كان دليل الاستجابة للحوادث الخاص بأحداث برامج الفدية لدى مورد برمجيات للبيع بالتجزئة يقع في اثنتين وثلاثين صفحة، وكان شاملًا في تغطيته لمراحل الحادث وأشجار القرار للتصعيد ونماذج الاتصال وإجراءات التعافي. وقد أعدّه الفريق الأمني بمساهمة من فرق العمليات والشؤون القانونية والاتصال، وكان يُراجع سنويًا. وعندما اكتُشف برنامج فدية الساعة 2 فجر يوم سبت، فعّل المحلل المناوب الدليل وبدأ تنفيذ الخطوات. كانت الخطوات من الأولى إلى الثالثة مكتفية ذاتيًا، إذ وصفت إجراءات يستطيع المحلل اتخاذها مباشرة. أما الخطوة الرابعة، عزل الأنظمة المتأثرة، فأشارت إلى «إجراء عزل تجزئة الشبكة في الملحق C». وكان الملحق C وثيقة عمليات منفصلة يحتفظ بها فريق هندسة الشبكات في موقع الويكي الداخلي الخاص به. ولم يكن لدى المحلل المناوب صلاحية الوصول إلى ويكي فريق الشبكات، فاتصل بمهندس الشبكات المناوب، الذي احتاج إلى الوصول إلى الويكي عن بُعد. وكانت شهادة عميل VPN لديه قد انتهت صلاحيتها قبل ثلاثة أيام. وبعد ثمانٍ وثلاثين دقيقة من توجيه الدليل المحلل إلى الخطوة الرابعة، نُفّذ عزل الشبكة. وظل برنامج الفدية يُشفّر طوال ثمانٍ وثلاثين دقيقة بينما كان البحث جاريًا عن الإجراء. كان الدليل شاملًا ومُراجَعًا ودقيقًا، لكنه أشار إلى إجراء لم يكن متاحًا للأشخاص الذين ينفذونه في الظروف التي أوجدها الحادث.
ما هي ثغرات أدلة الاستجابة للحوادث حقًا؟
ثغرات أدلة الاستجابة للحوادث هي أوجه القصور في إجراءات الاستجابة للحوادث الخاصة بالسيناريوهات التي تحول دون تنفيذها بفعالية في ظروف الحادث الفعلية، أي ثغرات في الاكتمال وإمكانية الوصول والدقة والتحديد التشغيلي تتسبب في تأخيرات أو أخطاء أو إخفاقات عندما يحاول المستجيبون تنفيذ الدليل أثناء حادث نشط. ولا تكون ثغرات الأدلة واضحة دائمًا أثناء مراجعة الوثائق: فالدليل المكتوب جيدًا الذي يشير إلى إجراءات خارجية، أو يحتوي على بيانات اتصال قديمة، أو يصف إجراءات تتطلب وصولًا غير متاح أثناء الحوادث، أو يفترض أدوات غير منشورة في البيئة المتأثرة، قد يبدو شاملًا عند المراجعة بينما يخفق عند التنفيذ.
مشكلة الاعتماد على الإشارات الخارجية هي أخطر ثغرات أدلة الاستجابة من الناحية التشغيلية. فالأدلة التي تشير إلى إجراءات أو وثائق أو أنظمة خارجية، مثل «انظر الملحق C» و«اتبع إجراء تجزئة الشبكة» و«راجع جرد الأصول»، تُنشئ اعتمادًا على موارد قد لا تكون متاحة أثناء الحادث، لا سيما خارج ساعات العمل. فالدليل لا يكتمل إلا بقدر اكتمال أصعب اعتماداته الخارجية وصولًا. والخطوة التي يتعذر تنفيذها لأن الإجراء المشار إليه غير متاح تعطّل تسلسل الدليل بأكمله عند تلك الخطوة.
مشكلة تقادم بيانات الاتصال هي الثغرة الثانوية. فالأدلة التي تحتوي على بيانات اتصال، كجهات التصعيد وخطوط الطوارئ لدى الموردين وعناوين الإخطار التنظيمي، تتطلب تحديثًا منتظمًا مع تغير الأفراد وتبدل الأدوار وتحديث بيانات الاتصال. وقد تُحدّث المراجعة السنوية نص الدليل لكنها تُغفل بيانات اتصال محددة مُضمّنة في النماذج أو الملاحق. ومكالمة التصعيد التي تصل إلى رقم مفصول أو موظف غادر المؤسسة تؤخر التصعيد في اللحظة التي تكون فيها السرعة في أشد الأهمية.
تُنشئ مشكلة افتراضات الأدوات والوصول فئة ثالثة من ثغرات أدلة الاستجابة. فالأدلة التي يُعدّها مهندسو أمن يملكون صلاحيات وصول كاملة إلى الأدوات قد تصف إجراءات تتطلب وصولًا إلى أدوات محددة أو بيانات اعتماد أو أذونات أنظمة لا يملكها المستجيب المناوب، الذي قد يكون مبتدئًا أو في موقع مختلف أو يستخدم جهازًا شخصيًا. والإجراء الذي يتطلب الوصول إلى وحدة التحكم في نظام محدد، أو المصادقة على أداة محددة، أو بيانات اعتماد محددة مخزنة في خزنة تتطلب سلسلة مصادقة خاصة بها، يُنشئ عائقًا أمام التنفيذ لم تتوقعه عملية إعداد الدليل.
- الإشارات إلى إجراءات خارجية: الملحق C في موقع ويكي لفريق آخر يتعذر الوصول إليه
- بيانات اتصال قديمة: تغييرات الأفراد تجعل جهات التصعيد غير صالحة
- افتراضات الأدوات والوصول: إجراءات في الدليل تتطلب بيانات اعتماد أو وصولًا غير متاح للمستجيب المناوب
- أعطال VPN وأدوات الوصول: انتهاء صلاحية الشهادات أو عدم توافر بنية الوصول التحتية أثناء الحوادث
- مراجعة سنوية تؤكد تحديث الدليل دون اختبار قابلية تنفيذه في ظروف الحادث
لماذا يهم هذا
تكتسب ثغرات أدلة الاستجابة للحوادث أهميتها بالنسبة إلى TPRM لأن جودة استجابة المورد للحوادث أثناء اختراق يمس بيانات العملاء تعتمد على مدى فعالية تنفيذ أدلته في ظروف الحادث الفعلية، التي قد تكون الساعة 2 فجر يوم سبت، مع محلل مناوب يستخدم جهازه الشخصي، دون وصول إلى ويكي فريق الشبكات. والدليل المُراجَع جيدًا الذي لا يمكن تنفيذه دون أدوات أو صلاحيات وصول أو وثائق خارجية غير متاحة أثناء الحوادث ليس دليلًا فعالًا لتلك الحوادث.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو مساواة شمولية دليل الاستجابة بقابليته للتشغيل. فالدليل الشامل الذي يشير إلى إجراءات خارجية غير متاحة شامل على الورق وناقص عند التنفيذ. واختبار قابلية التشغيل، أي استعراض الدليل في ظروف حادث محاكاة، يكشف الثغرات التي لا تكشفها مراجعة الوثائق.
- مساواة شمولية الدليل بقابليته للتشغيل
- عدم التحقق من إمكانية الوصول إلى الإجراءات الخارجية المشار إليها
- عدم اختبار بيانات الاتصال: عدم إجراء اتصالات للتأكد من أن جهات الاتصال محدَّثة
- عدم التحقق من افتراضات الأدوات والوصول: عدم تأكيد وصول المستجيب إلى الأنظمة المطلوبة
- غياب اختبار قابلية التشغيل: عدم إجراء استعراض للدليل في ظروف حادث محاكاة
كيف تبدو الممارسة الجيدة
تُجري برامج أدلة الاستجابة الناضجة اختبارًا سنويًا لقابلية التشغيل، باستعراض الأدلة الحرجة في ظروف حادث محاكاة، مع المستجيبين الذين سينفذونها فعلًا، وانطلاقًا من صلاحيات الوصول التي ستتاح لهم أثناء حادث فعلي، وتعالج الثغرات التي يكشفها الاختبار قبل أن تستلزمها الحوادث.
- اختبار سنوي لقابلية التشغيل: استعراض الدليل بواسطة المستجيبين المناوبين انطلاقًا من صلاحيات الوصول المتاحة في ظروف الحادث
- تضمين الإشارات الخارجية: إدراج الإجراءات الحرجة في الدليل لا الاكتفاء بالإشارة إليها
- اختبار بيانات الاتصال: إجراء مكالمات تصعيد للتأكد من أن جهات الاتصال محدَّثة ويمكن الوصول إليها
- التحقق من الوصول إلى الأدوات: تأكيد وصول المستجيب المناوب إلى جميع الأدوات المطلوبة
- تتبّع ثغرات أدلة الاستجابة ومعالجتها: نتائج اختبار قابلية التشغيل بوصفها قائمة أعمال للمعالجة
الأدوات
إدارة أدلة الاستجابة: Confluence، وأدوات مخصصة لأدلة IR، وPagerDuty Runbooks
توفر منصات مخصصة لإدارة أدلة التشغيل وأدلة الاستجابة إجراءات مكتفية ذاتيًا وقابلة للتنفيذ لا تتطلب الوصول إلى وثائق خارجية أو أنظمة ويكي. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت أدلة الاستجابة للحوادث الحرجة مكتفية ذاتيًا، بحيث تُضمَّن جميع الإجراءات المشار إليها بدلًا من ربطها، أم أنها تعتمد على وثائق خارجية، يطرح سؤالًا محددًا حول قابلية التشغيل.
تحديات الحوكمة
يتمثل تحدي الحوكمة في قابلية تشغيل أدلة الاستجابة في عبء الصيانة. فالأدلة المكتفية ذاتيًا التي تُضمّن جميع الإجراءات المشار إليها أصعب في الصيانة من الأدلة النمطية ذات الإشارات الخارجية، إذ عندما يتغير إجراء ما، يتطلب الدليل المكتفي ذاتيًا التحديث في جميع المواضع التي ضُمّن فيها الإجراء. ويكمن حل الحوكمة في تحديد خطوات المسار الحرج في كل دليل، أي الخطوات التي يترتب على تأخيرها أشد العواقب، وضمان أن تكون هذه الخطوات مكتفية ذاتيًا بالكامل، مع إمكانية أن تشير الخطوات الأقل أهمية إلى وثائق خارجية.
- اختبار قابلية تشغيل الدليل سنويًا: بواسطة المستجيبين المناوبين، انطلاقًا من صلاحيات الوصول المتاحة في ظروف الحادث
- تضمين إجراءات المسار الحرج: يجب أن تكون الخطوات ذات العواقب الأشد عند التأخير مكتفية ذاتيًا
- اختبار جميع جهات التصعيد: إجراء الاتصالات فعلًا لا افتراض أنها محدَّثة
- التحقق من وصول المستجيبين إلى الأدوات، تحديدًا خارج ساعات العمل ومن الأجهزة الشخصية
- تتبّع ثغرات قابلية التشغيل بوصفها قائمة أعمال للمعالجة مع مالكين ومُهل زمنية
إذا كنت فريقًا صغيرًا
اختر دليل الاستجابة الأكثر أهمية لديك من بين أدلة السيناريوهات، وعادةً ما يكون دليل برامج الفدية هو الخيار الصحيح، واستعرضه الساعة 2 ظهر يوم جمعة بوصفه فحصًا لقابلية التشغيل مدته ثلاثون دقيقة. ولكل خطوة تشير إلى وثيقة في نظام آخر، تأكد من أن المحلل المناوب لديه صلاحية الوصول إلى ذلك النظام ويستطيع استرجاع الوثيقة في أقل من دقيقتين. ولكل جهة تصعيد مذكورة في الدليل، تأكد من أن بياناتها محدَّثة بالاتصال بها. ولكل أداة يتطلبها الدليل، تأكد من أن المحلل المناوب لديه صلاحية الوصول إليها وبيانات الاعتماد اللازمة. فهذا الفحص يوم الجمعة الذي يستغرق ثلاثين دقيقة سيكشف الثغرات قبل حادث الساعة 2 فجر السبت الذي يستلزمها.
- استعراض دليل برامج الفدية في فحص لقابلية التشغيل يوم الجمعة مدته ثلاثون دقيقة
- التأكد من إمكانية الوصول إلى كل إجراء خارجي مشار إليه
- الاتصال بكل جهة تصعيد للتأكد من أن بياناتها محدَّثة
- التأكد من وصول المحلل المناوب إلى الأدوات
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة لدليل الاستجابة لبرامج الفدية لديكم، هل أجريتم خلال الاثني عشر شهرًا الماضية اختبارًا لقابلية التشغيل استعرض فيه المستجيبون المناوبون الدليل انطلاقًا من صلاحيات الوصول والأدوات التي ستكون متاحة لهم فعلًا أثناء حادث الساعة 2 فجرًا، وما الثغرات التي حُددت وعولجت؟»
ما تتوقعه دليلًا
- تاريخ اختبار قابلية التشغيل وطريقته
- الثغرات المحددة في اختبار قابلية التشغيل
- معالجة الثغرات المحددة
- تصميم الإجراءات: مكتفية ذاتيًا أم قائمة على الإشارات الخارجية
ينبغي سؤال المورد الذي يؤكد وجود أدلة شاملة للاستجابة لبرامج الفدية عن اختبار قابلية التشغيل. فالشمولية مقياس لجودة الوثيقة، وقابلية التشغيل مقياس لجودة التنفيذ. وسيناريو الساعة 2 فجر السبت هو الاختبار الذي يكشف الفرق بينهما.
كيف تُثبت ذلك
- سجلات اختبار قابلية التشغيل
- سجلات تحديد الثغرات ومعالجتها
- سجلات اختبار بيانات الاتصال
- سجلات التحقق من الوصول إلى الأدوات
الخلاصة الرئيسية
الخطوة الرابعة: العزل وفق الملحق C. الملحق C: ويكي فريق الشبكات. الويكي: يتطلب VPN. شهادة VPN: انتهت صلاحيتها قبل ثلاثة أيام. بعد ثمانٍ وثلاثين دقيقة: نُفّذ العزل. أربعون دقيقة من التشفير خلال خطوة وصفها الدليل بشكل صحيح لكنه لم يتمكن من تنفيذها. كان الدليل شاملًا، لكن اختبار قابلية التشغيل الذي كان سيكشف الاعتماد على شهادة VPN لم يُجرَ. واختبار قابلية التشغيل هو الفحص السنوي يوم الجمعة الذي يستغرق ثلاثين دقيقة ويطرح السؤال: هل يستطيع المحلل المناوب تنفيذ هذه الخطوة الساعة 2 فجر يوم سبت بصلاحيات الوصول المتاحة له فعلًا؟ المراجعة السنوية تؤكد أن الدليل محدَّث، واختبار قابلية التشغيل يؤكد أنه قابل للتنفيذ.