أول 30 دقيقة بعد الاختراق ممكن تغيّر كل إشي
تخيّل إنك وصلت الشركة الصبح، فتحت اللابتوب، وفجأة اكتشفت إن في ملفات مشفّرة، أنظمة واقفة، وموظفين مش قادرين يشتغلوا.
فريق الـ IT بحاول يفهم شو صار، الإدارة بتسأل مين المسؤول، والتلفونات ما بتوقف.
وبنص هالفوضى، حدا بيطلع باقتراح: "طفّوا كل السيرفرات!"
وحدا ثاني بحكي: "غيّروا كل كلمات المرور فورًا!"
والثالث بلّش يحذف الملفات المشبوهة.
الكل بده يساعد، بس المشكلة إنك بهاللحظة ممكن تكون عم تزيد الضرر بدل ما توقفه.
خلّيني أحكيلك ليش.
الاختراق مش اللحظة اللي اكتشفت فيها المشكلة
في فرق كبير بين وقت ما المهاجم دخل على الشبكة، ووقت ما إنت اكتشفت وجوده.
ممكن يكون داخل من أيام أو أسابيع، يتحرك بين الأنظمة، يجمع بيانات، ويسرق Credentials، ويجهّز حاله للخطوة الأكبر.
يعني لما يظهر قدامك إنذار من الـ EDR، أو تكتشف إن في حساب عم يتصرف بطريقة غريبة، مش بالضرورة تكون هاي بداية الهجوم.
ممكن تكون هاي اللحظة اللي إنت أخيرًا انتبهت فيها.
وهون بتبلش القصة الحقيقية.
أول 30 دقيقة: شو المفروض يصير؟
1. تأكّد من اللي عم تشوفه
مش كل Alert يعني اختراق، ومش كل نشاط غريب يعني إنك بأمان إذا ما ظهر Alert.
فريق الـ Security لازم يربط الأحداث ببعضها، يراجع الـ Logs، يفحص الـ Endpoint، ويتأكد إذا في مؤشرات فعلية على اختراق.
الهدف مش إنك تضيع وقتك بالتأكد من كل تفصيل صغير؛ الهدف إنك تاخد قرار مبني على أدلة، مش على الخوف.
2. احتوِ الهجوم، بس لا تتصرف بعشوائية
إذا في جهاز مصاب، ممكن تحتاج تعزله عن الشبكة. وإذا في حساب مخترق، ممكن تحتاج تعطّله أو تلغي جلساته النشطة.
بس هل لازم تطفّي كل الشبكة؟
مش بالضرورة، أحيانًا إيقاف الأنظمة بشكل عشوائي بعطّل شغل الشركة، وبصعّب التحقيق، وممكن يضيّع أدلة رقمية مهمة.
القرار لازم يعتمد على طبيعة الهجوم، الأنظمة المتأثرة، وتأثير كل خطوة.
3. حافظ على الأدلة
الـ Logs، وبيانات الـ EDR، وآثار تسجيل الدخول، والـ Network Traffic المتاح، كلها ممكن تساعدك تعرف كيف دخل المهاجم، وشو عمل، وهل لسه موجود داخل البيئة.
إذا مسحت كل شيء قبل ما تفهم شو صار، ممكن تخسر أدلة بتحتاجها عشان تحدد نطاق الاختراق وتمنع تكراره.
وهون بيظهر الفرق بين فريق بس بده يرجّع الأنظمة تشتغل، وفريق بده يفهم الهجوم ويحتويه بشكل صحيح.
4. لا تنسى إن الاختراق مش مشكلة تقنية بس
مين لازم يعرف بالحادثة؟
هل في بيانات عملاء ممكن تكون تسرّبت؟
هل في أنظمة حرجة تأثرت؟
هل لازم يتم إشراك الإدارة القانونية أو فريق الخصوصية؟
وهل في التزامات تعاقدية أو تنظيمية للإبلاغ؟
هاي الأسئلة لازم يكون إلها مسار واضح مسبقًا، مش تبدأ الشركة تدور على إجاباتها وهي تحت الضغط.
وين المشكلة عند كثير من الشركات؟
المشكلة إنها بتشتري أدوات Security قوية، وبتدفع على SIEM وEDR وSOC، وممكن يكون عندها فريق ممتاز. بس لما يصير Incident حقيقي، ما حدا بعرف مين صاحب القرار، ومين بعزل الجهاز، ومين بحافظ على الأدلة، ومين بتواصل مع الإدارة.
يعني الشركة استثمرت في اكتشاف الهجوم، بس ما استثمرت بنفس القدر في الاستجابة إله، والفرق بينهم كبير.
وجود EDR ما يعني إنك جاهز للاستجابة، ووجود SOC ما يعني إن كل شخص بالشركة بعرف شو يعمل وقت الأزمة.
حتى الـ Incident Response Plan، إذا كان مجرد ملف PDF محفوظ على SharePoint وما حدا تدرّب عليه، غالبًا مش رح ينقذك وقت الجد.
كيف بتعرف إذا شركتك جاهزة فعلًا؟
جرّب تسأل فريقك خمس أسئلة:
- إذا اكتشفنا Ransomware الآن، مين صاحب القرار بعزل الأنظمة؟
- هل بنعرف كيف نحدد الأجهزة والحسابات المتأثرة؟
- هل عنا Logs كافية نعرف منها شو صار قبل اكتشاف الهجوم؟
- هل النسخ الاحتياطية معزولة ومختبرة، ولا بس بنفترض إنها شغّالة؟
- متى آخر مرة عملنا Incident Response Exercise حقيقي؟
إذا الإجابات كانت: "بنشوف وقتها"، فالمشكلة مش بالضرورة نقص أدوات، لانه ممكن تكون المشكلة إنك ما اختبرت قدرتك على استخدامها تحت الضغط.
وبصراحة، أسوأ وقت تكتشف فيه إن خطة الاستجابة مش واضحة هو وقت ما تكون محتاجها.
من الاخير ،
أول 30 دقيقة مش قاعدة سحرية، ومش معناها إن كل اختراق لازم ينحل خلالها.
هي الفترة اللي ممكن تحدد فيها قراراتك الأولى إذا كنت رح تحتوي الحادثة بشكل منظم، أو تدخل في فوضى تزيد تكلفتها وصعوبة التعامل معها.
الأمن السيبراني مش بس إنك تمنع الاختراق، ولا إنك تكتشفه بسرعة.
هو كمان إنك تعرف كيف تتصرف لما الوقاية تفشل.
لو صار اختراق بشركتك اليوم، هل فريقك بعرف شو يعمل بأول 30 دقيقة، ولا رح تكون أول مرة يكتشف فيها إن الخطة مش جاهزة؟