شركة الاستضافة قالت «لقد تم اختراقكم» — ما خطوات الاستجابة للحادث السيبراني في الساعة الأولى؟

أبعد يد مطوّرك عن لوحة المفاتيح. نهج «لننظف الملفات المشبوهة» رد فعل مبتدئ يرمي أدلة الأدلة الجنائية الرقمية في القمامة تماماً. أي تنظيف تقوم به دون معرفة أين ترك المهاجم الباب الخلفي ليس سوى ثقة زائفة.

اسحب كابل الشبكة افتراضياً من اللوحة لكن اترك الجهاز يعمل. صدّر عبر الكونسول حالة مقابس الشبكة وشجرة العمليات العاملة وواصفات الملفات المفتوحة إلى وجهة خارجية. عمليات المهاجم العاملة في الذاكرة تضيع عند إعادة تشغيل الجهاز.

أعد تعيين جميع كلمات مرور الخدمات الخارجية وقواعد البيانات ومفاتيح الوصول إلى الخادم فوراً من جهاز آمن. لكن افعل ذلك ليس من داخل الخادم نفسه بل من حاسوب آخر مستقل تماماً.

عندما تلقّينا تحذيراً مشابهاً العام الماضي أعدنا تهيئة الجهاز وعدنا من النسخة الاحتياطية بدافع الذعر. ولأننا لم نجد نقطة الدخول واجهنا بعد يومين ملاحظة فدية بـ 45.000 SAR واضطررنا لدفع 60.000 SAR إضافية للتحليل الجنائي. لا تتحرك بدون أدلة.

إخطار شركة الاستضافة بوجود اختراق لا يعني بالضرورة وجود مهاجم داخل النظام بالفعل. أحياناً تتسبب خدمة DNS غير مهيأة بشكل صحيح أو طابور بريد SMTP مفتوح للخارج في إطلاق هذه التنبيهات. اقطعوا الاتصال بالشبكة ولكن لا تتسرعوا في إدانة النظام مباشرة.

الترتيب المتبع في أول 60 دقيقة هو: 1) قطع اتصال الخادم بالإنترنت الخارجي. 2) أخذ نسخة من الذاكرة العشوائية RAM ولقطة للقرص (Snapshot). 3) تغيير كلمات مرور الإدارة من جهاز مستقل تماماً. 4) طلب سجلات حركة المرور غير الطبيعية خطياً من شركة الاستضافة. 5) إبلاغ إدارة الشركة والمستشار القانوني رسمياً.

بالتزامن مع التدخلات التقنية أثناء الحوادث السيبرانية، تدخل الالتزامات القانونية حيز التنفيذ. ونظراً لإمكانية نشوء التزامات بإخطار الهيئات التنظيمية الوطنية المعنية والمستخدمين المتضررين في حال الاشتباه في اختراق البيانات الشخصية، فمن الضروري توثيق كافة الخطوات التقنية بمحاضر رسمية أثناء تنفيذها.

سلامات وإن شاء الله تعدي على خير، أقدر تماماً حجم التوتر في المكتب بمثل هذه اللحظات لكن التزموا الهدوء وتوقفوا عن تبادل الاتهامات، فالأهم ليس إعادة تشغيل النظام بسرعة وعشوائية، بل فهم مصدر الهجوم وإغلاق الثغرة نهائياً.

هناك نقطة لم أفهمها. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

وكيف حللتم هذه النقطة؟ بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

دعني أتركها كملاحظة، قد تكون مفيدة.

أنا مشروع صغير، دعوني أشرح من منظوري. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

مثبت بالتجربة.

أنت محق، لقد مررت بنفس المسار. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. الخطأ المرتكب من جانب خطوات الاستجابة للحادث قابل للإصلاح عادةً، لكنه مكلف.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. أتمنى أن يفيدك هذا.

عانيت من نفس الشيء. كل من يستعجل في خطوات الاستجابة للحادث يتعثر في نفس النقطة.

صححوا لي إن أخطأت.

حدث معنا هذا. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

أوافق... إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

بالتوفيق.

أكثر نقطة يتم إغفالها في موضوع خطوات الاستجابة للحادث هي: لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. مثبت بالتجربة.