إجراءات الاستجابة

الكشف عن التهديد ليس سوى نصف المهمة. الاستجابة هي الإجراء الذي تتخذه لإيقاف الهجوم وتنظيف آثاره.

تحد الاستجابة السريعة من الضرر وتمنع الانتشار.

يقطع العزل (احتواء الشبكة) اتصال نقطة النهاية المصابة بالشبكة.

لا يزال بإمكان الجهاز الاتصال بوحدة تحكم EDR للتحقيق، لكنه لا يستطيع نشر البرمجيات الخبيثة أو تسريب البيانات.

يمكن للمحللين إيقاف عملية ضارة عن بُعد.

يوقف إنهاء العملية النشاط الحالي للمهاجم، مثل التشفير أو سرقة البيانات، بينما تستمر عملية التنظيف الأعمق.

ينقل الحجر الصحي ملفًا مشبوهًا إلى موقع آمن ومقفل.

لم يعد بإمكانه التنفيذ، لكنه يُحفظ كدليل ويمكن استعادته إذا اتضح أنه آمن.

بمجرد فهم التهديد، تحظر الفرق مؤشرات الاختراق (IOCs) في كل مكان.

• تجزئات الملفات الضارة
• عناوين IP والنطاقات الضارة

وهذا يحمي كل نقاط النهاية الأخرى دفعة واحدة.

يمكن تشغيل بعض الإجراءات تلقائيًا عند إطلاق تنبيه.

على سبيل المثال، قد تعزل نقطة نهاية نفسها فور اكتشاف سلوك برمجيات الفدية، حتى قبل أن يقرأ أي شخص التنبيه.

قبل التنظيف، يجمع المحللون الأدلة عن بُعد.

• جمع قوائم العمليات قيد التشغيل
• سحب الملفات المشبوهة لتحليلها
• فتح واجهة shell عن بُعد على نقطة النهاية

يبني هذا صورة واضحة للهجوم.

تزيل المعالجة التهديد وتتراجع عن تغييراته.

• حذف الملفات الضارة
• إزالة إدخالات الاستمرارية
• التراجع عن تغييرات الإعدادات الضارة

يمكن لبعض أدوات EDR التراجع عن التغييرات التي أجرتها البرمجيات الخبيثة، مثل استعادة الملفات التي شفرتها برمجية الفدية.

عندما لا يكون التراجع ممكنًا، يُعاد إنشاء الجهاز من صورة نظيفة.

تندرج الاستجابة ضمن دورة أوسع:

• تحديد التهديد
• احتواء التهديد (العزل)
• استئصال التهديد (المعالجة)
• استرداد النظام
• التعلم منه

بعد وقوع حادث، تراجع الفرق ما حدث.

وتسجل كيفية دخول المهاجم، وتحدّث عمليات الكشف والسياسات حتى لا ينجح الهجوم نفسه مرة أخرى.

اختبر فهمك لإجراءات الاستجابة.

تشمل إجراءات استجابة EDR:

• عزل المضيف وإيقاف العمليات ووضع الملفات في الحجر الصحي
• حظر مؤشرات الاختراق والاحتواء الآلي
• المعالجة والتراجع والدروس المستفادة

تتبع هذه الخطوات دورة التحديد والاحتواء والاستئصال والاسترداد.