الاستجابة للحوادث والتعافي

تعتمد الاستجابة للحوادث على الاستعداد، لا على الارتجال. يحوّل دليل إجراءات برمجيات الفدية الموثق، والأدوار المحددة، والإجراءات التي تم التدرب عليها الفوضى إلى عملية منضبطة.

تمر الاستجابة بمراحل معروفة: الاستعداد، والتعرّف، والاحتواء، والاستئصال، والتعافي، واستخلاص الدروس. يستعرض هذا الدرس كل مرحلة في سياق برمجيات الفدية.

برمجية الفدية أزمة تجارية وليست مشكلة تقنية فحسب. ويضم الفريق عدة جهات:

• قائد الحادثة للتنسيق واتخاذ القرارات
• الأمن وتقنية المعلومات لتنفيذ الأعمال التقنية
• الشؤون القانونية لالتزامات الإبلاغ عن الاختراق ومخاطر العقوبات
• الاتصالات لإدارة الرسائل الداخلية والخارجية
• القيادة لاتخاذ القرارات المتعلقة بالأعمال

استخدموا اتصالات خارج النطاق (فقد يكون المهاجم يقرأ بريدكم الإلكتروني ومحادثاتكم).

قبل اتخاذ إجراءات واسعة، افهموا طبيعة ما تواجهونه.

• ما السلالة المتورطة، وما الأنظمة المتأثرة؟
• أين حدث الدخول (نقطة الاختراق الأولى) وكيف حدث؟
• هل جرى تهريب البيانات، بما يشير إلى وقوع اختراق؟

حافظوا على الأدلة الجنائية الرقمية: التقطوا صورًا للذاكرة والقرص وسجلات النظام قبل المسح، حتى تتمكنوا من الإجابة عن هذه الأسئلة وتلبية المتطلبات القانونية. لا تدمروا مسار الأدلة في عجلة من أمركم للتنظيف.

يوقف الاحتواء انتشار الهجوم مع الحفاظ على الأدلة. اعزلوا النظام ولا توقفوا تشغيله عشوائيًا، لأن إيقاف التشغيل قد يدمر أدلة الذاكرة المتطايرة وقد يفعّل أفخاخًا في بعض السلالات.

أثناء الاحتواء، أمّنوا فورًا الموارد التي ستحتاجون إليها للتعافي.

• تحققوا من سلامة النسخ الاحتياطية غير القابلة للتغيير وغير المتصلة بالإنترنت ومن عدم إمكانية وصول المهاجم إليها
• أمّنوا نظام الهوية (وحدات التحكم بالمجال)؛ فكثيرًا ما يستولي المهاجمون على الحسابات ذات الامتيازات
• أعيدوا تعيين بيانات اعتماد الحسابات ذات الامتيازات وحسابات الخدمة
• افصلوا أنظمة النسخ الاحتياطي عن الشبكة المخترقة حتى التحقق من سلامتها

إن فقدان نسخكم الاحتياطية الآن يعني فقدان مسار التعافي.

يزيل الاستئصال وصول المهاجم بالكامل. أما التنظيف الجزئي فيمهّد لإعادة الإصابة.

• أزيلوا البرمجيات الخبيثة والأبواب الخلفية وآليات الاستمرارية (الخدمات والمهام المجدولة)
• حددوا ناقل الوصول الأولي وأغلقوه
• أعيدوا تعيين بيانات اعتماد جميع الحسابات التي يُحتمل اختراقها، بما فيها حسابات الخدمة
• ابحثوا عن مواضع ارتكاز متبقية قبل إعلان خلو البيئة من التهديد

افترضوا أن المهاجم كان يتمتع بوصول واسع؛ فإذا جرى الوصول إلى وحدات التحكم بالمجال، فقد تلزم إعادة بناء كاملة لنظام الهوية.

استعيدوا الأنظمة على شبكة نظيفة ومعاد بناؤها، وليس على شبكة مخترقة مطلقًا. رتبوا الأولويات حسب أهمية الأنظمة للأعمال.

• أعيدوا البناء من نسخ احتياطية موثوقة أو صور نظيفة، لا من الأنظمة المشفرة
• استعيدوا البنية التحتية الأساسية أولًا (الهوية وDNS)، ثم الخدمات المهمة
• افحصوا الأنظمة المستعادة قبل إعادة توصيلها
• أعيدوا الخدمات على مراحل مضبوطة مع مراقبة احتمال عودة الإصابة

قرار الدفع من عدمه قرار قيادي وقانوني، وليس قرارًا تقنيًا، وينبغي أن يستند إلى مشورة المستشار القانوني وربما جهات إنفاذ القانون.

• قد تحظر قوانين العقوبات الدفع إلى مجموعات معينة
• أدوات فك التشفير غير موثوقة وبطيئة، وقد لا يتم توفيرها
• قد تُسرَّب البيانات المسروقة رغم ذلك

الموقف القابل للدفاع عنه، الذي تتيحه النسخ الاحتياطية الجيدة والتخطيط للاستجابة للحوادث، هو التعافي من دون الدفع. تواصلوا مع جهات إنفاذ القانون مبكرًا؛ فقد توفر معلومات استخباراتية أو أدوات لفك التشفير.

إذا جرى تهريب البيانات، فإن الحادثة تُعد اختراقًا للبيانات يترتب عليه التزامات تنظيمية وتعاقدية.

• حددوا متطلبات الإبلاغ (للجهات التنظيمية والعملاء والشركاء) والمواعيد النهائية
• وثقوا التسلسل الزمني والقرارات لصالح المدققين وشركات التأمين
• نسقوا الاتصالات الخارجية عبر قناة واحدة
• أشركوا شركة التأمين ضد الهجمات الإلكترونية مبكرًا وفقًا لشروط الوثيقة

يجب أن تسير الشؤون القانونية والاتصالات بالتوازي مع التعافي التقني، لا بعده.

بعد التعافي، أجروا مراجعة ما بعد الحادثة خالية من اللوم لتحويل المعاناة إلى تحسين.

• كيف دخل المهاجمون، ولماذا لم يُكتشف الأمر في وقت أبكر؟
• ما عناصر التحكم التي نجحت، وما الثغرات التي أتاحت الانتشار؟
• ما التحسينات في الاكتشاف أو النسخ الاحتياطي التي كانت ستساعد؟
• حدّثوا دليل الإجراءات وحددوا موعدًا لإعادة الاختبار

أهم مخرجات المراجعة قائمة إجراءات ملموسة تتضمن المسؤولين والتواريخ، حتى يواجه الهجوم التالي وسائل دفاع أقوى.

تفشل الخطة غير المختبرة تحت الضغط. تدرّبوا عليها قبل الحاجة إليها.

• تعرّف تمارين المحاكاة المكتبية الفريق بالهجوم المحاكى خطوة بخطوة
• اختبروا عمليات الاستعادة على نطاق واسع، وليس ملفات منفردة فحسب
• تحققوا من أن اتصالاتكم خارج النطاق وقوائم جهات الاتصال تعمل فعليًا
• قيسوا مدة التعافي للتحقق من أهداف RTO/RPO

تتعافى الفرق التي تتدرب خلال أيام، بينما قد تستغرق الفرق التي لا تتدرب أسابيع.

أصبح بإمكانكم الآن الاستجابة لهجوم مؤكد ببرمجية فدية.

• اتبعوا المراحل: الاستعداد، والتعرّف، والاحتواء، والاستئصال، والتعافي، والتعلّم
• فعّلوا فريقًا متعدد الوظائف باستخدام اتصالات خارج النطاق
• اعزلوا النظام ولا توقفوا تشغيله عشوائيًا؛ وحافظوا على الأدلة واحموا النسخ الاحتياطية والهوية
• استأصلوا التهديد بالكامل، ثم تعافوا على شبكة نظيفة من نسخ احتياطية موثوقة
• اعتبروا تهريب البيانات اختراقًا تترتب عليه واجبات قانونية؛ واجعلوا الدفع قرارًا قياديًا لا يُلجأ إليه إلا كخيار أخير
• تدرّبوا على الخطة حتى يستغرق التعافي أيامًا لا أسابيع

اكتمل المقرر: أصبح بإمكانكم منع برمجيات الفدية واكتشافها والتعافي منها.