ما المقصود بالاستجابة للحوادث؟

برامج الفدية الضارة هي نوع من البرمجيات الخبيثة، أو البرامج الضارة التي تقفل بيانات الضحية أو جهاز الكمبيوتر الخاص بها وتهدد بإبقائه مقفلاً –أو ما هو أسوأ من ذلك– ما لم تدفع الضحية فدية. يشير أحدث تقرير X-Force Threat Intelligence Index الصادر عن IBM إلى أن 20% من الهجمات على الشبكات استخدمت برامج الفدية الضارة وأن الهجمات المستندة إلى الابتزاز هي القوة الدافعة في الجرائم الإلكترونية – ولا يفوقها سوى سرقة البيانات وتسربها.

هجمات التصيد الاحتيالي هي رسائل رقمية أو صوتية تحاول التلاعب بالمستلمين لمشاركة معلومات حساسة أو تنزيل برامج خبيثة أو تحويل أموال أو أصول إلى الأشخاص الخطأ أو اتخاذ بعض الإجراءات الضارة الأخرى.  

يصوغ المخترقون رسائل التصيد الاحتيالي لتبدو أو تُسمع وكأنها صادرة عن مجموعة أو فرد موثوق به أو ذو مصداقية – وأحيانًا حتى من فرد يعرفه المستلم شخصيًا.

التصيد الاحتيالي وبيانات الاعتماد المسروقة أو المخترَقة هما نوعي متجهات الهجوم الأكثر انتشارًا، وفق تقرير تكلفة اختراق أمن البيانات الصادر عن شركة IBM. يعد التصيد الاحتيالي أيضًا الشكل الأكثر شيوعًا للهندسة الاجتماعية – وهي فئة من الهجمات التي تستهدف الطبيعة البشرية، بدلاً من الثغرات الأمنية الرقمية، للوصول غير المصرح به إلى البيانات أو الأصول الحساسة الخاصة بالأفراد أو المؤسسات.

في الهجوم الموزع لحجب الخدمة، يسيطر المخترقون على أعداد كبيرة من أجهزة الكمبيوتر ويستخدمونها لإغراق شبكة المؤسسة أو خوادمها المستهدفة بحركة مرور مزيفة، ما يجعل تلك الموارد غير متاحة للمستخدمين الشرعيين.

هجمات سلسلة التوريد هي هجمات إلكترونية تخترق المؤسسة المستهدفة من خلال مهاجمة بائعيها. على سبيل المثال، يمكن أن يشمل ذلك سرقة بيانات حساسة من أنظمة المورِّد أو استخدام خدمات البائع لتوزيع البرامج الضارة. 

ثمة نوعان من التهديدات الداخلية. الأول هو الهجوم الداخلي الخبيث؛ وهم الموظفون أو الشركاء أو غيرهم من المستخدمين المصرح لهم الذين يخترقون عن قصد أمن معلومات المؤسسة. أما الثاني، فهو التهديد الداخلي من الإهمال؛ وهم المستخدمون المصرح لهم الذين يخترقون أمن المؤسسة عن غير قصد من خلال عدم اتباع أفضل الممارسات الأمنية – مثل استخدام كلمات مرور ضعيفة أو تخزين البيانات الحساسة في أماكن غير آمنة.

تتضمن هذه الهجمات حصول المهاجم في البداية على امتيازات محدودة في النظام واستخدامها للتحرك بشكل جانبي، ما يتيح له الحصول على امتيازات أعلى والوصول إلى بيانات أكثر حساسية خلال العملية. 

يمكن أن تساعد بيانات الاعتماد المسروقة المهاجم إما على الدخول الأولي أو على تعزيز امتيازاته. وفق تقرير X-Force Threat Intelligence Index، فإن إساءة استخدام الحسابات الصالحة هي الطريقة الأكثر شيوعًا التي يستخدمها المهاجمون لاختراق الأنظمة اليوم.

في هجوم الوسيط، تعترض الجهة المهددة اتصالاً –غالبًا ما يكون بريدًا إلكترونيًا يحتوي على معلومات حساسة مثل أسماء المستخدمين أو كلمات المرور– وتقوم إما بسرقة هذه المعلومات أو تغييرها. يستخدم المهاجم إما المعلومات المسروقة مباشرةً أو يحقن برنامجًا ضارًا ليتم توجيهه إلى المستلم المقصود.

تعد هذه المرحلة الأولى من الاستجابة للحوادث مرحلة مستمرة أيضًا. يختار فريق الاستجابة لحوادث أمن الكمبيوتر أفضل الإجراءات والأدوات والأساليب الممكنة للاستجابة للحوادث وتحديدها واحتوائها والتعافي منها بأسرع وقت ممكن وبأقل قدر ممكن من تعطل الأعمال.

من خلال إجراء تقييم منتظم للمخاطر، يحدد فريق الاستجابة لحوادث أمن الكمبيوتر بيئة الأعمال التي يجب حمايتها والثغرات المحتملة في الشبكة وأنواع الحوادث الأمنية المختلفة التي تشكل خطرًا على الشبكة. يحدد الفريق أولويات كل نوع من الحوادث حسب تأثيره المحتمل على المؤسسة.  

قد "يحاكي" فريق الاستجابة لحوادث أمن الكمبيوتر عدة إستراتيجيات هجوم مختلفة، ثم ينشئ نماذج لأكثر الاستجابات فعالية من أجل التعامل مع الهجوم الحقيقي بسرعة في حال حدوثه. وقد يتم تتبع وقت الاستجابة لوضع مقاييس للتدريبات المستقبلية والهجمات المحتملة. استنادًا إلى تقييم المخاطر بالكامل، قد يحدِّث فريق الاستجابة لحوادث أمن الكمبيوتر الخطط الحالية للاستجابة للحوادث أو يضع خططًا جديدة.

خلال هذه المرحلة، يراقب أعضاء فريق الأمن الشبكة لرصد أي نشاط مشبوه أو التهديدات المحتملة. إذ يحللون البيانات والإشعارات والتنبيهات التي يتم جمعها من سجلات الأجهزة وأدوات الأمن المختلفة (برامج مكافحة الفيروسات، وجدران الحماية) لتحديد الحوادث الجارية. يعمل الفريق على فصل الحوادث الإيجابية الزائفة عن الحوادث الحقيقية، وتصنيف التنبيهات الفعلية حسب درجة خطورتها.

في الوقت الحالي، تستخدم معظم المؤسسات حلاً واحدًا أو أكثر من حلول الأمن –مثل إدارة المعلومات والأحداث الأمنية وكشف نقطة النهاية والاستجابة لها– لمراقبة الأحداث الأمنية في الوقت الفعلي وأتمتة جهود الاستجابة. (راجع قسم "تقنيات الاستجابة للحوادث" للحصول على مزيد من المعلومات).

يأتي دور خطة الاتصال أيضًا في هذه المرحلة. عندما يحدد فريق الاستجابة لحوادث أمن الكمبيوتر نوع التهديد أو الاختراق الذي يتعاملون معه، سيخطرون الموظفين المناسبين، ثم ينتقلون إلى المرحلة التالية من عملية الاستجابة للحوادث.

يتخذ فريق الاستجابة للحوادث الخطوات اللازمة لمنع الاختراق أو أي نشاط ضار آخر من إلحاق مزيد من الضرر بالشبكة. بعد ذلك، يتم تنفيذ خطط الاستجابة للحوادث الطارئة. ثمة فئتان من أنشطة الاحتواء:

• تركز تدابير التخفيف قصيرة الأجل على منع انتشار التهديد الحالي من خلال عزل الأنظمة المتضررة، مثل فصل الأجهزة المصابة عن الشبكة.

• تركز تدابير الاحتواء طويلة الأجل على حماية الأنظمة غير المتضررة من خلال وضع ضوابط أمنية أقوى حولها، مثل فصل قواعد البيانات الحساسة عن بقية الشبكة.

في هذه المرحلة، قد ينشئ فريق الاستجابة لحوادث أمن الكمبيوتر أيضًا نسخًا احتياطية للأنظمة المتضررة وغير المتضررة لمنع فقدان مزيد من البيانات وجمع الأدلة الجنائية للحادث من أجل دراستها في المستقبل. 

بعد احتواء التهديد، ينتقل الفريق إلى المعالجة الكاملة وإزالة التهديد من النظام بشكل كامل. قد يشمل ذلك إزالة البرامج الضارة أو إخراج مستخدم غير مصرح له أو مستخدم محتال من الشبكة. يفحص الفريق أيضًا كلاً من الأنظمة المتضررة وغير المتضررة للمساعدة على ضمان عدم ترك أي آثار للاختراق.   

عندما يكون فريق الاستجابة للحوادث واثقًا من أن التهديد قد تم القضاء عليه بالكامل، فإنه يعيد الأنظمة المتضررة إلى عملياتها المعتادة. قد تتضمن هذه المعالجة نشر التصحيحات وإعادة بناء الأنظمة من النُّسخ الاحتياطية وإعادة تشغيل الأنظمة والأجهزة. يتم الاحتفاظ بسجل الهجوم وحله بغرض التحليل وتحسين النظام.

خلال كل مرحلة من مراحل عملية الاستجابة للحوادث، يجمع فريق الاستجابة لحوادث أمن الكمبيوتر الأدلة المتعلقة بالاختراق ويوثِّق الخطوات التي يتخذها لاحتواء التهديد والقضاء عليه. في هذه المرحلة، يقيِّم فريق الاستجابة لحوادث أمن الكمبيوتر هذه المعلومات لفهم الحادث بشكل أفضل واستخلاص "الدروس المستفادة". يسعى فريق الاستجابة لحوادث أمن الكمبيوتر إلى تحديد السبب الأساسي للهجوم وتحديد كيفية تمكنه من اختراق الشبكة، وحل الثغرات الأمنية؛ حتى لا يتكرر هذا النوع من الحوادث في المستقبل.

يستعرض فريق الاستجابة لحوادث أمن الكمبيوتر أيضًا ما أجدى نفعًا ويبحث عن فرص لتحسين الأنظمة والأدوات والعمليات لتعزيز مبادرات الاستجابة للحوادث ضد الهجمات المستقبلية. واعتمادًا على ظروف الاختراق، قد تشارك سلطات إنفاذ القانون أيضًا في التحقيق بعد الحادث.

تعمل حلول إدارة سطح الهجوم على أتمتة الاكتشاف والتحليل والمعالجة والمراقبة المستمرة للثغرات الأمنية ومتجهات الهجوم المحتملة عبر كل الأصول في سطح الهجوم الخاص بالمؤسسة. يمكن أن تكشف إدارة سطح الهجوم عن أصول الشبكة التي لم يتم رصدها من قبل وأن تحدد العلاقات بين الأصول.

كشف نقطة النهاية والاستجابة لها هو برنامج مصمم لحماية المستخدمين وأجهزة نقاط النهاية وأصول تكنولوجيا المعلومات في المؤسسة بشكل تلقائي ضد التهديدات الإلكترونية التي تتجاوز برامج مكافحة الفيروسات وغيرها من أدوات أمن نقطة النهاية التقليدية.

يستمر برنامج كشف نقطة النهاية والاستجابة لها في جمع البيانات من كل نقاط النهاية على الشبكة. إلى جاب ذلك، فإنه يحلل البيانات في الوقت الفعلي بحثًا عن أدلة على وجود تهديدات إلكترونية معروفة أو مشتبه بها، ويمكنه الاستجابة تلقائيًا لمنع الضرر الناجم عن التهديدات التي يكتشفها أو تقليله.

يجمع نظام إدارة المعلومات والأحداث الأمنية بيانات الأحداث الأمنية ويربطها ببعضها من أدوات الأمان الداخلية المتباينة (على سبيل المثال، جدران الحماية، وماسحات الثغرات الأمنية وموجزات استعلامات التهديدات) ومن الأجهزة الموجودة على الشبكة.

يمكن أن يساعد نظام إدارة المعلومات والأحداث الأمنية فرق الاستجابة للحوادث على مكافحة "إجهاد التنبيهات" من خلال التمييز بين مؤشرات التهديدات الفعلية والكم الهائل للإشعارات التي تصدرها أدوات الأمان.

يمكِّن نظام التنسيق الأمني والأتمتة والاستجابة فرق الأمن من تحديد الأدلة، وهي سير العمل الرسمي الذي ينسق بين العمليات والأدوات الأمنية المختلفة استجابة للحوادث الأمنية. يمكن لمنصات التنسيق الأمني والأتمتة والاستجابة أيضًا أتمتة أجزاء من مهام سير العمل هذه حيثما أمكن.

يستخدم نظام تحليلات سلوك المستخدمين والكيانات (UEBA) التحليلات السلوكية وخوارزميات التعلم الآلي والأتمتة لتحديد سلوكيات المستخدمين والأجهزة غير الطبيعية التي قد تكون خطيرة.

يعد نظام تحليلات سلوك المستخدمين والكيانات فعالاً في تحديد التهديدات الداخلية –الهجمات الداخلية الخبيثة أو المخترقين الذين يستخدمون بيانات اعتماد داخلية مخترقة– التي يمكنها تجاوز أدوات الأمان الأخرى نظرًا إلى محاكاتها حركة المرور المصرح بها على الشبكة. غالبًا ما يتم تضمين وظائف تحليلات سلوك المستخدمين والكيانات في حلول إدارة المعلومات والأحداث الأمنية وكشف نقطة النهاية والاستجابة لها والكشف والاستجابة الموسعة.

نظام الكشف والاستجابة الموسعة هو تقنية أمن إلكتروني توحد أدوات الأمان ونقاط التحكم ومصادر البيانات والقياس عن بُعد والتحليلات عبر بيئة تكنولوجيا المعلومات الهجينة. ينشئ نظام الكشف والاستجابة الموسعة نظامًا مركزيًا واحدًا للمؤسسة من أجل منع التهديدات وكشفها والاستجابة لها. يمكن أن يساعد نظام الكشف والاستجابة الموسعة فرق الأمن ومراكز العمليات الأمنية الموسعة أكثر من اللازم على إنجاز المزيد بموارد أقل من خلال التخلص من الصومعات بين أدوات الأمان وأتمتة الاستجابات عبر سلسلة قتل التهديدات الإلكترونية بأكملها.

يمكن أن تسرِّع الأنظمة المدعومة بالذكاء الاصطناعي كشف التهديدات والتخفيف من حدتها من خلال مراقبة كميات هائلة من البيانات لتسريع البحث عن أنماط حركة المرور أو سلوكيات المستخدمين المشبوهة.

يمكن أن تعزز الأنظمة المدعومة بالذكاء الاصطناعي عمليات الاستجابة للحوادث بشكل استباقي بدرجة أكبر من خلال تقديم معارف في الوقت الفعلي إلى فريق الأمن الإلكتروني وأتمتة عملية تصنيف الحوادث وتنسيق الدفاعات ضد التهديدات الإلكترونية، بل وحتى عزل الأنظمة التي تتعرض للهجوم. 

يمكن أن يوفر تحليل المخاطر المدعوم بالذكاء الاصطناعي ملخصات عن الحوادث لتسريع التحقيقات التنبيهية والمساعدة على إيجاد السبب الأساسي لأي إخفاق. يمكن أن تساعد ملخصات الحوادث هذه على التنبؤ بالتهديدات التي من المرجح أن تحدث في المستقبل؛ حتى يتمكن فريق الاستجابة للحوادث من ضبط خطة أقوى لمواجهة تلك التهديدات بدقة.