تلقينا عرضين لـ "SIEM المدار" و "MDR" — ما الفرق بينهما، وأيهما يناسب شركة من 12 موظفاً؟

من الناحية الفنية، يعتمد SIEM على البيانات، بينما يركز MDR على العمليات والسلوك. يقوم SIEM بتمرير سجلات الأحداث القادمة من مصادر مختلفة عبر محرك ربط وتحليل (correlation engine). أما MDR فيلتقط الأنشطة المشبوهة مثل حقن الذاكرة أو تصعيد الصلاحيات عبر مستشعرات تصل إلى مستوى نواة نظام التشغيل. إذا لم يكن لديك التزام قانوني بحفظ السجلات، فإن MDR يوصلك للهدف مباشرة.

واجهنا نفس الحيرة العام الماضي مع فريقنا المكون من 18 شخصاً. كانت تكلفة SIEM المتوقعة 2.100 دولار شهرياً بالإضافة إلى رسوم تجاوز حجم السجلات. أما في جانب MDR، فقد اتفقنا على 1.100 دولار شهرياً لـ 22 جهازاً طرفياً. خلال الأشهر الستة الأولى، حلت الشركة المزودة جميع الحالات المشبوهة الـ 14 التي ظهرت دون حتى أن توقظ فريقنا من النوم.

راجع اتفاقية السرية أو التدقيق المبرمة مع عميلك. إذا لم تكن هناك فقرة تنظيمية في كراسة الشروط تنص صراحة على "يجب الاحتفاظ بجميع سجلات النظام على SIEM لمدة عام واحد على الأقل"، فلا تقترب من SIEM أبداً. تعاقد مباشرة على MDR وريح بالك.

بعض الشركات اللي تبيع MDR أصلاً بتجيب متدربين اثنين يقعدون على لوحة أنتي فيروس عادية، وأول ما يجي تنبيه يبعتون لك إيميل. راجع نص SLA في العرض: كم دقيقة زمن الاستجابة، وهل هم اللي ياخذون صلاحية فصل الجهاز عن الشبكة لحظة التهديد، ولا ينتظرون موافقتك؟

إذا أخذت SIEM، مطورينك بعد كم أسبوع بيطفشون من التنبيهات اللي ما توقف وبيكتمون الإشعارات. وبعدها أول حادثة حقيقية ما أحد بيلاحظ شي. أنا أقول خذ MDR وسلّم الشغلة لأهلها.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

هل عميلك يطلب هالمراقبة لأجل التدقيق عبر معيار SOC 2 أو ISO 27001؟ إذا إيه، هل طلبت مسبقاً من مزوّد MDR شهادة SOC 2 Type 2، وصيغة تقارير الاستجابة الشهرية للحوادث اللي بتُقدَّم للمدقق؟

نوصي بإضافة أزمنة الاستجابة (MTTD و MTTR) الواردة في التزام مستوى الخدمة كبند في العقد. الفرق بين زمن الاكتشاف وزمن اتخاذ الإجراء يؤثر مباشرة على مسؤوليتك القانونية وقت الأزمة.

طيب لما نأخذ MDR، هل لازم نثبّت بعد برنامج أنتي فيروس تقليدي على لابتوبات الموظفين، ولا هذي الوكلاء تسوي الشغلتين لحالها؟

أنا في نفس الوضع، لذلك أسأل. بصراحة كل من يستعجل في SIEM المدار و MDR يتعثر في نفس النقطة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

سأجرب ذلك. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

مثبت بالتجربة.

يجب إجراء تمييز هنا. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

صححوا لي إن أخطأت.

أنصح بعدم العجلة. محاولة فعل هذا بمفردك هي أغلى الطرق.

لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

دعني أترك تنبيهًا. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

دعني أشرح كيف يتم التطبيق عملياً. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

الخطأ المرتكب من جانب SIEM المدار و MDR قابل للإصلاح عادةً، لكنه مكلف. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

صحيح.

أكثر نقطة يتم إغفالها في موضوع SIEM المدار و MDR هي: إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

محاولة فعل هذا بمفردك هي أغلى الطرق. أتمنى أن يفيدك هذا.