مخطط انسيابي للاستجابة لحوادث الأمن السيبراني (SOC)
مخطط مسارات لدورة الاستجابة التقنية لحوادث الأمن السيبراني كما يديرها مركز عمليات الأمن أو فريق CSIRT، من فرز التنبيه إلى استئصال التهديد والتعافي وضبط قواعد الكشف.
كيف تعمل
أعد تسمية المسارات لتطابق هيكلك الفعلي
استبدل الكشف / مركز عمليات الأمن ومستجيب الحوادث وقائد الحادثة وعمليات تقنية المعلومات والإدارة بما لديك فعلاً: مزوّد خدمات أمن مُدارة خارجي، أو فصل المستويين الأول والثاني في مسارين، أو فريق منصات وسحابة بدل عمليات تقنية المعلومات، أو مورّد تحقيق جنائي متعاقد معه. احذف المسار بدل أن تتركه بلا شاغل، وادمج القائد في مسار المستجيب إذا كان الشخص نفسه يؤدي الدورين فعلاً.
ضع مصفوفة درجات الخطورة على خطوة الإعلان
افتح «إعلان الحادثة وتحديد درجة الخطورة» واستبدل الملاحظة بمعاييرك: ما الذي يجعل الحادثة حرجة، ومن يُسمح له بإعلانها، وما الذي تلتزم به كل درجة من زمن استجابة وتوفير كوادر واستدعاء خارج الدوام. درجة الخطورة هي ما يحرّك كل قرار لاحق في هذا المخطط، فيستحق الأمر التحديد الدقيق.
اضبط قاعدة اعتماد الاحتواء
لا يعمل فرع «هل سيُعطّل الاحتواء الخدمات؟» إلا إذا كان أحد قادراً على الإجابة عنه عند الثالثة فجراً. دوّن أي الأنظمة يجوز عزلها بصلاحية المستجيب وحده، وأيها يحتاج قرار عمل، ومن يملك ذلك القرار، وماذا يحدث إن تعذّر الوصول إليه خلال مدة متفق عليها.
ثبّت قواعد الأدلة قبل الاحتواء
سجّل ترتيب الجمع على «حفظ الأدلة الجنائية ونسخ الأقراص»: الذاكرة وحالة الشبكة الحيّة قبل القرص، والقرص قبل السجلات المؤرشفة، اتباعاً لمنهج ترتيب التطايُر الوارد في RFC 3227. ونبّه إلى أن الأجهزة تُعزل على مستوى الشبكة لا تُطفأ، وحدّد أين تُحفظ النسخ ومن يوقّع على استلامها.
عرّف ما يعنيه «أُزيل التهديد بالكامل»
اكتب معايير الخروج بجانب قرار «هل أُزيل التهديد بالكامل؟»: نافذة مراقبة بلا أي نشاط للمهاجم، ومسح كل مؤشر اختراق على كامل البيئة، وتدوير كل بيانات اعتماد يُحتمل أنها التُقطت، وترقيع الثغرة المستغَلّة. وقرّر كذلك ما إذا كان فرع الإخفاق يعود إلى تحديد النطاق كما هو هنا، أم إلى الاحتواء.
اربطه بالعمليتين المجاورتين وأصدر نسخة معتمدة
أضف روابط صريحة إلى مسار الإبلاغ عن خرق البيانات، وإلى إدارة المشكلات أو التغيير للإصلاحات الدائمة، وإلى التأمين السيبراني أو إشعار الموردين إن كان ذلك ينطبق عليك. ثم عمّم المخطط على مسؤول الأمن وعمليات تقنية المعلومات والإدارة للاعتماد، واحتفظ بالنسخة المعتمدة، لأن الخطة التي تتدرب عليها يجب أن تكون الخطة التي تنشرها.
الأسئلة الشائعة
ما مراحل عملية الاستجابة لحوادث الأمن السيبراني؟
يستخدم هذا المخطط ست مراحل: الكشف والفرز، والإعلان، وتحديد النطاق والاحتواء، واستئصال التهديد، والتعافي، والدروس المستفادة. وهي تنطبق على نموذج SANS بخطواته الست: الاستعداد والتحديد والاحتواء والاستئصال والتعافي والدروس المستفادة، وعلى NIST SP 800-61 في مراجعته الثانية التي تجمع العمل في الكشف والتحليل؛ ثم الاحتواء والاستئصال والتعافي؛ ثم أنشطة ما بعد الحادثة. أما المراجعة الثالثة فأعادت تنظيم الإرشادات حول وظائف إطار الأمن السيبراني 2.0 بدل قائمة مراحل ثابتة. ولا يُرسم الاستعداد كخطوة لأنه عمل مستمر — هندسة الكشف، والمناوبات، وعقود الإسناد، والتمارين — يُنفَّذ قبل أي تنبيه لا أثناءه.
بماذا تختلف هذه العملية عن إدارة حوادث تقنية المعلومات وعن الإبلاغ عن الخرق؟
إدارة حوادث تقنية المعلومات تستعيد خدمة متوقفة وتُغلق فور عودة المستخدم إلى العمل. أما الحادثة الأمنية فيوجد فيها خصم، ولذلك ليست عودة الخدمة خط النهاية: بل هي لحظة الخطر الأقصى إن كان التهديد ما يزال مقيماً، ولهذا يضع هذا المخطط قرار تحقق قبل التعافي. والجارة الأخرى هي الإبلاغ عن الخرق؛ فتقرير ما إذا كانت بيانات شخصية قد تأثرت، وما إذا كان يجب إبلاغ سلطة رقابية أو عميل، وضمن أي مهلة نظامية، عمل قانوني واتصالي يسير على ساعة قانونية، ويجري بالتوازي مع الاستجابة التقنية لا داخلها.
لماذا يأتي حفظ الأدلة قبل استئصال التهديد؟
لأن أكثر إجراءات الاحتواء شيوعاً تُتلف الأدلة التي ستحتاجها. إطفاء الجهاز يُفقدك البرمجيات الخبيثة المقيمة في الذاكرة، والاتصالات الشبكية الحيّة، والمواد المفكوكة التشفير، والعمليات المحقونة. وإعادة بناء خادم قبل فهم النطاق تمحو الآثار التي تبيّن كيف دخل المهاجم وإلى أين وصل. ومبدأ ترتيب التطايُر الموصوف في RFC 3227 هو القاعدة العملية: التقط الذاكرة والحالة الحيّة أولاً، ثم القرص، ثم السجلات المؤرشفة. وفي هذا المخطط تقع خطوة الأدلة بعد العزل وقبل أي عمل استئصالي، وتُعزل الأجهزة على مستوى الشبكة لتبقى قيد التشغيل.
كيف تقرّر أن التهديد أُزيل بالكامل؟
بمعايير مكتوبة قبل الحادثة لا بحكم اللحظة. وعادةً تكون: عدم رصد أي نشاط للمهاجم عبر كامل البيئة خلال نافذة مراقبة متفق عليها؛ ومسح كل مؤشر خرج من التحقيق على جميع الأجهزة لا على المُنبِّهة منها فقط؛ وتدوير كل بيانات اعتماد يُحتمل أنها التُقطت بما فيها حسابات الخدمة وحسابات الأجهزة؛ وإغلاق الثغرة أو سوء التهيئة الذي أتاح الوصول الأولي. وحين تكون الإجابة «لا» فذلك يعني غالباً أن النطاق كان خاطئاً لا أن التنظيف كان متساهلاً، ولهذا يعود فرع الإخفاق هنا إلى «تحديد الأصول والحسابات المتأثرة» لا إلى العزل.
من يعتمد الاحتواء الذي يفصل خدمة إنتاجية عن العمل؟
شخص يملك صلاحية قبول الأثر على الأعمال، ونادراً ما يكون المستجيب الذي اكتشف المشكلة. يوجّه هذا المخطط تلك الحالة عبر مسار الإدارة، لكن المقصود ليس اسم المسار: المقصود أن يكون القرار والدور المُسمّى والبديل عند تعذّر الوصول متفقاً عليها مسبقاً. كثير من الفرق تمنح اعتماداً مسبقاً لعزل قائمة محددة من الأنظمة ودرجات الخطورة كي لا تنتظر الحالات الشائعة مكالمة، وتحتفظ بالتصعيد للخدمات المدرّة للإيراد أو المرتبطة بالسلامة. وبدون ذلك يدور الجدل بينما المهاجم ما يزال يعمل.