تعرضت أنظمة تقنية المعلومات في شركتنا لهجوم مشبوه — ما الذي يجب علينا فعله بشكل ملموس خلال أول 24 ساعة؟

لا تقعوا أبدًا في خطأ إعادة تشغيل الخادم. العمليات الموجودة في الذاكرة العشوائية هي أهم مجال لتحديد مصدر الهجوم. إن أمكن خذوا نسخة من الذاكرة الحية (memory dump) وانسخوا سجلات اتصالات الجدار الناري (firewall) فورًا إلى قرص خارجي للقراءة فقط.

أين كانت نسخكم الاحتياطية بالضبط؟ إذا كانت محفوظة على وحدة تخزين متصلة بالشبكة (NAS) فالأرجح أنها تأثرت أيضًا. هل لديكم نسخ احتياطية غير قابلة للتغيير (immutable) منفصلة فيزيائيًا عن الشبكة (air-gapped) أو محفوظة في حساب سحابي مختلف؟

الآن فورًا من جهاز نظيف خارج الشركة، أعيدوا تعيين جميع كلمات مرور البريد الإلكتروني المؤسسي ومدير النطاق ولوحة السحابة مع إلزام التحقق بخطوتين. لا تستخدموا أبدًا الأجهزة المصابة داخل الشركة لتغيير كلمات المرور.

العام الماضي تعرضنا لتشفير مشابه في مستودعنا في شتوتغارت. أصدر فريق الاستجابة للحوادث فاتورة بـ 4,800 يورو عن أول 48 ساعة، ووصلت التكلفة الإجمالية مع عملية التقرير الجنائي إلى 11,000 يورو. لأن لدينا تأمينًا سيبرانيًا استعدنا كامل هذه التكلفة، إذا كانت لديكم وثيقة فلا تضيعوا أي وقت.

قبل الاتصال بالشرطة استشيروا محامي تقنية المعلومات لديكم بلا استثناء. إذا أدليتم بتهور وتحت تأثير الهلع بتصريحات قاطعة للجهات الرسمية أو للعملاء من نوع "بياناتنا سُرقت" وتبيّن بعد التحقيق أن الأمر ليس كذلك، فستتعرضون لخسارة سمعة تجارية لا داعي لها ومسؤولية قانونية.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

في اليوم الأول من الأزمة أداروا التواصل الداخلي بهذه القواعد: 1) لا تستخدموا أبدًا نظام البريد الإلكتروني للشركة وأدوات الدردشة الداخلية على الشبكة المحلية للمراسلات. 2) أبلغوا الموظفين عبر هواتفهم الشخصية أو مجموعة مراسلة خارجية آمنة. 3) أعطوا الموظفين تعليمات بعدم النقر على أي شاشة مشبوهة وعدم لمس أجهزتهم.

ألف سلامة عليكم، التوتر الذي تعيشونه الآن طبيعي جدًا... أهم شيء أن تبقوا هادئين وألا تردوا فورًا على أي رابط أو عنوان بريد إلكتروني في الرسالة التي تركها المهاجمون بوعود الدفع. لا تجلسوا للتفاوض بدون دعم احترافي.

لا تنزعوا قابس الكهرباء بل فقط كابلات الشبكة، ولا تنسخوا أي قرص قبل أن يفحصه خبير التحليل الجنائي الرقمي.

يجب إجراء تمييز هنا... كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

مثبت بالتجربة.

تشتت النقاش، دعني ألخصه. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

الإجابة أعلاه لخصت جوهر الأمر... إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

شكرًا لكتابة هذا.

سأكتب ما حدث لي، ربما يفيدكم. طيب إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

لو كنت مكانك، لسلك هذا المسار.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

دعني أتركها كملاحظة، قد تكون مفيدة.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

بالتأكيد. وإذا أردت إضافة شيء: إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

أتمنى أن يفيدك هذا.

بعد تجربة ذلك، تغيرت نظرتي للأمور. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنت محق تمامًا. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

مثبت بالتجربة.