ماهي مداخلة الحوادث السيبرانية ؟
مداخلة الحوادث (Incident Response) ، يصف النهج المنظم للإجراءات التي يجب القيام بها خلال وبعد خرق الأمن.
الهدف من مداخلة الحدث هو تقليل الأضرار المحتملة إلى الحد الأدنى وتقليل الوقت والتكلفة اللازمة للعودة إلى الوضع الطبيعي. تتضمن خطة التعامل مع الحوادث الخطوات التي يجب اتباعها في حال حدوث حادث محتمل لتحقيق هذه الشروط.
ما يجب مراعاته عند مداخلة الحوادث السيبرانية
عند مداخلة حادث سيبراني تم وقوعه ، من الضروري الانتباه إلى خمسة عناوين رئيسية مدرجة أدناه، لضمان التعامل مع الحادث بأقل ضرر ممكن.
1- فريق مداخلة الحوادث السيبرانية ذو الخبرة والتجربة
الشرط الأساسي للمداخلة السريعة والدقيقة ضد الهجمات السيبرانية هو أن يكون الفريق المسؤول عن المداخلة قد نفذ مسبقًا مداخلات ناجحة للحوادث. هذا الفريق ، كما يمكن أن يتألف من خبراء الأمن السيبراني الموجودين في بنية المؤسسة/الشركة نفسها ، يمكن أن يتكونوا من خبراء خارجيين لديهم خبرة في مداخلة الحوادث السيبرانية في العديد من المؤسسات والشركات المختلفة، ويعرفون سلوك المهاجمين جيدًا، وقادرين على اتخاذ خطوات سريعة ودقيقة للمداخلة.
عند تعرضكم لهجوم سيبراني، ستدركون أن الطريق إلى الحل يكمن في وجود فريق مداخلة جيد وذو خبرة. وجود خبراء من داخل المؤسسة/الشركة إلى جانب خبراء خارجيين ذوي خبرة ضمن الفريق المُشكّل سيزيد بشكل كبير من احتمالية نجاح مداخلة الحادث.
مع الخبراء الداخليين الذين يعرفون كيفية عمل النظام والبنية التحتية التي تعرضت للهجوم السيبراني، كيفية تموضع المكونات وكيفية تنفيذ العمليات والتدفقات ؛ يمكن مداخلة الهجوم السيبراني بشكل سريع ، صحيح وناجح مع فريق سيتم تشكيله من خلال الجمع بين الخبراء الخارجيين الذين تدخلوا سابقًا في هجمات مماثلة ويعرفون تكتيكات وتقنيات المهاجمين.
من الجدير بالذكر مرة أخرى أنه "إذا كان لديك رصاصة واحدة فقط لتطلقها، فإن القيام بذلك مع الفريق المناسب هو أذكى طريقة يجب اتباعها".
2- مجموعة أدوات تمت تجربتها
بغض النظر عن مدى جودة الفريق الذي تقوم بتشكيله، لا يمكنك توقع نتائج ناجح إذا كانت الأدوات التي سيستخدمها الفريق أثناء مداخلة الحوادث السيبرانية غير كافية أو بها مشاكل. استنادًا إلى تجاربنا، يمكننا القول ، على الرغم من أن العديد من المؤسسات أو الشركات قد قامت باستثمار كبير في الأمن السيبراني، إلا أنه غالبًا ما يتم تجاهل مجموعة الأدوات المستخدمة في مداخلة الحوادث السيبرانية ولم يتم القيام بالإستثمار الكافي في هذا الموضوع.
في عالم يتغير فيه نموذج الأمن السيبراني من الحماية (protection ) إلى الكشف (detection) فإن أفضل شيء يمكن القيام به هو أن تقوم المؤسسات/الشركات بسرعة بمراجعة خطط استثماراتها لتتناسب مع هذا النموذج. يجب أن تتكون مجموعة الأدوات المعنية هنا من أدوات توفر رؤية كاملة على مستوى النقاط الطرفية وعلى الشبكة، والتي يمكن لفرق استجابة الحوادث استخدامها بسرعة للبحث، والتي يتم تغذيتها بمعلومات استخباراتية عن التهديدات السيبرانية الخارجية، والتي تكون قادرة على تلبية احتياجات الفريق في مرحلة المداخلة.
يجب علينا مراقبة وبحث عشرات الآلاف من الحواسيب في مداخلاتنا لحوادث الأمن السيبراني التي نقوم بها ، ثم علينا القيام بالمداخلة. نحن ك ADEO، نقوم بإدارة المداخلة للحوادث باستخدام مجموعة الأدوات التي أثبتت فعاليتها والتي استخدمناها في العديد من المداخلات السابقة.
لا تنسى أنه إذا لم يكن لديك مجموعة أدوات مناسبة لمداخلة الحوادث السيبرانية، فإن مداخلة للحادث ستكون محكومًا عليها بالفشل منذ اللحظة الأولى.
3- تغذيات استخبارات التهديدات
إذا قمت بتشكيل فريق جيد لمداخلة الحوادث السيبرانية وكانت لديك الأدوات الصحيحة ، فإن العنوان الآخر الهام لضمان نجاح مداخلتك لحوادث الأمن السيبراني هي مصادر تغذية استخبارات التهديدات التي يمكن استخدامها مع مجموعة الأدوات هذه. ليس فقط الاستخبارات المستندة إلى عناوين IP أو القيم الهاشية، بل تعتبر تغذيات استخبارات التهديدات التي تتعامل مع تكتيكات وأساليب وإجراءات المهاجمين، والمعروفة باسم TTP، ذات دور حاسم كما هوثابت بالتجربة.
في هذه النقطة ، يجب التأكيد على أن قواعد يارا يتم استخدامها بشكل فعال للغاية، وكلما كانت قواعد يارا أوسع وأكثر تقدمًا كلما زادت فرص نجاحك. بنفس الشكل ، إن برنامجنا الذي يوفر رؤية لنقطة النهاية في الاستجابة للحوادث السيبرانية مدعوم أيضًا بمعلومات قوية عن التهديدات السيبرانية. يتيح لنا هذان الموردان مداخلة الحوادث السيبرانية بسرعة ودقة.
ونود أن نؤكد بشكل خاص على المواضيع التالية : إذا لم يكن لديكم قواعد يارا مناسبة من أجل مداخلة الحدث السيبراني و تغذيات استخبارات التهديدات السيبرانية ، فإن مدة المداخلة ستستغرق وقتاً أطول و سوف تتسبب السجلات المقدمة لك لإنشاء رؤية في حدوث زحمة كبيرة وفوضى مع مرور الوقت.
4- قائد الفريق
حد أهم الأشياء أثناء الهجوم السيبراني وخلال مداخلة الهجوم السيبراني هو وجود قائد فريق قام من قبل لأكثر من مرة بمداخلة الحوادث السيبرانية . قائد الفريق الذي يقرر كيفية سير العملية، ويصمم وينفذ البنية التحتية التي توفر الرؤية دون التأثير على تشغيل النظام الحالي، ويحدد كيفية التصرف في حالة إعادة اختراق المهاجمين للنظام أثناء استجابة الحوادث، ويوقع على العديد من القرارات الحرجة، ويدير تنفيذها، ويغير التكتيك عند الضرورة، والأهم من ذلك أنه قد نفذ هذه الأمور مرارًا وتكرارًا، هو من الضروريات لتحقيق النجاح في استجابة الحوادث السيبرانية.
في معظم الأحيان، تجلب المداخلة للحوادث السيبرانية معها بيئة من الفوضى. سيتعين عليك شرح الموقف لكبار المديرين في الشركة أو المؤسسة، والأشخاص المعنيين من وحدات الأعمال الأخرى، وعملائك والشركات التي تعرضت لانقطاع الخدمة، والأشخاص المعينين من قبل شركة التأمين السيبراني التي اشتريتها، والعديد من الأشخاص الآخرين ذوي الصلة/غير ذوي الصلة ، وإدراج بعض منهم في هذه العملية.
نحن ك ADEO ، أحد أهم الأدوار التي نقوم بها في المداخلة للحوادث السيبرانية هو قيادة الفريق. تستفيد المؤسسات والشركات التي نعمل معها في هذا الصدد بشكل جدي من خدمة التوجيه التي نقدمها، سواء من حيث العمليات التي نقوم بها أثناء عملية المداخلة للحوادث وفي إزالة أوجه القصور التي نكتشفها في المؤسسة أو الشركة أثناء المداخلة للحوادث. تذكر أنه إذا لم تتمكن من إدارة عملية المداخلة للحوادث، فسوف تتسبب في ضرر كبير لمؤسستك مثل الهجوم السيبراني نفسه.
5- خطة مداخلة ناجحة سابقة
أحد المراحل الأكثرحيوية للوصول لنجاح مداخلة الحوادث السيبرانية ، تنظيف المهاجمين الذين تم تثبيتهم والأدوات المستخدمة من طرف المهاجمين في أصح وقت وأسرع شكل.إذا تم تنفيذ هذه العملية مبكرًا جدًا، فقد لا يمكن تحديد الأنظمة التي تأثرت بالهجوم السيبراني بشكل كامل، وقد لا يمكن إزالة المهاجمين من النظام بالكامل.
من خلال القيام بالحظر من على IP المهاجم الأول الذي تم تثبيته من أجل التحرك بسرعة ،
نعلم أنهم إضطروا الى مداخلة الحدث من على العديد من الأنظمة الأخرى بعد القول أنه تم مداخلة الحدث. لذلك، فإن اتخاذ الإجراء الصحيح في الوقت المناسب هو أمر في غاية الأهمية لضمان نجاح التدخل في الحوادث السيبرانية.
علينا أن لاننسى أنه إذا اكتشف المهاجمون السيبرانيون أنك قمت بحظرهم أو أن الأدوات والعناوين التي يستخدمونها قد تم كشفها، فقد يبدأون في استخدام تكتيكات وأدوات جديدة ، قد ينتقل المهاجمون السيبرانيون إلى مرحلة إزالة الأثر الذي تركوه أو إلحاق الضرر بالنظام. قد يتسبب ذلك في دخول المداخلة في حلقة مفرغة وعدم تحقيق النجاح الكامل.
مراحل خدمة مداخلة الحدث الأمني السيبراني ل ADEO
خدمة مداخلة الحدث الأمني السيبراني الذي يتم تقديمه من طرف ADEO يتكون من مرحلتين.
المرحلة الأولى هي الكشف عن آثار الهجوم السيبراني المحتمل ، يتم تنفيذها كمرحلة " المداخلة والمراقبة"، والتي تغطي عملية تحديد ما إذا كان هذا الهجوم لا يزال مستمرًا وما هي الأنظمة والتطبيقات والمستخدمين المتأثرين بهذا الهجوم السيبراني. المرحلة الثانية هي مرحلة الحظر والتنظيف، والتي تتضمن تنظيف آثار الهجوم التي تم الحصول عليها في المرحلة السابقة من الأنظمة، ومشاركة IoCs للرموز الضارة، والأبواب الخلفية، وخوادم القيادة والتحكم التي يستخدمها المهاجمون وحظرها من خلال منصة الكشف والاستجابة لنقاط النهاية (EDR) المستخدمة و تقنيات الأمان الأخرى المستخدمة في الوسط.
العديد من المؤسسات والشركات تواجه مشاكل خطيرة لأنها لا تستطيع التعامل مع الهجمات الإلكترونية التي تواجهها بشكل صحيح، وتفشل في تنظيف النظام من المهاجمين.
خصوصاً في البُنى التحتية الكبيرة التي تضم آلاف العملاء والخوادم وتعمل عليها مئات التطبيقات من على هذه الأنظمة ،
- عدم احتواء خطة المداخلة للهجوم السيبراني على خطوات مضمونة النجاح مسبقًا،
- عدم استخدام منصات وتقنيات المراقبة والمداخلة المناسبة ،
- من بين الأسباب الرئيسية لهذا الفشل هو عدم تحديد نطاق الحادث السيبراني بشكل كامل، حيث يتم إجراء التحقيق والمداخلة على عدد قليل جدًا من مكونات النظام، مما يؤدي إلى فقدان الصورة الكبيرة للحادث.
لماذا ADEO DFIR ؟
مع أكثر من 10 سنوات من الخبرة الميدانية في المداخلة للحوادث ، نقوم بتخصيص نهج المداخلة الخاص بنا بناءً على نماذج التهديد.-
نحن ك ADEO ، نقوم بمداخلة العديد من الأحداث مع خبرائنا ، بالإضافة إلى إثبات قدراتنا في هذا المجال من خلال حل هذه الحوادث بسرعة، نمتلك شهادات بالمعايير الدولية.-
بفضل حلول نقاط النهاية التي لا تتطلب تثبيتاً والتي يمكن توزيعها بسهولة، نحن جاهزون للبدء في عمليات مداخلة الحوادث فور التوصل إلى الاتفاقات اللازمة.-
نضفي سياقاً على التحقيقات ونجيب على الأسئلة مثل لماذا، وكيف، ومتى بفضل المعلومات الاستخباراتية في مجال الأمن السيبراني التي نجمعها من مصادر مختلفة.-
من خلال مجموعة الأدوات التقنية الخاصة بنا، نوفر رؤية لنقطة النهاية ومؤشرات للهجوم في الوقت الفعلي (IOA) منذ لحظة بدء الاستجابة.-
مع تقنيات النقطة الطرفية الخاصة بنا والشبكة المتطورة ومع إستخبارات التهديد رائد الصناعة ، نقدم مداخلة شاملة وسريعة من خلال توفير الرؤية لحركة مرور الشبكة ونقاط النهاية.-
