في الدقائق التي تلي الهجوم الإلكتروني، يصبح كل شيء ضبابيًا. تتعطل الأنظمة الأساسية، ويتم تجميد البريد الإلكتروني أو يصبح غير آمن، ويجب على فرق الاستجابة للحوادث التصرف بسرعة لتخفيف الضرر ومنع حدوث المزيد منه.
ومع ذلك، فإن الجهات الفاعلة السيئة ليست هي التهديد الوحيد لمنظمة تتعرض للهجوم. يمكن لأعضاء فريق الاستجابة للحوادث الذين يتخذون قرارات سيئة في الساعتين الأوليين الحاسمتين أن يزيدوا من الفوضى ويحولوا التعافي المتوقع لمدة خمسة أيام إلى أزمة مدتها خمسة أسابيع. وفي بعض الأحيان، يتسببون في أضرار فنية ومخاطر قانونية أكثر من المتسللين أنفسهم.
تحدد أول 120 دقيقة وقت التعافي
يجب أن تقضي أول ساعتين تجميع فريق الاستجابة. يبدأ ذلك بالاتصال بمحامي الانتهاك، حتى في الساعة 3 صباحًا. بمجرد المشاركة، يتم جمع الطب الشرعي وخبراء الترميم والمفاوضين ونقطة الاتصال الرئيسية للعميل معًا لتحديد نطاق الحادث. بعد ذلك، قم بإنشاء قنوات آمنة للاتصالات العاجلة وغير العاجلة، مثل Signal وحسابات البريد الإلكتروني المؤقتة، خاصة للانتهاكات التي تعرض أنظمة البريد الإلكتروني للخطر.
من الناحية الفنية، يجب على الشركات تنفيذ إجراءات تعزيز الأمان على الفور لتقليل مخاطر تكرار الهجوم أثناء التعافي. وينبغي عليهم أيضًا إجراء تحقيق كامل لتحديد الأنظمة التي تم اختراقها، وكم البيانات المسروقة، وكيف نفذ المجرمون الهجوم. إذا كان الهجوم يتضمن برامج فدية، فيجب على الشركة توظيف مفاوضين مدربين يمكنهم التواصل مع المجموعة الإجرامية، ومتخصصين في الاستعادة يعرفون كيفية كشف الأنظمة الفاسدة والمشفرة.
تتطور معظم الانتهاكات بسرعة من مشكلة فنية إلى أزمة قانونية وتشغيلية ومالية. ولهذا السبب يجب على فرق الاستجابة أولاً الاتصال بمحامي محامي الانتهاك للمساعدة في تقييم مسؤوليتهم القانونية، وتعزيز الامتياز بين المحامي وموكله وقيادة عملية الإخطار إذا لزم الأمر.
لا يمكن لفرق تكنولوجيا المعلومات الرجوع إلى تدريباتهم
من المعروف أن قوات البحرية الأمريكية تقول: “تحت الضغط، لا ترقى إلى مستوى الحدث. بل تهبط إلى مستوى تدريبك.” بالنسبة لفريق النخبة المدرب تدريبًا عاليًا مثل فرقة SEALs، تعتبر هذه العبارة بمثابة حافز. ومع ذلك، بالنسبة لفريق تكنولوجيا المعلومات الداخلي الذي يستجيب لحادث إلكتروني، فإن التراجع عن التدريب قد يجعل الأمور أسوأ.
وذلك لأن الأداة التي تستخدمها فرق تكنولوجيا المعلومات بشكل عملي لحل معظم حالات الفشل الروتينية – مسح البيانات وإنشاء نظام جديد – هي النهج الخاطئ بعد الاختراق. قد يبدو اتباع هذه الغريزة أمرًا منطقيًا، لكنه قد يجعل التعافي أكثر صعوبة بشكل كبير. يمكن للفرق تدمير الأدلة الحيوية، مما يترك الثغرة الفعلية مفتوحة. إذا قاموا ببناء نظام جديد على الباب الخلفي الذي تركه المهاجم وراءه، فسوف يحدث نفس الحادث مرة أخرى.
هل يمكنك الاعتماد على النسخ الاحتياطية الخاصة بك؟
لا تأتي الاستجابة السريعة والناجحة للحوادث من خلال مسح الأنظمة المخترقة وتنظيفها، ولكن من خلال استعادة النسخ الاحتياطية الموثوقة. في حين أن معظم الشركات تقوم بعمل نسخة احتياطية لبياناتها عبر أنظمة زائدة عن الحاجة، فإن الحقيقة القاسية هي أن العديد من أنظمة النسخ الاحتياطي لا يمكن الاعتماد عليها أثناء الاسترداد ونادرًا ما يتم اختبارها قبل حدوث الانتهاكات.
هناك 33 طريقة يمكن أن يفشل بها نظام النسخ الاحتياطي في التعافي. واحد فقط هو التخريب. ثمانية آخرون يكشفون عن أنفسهم من خلال المراقبة الروتينية. أما الأخطاء الـ 24 الأخرى فهي أخطاء خاملة وغير مرئية بشكل أساسي، حتى بالنسبة لفرق تكنولوجيا المعلومات.
الطريقة الوحيدة للعثور على أوضاع الفشل المخفية هذه هي بالممارسة اختبار الاسترداد الروتيني. إن تجاهل هذه الخطوة الحاسمة يشبه ترك مولد الطوارئ في وضع الخمول لسنوات حتى انقطاع التيار الكهربائي. قد يشتعل المولد، لكن الاحتمالات ليست في صالحك.
يجب على قادة تكنولوجيا المعلومات أيضًا أن يفهموا أنه حتى أقوى المواقف الأمنية لا تكفي لمنع الاختراق. ولهذا السبب يجب على المؤسسات أيضًا تنفيذ المراقبة المستمرة عبر بيئتها بأكملها. وبدون المراقبة المستمرة، يمكن لمجرمي الإنترنت التسلل إلى باب خلفي والبقاء في النظام لأيام أو أسابيع قبل نشر الهجوم، مما يجعل المنظمة عرضة للخطر.
في الهجمات الإلكترونية، لا يهم حجم الشركة
في حين تعتقد بعض الشركات أنها أصغر من أن يتم اختراقها، أو أن بياناتها ليست عرضة للخطر بما فيه الكفاية، فإن الأدلة الواقعية تحكي قصة مختلفة. وبينما رأينا مجرمين يستهدفون الصناعات التي تعاني من نقص الموارد، بما في ذلك التصنيع وشركات المحاماة والمحاسبين القانونيين المعتمدين والوكالات الحكومية والمناطق التعليمية، فإننا نشهد أيضًا العديد من الهجمات في القطاعات شديدة التنظيم مثل الرعاية الصحية.
بالإضافة إلى ذلك، فإن الجهات الفاعلة في مجال التهديد عشوائية في هجماتها. تبدأ معظم الانتهاكات اليوم كهجمات آلية، حيث يستخدم الممثلون السيئون الذكاء الاصطناعي على نطاق واسع لاكتشاف نقاط الضعف في جدران الحماية أو غيرها من الأنظمة التي تواجه الإنترنت، ثم يحاولون استغلالها بغض النظر عن نوع العمل أو حجمه. يتم تنفيذ عمليات الاقتحام هذه المستندة إلى الذكاء الاصطناعي من قبل الجناة ووسطاء الوصول الذين يحصلون على وصول أولي إلى البيئة ثم يبيعون هذا الوصول إلى المجرمين الذين ينفذون الضربة.
ونظرًا للمخاطر واسعة النطاق، سيكون من الحكمة أن تقيم المؤسسات علاقات مع شركاء الاستجابة للحوادث قبل أن تحتاج إليهم. ستكون أفضل الشركات على أهبة الاستعداد على مدار الساعة طوال أيام الأسبوع وتعرف كيفية تفعيل الفريق المناسب على الفور، وتنسيق مستشاري الانتهاك، إنشاء اتصالات آمنة وربما الأهم من ذلك، منع القرارات حسنة النية التي قد تؤخر التعافي لأسابيع.
تركز معظم المؤسسات على منع التهديدات السيبرانية ولكنها لا تستثمر في التخطيط للتعافي. ومع ذلك، فإن أول ساعتين بعد هجوم برنامج الفدية هي عندما تكون القرارات والقيادة والتخطيط أكثر أهمية. إن المنظمات التي تتعافى بشكل أسرع هي تلك التي تحشد قواها بسرعة وتتبع أفضل الممارسات الراسخة للاحتواء والاستعادة.
ما هي نصائحك لأول ساعتين بعد وقوع حادث الأمن السيبراني؟ شاركهم: [email protected].
