استلمنا ثلاثة عروض من مراكز عمليات أمنية — أي جدول يجب أن أجهّزه لمقارنة النطاق واتفاقية مستوى الخدمة؟

في جانب اتفاقية مستوى الخدمة انتبه إلى نقطة بداية تعريفات MTTD وMTTR. كثير من الشركات تبدأ عدّاد الاتفاقية ليس من لحظة وصول التنبيه إلى أنظمة الإنذار، بل من لحظة تأكيد المحلل المناوب للتذكرة يدويًا. هذا قد يرفع زمن الاستجابة الفعلي من 15 دقيقة إلى ساعتين.

العام الماضي تعاقدنا بميزانية 80.000 TL لبنية تحتية مشابهة. لأنهم حسبوا حصة السجلات منخفضة، تجاوزت سجلات خوادمنا الحصة في الشهر الثالث وأصدروا لنا فاتورة إضافية بـ28.000 TL. عند طلب العروض ثبّت سعر تجاوز حجم السجل اليومي من البداية.

لا تثق أبدًا بشكل أعمى بعبارة 7/24 في العروض. في معظم الأماكن يجلس في الوردية الليلية مجرد متدرب يراقب الشاشة أو عنصر L1 مناوب. عندما يظهر اشتباه ببرمجية فدية الساعة 03:00 فجرًا، هل سيصل الأمر إلى خبير L2/L3 يعزل الخادم مباشرة، أم سينتظرون دوام الساعة 09:00 صباحًا؟

أهم 4 نقاط تحقق يجب إضافتها إلى جدول المقارنة: 1) تكلفة تجاوز حصة الغيغابايت اليومي وEPS. 2) هل تُرحّل ساعات الاستجابة للحوادث غير المستخدمة إلى الشهر التالي؟ 3) وتيرة دعم تطوير القواعد وتحسينها. 4) مدة الاحتفاظ بالسجلات السابقة وفهرستها لأغراض التدقيق.

من جهتنا كانت أكبر مشكلة هي الإنذارات الكاذبة. لما صار يجينا خمسين إشعار تافه باليوم ما عاد حد يطالع فيها. خلّيهم يكتبون بالجدول أكيد كم ساعة رجل/يوم يخصصون شهريًا لتحسين القواعد والضبط.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

عند تقديم العرض لمجلس الإدارة ضع ملخصًا يركز على المخاطر والتكلفة بدل المصطلحات التقنية. افتح عمود «الحالات خارج النطاق» بجانب العروض. إذا لم توضّح أي الخطوات ستقع على فريقك الداخلي وأيها ستتولاها شركة SOC، فسيتّهم الطرفان بعضهما عند الأزمة.

قبل توقيع العقد اطلب فترة إثبات مفهوم (PoC) مدتها 15 يومًا. اربط على الأقل خادمين حساسين وبضعة مستخدمين. لا تربط هذه المبالغ دون أن ترى بعينك مباشرة قابلية استخدام اللوحات التي يقدمونها وسرعة التنبيه.

من سيدير EDR على محطات عمل المستخدمين النهائيين؟ هل الشركات المقدّمة للعروض تجمع السجلات فقط، أم ستستخدم صلاحية عزل الجهاز المشبوه عن الشبكة مباشرة بأدواتها عند وقوع تهديد؟

أنا مشروع صغير، دعوني أشرح من منظوري. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

حدث معنا هذا وإذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

لو كنت مكانك، لسلك هذا المسار.

زالت حيرتي، شكراً لكم.

قضيت وقتًا طويلاً في هذا المجال. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

أحسنت في فتح هذا العنوان.

أحسنت، بارك الله في جهدك.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

أنا أيضًا متحمس لمعرفة ذلك.

أوافقك الرأي تمامًا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

ملخص سريع للجدد: عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.