مركز العمليات الأمنية ومستوياته

يُعد مركز العمليات الأمنية (SOC) الفريق والمنشأة المسؤولين عن مراقبة التهديدات الأمنية واكتشافها والتحقيق فيها والاستجابة لها على مدار الساعة.

يستقبل SOC بيانات القياس عن بُعد من أنحاء البيئة، ويحوّل الإشارات الخام إلى قرارات قابلة للتنفيذ. وتشمل مسؤولياته الأساسية ما يلي:

• مراقبة السجلات وحركة مرور الشبكة وبيانات نقاط النهاية
• اكتشاف الأنشطة المريبة أو الخبيثة
• فرز التنبيهات والتحقيق فيها
• الاستجابة والتنسيق أثناء الحوادث

تستخدم معظم مراكز العمليات الأمنية نموذجًا متعدد المستويات لتوزيع عبء العمل ومواءمة صعوبة المهام مع مستوى المهارة. وتصعد التنبيهات من حيث الخطورة والتعقيد:

• المستوى 1 — فرز التنبيهات ومعالجتها أوليًا
• المستوى 2 — التحقيق المتعمق في التنبيهات المصعّدة
• المستوى 3 — صيد التهديدات وتحليل البرمجيات الخبيثة والتحليل الجنائي المتقدم

يحافظ هذا الهيكل على تركيز المحللين ذوي الخبرة على أصعب المشكلات، مع تصفية الضوضاء الروتينية مبكرًا.

محللو المستوى 1 هم خط الدفاع الأول. يراقبون قائمة انتظار التنبيهات، ويجرون الفرز الأولي، ويقررون ما إذا كان التنبيه نتيجة إيجابية كاذبة، أو نشاطًا حميدًا، أو يستحق التصعيد.

يتبعون الإجراءات الموثقة ونادرًا ما يرتجلون. وتشمل المهارات الأساسية قراءة السجلات بسرعة، والتعرف على أنماط الهجمات الشائعة، والانضباط في إدارة التذاكر.

يُغلق محلل المستوى 1 الجيد التنبيهات غير المهمة بسرعة، ويصعّد التهديدات الحقيقية مع تدوين ملاحظات واضحة وكاملة.

يتولى محللو المستوى 2 التعامل مع التنبيهات التي صعّدها المستوى 1. ويجرون تحقيقًا أعمق، ويربطون الأحداث عبر مصادر البيانات المختلفة، ويحددون نطاق الحادث وتأثيره.

ينتقلون بين السجلات للإجابة عن أسئلة مثل: ماذا حدث أولًا؟ وما المضيفون والحسابات المتورطة؟ وهل تم الوصول إلى البيانات أو استخراجها؟

غالبًا ما يقود المستوى 2 قرارات الاحتواء الأولية أثناء الحادث النشط.

يمثل المستوى 3 الطبقة الأعلى خبرة: صائدي التهديدات، ومحللي البرمجيات الخبيثة، واختصاصيي التحليل الجنائي الرقمي.

• صيد التهديدات — البحث الاستباقي عن التهديدات التي أفلتت من الاكتشاف
• تحليل البرمجيات الخبيثة — إجراء الهندسة العكسية للملفات الثنائية المشبوهة
• التحليل الجنائي الرقمي — إعادة بناء نشاط المهاجم من القرص والذاكرة والسجلات

كما يحسّن المستوى 3 عمليات الكشف من خلال إعادة إدخال النتائج في مجموعة القواعد.

تُعد منصة SIEM (إدارة المعلومات والأحداث الأمنية) الجهاز العصبي المركزي لمركز عمليات الأمن (SOC). فهي تجمع السجلات من مصادر عديدة، وتوحّد تنسيقها، وتربط بينها، وتصدر التنبيهات استنادًا إلى قواعد الكشف.

مصادر السجلات الشائعة التي تغذي منصة SIEM:

تعمل أدوات SOAR (التنسيق والأتمتة والاستجابة الأمنية) على أتمتة مهام SOC المتكررة. فهي تقلل إرهاق المحللين وتسرّع الاستجابة.

أمثلة على الأتمتة المعتادة:

• إثراء التنبيه تلقائيًا بمعلومات استخبارات التهديدات وسياق الأصول
• الاستعلام عن عنوان URL أو تجزئة ملف لدى خدمات السمعة
• عزل مضيف عبر EDR بنقرة واحدة
• فتح التذاكر وتحديثها تلقائيًا

تتولى الأتمتة العمل الميكانيكي، بحيث يركّز البشر على إصدار الأحكام.

لا تلتزم التهديدات بساعات العمل، لذلك تسعى مراكز عمليات الأمن (SOC) إلى توفير تغطية على مدار الساعة طوال أيام الأسبوع. وهناك نموذجان شائعان:

• الورديات المتناوبة — يعمل المحللون المحليون في ورديات نهارية ومسائية وليلية
• Follow-the-sun — تسليم العمل بين مراكز عمليات الأمن في مناطق زمنية مختلفة، بحيث يعمل كل مركز خلال ساعات النهار

تُعد ملاحظات تسليم الوردية القوية ضرورية حتى يرث الفريق التالي السياق، لا الارتباك.

يمكن للمؤسسات إنشاء مركز عمليات أمن داخلي أو إسناد هذه المهمة إلى مقدم خدمات أمن مُدار (MSSP)، ويُسمى أحيانًا MDR.

• داخلي — سياق عميق عن العمل، وتحكم كامل، لكن بتكلفة وعبء توظيف أعلى
• MSSP/MDR — تغطية فعالة من حيث التكلفة وخبرة واسعة، لكن مع معرفة أقل بتفاصيل البيئة الخاصة

تعتمد مؤسسات كثيرة نموذجًا هجينًا: يتولى الفريق الداخلي المستوى 2 و3، بينما يتولى MSSP مراقبة المستوى 1.

يحدد مسار التصعيد الواضح الجهات التي يجب إشراكها ووقت إشراكها. قد ينتقل التنبيه من المستوى 1 إلى المستوى 2، بينما تُصعّد الحادثة المؤكدة إلى قائد الحادثة، والشؤون القانونية، والاتصالات، والقيادة.

تؤدي مستويات الخطورة المحددة، مثل SEV1 إلى SEV4، إلى تفعيل توقعات مختلفة للاستجابة. وتساعد معرفة المسار على منع التأخير والهلع أثناء الحادثة الحقيقية.

بالإضافة إلى المستويات، يضم SOC الناضج أدوارًا متخصصة:

• مدير SOC — مسؤول عن التوظيف والعمليات والمقاييس
• مهندس الكشف — يبني قواعد الكشف ويضبطها
• محلل استخبارات التهديدات — يتتبع الخصوم ويضيف السياق
• قائد الحادثة — ينسّق الاستجابة للحوادث الكبرى

تساعد هذه الأدوار SOC على التحسن المستمر بدلًا من الاكتفاء برد الفعل.

اختبر مدى فهمك لبنية SOC.

تعلمت كيف يُنظَّم SOC:

• يراقب SOC التهديدات ويكتشفها ويحقق فيها ويستجيب لها على مدار الساعة طوال أيام الأسبوع
• يجري المستوى 1 فرز التنبيهات، ويحقق المستوى 2 في التصعيدات، بينما يصطاد المستوى 3 التهديدات ويجري التحليل الجنائي الرقمي
• تُركّز منصة SIEM السجلات وتربط بينها، بينما تعمل SOAR على أتمتة الأعمال الروتينية
• تستخدم التغطية ورديات متناوبة أو نموذج Follow-the-sun، مع عمليات تسليم قوية
• يمكن أن تكون مراكز SOC داخلية أو تعتمد على MSSP/MDR أو نموذجًا هجينًا، مع مسارات تصعيد واضحة وأدوار متخصصة

بعد ذلك، ستتابع تنبيهًا عبر سير عمل الفرز.