الاستجابة للحوادث: ماذا تفعل في الساعات الأولى من حادث أمني

ستواجه كل مؤسسة حادثًا أمنيًا عاجلًا أو آجلًا: حساب مخترق أو إصابة ببرمجية خبيثة أو تسريب قاعدة بيانات أو برمجية فدية. وما يفصل حادثًا محتوى عن كارثة ليس التقنية في الغالب، بل ما إذا كان الناس يعرفون ما يجب فعله.

قبل أن يحدث أي شيء

• حدد قائدًا للاستجابة للحوادث ونائبًا له، وتأكد من أن الجميع يعرف كيف يتواصل معهما.
• احتفظ بقائمة اتصال محدثة: تقنية المعلومات والإدارة والشؤون القانونية ومزود الاستضافة وشركة التأمين.
• اعرف أين توجد سجلاتك وكم تُحفظ.
• احتفظ بنسخ احتياطية لا يستطيع المهاجم الوصول إليها أو حذفها.
• حدد مسبقًا من يحق له إيقاف الأنظمة.

الساعة الأولى: الاحتواء

1. تأكد مما يحدث: هل هو حادث فعلًا؟ وما الذي تأثر؟
2. احتوِه: افصل الأجهزة المصابة عن الشبكة، وعطّل الحسابات المخترقة، واحظر العناوين الضارة. وفضّل العزل على المسح، فالأدلة مهمة.
3. ابدأ خطًا زمنيًا: دوّن كل ملاحظة وكل إجراء مع الوقت، فالذاكرة لن تكون موثوقة لاحقًا.
4. صعّد: استدعِ قائد الاستجابة، ومزودك إذا كانت بنيتك مستضافة.

الساعات التالية: الفهم والتعافي

• احفظ الأدلة: السجلات ولقطات الأقراص ولقطات الذاكرة حيثما أمكن.
• اعثر على نقطة الدخول، فالتعافي دون إغلاق الباب يدعو إلى هجوم ثانٍ.
• أعد تعيين بيانات الدخول التي قد تكون انكشفت، بدءًا بالمديرين.
• استعد من نسخ احتياطية سليمة معروفة، ثم حدّث قبل إعادة الاتصال.
• تواصل: حدد من يجب أن يعرف من الموظفين والعملاء والشركاء، وأي جهة تنظيمية تشترط الإخطار خلال مدة محددة.

بعد ذلك

اعقد مراجعة لا تبحث عن مُلام. اسأل: ماذا حدث؟ وما الذي ساعد؟ وما الذي أبطأكم؟ وما الذي ستغيرونه؟ ثم غيّروه.

كيف تساعدك IDX

تشمل خدمات SOC من IDX الاستجابة للحوادث، ويراقب فريق NOC لدينا البنية التي نستضيفها لك. وإذا كنت تستضيف لدينا، يمكننا أن نتفق مسبقًا على طريقة تصعيد الحوادث ومن يقرر الاحتواء وكيف نحفظ الأدلة، لتكون الخطة موجودة قبل أن تحتاجها.