تم اختراقنا هذا الصباح: كيف تكون خطة الاستجابة للحوادث السيبرانية خطوة بخطوة؟

إذا فرمتم الجهاز ستطير سجلات الجدار الناري، وسجلات الجلسات، وتفريغ الذاكرة بالكامل. انسخوا فوراً ملفات سجل الأحداث (event logs) وسجلات الوصول للويب من الخادم على فلاش USB نظيف.

حددوا قائد طوارئ في الشركة. إذا تحرك المحاسب بقرار والتقني بقرار آخر ستنهار خطة المعالجة. سجلوا كل خطوة في دفتر مع توثيق الوقت، والعملية، واسم الشخص المنفذ.

أعيدوا تعيين كلمات مرور البريد الإلكتروني والـ VPN لجميع الموظفين فوراً من خلال جهاز غير مصاب ونظيف. تحققوا حالاً من الراوتر الخاص بالشركة وتأكدوا من عدم وجود إعادة توجيه لمنافذ غير معروفة أو قواعد نشطة لسطح المكتب البعيد.

مررنا بحالة مشابهة ودفعنا 3.800 EUR لفريق استجابة حوادث مستقل. خلال أربع ساعات اكتشفوا أن المهاجم قد زرع مهمتين مجدولتين (scheduled task) للبقاء في النظام. لو قمنا بالفورمات واسترجاع النسخة لكنا تعرضنا للاختراق مجدداً في الليلة التالية.

حماس الفني لعمل فورمات غالباً ما يكون محاولة للتغطية على الخطأ والثغرة. تشغيل الخادم مجدداً دون معرفة باب الدخول لا يختلف عن ترك نفس الباب مفتوحاً للص.

كان الله في عونكم، الاستيقاظ صباحاً على هذا الموقف شعور سيئ جداً بصراحة ثم على كل حال حافظوا على هدوئكم، ولا تستعجلوا باستعادة النسخة الاحتياطية حتى لا تكتبوا فوق النسخة السليمة لليوم السابق.

ترتيب الأولويات يجب أن يكون كالآتي: 1) فصل الخادم عن الإنترنت فيزيائياً. 2) أخذ نسخة مطابقة للذاكرة والقرص الصلب. 3) اكتشاف السبب الجذري وإغلاقه. 4) التثبيت على بيئة نظيفة من نسخة احتياطية آمنة.

لا تغلقوا الخادم، فقط افصلوا اتصال الشبكة، وإياكم والسماح بعمل فورمات قبل أخذ نسخة جنائية طبق الأصل من القرص.

ملخص سريع للجدد: محاولة فعل هذا بمفردك هي أغلى الطرق.

أتفق مع هذا. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

حدث معنا هذا. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

مثبت بالتجربة.

أعتقد أن الحديث بهذه القطعية في جانب الاستجابة للحوادث السيبرانية صعب. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. طيب تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

عندنا نفس المشكلة.

أكتب هذا حتى لا تكرروا نفس الخطأ. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. دعني أتركها كملاحظة، قد تكون مفيدة.

شكرًا جزيلًا، كان مفيدًا جدًا. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه.