدية والاختراق من السيطرة على نظامك، حتى في حال النقر الخاطئ على ملف ملغوم.