الرصد والاستجابة للحوادث
درس 1 من 6
1الرصد والاستجابة للحوادث
الصورة الكبيرةالاختراق في المتوسط يأخذ 247 يومًا حتى يُكتشف ويُحتوى، والاختراقات التي تتجاوز 200 يوم أغلى بوضوح. فريق الرصد لا يعد بأن لا يحدث شيء، بل بأن يُكتشف بسرعة ويُحتوى قبل أن يكبر.
ماذا تشاهد في الرسم: دورة الاستجابة للحوادث كما تصفها NIST، على حادثة فدية: كل مرحلة تحضر عن أسئلة، والدروس المستفادة تعيدك للاستعداد أقوى.
خارطة هذا الجزء
المفاهيم بالترتيب، اضغط أيًّا منها للقفز إليه:
طريقان إلى نفس الفكرة
فكّر في فريق الإطفاء. قبل الحريق: كواشف دخان وخطة إخلاء وتدريب (الاستعداد). كاشف يصفّر: أين الحريق وما حجمه؟ (الكشف). أغلق الأبواب حتى لا ينتشر، ثم أطفئه وأصلح ما احترق (الاحتواء والتعافي). ثم: لماذا اشتعل؟ وماذا نغيّر؟ (الدروس). مركز العمليات الأمنية هو غرفة الإطفاء للعالم الرقمي.
SOC بمستويات: Tier 1 فرز، وTier 2 تحقيق، وTier 3 صيد التهديدات وهندسة الكشف. SIEM يجمع السجلات (جدار، وخوادم، وEDR، وهوية، وسحابة) ويطبّعها ويربطها بقواعد كشف (Sigma مثلًا) مربوطة بـ ATT&CK. SOAR يؤتمت الاستجابة المتكررة بكتيبات (Playbooks). دورة NIST SP 800-61: الاستعداد، والكشف والتحليل، والاحتواء والاستئصال والتعافي، والدروس المستفادة (ومراجعتها الأحدث تربطها بوظائف CSF 2.0). DFIR: جمع الأدلة بترتيب التقلّب (الذاكرة قبل القرص) وسلسلة الحيازة. مقاييس: MTTD وMTTR.
قبل أن تبدأ
🎯كيف يفكر المهاجم
مراحل الهجوم وتكتيكات ATT&CK.
🐍بايثون (المرحلة 1)
لقراءة السكربت؛ ويمكنك تشغيله دون أن تكتب سطرًا.
الفكرة الجوهرية
1مركز العمليات الأمنية SOC
محللون يراقبون التنبيهات على مدار الساعة. المستوى الأول يفرز: هل التنبيه حقيقي أم إنذار كاذب؟ الثاني يحقق في الحقيقي ويحدد نطاقه. الثالث يبحث عن مهاجمين لم يُطلقوا أي تنبيه (صيد التهديدات) ويكتب قواعد كشف جديدة. محلل SOC هو أشيع وظيفة يبدأ بها الناس في المجال.
2من السجلات إلى التنبيه: SIEM وSOAR
كل جهاز يكتب سجلات: من دخل ومتى ومن أين. وحدها لا تعني الكثير، لكن حين يجمعها SIEM في مكان واحد ويربطها تظهر القصة: خمس محاولات دخول فاشلة من بلد غريب، ثم نجاح، ثم إنشاء قاعدة تحويل بريد. وSOAR ينفّذ الخطوات المتكررة تلقائيًا، مثل تعطيل الحساب وفتح تذكرة.
هذا تمرين المرحلة الثالثة في خطة الدراسة مصغّرًا. شغّله، ثم غيّر عتبة التنبيه 3.
from collections import Counter
import re
log = """\
Nov 02 03:11:04 srv sshd[812]: Failed password for root from 203.0.113.7 port 51022
Nov 02 03:11:06 srv sshd[812]: Failed password for root from 203.0.113.7 port 51024
Nov 02 03:11:09 srv sshd[815]: Failed password for admin from 198.51.100.23 port 40110
Nov 02 03:11:12 srv sshd[812]: Failed password for root from 203.0.113.7 port 51031
Nov 02 03:12:40 srv sshd[901]: Accepted publickey for sara from 192.0.2.15 port 52200
Nov 02 03:13:02 srv sshd[812]: Failed password for invalid user test from 203.0.113.7 port 51090
"""
failed = Counter(re.findall(r"Failed password for .* from (\S+)", log))
for ip, count in failed.most_common(5):
flag = " <- investigate" if count >= 3 else ""
print(f"{ip:15} {count} failed{flag}")3دورة الاستجابة للحوادث
الرسم الافتتاحي يريك المراحل الأربع. أهم قاعدة في الاحتواء: لا تمحُ الأدلة. إعادة تثبيت الجهاز فورًا تمحو ما تحتاجه لتعرف كيف دخل المهاجم وأين وصل، فقد يعود من الباب نفسه.
| المرحلة | أسئلة المحلل | مثال في حادثة فدية |
|---|---|---|
| الاستعداد | هل لدينا خطة وأدوات ونسخ احتياطية مختبرة؟ | نسخ غير متصلة وخطة اتصال جاهزة |
| الكشف والتحليل | ماذا حدث؟ متى؟ ما النطاق؟ | تنبيه EDR على تشفير جماعي للملفات |
| الاحتواء | كيف نوقف الانتشار دون إتلاف الأدلة؟ | عزل الأجهزة المصابة وتعطيل الحساب المسروق |
| الاستئصال والتعافي | هل أزلنا كل أثر؟ كيف نعود بأمان؟ | إعادة البناء من صور نظيفة والاستعادة من النسخ |
| الدروس المستفادة | لماذا نجح الهجوم؟ ماذا نغيّر؟ | فرض MFA على VPN وترقيع الخادم المكشوف |
الأدلة الجنائية الرقمية (DFIR) تجمع الأدلة بترتيب سرعة زوالها: الذاكرة أولًا لأنها تختفي بإطفاء الجهاز، ثم القرص، ثم السجلات. وتحفظ سلسلة الحيازة: من لمس الدليل ومتى، حتى يصلح أمام جهة رسمية.
4للمسار المبسّط: إذا اختُرق حسابك
خمس خطوات بالترتيب: (1) غيّر كلمة المرور من جهاز سليم وفعّل التحقق بخطوتين. (2) اخرج من كل الجلسات النشطة من إعدادات الحساب. (3) غيّر كلمة المرور في أي موقع آخر كنت تستخدمها فيه. (4) أبلغ أصدقاءك ألا يثقوا برسائل وصلتهم منك مؤخرًا. (5) إن كانت هناك خسارة مالية فتواصل مع البنك فورًا وأبلغ الجهات المختصة.
مثال محلول
المسألة: الساعة 2 فجرًا، تنبيه EDR: «تشفير جماعي للملفات على خادم الملفات FS01». ما أول ثلاث خطوات؟
الحل: (1) اعزل FS01 عن الشبكة فورًا (من EDR أو بفصل المنفذ) دون إطفائه، حتى يتوقف الانتشار وتبقى الذاكرة. (2) حدد النطاق: أي حساب شغّل العملية؟ هل الحساب نفسه دخل أجهزة أخرى؟ عطّله وابحث في SIEM عن نشاطه. (3) صعّد وأبلغ حسب الخطة: مسؤول الحوادث والإدارة، وتحقق أن النسخ الاحتياطية غير المتصلة سليمة قبل أي استعادة. ولا تدفع ولا تعيد التثبيت قبل جمع الأدلة.
خرافة مقابل حقيقة
| الخرافة | الحقيقة |
|---|---|
| عدم وجود تنبيهات يعني أننا لم نُخترق. | قد يعني أن الرصد لا يغطي ما يحدث. لهذا يوجد صيد التهديدات. |
| أول خطوة مع الفدية إعادة تثبيت الجهاز. | الأولى العزل؛ إعادة التثبيت الفورية تمحو الأدلة التي تحتاجها. |
أين تقابله في العمل
🖥️محلل SOC
يفرز عشرات التنبيهات يوميًا ويكتب ملخصًا واضحًا لما يصعّده.
🔍محقق جنائي رقمي
يحلل الذاكرة والأقراص ليعيد بناء خط زمني للهجوم.
اختبر فهمك
أول خطوة صحيحة عند اكتشاف جهاز مصاب ببرنامج فدية:
العزل يوقف الانتشار ويحفظ الأدلة. إعادة التثبيت الفورية تمحو ما تحتاجه للتحقيق.
أي أداة تجمع السجلات من كل مكان وتربطها بقواعد كشف؟
SIEM يجمع ويطبّع ويربط، وSOAR يؤتمت الاستجابة بعده.
لماذا تُجمع الذاكرة قبل القرص في التحقيق؟
هذا ترتيب التقلّب: الأسرع زوالًا أولًا.
ما عمل محلل المستوى الأول (Tier 1) في SOC؟
الثاني يحقق، والثالث يصطاد ويبني قواعد الكشف.
ما الفرق بين SIEM وSOAR؟
SOAR ينفذ دليل التشغيل تلقائيًا: يعزل جهازًا أو يعطل حسابًا.
بطاقات مراجعة سريعة
تحقق من فهمك
ما الفرق بين المستوى الأول والثالث في SOC؟
الأول يفرز التنبيهات الواردة، والثالث يبحث عن مهاجمين لم يطلقوا تنبيهًا ويكتب قواعد كشف.
لماذا تُعد مرحلة الدروس المستفادة الأهم على المدى الطويل؟
لأنها تغلق الباب الذي دخل منه المهاجم، وبدونها تتكرر الحادثة نفسها.
لماذا الإنذارات الكاذبة الكثيرة خطر أمني وليست إزعاجًا فقط؟
لأن المحلل المرهق يتجاهل التنبيهات، فيضيع التنبيه الحقيقي بينها.
مصادر هذا الدرس
مرتّبة بالنوع. ابدأ بالتوثيق الرسمي إذا تبي المرجع الدقيق، وبالمقال أو الفيديو إذا تبي الشرح أولًا.
خلّصت الدرس؟
سجّل الدخول ليُحفظ تقدّمك.