تعرضنا لهجوم ببرمجيات الفدية — أكتب عن سير الأحداث والدروس المستفادة

عشنا نفس الحادث قبل عامين. الفرق الوحيد: نسختنا الاحتياطية لم تكن نظيفة.

توقفت الإنتاجية لمدة ثلاثة أيام. الآن، النسخة الاحتياطية منفصلة وغير قابلة للتعديل. كان درساً مكلفاً.

أود إضافة بعض النقاط حول الجانب الإداري للاستجابة للحوادث، لأن هذا الجانب يحدد سير العملية بقدر الجانب التقني.

أولاً، يجب تحديد من سيتخذ القرار مسبقاً. إذا لم يكن من الواضح من المخاطب بسؤال "هل نوقف النظام؟" أثناء الحادث، فسنضيع ساعات.

ثانياً، خطة الاتصال. يجب أن يكون مكتوباً مسبقاً ما سيُقال للموظفين، ومتى سيتم إخطار العملاء، وكيف سيتم الوفاء بالتزامات الإخطار القانوني إذا لزم الأمر. إذا تأثرت البيانات الشخصية، فارجعوا إلى التشريعات وقسمكم القانوني بشأن مواعيد وطرق الإخطار؛ فهذه المواعيد قصيرة.

ثالثاً، قرار دفع الفدية. أود التأكيد على أن هذا ليس قراراً تقنياً، بل قرار للإدارة العليا والشؤون القانونية. الدفع لا يضمن استعادة البيانات وقد يخلق مخاطر قانونية منفصلة.

رابعاً، تقرير ما بعد الحادث. بعد مرور الأيام الحرجة، يعود الجميع إلى طبيعتهم ولا تُكتب الدروس. تقرير الحادث الذي لا يُكتب خلال أسبوع لا يُكتب أبداً.

عايز أفتح نقطة هنا: بتقولوا "مفيش ثغرات". إزاي تأكدتوا من ده؟

سؤالي مش بدافع سوء النية. في أغلب الحالات، أول طريق اختراق بيتم اكتشافه بيتعامل معاه على إنه الصحيح، والبحث بيخلص عند كده. بينما المهاجمين عادةً بيتركوا أكتر من طريقة للبقاء في النظام.

السؤال المحدد: بعد دخول المستخدم بكلمة مرور مسربة، هل تم إنشاء حسابات تانية في النظام، هل تمت إضافة مهام مجدولة، هل تم تثبيت أدوات وصول عن بُعد — هل فحصتوا كل ده؟ مش قليل الحالات اللي النظام اللي اتظن إنه اتنظف، تم اختراقه تاني بعد تلات أسابيع.

سؤال في محله، خليني أرد.

تم الفحص. فريق مستقل راجع كل حاجة لمدة أسبوعين. اتلقوا مهمتين مجدولتين وحساب مدير محلي اتعمل بعدين. الاتنين فاتوا في التنظيف الأول.

عشان كده عايز أضيف: قرار التنظيف ما ينفعش ياخده الفريق اللي عايش الحادث. الفريق المرهق والغاطس في الحدث بيميل يتأكد من استنتاجاته هو. لو ممكن، يكون فيه عين خارجية.

في النهاية، عملنا فورمات كاملة للأجهزة المتأثرة. الطريق ده كان أبطأ بس أدق.

من ناحية البنية التحتية، خليني أقترح هيكل محدد بخصوص النسخ الاحتياطي، لأن عبارة "خليه منفصل" شوية غامضة.

الترتيب الشائع والفعال هو: يكون عندك على الأقل 3 نسخ من البيانات، تتخزن في وسطين مختلفين على الأقل، ونسخة واحدة على الأقل تكون في مكان منفصل تماماً. بالإضافة لكده، إن النسخة المنفصلة دي تكون "غير قابلة للتعديل" بعد الكتابة عليها، وده عامل حاسم في سيناريو الفدية.

وكمان قيسوا وقت الاسترجاع. جملة "عندنا نسخة احتياطية" مش بنفس قيمة جملة "هنرجع شغالين في 8 ساعات". لو مش عارفين التاني، جربوا يوم السبت.

أنا مشروع صغير، دعوني أشرح من منظوري. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. مثبت بالتجربة.

شكراً لكتابة هذا، فهو صحيح تماماً. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

صححوا لي إن أخطأت.

أنت محق. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

وكيف حللتم هذه النقطة؟ نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هذا العنوان مؤرشف.

صحيح.

سأكون ممتنًا لو شاركت النتيجة.

بعد تجربة ذلك، تغيرت نظرتي للأمور. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

هذا كل شيء، أرجو المعذرة إذا أطالت.

مررت بهذا الطريق، دعني أشرح. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

صححوا لي إن أخطأت.

أنا مشروع صغير، دعوني أشرح من منظوري وتسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

دعني أترك تنبيهًا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.