لما نتعاقد على خدمة SOC، هل استجابة الحوادث مشمولة معها ولا بتتحسب لوحدها؟

لو برنامج أمن الأجهزة الطرفية عندكم فيه قدرة على التدخل عن بعد، خلّوهم يعرّفوه في العقد كـ"سيناريوهات أتمتة" (playbook). المفروض المحلل يقدر يعزل الجهاز اللي اتكشف فيه الخبيث عن الشبكة بضغطة واحدة قبل ما يتصل بيكم نص الليل. ده مش تدخل فعّال، ده رد أولي قياسي ومفروض ما يتحسبش برسوم إضافية.

في هجوم حصلنا السنة اللي فاتت، شركة SOC اتصلت نص الليل وقالت "فيه نشاط تشفير غير طبيعي على السيرفر بتاعكم" وقفلت. اضطرينا نجيب فريق استجابة، وطلعوا فاتورة 18 ساعة بسعر 4.000 ليرة للساعة. لازم لازم تحطوا في العقد حصة استجابة مشمولة 15-20 ساعة على الأقل.

جهزوا مصفوفة RACI فورًا. لما يطلع تنبيه، مين هيتبلّغ، مين هيعزل الجهاز، مين هيفحص النسخ الاحتياطية — اكتبوا كل حاجة بالتفصيل. اسألوهم "أنتم هتتحملوا أنهي خطوات من المصفوفة دي"، وخلّوا الرد بتاعهم ملحق للعقد.

خدوا بالكم من الشركات الرخيصة اللي بتقول "إحنا بنتدخل في كل حاجة". لو محلل متدرب بياخد الحد الأدنى للأجور في الشيفت الليلي قفل سيرفر المحاسبة بتاعكم، الضرر هيبقى أسوأ من الهجوم نفسه. التدخلات الفعّالة اللي حدود الصلاحيات فيها مش واضحة خطيرة جدًا.

إحنا كمان حصلنا معانا حاجة شبه كده، بعتوا إيميل الساعة 4 الفجر إن فيه حركة مشبوهة على النظام ثم على كل حال لما جينا الشغل الساعة 8 الصبح لقينا سيرفر الملفات كله متقفل. بصراحة لو هما بس هيبلّغوا، مفيش أي منطق إنك تدفع الفلوس دي.

هل عندكم مسؤول نظام مناوب يقدر يتصل بالأنظمة ويقفل السيرفر أو يرجع من النسخة الاحتياطية لما يجي تنبيه نص الليل؟ لو لأ، يعني مضطرين تسلّموا استجابة الحوادث لجهة خارجية.

طيب لما نركّب برنامج EDR، مش النظام نفسه بيعمل حجر صحي أوتوماتيكي؟ على كل حال إيه الفرق بين إن فريق SOC يعملها يدوي وإن البرنامج يعملها؟

خلاصة النقاش: المراقبة والإبلاغ خدمة أساسية، أما التدخل المتعمق فبيخضع لفاتورة إضافية. عشان تخلي المصاريف متوقعة، خلّوا إجراءات العزل الأولى مكتوبة في الباقة القياسية، وللتحليل المتعمق ضيفوا من البداية باقة تدخل بساعات ثابتة في العقد.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. هذا كل شيء، أرجو المعذرة إذا أطالت.

سأكتب ما حدث لي، ربما يفيدكم. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

لو كنت مكانك، لسلك هذا المسار.

هناك شيء يجب الانتباه إليه. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

دعني أتركها كملاحظة، قد تكون مفيدة.

ملخص سريع للجدد: إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالتوفيق.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة. أتمنى أن يفيدك هذا.

زالت حيرتي، شكراً لكم. كل من يستعجل في soc استجابة الحوادث مشمولة يتعثر في نفس النقطة.

دعني أتركها كملاحظة، قد تكون مفيدة.

أنت محق، لقد مررت بنفس المسار... انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

مثبت بالتجربة.

أوافقك الرأي تمامًا.. لكن إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. بصراحة اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أوافق. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

نسخة احتياطية غير مختبرة ليست نسخة احتياطية. هذا كل شيء، أرجو المعذرة إذا أطالت.