مؤشرات الاختراق السلوكية: السجل والشبكة وملفات الآثار

مؤشرات الاختراق (IOCs) هي آثار جنائية تشير إلى اختراق نظام ما. وتشمل تجزئات الملفات، وعناوين IP، وأسماء النطاقات، ومفاتيح السجل، والكائنات mutex، والأنماط السلوكية التي تظهر في مشاركة استخبارات التهديدات.

تشمل مؤشرات اختراق الملفات تجزئات MD5/SHA-256 للبرمجية الخبيثة، ومسارات وأسماء الملفات المُسقطة، وتوقيعات محتوى الملفات (قواعد YARA). وتُعد مؤشرات الاختراق القائمة على التجزئة هشة — إذ يؤدي إعادة الترجمة إلى تغيير التجزئات — لذا ركّز أيضًا على المؤشرات السلوكية والتجزئات التقريبية.

تشمل مواقع الاستمرارية الرئيسية: HKCU\Run وHKLM\Run، وملفات XML للمهام المجدولة في السجل، وإدخالات الخدمات، وقيم DLL المساعدة في Winlogon. وثّق مسار المفتاح الكامل، واسم القيمة، والبيانات لكل مؤشر اختراق في السجل تكتشفه.

سجّل نطاقات C2، وعناوين IP، والمنافذ، وأنماط URI. وأدرج سلاسل User-Agent، وترويسات HTTP، وبصمات الشهادات لاتصالات C2 عبر HTTPS. وتتطلب نطاقات DGA اكتشافًا قائمًا على الأنماط بدلًا من مؤشرات اختراق ثابتة.

تنشئ البرمجيات الخبيثة كائنات mutex مسماة لمنع الإصابة المزدوجة. ويُعد اسم mutex مؤشر اختراق فريدًا. افحص كائنات mutex قيد التشغيل باستخدام Process Hacker أو Sysinternals Process Monitor بحثًا عن اسم mutex المحدد الذي تستخدمه العينة.

لاكتشاف حقن العمليات: راقب تسلسلات واجهات API ‏OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread بالترتيب، عندما تصدر عن عملية أصل غير متوقعة. ويُعد هذا التسلسل مؤشر اختراق سلوكيًا موثوقًا للحقن التقليدي.

تُعد اتصالات SMB بمشاركات ADMIN$ أو IPC$، وإنشاء خدمات PSExec، وإنشاء عمليات WMI عبر WmiPrvSE.exe، وأنماط تنفيذ الأدوات الشبيهة بـ PsExec مؤشرات اختراق سلوكية على الحركة الجانبية.

تغلف كائنات STIX Indicator مؤشرات الاختراق بتنسيق قابل للقراءة آليًا، يتضمن صياغة النمط وحقلي valid_from وconfidence. شاركها عبر TAXII أو منصات استخبارات التهديدات لتفعيل مؤشرات الاختراق على مستوى المؤسسة.

يستخدم OpenIOC من Mandiant صيغة XML لدمج مؤشرات اختراق متعددة في أشجار منطقية (AND/OR). وقد يتطلب مؤشر الاختراق ما يلي: ملف ذو تجزئة محددة AND وجود مفتاح سجل AND اتصال شبكي بعنوان IP محدد — مما يقلل النتائج الإيجابية الكاذبة.

تنتهي صلاحية مؤشرات الاختراق. فقد تُوجَّه النطاقات إلى sinkhole، وتُعاد إسناد عناوين IP، وتتغير التجزئات. راجع حداثة مؤشرات الاختراق شهريًا. أوقف المؤشرات القديمة، وحدّث أعداد مرات التطابق، وصعّد المؤشرات التي تظهر في حوادث متعددة إلى قوائم حظر عالية الأولوية.

تتحول مؤشرات الاختراق إلى فرضيات لصيد التهديدات. ابحث في السجلات باستخدام استعلامات SIEM بصيغة SPL/KQL عن تطابقات مؤشرات الاختراق عبر البيانات التاريخية. حتى التطابق الوحيد الذي يعود إلى أشهر مضت قد يكشف مدة بقاء المهاجمين — أي المدة التي ظلوا فيها من دون اكتشاف.

تشمل مؤشرات الاختراق الملفات، وإدخالات السجل، وآثار الشبكة، وكائنات mutex، والأنماط السلوكية. ويحوّل توثيق مؤشرات الاختراق ومشاركتها عبر STIX وإدارة دورة حياتها نتائج الحوادث الأولية إلى استخبارات دفاعية قابلة لإعادة الاستخدام.