الساعة الأولى من الحادثة

عندما تشك في وجود اختراق، تحدد الساعة الأولى مدى سوء العواقب، فتصرّف بهدوء وبالترتيب.

1. تأكّد ووثّق

اكتب ما رأيته ومتى ومن أبلغ عنه، وابدأ تسجيل تسلسل زمني للأحداث الآن، فستحتاجه لاحقًا للعملاء والجهات الرقابية ولاستخلاص الدروس.

2. احتوِ المشكلة ولا تدمّر الأدلة

• اعزل الخادم المتأثر عن الشبكة، أو اقصر جدار الحماية على عنوان IP الخاص بالمسؤول.
• لا تمسح الخادم ولا تعِد تشغيله الآن، فالذاكرة والعمليات الجارية تحتوي على أدلة.
• خذ لقطة أو صورة كاملة للقرص إن أمكن.

3. اقطع الوصول

• غيّر كلمات المرور والمفاتيح التي قد يملكها المهاجم: لوحات الإدارة ومستخدمو قاعدة البيانات ومفاتيح SSH ورموز API.
• أنهِ كل الجلسات النشطة.
• ابحث عن مستخدمين جدد ومفاتيح SSH جديدة ومهام مجدولة جديدة، فالمهاجمون يضيفونها للعودة لاحقًا.

4. تواصل

أبلغ من يجب أن يعرف: الإدارة ومزود الاستضافة، والمستشار القانوني إذا احتمل تأثر بيانات العملاء، فقوانين كثيرة تحدد مهلة للإبلاغ.