ما هي التكلفة الفعلية
الحادث غير المعالج.
مستمدة من بياناتنا الداخلية للاستجابة للحوادث والتقارير العامة التي تم التحقق منها خلال الفترة 2024-2025 — في قطاعات متعددة ومناطق جغرافية متعددة.
قبل أن تصاب بالذعر،
قم بتقييم حجم المشكلة.
أجب عن أربعة أسئلة. سنقوم بحساب درجة خطورة فورية وأول أربعة إجراءات يجب على فريقك اتخاذها الآن — قبل أن يلمس أي شخص لوحة المفاتيح في حالة غضب.
▸ الإجراءات الأربعة الأولى
- افصل الأجهزة المتأثرة عن الشبكة — لا تقم بإيقاف تشغيلها.
- احتفظ بنسخ الظل للذاكرة ووحدات التخزين على مضيف واحد على الأقل.
- قم بإلغاء بيانات الاعتماد المستخدمة خلال آخر 72 ساعة؛ وقم بتبديل حسابات الخدمة.
- افتح جسر استجابة مع PWN•ALL قبل التعامل مع النسخ الاحتياطية.
أربع مراحل.
جسر واحد.
نقوم بمعالجة كل حادثة عبر جسر استجابة واحد خاضع للتدقيق — فريقك، ومحللو DFIR لدينا، وجدول زمني مشترك، وإيصالات في كل خطوة.
الاحتواء
عزل على مستوى الشبكة دون إتلاف الأدلة. نوقف الحركة الجانبية عند المحول، ونحظر C2، ونجمد الحسابات ذات الامتيازات، ونحافظ على الذاكرة على المضيفات المحورية.
النطاق
التقييم الجنائي لكل الأصول المشفرة، وناقل الوصول الأولي، والاستمرارية، وآثار التسريب. نحدد السلالة، وتكتيكات المشغل، ووقت البقاء.
الاستعادة
إعادة البناء في غرفة نظيفة، وفحص سلامة النسخ الاحتياطية، ومطابقة أداة فك التشفير مع مكتبتنا الداخلية، و— في حالة وجود مفاتيح — فك تشفير بيانات الإنتاج على مراحل.
التقوية
معالجة الأسباب الجذرية، وتنظيف الهوية، ونشر EDR/MFA حيثما كان مفقودًا، وتقرير مكتوب يمكن لمجلس الإدارة وشركة التأمين والجهة التنظيمية قراءته بالفعل.
كل سلالة لها
نكتشفها.
يتم تحديث مكتبة أبحاثنا الخاصة ببرامج فك التشفير ومعلومات التفاوض من الحالات الحقيقية التي ننجح في حلها كل أسبوع. إذا كانت هناك طريقة للاستعادة دون دفع فدية، فإننا نكتشفها أولاً.
LockBit • BlackCat • Play
- استهداف وحدة التحكم بالمجال و Veeam
- مسح النسخة الاحتياطية عبر vssadmin/WMI
- التسريب المرحلي عبر MEGA/Rclone
- استعادة المفاتيح الجزئية حيثما أمكن
أكيرا • رويال • ريسيدا
- إيقاف ESXi وتشفيره على طبقة VMFS
- برنامج الفدية Linux ELF على الأجهزة
- استعادة وحدة التخزين على مستوى مخزن البيانات
- تدقيق سلامة جانب برنامج Hypervisor
Cl0p • Karakurt • RansomHub
- سرقة البيانات فقط، بدون تشفير
- مراقبة مواقع التسريب وإزالتها
- تنسيق الإفصاح القانوني
- إدارة اتصالات المشغل من قبلنا
المحلل يراقب
يراقب الساعة.
في اللحظة التي تتصل فيها، يتم إنشاء جسر مشترك مع إجراءات موثقة بختم زمني، وحفظ الأدلة، ولوحة خطورة مباشرة. يمكن لشركة التأمين وفريقك القانوني الانضمام للقراءة فقط.
لا غموض. لا صمت.
يتم تشغيل كل حادثة PWN-ALL على نفس نموذج الجسر الذي تقبله الجهات التنظيمية وشركة التأمين السيبراني بالفعل. ترى ما نراه. توافق على كل إجراء تدميري. لا يتم تشفير أو حذف أو دفع أي شيء دون موافقتك.
بعد احتواء الحادث، ستحصل على تقرير سلسلة الحراسة، وجدول زمني مخطط وفقًا لمعيار MITRE ATT&CK، وخطة تقوية للأمن لمدة 30/60/90 يومًا — وليس ملف PDF مليئًا بلقطات الشاشة.
الأسئلة
التي يطرحها الناس في الساعة 3 صباحًا.
هل يجب أن ندفع الفدية؟
لا تكاد تكون هذه الخطوة الأولى الصحيحة أبدًا. نحن نتفاوض فقط كوسيلة أخيرة أثناء تقييم خيارات الاستعادة، وفقط بعد الحصول على الموافقة القانونية وموافقة الجهات المختصة. في حوالي 94٪ من حالاتنا، يمكن الاستعادة الكاملة أو الجزئية دون دفع.
ما مدى سرعة وصولكم إلى الجسر؟
تنص اتفاقية مستوى الخدمة (SLA) الخاصة بنا على الوصول في غضون 60 دقيقة من أول اتصال بمحلل على جسر مشترك مع فريقكم. عادةً ما تبدأ إرشادات الاحتواء في غضون أول 15 دقيقة بينما يتم تحديد النطاق بالتوازي.
لقد قمنا بالفعل بإيقاف تشغيل كل شيء. هل هذا أمر سيئ؟
هذا ليس مثاليًا — فالذاكرة المتطايرة تحتوي على مفاتيح وعمليات محقونة وآثار للمشغل — ولكن يمكن استعادتها. لا تقم بتشغيل أي شيء حتى نكون على الخط. لدينا إجراءات للفرز البارد.
هل تعملون مع شركة التأمين السيبراني الخاصة بنا؟
نعم. تم تصميم PWN-ALL ليتكامل مع لوحات IR القياسية. نقدم لشركة التأمين إجراءات موثقة بختم زمني، وضوابط للتكاليف، وتقريرًا نهائيًا بالصيغة التي تقبلها معظم شركات التأمين.
ماذا لو تمت سرقة البيانات بالإضافة إلى تشفيرها؟
نقوم بتحديد نطاق التسريب بشكل منفصل: ما الذي تم أخذه، ومن أين، ولمدة كم. ثم نقوم بتنسيق الإفصاح، والشؤون القانونية، و — عند الاقتضاء — مراقبة مواقع التسريب واتصالات المشغل.
هل يمكنكم منع حدوث ذلك مرة أخرى؟
هذه هي المرحلة الرابعة. معالجة الأسباب الجذرية، وصحة الهوية، ونشر EDR/MFA، والمراقبة المستمرة — إلى جانب VulnScan وConnGuard للحماية الخارجية.
لا تنتظر
صباح يوم الاثنين.
كل ساعة تتأخر فيها، يتم مسح النسخ الاحتياطية، وتنتهي صلاحية الأدلة، ويتعمق المخترقون أكثر. تستجيب PWN-ALL في أيام العمل، وعطلات نهاية الأسبوع، والأعياد — فالوقت لا يهتم، ونحن أيضًا.
50% من الهجمات لا تزال تنتهي بالتشفير. لا تنتظر لتكتشف أي نصف.