طلبوا منا إرسال السجلات إلى SOC — في شركة بحجمنا، أي قسم أو موظف يجب أن يتولى هذا؟

إذا حاولتم تحميلها على فريق الأنظمة، سيبدأ الطرفان في إلقاء اللوم على بعضهما في الشهر الأول. فريق الأنظمة يرسل السجل ويمضي، وSOC يقول "هذا السجل ناقص"، والعميل يقع في المنتصف. لا بد من وجود منسّق واحد على الأقل يفهم في الأمن.

عند نقل البيانات من السيرفرات عبر syslog أو الوكيل، لا تنسوا حساب استهلاك الشبكة وحمل المعالج على السيرفر. فريق الأنظمة يفعل ذلك، لكن توافق الطوابع الزمنية للسجلات المنقولة والنقل المشفّر يتطلبان عناية خاصة.

دخلنا في عملية مشابهة بفريق من 40 شخصًا. أخذنا استشارات أمنية من الخارج بمعدل 20 ساعة شهريًا، وكانت التكلفة حوالي 18.000 TL شهريًا. ثبّتنا العملية باستهلاك 4 ساعات فقط أسبوعيًا من وقت مدير الأنظمة.

لا ترسلوا السجلات على عجل لمجرد أن العميل طلب. معظم شركات SOC تحسب رسومًا إضافية على كل سجل غير ضروري يصلها. إذا لم تحصروا نطاق الأنظمة التي ستُسجَّل، ستواجهون فواتير ضخمة في نهاية الشهر.

ما السجلات التي يريدها عميلكم بالضبط؟ هل فقط نظام التشغيل والجدار الناري، أم أن استعلامات قاعدة البيانات والأنشطة داخل التطبيق مشمولة أيضًا؟

جهّزوا فورًا مصفوفة تصعيد. عندما يتصل SOC ليلًا، من سيوقظ؟ 1) مدير النظام، 2) قائد التطوير، 3) المدير العام؟ لا تبدأوا الدمج قبل كتابة هذا.

عندنا أيضًا حمّلوها على فريق الأنظمة، وبعد شهرين وصل الشباب إلى نقطة ترك العمل. هذا العمل يجب بالتأكيد أن يُدار مع مستشار من الخارج.

باختصار، عمل البنية التحتية يجب أن يبقى مع فريق الأنظمة، وجانب الكود يُعطى للمطوّر، لكن متابعة التنبيهات وتنسيق العقد يجب بالتأكيد أن يحصلا على دعم خبير خارجي.

أخذت ملاحظة، شكرًا لك. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

سأجرب ذلك.

تم الحفظ. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. صححوا لي إن أخطأت.

صحيح.

دعني أوضح الجانب التقني قليلاً. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

كنت أفكر في نفس الشيء. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بالتأكيد. وإذا أردت إضافة شيء: الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. أتمنى أن يفيدك هذا.

بالضبط هكذا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

بالضبط هكذا. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.