نادرًا ما تبدأ الحوادث السيبرانية بعبارة «لقد تم اختراق حسابك». عادةً ما تكون الإشارة الأولى هي تسجيل دخول مشبوه إلى حساب المؤسسة، أو قاعدة غير متوقعة لإعادة توجيه البريد الإلكتروني، أو تعطيل وكيل EDR، أو عدم توفر الخادم، أو شكوى أحد الموظفين من طلب غير معتاد للمصادقة متعددة العوامل.

في هذه اللحظة، لا تدرك المؤسسة بعد حجم الهجوم. لكن القرارات الأولى هي التي تحدد ما إذا كان الحدث سيبقى مشكلة محلية أم سيتحول إلى أزمة تستمر لعدة أسابيع مصحوبة بتوقف الأعمال وفقدان البيانات وتضرر السمعة.

الوقت المتاح لاتخاذ هذه القرارات يزداد ضيقًا. في أسرع الحالات التي حققت فيها «Unit 42»، استغرق المهاجمون 72 دقيقة للانتقال من الوصول الأولي إلى عملية تنزيل البيانات المؤكدة. وهذا أسرع بحوالي أربعة أضعاف مقارنةً بالعام السابق. لا يتعلق الأمر بالمتوسط الزمني لجميع الهجمات، بل بالحالات الأسرع، لكن هذا المؤشر يوضح جيدًا مدى تقلص نافذة الفرص المتاحة للدفاع. وفي تحقيقاتنا الخاصة، شاهدنا هجمات استغرقت أقل من 10 دقائق على البنية التحتية لـ AWS. فبمجرد حصول المهاجم على المفتاح، بدأ على الفور في تنزيل البيانات. ولم يستغرق سوى 6 دقائق لبدء تنزيل البيانات من سلة التخزين الخاصة بالشركة.

الاستجابة الصحيحة في عام 2026 — ليست جهدًا بطوليًّا من قبل الفريق المناوب. بل هو عملية مُعدة مسبقًا ومُدارة، تسمح بالحد السريع من أنشطة المهاجم، والحفاظ على الأدلة، ودعم العمليات الحيوية، وإعادة تشغيل الأنظمة دون التعرض للاختراق مرة أخرى.

ما الذي تغير بحلول عام 2026

لم تعد الهجمات تقتصر على نظام واحد

يمكن للمهاجم المعاصر أن يستخدم في آن واحد البنية التحتية المحلية، وحساب السحابة، والبريد الإلكتروني المؤسسي، وتطبيقات SaaS، ووصول المقاول.

حتى بعد عزل الكمبيوتر المحمول المصاب، قد يظل لديه:

  • جلسة سحابية نشطة؛
  • رمز التحديث (refresh token)؛
  • تفويض OAuth؛
  • مفتاح API؛
  • حساب خدمة تم اختراقه؛
  • وصول إداري مفوض؛
  • قناة إدارة احتياطية عبر خدمة سحابية شرعية.

وفقًا لبيانات Unit 42، في 87% من الحوادث التي تمت دراستها، كان من الضروري مقارنة الأدلة من مصدرين مختلفين على الأقل لتحديد ما حدث، وفي الحالات الأكثر تعقيدًا — من عشرة مصادر. وهذا يعني أنه لم يعد من الممكن قصر التحقيق على جهاز كمبيوتر واحد أو سجل أحداث واحد: بل من الضروري تحليل بيانات الهوية ونقاط النهاية والشبكة والسحابة وSaaS في آن واحد. (Unit 42)

لم يعد نموذج «العثور على الملف الضار وحذفه وإعادة تثبيت جهاز الكمبيوتر» يوفر احتواءً كاملاً.

الهويات ونقاط الضعف متساوية في الأهمية

لا يوجد ناقل اختراق واحد شامل للحوادث الأمنية الحديثة.

وفقًا لبيانات Unit 42، فإن 65% من عمليات الاختراق الأولية في تحقيقاتها كانت مرتبطة بتقنيات قائمة على الهوية: بيانات اعتماد مسروقة، والتلاعب بالتوثيق متعدد العوامل (MFA)، واختطاف الجلسات، والانتحال بصفتها موظف دعم فني، أو إساءة استخدام الوصول عن بُعد الشرعي. (Unit 42)

في الوقت نفسه، يشير تقرير Verizon DBIR 2026 إلى استغلال الثغرات البرمجية باعتباره الناقل الأولي الرئيسي في عينته: فقد ظهرت في 31% من حالات التسرب وتجاوزت للمرة الأولى بيانات تسجيل الدخول المسروقة.

الاستنتاج العملي: لا يمكن الاختيار بين حماية الهويات وإدارة الثغرات الأمنية. يجب أن يشمل برنامج الاستجابة الناضج كلا الاتجاهين. يجب أن يكون الفريق قادرًا في الوقت نفسه على سحب الرموز (tokens) وجلسات العمل (sessions)، وتحليل الوصول المتميز، وإغلاق الخدمات الخارجية المعرضة للخطر، وتحديد المسار الذي استخدمه المهاجم بالضبط.

أصبح الموردون جزءًا من سطح الهجوم

وفقًا لتقرير Verizon DBIR 2026، شاركت الأطراف الثالثة في 48% من حالات التسريب — بزيادة قدرها 60% مقارنة بالعام السابق. يمكن أن يكون نقطة الدخول مزود برمجيات، أو مزود خدمات إدارة (MSP)، أو شركة تكامل أنظمة، أو خدمة سحابية، أو مقاول يتمتع بوصول مشروع.

يجب على المؤسسة أن تدرك مسبقًا:

  • من يمكنه توفير سجلات المورد؛
  • ما مدى سرعة سحب صلاحيات الوصول منه؛
  • كم من الوقت يتم الاحتفاظ ببيانات القياس عن بُعد؛
  • ما هي الإجراءات المسموح بها بموجب العقد؛
  • من المسؤول عن التواصل؛
  • كيف يمكن الاحتفاظ بالأدلة في البنية التحتية الخارجية؟

وإذا ما أثيرت هذه الأسئلة لأول مرة أثناء الهجوم، فإن الفريق يكون قد أضاع بالفعل وقتًا حرجًا.

لم يعد الابتزاز يتطلب التشفير

لا يزال تشفير البنية التحتية يمثل تهديدًا خطيرًا، لكنه لم يعد جزءًا إلزاميًا من عمليات الابتزاز. يمكن للمهاجمين سرقة البيانات والانتقال مباشرةً إلى التهديد بنشرها أو بيعها، دون إحداث أحداث تشفير واسعة النطاق، والتي عادةً ما تكون وسائل الحماية مهيأة للتعامل معها.

كان برنامج الفدية حاضراً في ما يقرب من نصف حالات التسريب التي تناولها تقرير Verizon DBIR 2026. ومع ذلك، فإن عدم وجود خوادم مشفرة لا يعني أن الحادث غير مهم: فالوصول غير المصرح به إلى البريد الإلكتروني أو نظام إدارة علاقات العملاء (CRM) أو مخزن الملفات أو البيئة السحابية قادر على إحداث عواقب مالية وسمعة مماثلة.

الذكاء الاصطناعي يُسرّع كلا الجانبين

يساعد الذكاء الاصطناعي المهاجمين على تحليل سطح الهجوم بشكل أسرع، وتكييف الهندسة الاجتماعية، والبحث عن الثغرات الأمنية، وإنشاء الشفرات الخبيثة. يسلط تقرير Verizon DBIR 2026 الضوء على 15 تقنية هجومية يتم تعزيزها بالفعل باستخدام الذكاء الاصطناعي التوليدي.

أما المدافعون، بدورهم، فيستخدمون النماذج لربط الأحداث ببعضها، وبناء الجداول الزمنية، وتجميع التنبيهات، وإعداد الاستعلامات من أجل «مطاردة التهديدات».

لكن الأتمتة لا تلغي الحاجة إلى عملية قابلة للتدقيق. فقد يكون الاستنتاج الخاطئ السريع أثناء الأزمة خطيرًا بقدر ما هو الاستجابة البطيئة.

الإطار الجديد: يبدأ الاستجابة قبل وقوع الحادث

في أبريل 2025، أصدر المعهد الوطني للمعايير والتقنية (NIST) المعيار SP 800-61 المراجعة 3، الذي حل محل دليل عام 2012.

ويتمثل التغيير الرئيسي في أن «الاستجابة للحوادث» لم تعد تُعتبر عملية خطية منفصلة يتم تفعيلها بعد صدور التنبيه. بل أصبحت مدمجة في النموذج العام لإدارة المخاطر السيبرانية NIST CSF 2.0 ومرتبطة بجميع وظائفه الست:

التوجيه (Govern)، والتحديد (Identify)، والحماية (Protect)، والكشف (Detect)، والاستجابة (Respond)، والاستعادة (Recover).

إدارة الأدوار، وجرد الأصول، والتجزئة، والنسخ الاحتياطي، والعقود مع الموردين، وتسجيل الأحداث ليست تدابير مساعدة، بل جزء من الاستعداد لمواجهة الحوادث. (مركز موارد أمن الحاسوب التابع للمعهد الوطني للمعايير والتقنية (NIST))

في 11 يونيو 2026، نشر NIST أيضًا IR 8374 Revision 1 — الملف التعريفي المحدث لإدارة مخاطر برامج الفدية استنادًا إلى CSF 2.0. يربط هذا المستند بين الاستعداد والحماية والاستجابة والاستعادة في دورة إدارة مخاطر موحدة. (مركز موارد أمن الحاسوب التابع للمعهد الوطني للمعايير والتقنية (NIST))

الاستنتاج الرئيسي بسيط:

يبدأ الاستجابة الصحيحة قبل وقت طويل من ظهور أول تنبيه.

قبل وقوع الحادث، يجب على المؤسسة تحديد الأدوار والصلاحيات، وإعداد قناة اتصال خارج الشبكة، وضمان تخزين كافٍ للسجلات، وحماية النسخ الاحتياطية، والتحقق من إجراءات الاستعادة. كما يلزم وجود دلائل إجراءات منفصلة لكل من برامج الفدية، واختراق البريد الإلكتروني المؤسسي، والاستيلاء على حسابات الخدمات السحابية، وسرقة البيانات، والهجمات عبر المقاولين.

وتكتسب التدريبات أهمية خاصة. فالخطة التي تظل حبيسة الورق ولم تُختبر قط تحت ضغط الوقت تظل مجرد افتراض، وليست أداة حماية.

الـ60 دقيقة الأولى: لا تعالج النظام على عواهنه

في بداية الحادث، غالبًا ما تتوفر للفريق معلومات غير كاملة.

في هذه اللحظة، لا تشكل تصرفات المهاجم وحدها خطراً، بل القرارات المتسرعة التي يتخذها المدافعون أيضاً: إيقاف تشغيل الخوادم على نطاق واسع، أو مسح الأنظمة قبل الأوان، أو تغيير كلمات المرور بشكل عشوائي، أو الاستعادة الفورية من نسخة احتياطية لم يتم التحقق منها.

1. عيّن مسؤولاً عن الحادث

لا يمكن إجراء تحقيق جاد من خلال المكالمات العشوائية والرسائل الشخصية وعشرات الدردشات المتوازية.

يلزم وجود «جسر استجابة» موحد ومسؤول معين عن الحادث — «قائد الحادث» (Incident Commander).

ليس عليه أن يقوم شخصياً بعمليات التحليل الجنائي. مهمته هي إدارة العملية:

  • الحفاظ على خطة موحدة؛
  • تعيين المسؤولين عن المهام؛
  • حل تعارضات الأولويات؛
  • تثبيت القرارات؛
  • مزامنة المسارات الفنية والإدارية؛
  • تحديث الحالة المؤكدة بانتظام؛
  • مراقبة التنسيق بين الإجراءات الحرجة.

ليس من الضروري أن يتولى المتخصص الأقوى من الناحية الفنية قيادة الحادث بأكمله. يقوم المحللون بالتحقيق في الهجوم، بينما يحرص قائد الحادث (Incident Commander) على ألا يتحول التحقيق إلى مجموعة من الإجراءات غير المنسقة.

2. انتقل إلى قناة اتصال موثوقة

إذا كان البريد الإلكتروني المؤسسي أو نظام المصادقة أو تطبيق المراسلة قد يتعرض للاختراق، فلا يجوز مناقشة التحقيق عبر هذه القنوات.

استخدم قناة اتصال خارج النطاق (out-of-band) معدة مسبقًا. لا ينبغي نقل ما يلي عبر الأنظمة التي يُحتمل تعرضها للاختراق:

  • خطط العزل؛
  • فرضيات التحقيق؛
  • كلمات المرور الجديدة؛
  • المفاتيح والرموز؛
  • الأدلة التي تم جمعها؛
  • معلومات عن التواصل مع المهاجم؛
  • القرارات الداخلية للإدارة.

والمهاجم الذي يرى تحركات الفريق، يصبح قادراً على تغيير تكتيكاته، وإزالة الآثار، وإعداد قنوات وصول بديلة مسبقاً.

3. تأكيد الحادث وتحديد نطاقه الأولي

لا داعي لانتظار الصورة الكاملة لبدء الاستجابة.

يجب أن يجيب التقييم الأولي على خمسة أسئلة على الأقل:

  1. ما الذي تم اكتشافه بالضبط؟
  2. ما هي المستخدمين والأجهزة والخدمات التي قد تتأثر؟
  3. هل لا تزال أنشطة المهاجم مستمرة؟
  4. هل هناك خطر توقف عملية حاسمة؟
  5. هل هناك دلائل على سرقة البيانات أو إتلاف النسخ الاحتياطية أو اختراق الوصول المتميز؟

قد يتغير التصنيف مع تقدم التحقيق. والأهم هو تكوين فرضية عمل وتحديد الأولويات في أقرب وقت ممكن.

من المفيد الفصل فورًا بين الحقائق المؤكدة، والاستنتاجات المحتملة، والفرضيات غير المؤكدة، والظروف المجهولة. فهذا يقلل من خطر أن تصبح افتراضات أحد المحللين أساسًا لقرار إداري مدمر.

4. اعزل الأدلة، لكن لا تدمرها

العزل والإيقاف ليسا نفس الشيء.

عادةً ما يجب فصل الجهاز المضيف المصاب عن الشبكة باستخدام EDR أو NAC أو VLAN أو المحول أو سياسة سحابية. لكن لا ينبغي القيام بما يلي دون داعٍ:

  • إيقاف تشغيله أو إعادة تشغيله؛
  • حذف الملفات؛
  • تشغيل عملية الفحص والمكافحة الفيروسية؛
  • إعادة تثبيت نظام التشغيل؛
  • إعادة تشغيل الجهاز بعد فحص سطحي.

قد تحتوي ذاكرة الوصول العشوائي (RAM) على مفاتيح التشفير، والاتصالات الشبكية النشطة، والعمليات المدمجة، ورموز الوصول، والأوامر غير المسجلة، وآثار أدوات المخترق.

قد تكون هناك استثناءات عندما يشكل استمرار عمل النظام تهديدًا غير مقبول للأشخاص أو للبنية التحتية الحيوية أو للأعمال. لكن يجب اتخاذ مثل هذا القرار عن وعي وتدوينه في سجل الحوادث.

5. ابدأوا في استخدام جدول زمني موحد

سجل كل حدث مهم:

  • وقت الإشارة الأولى؛
  • مصدر الكشف؛
  • التغيير في حالة الأنظمة؛
  • أوامر المسؤولين؛
  • عزل الأجهزة؛
  • حظر الحسابات؛
  • تصدير السجلات؛
  • إنشاء لقطات؛
  • القرارات المتخذة؛
  • المسؤولين عن الإجراءات والموافقين عليها.

استخدموا منطقة زمنية موحدة، ويفضل أن تكون UTC. احفظوا السجلات الأصلية بشكل منفصل عن النسخ العاملة، واحسبوا المجموعات المراجعة للملفات التي تم جمعها، وسجلوا من عمل على الأدلة ومتى.

فبدون جدول زمني، يتحول التحقيق سريعًا إلى مجموعة من الذكريات المتضاربة.

6. حماية النسخ الاحتياطية

في حوادث برامج الفدية، غالبًا ما تصبح أنظمة النسخ الاحتياطي من أوائل أهداف المهاجم.

لا تبدأ عملية الاستعادة الشاملة حتى تتأكد مما يلي:

  • ما إذا كان المهاجم يتمتع بإمكانية الوصول إلى وحدة التحكم في النسخ الاحتياطي؛
  • هل تم اختراق حسابات المشغلين؛
  • هل تم حذف اللقطات؛
  • هل تم تغيير سياسات التخزين؛
  • متى يُفترض أن الاختراق الأولي قد حدث؛
  • هل تحتوي النسخة المختارة على آلية تثبيت؛
  • هل تم الاحتفاظ بنسخ معزولة أو غير قابلة للتعديل.

إن نجاح المهمة الأخيرة للنسخ الاحتياطي يؤكد فقط أن النسخة قد تم إنشاؤها. ولا يؤكد أنها خالية من التلوث وصالحة للاستعادة الآمنة.

في حالة وقوع حادث نشط، يمكن لفريق DFIR التابع لـ PWN-ALL تولي التنسيق الفني: الاحتواء الأولي، وحفظ الأدلة، وتحديد نطاق الاختراق، وإعداد خطة استعادة آمنة. تتعامل الشركة مع حالات برامج الفدية وسرقة البيانات ورسائل الاحتيال عبر البريد الإلكتروني (BEC) واختراق الحسابات واختراق البيئات السحابية.

يجب أن تتم الاستجابة عبر مسارات متوازية

من الأخطاء الشائعة إنهاء التحقيق الفني أولاً، ثم إشراك الإدارة والمحامين وشركة التأمين وأصحاب الأعمال بعد ذلك فقط.

في الحوادث الفعلية، يجب أن تسير هذه المسارات بشكل متزامن.

المسار التقني

يجب على الفريق تحديد موقع المهاجم، وتحديد الناقل الأولي المحتمل، وتحديد الأصول والهويات المتأثرة، والعثور على آليات التثبيت، وتقييم التسريب المحتمل، وإعداد عملية استعادة آمنة.

مسار الإدارة

يتعين على الإدارة ومالكي العمليات تقييم التأثير على الأعمال، وتحديد أولويات الاستعادة، وتحديد المدة المسموح بها للتوقف عن العمل، والتنسيق بشأن الإجراءات القادرة على إيقاف العمليات الحرجة.

مسار الإجراءات القانونية والاتصالات

بالتوازي مع ذلك، من الضروري تحديد مالكي البيانات المتأثرة، والتحقق من الالتزامات التعاقدية، وتحديد متطلبات الإخطار المعمول بها، والاتصال بشركة التأمين، وإعداد البيانات الداخلية والخارجية.

تختلف المتطلبات المحددة باختلاف القطاع والعقود والسلطات القضائية. ولذلك، لا ينبغي أن ينتظر التقييم القانوني صدور التقرير الجنائي النهائي.

وتتمثل مهمة فريق DFIR في تزويد هذا المسار بالحقائق التقنية القابلة للتحقق: الجدول الزمني، وقائمة الأصول المتأثرة، والمؤشرات المؤكدة، وتقييم الوصول الأولي، ومعلومات حول التسريب المحتمل. أما التصنيف القانوني النهائي فيبقى من اختصاص المستشارين المتخصصين في المؤسسة.

استعادة الهوية: استعادة السيطرة على الهويات

في البنية التحتية الهجينة، لا يكفي استعادة الخادم. يجب على المؤسسة أولاً التأكد من أنها تستعيد السيطرة على نظام التعريف الخاص بها.

يجب فحص ما يلي:

  • حسابات المستخدمين ذات الامتيازات وحسابات الطوارئ؛
  • الجلسات النشطة ورموز التحديث؛
  • طرق المصادقة متعددة العوامل (MFA) الجديدة أو التي تم تغييرها؛
  • تطبيقات OAuth والأذونات الممنوحة؛
  • كيانات الخدمة وهويات أحمال العمل؛
  • قواعد الاتحاد؛
  • سياسات الوصول المشروط؛
  • الوصول الإداري المفوض؛
  • مفاتيح واجهة برمجة التطبيقات (API) والشهادات والأسرار الخاصة بـ CI/CD؛
  • قواعد إعادة توجيه البريد؛
  • الأجهزة المسجلة؛
  • وصول المقاولين.

لا يؤدي تغيير كلمة المرور دائمًا إلى إنهاء الجلسة السحابية الحالية. ولذلك، يجب أن يترافق تدوير بيانات الاعتماد مع سحب الرموز المميزة، وإنهاء الجلسات، والتحقق من التطبيقات الموثوقة.

ويُعد تنفيذ التناوب الجماعي من بيئة إدارية تم اختراقها أمرًا خطيرًا بشكل خاص.

يتم أولاً إنشاء منطقة عمل نظيفة بأجهزة تم التحقق منها، وقناة اتصال منفصلة، وحسابات خاضعة للرقابة، وتسجيل مستقل. وبعد ذلك فقط تبدأ عملية استعادة الهوية المنسقة.

تتطلب الخدمات السحابية وSaaS دليلًا منفصلاً

لا يمكن التحقيق في حادث سحابي كما لو كان إصابة عادية لمحطة عمل.

فجزء من الأدلة موجود فقط في سجلات مزود الخدمة وقد يتم الاحتفاظ به لفترة محدودة. في الساعات الأولى، يجب الاحتفاظ بما يلي:

  • سجلات الدخول والتدقيق؛
  • سجل تغييرات IAM؛
  • سجلات مستوى التحكم؛
  • أحداث البريد الإلكتروني والتعاون؛
  • التغييرات في السياسات وقواعد الشبكة؛
  • معلومات حول إنشاء المفاتيح والرموز؛
  • لقطات الأقراص والتكوينات؛
  • بيانات تطبيقات SaaS المرتبطة عبر SSO أو OAuth.

كما يجب التحقق بشكل منفصل من إنشاء مسؤولين جدد، وتغيير الاتحاد، وإصدار الرموز المميزة طويلة الأمد، ومنح الموافقة عبر OAuth، وإلغاء تفعيل السياسات الأمنية، وتشغيل موارد سحابية جديدة، وتصدير البيانات.

يجب تحديد إجراءات التصعيد الطارئ إلى المزود، وصلاحيات الأطراف، وإجراءات حفظ بيانات التليمترية مسبقًا.

يستخدم PWN-ALL عمليات منفصلة للتحقيق في الاختراقات التي تطال Microsoft 365 وGoogle Workspace والبنية التحتية السحابية والحسابات المؤسسية. وهذا يتيح تحليل الإجراءات التي ربما لم تترك آثارًا على نقاط النهاية التقليدية.

كيفية استخدام الذكاء الاصطناعي أثناء التحقيق

يمكن للذكاء الاصطناعي تسريع:

  • توحيد الأحداث؛
  • تجميع التنبيهات؛
  • إنشاء خط زمني؛
  • إعداد الاستعلامات الخاصة بـ «مطاردة التهديدات»؛
  • مقارنة المؤشرات؛
  • البحث عن الحالات الشاذة؛
  • تحليل مجموعات كبيرة من السجلات؛
  • إعداد التقارير المرحلية.

لكن النموذج لا يجب أن يتخذ بمفرده قرارات تنطوي على أضرار محتملة كبيرة.

تتطلب العملية الآمنة استخدام بيئة خاضعة للرقابة، وتقليل البيانات الحساسة إلى الحد الأدنى، وتسجيل الاستفسارات والردود، والتحقق من الاستنتاجات من قبل المحلل، وربط كل فرضية بالبيانات التلمسية الأصلية.

ولا يجوز تكليف النموذج، دون موافقة إضافية، بإيقاف تشغيل جزء حرج من النظام، أو حذف الحسابات، أو التبديل الجماعي للسرّيات، أو إتلاف الأدلة، أو نشر رسائل للعملاء، أو إصدار استنتاج نهائي بعدم وجود تسريب للبيانات.

يمكن للذكاء الاصطناعي أن يقترح اتجاهًا للتحقيق. لكن المسؤولية عن الاستنتاج تظل تقع على عاتق الإنسان.

الاستعادة لا تعني العودة إلى الحالة السابقة

أخطر عبارة يمكن أن تُقال أثناء وقوع حادث:

«لنستعيد كل شيء من النسخة الاحتياطية فحسب».

فإذا تمت استعادة البنية السابقة مع نقاط الضعف القديمة، والأسرار المخترقة، وأخطاء التكوين، فقد يعود المهاجم.

تتم الاستعادة الآمنة على مراحل:

  1. يتم إنشاء بيئة إدارية نظيفة.
  2. استعادة السيطرة على الهويات.
  3. يتم إغلاق نقطة الاختراق الأولية.
  4. يتم إزالة آليات التثبيت.
  5. يتم تدوير الأسرار والمفاتيح والرموز والشهادات.
  6. يتم فحص النسخ الاحتياطية.
  7. يتم استعادة التبعيات الحرجة.
  8. يتم توصيل الأنظمة بواسطة مجموعات خاضعة للرقابة.
  9. يتم التحقق من الأمان وقابلية التشغيل في كل مرحلة.
  10. يستمر الرصد المكثف بعد التشغيل.

يؤكد صاحب العمل أن الخدمة تعمل بشكل سليم، بينما يؤكد فريق الأمن عدم وجود أي مؤشرات معروفة على استمرار الاختراق.

لا تعني إتاحة النظام بعد انتهاء الحادث.

في إطار عملية الاستعادة، تقوم PWN-ALL بتقييم النسخ الاحتياطية النظيفة، وإمكانية إعادة بناء الأنظمة، والخيارات المتاحة لفك التشفير واستعادة المفاتيح، ثم تحدد أولويات إعادة تشغيل البنية التحتية. يعتمد النتيجة على عائلة برامج الفدية، وحالة الأنظمة، والأدلة المحفوظة، وجودة النسخ الاحتياطية، ولذلك لا يمكن ضمان فك التشفير الكامل أو استعادة جميع البيانات.

إذا كانت المؤسسة تفكر في دفع الفدية

لا ينبغي أن ينطلق النهج المهني في التعامل مع برامج الفدية من فرضية أن دفع الفدية مستبعد تحت أي ظرف من الظروف.

في بعض الأحيان، تنظر الإدارة في دفع الفدية بسبب تهديد حياة الأشخاص أو سلامتهم، أو توقف العمليات الحيوية، أو عدم وجود نسخ احتياطية صالحة، أو خطر الخسارة غير القابلة للاسترداد للأعمال، أو التكلفة الباهظة للغاية للتوقف الطويل عن العمل.

لا تؤيد التوصيات الرسمية دفع الفدية: فهي لا تضمن استعادة الوصول إلى البيانات، أو إزالة التهديد الخبيث، أو حذف المعلومات المسروقة. علاوة على ذلك، قد تصبح المؤسسة التي دفعت الفدية هدفًا مرة أخرى.

ومع ذلك، فإن الدفع ليس إجراءً تقنيًّا، بل قرار إداري استثنائي في ظل الأزمات.

يجب أولاً التحقق من البدائل

قبل اتخاذ القرار، يجب تقييم:

  • صلاحية النسخ الاحتياطية؛
  • إمكانية الاستعادة الجزئية؛
  • إعادة بناء الخدمات الحيوية؛
  • العمليات اليدوية المؤقتة؛
  • توفر أدوات فك التشفير؛
  • إمكانية استعادة البيانات من مصادر أخرى؛
  • المدة المسموح بها للعمل في وضع الطوارئ.

لا يمكن قبول ادعاء المهاجم بأن الدفع هو المخرج الوحيد دون إجراء فحص تقني مستقل.

يمكن لـ PWN-ALL تقييم الحالة الفعلية للبنية التحتية والنسخ الاحتياطية، ودراسة إمكانية فك التشفير أو استعادة المفاتيح، وتزويد الإدارة بمقارنة بين السيناريوهات المتاحة. ويبقى القرار النهائي بيد الممثلين المفوضين للمنظمة المتضررة.

من الضروري تحديد العواقب الفعلية

لا يكفي مقارنة مبلغ الفدية بتكلفة الاستعادة فقط.

ينبغي مراعاة التأثير على الأفراد، ومدة التعطل، واستدامة العمليات المؤقتة، والعواقب على العملاء والشركاء، واحتمال نشر البيانات، وتكلفة الاستعادة الآمنة، والضرر الذي يلحق بالسمعة.

يجب أن يستند القرار إلى حقائق مؤكدة، وليس فقط إلى الوعود والمؤقتات التي يحددها المهاجم.

يتم تقييم القيود القانونية والجزائية بشكل منفصل

قد يخضع المستلم أو المجموعة المرتبطة به أو الوسيط أو البنية التحتية للدفع المستخدمة لقيود العقوبات أو غيرها من القيود.

وتحذر الهيئات الرسمية المعنية بالعقوبات صراحةً من المخاطر التي تتعرض لها الشركات التي تساعد في دفع فديات برامج الفدية. ولذلك، يجب التحقق من القيود المعمول بها من قبل مستشارين قانونيين ومستشارين متخصصين في العقوبات مؤهلين قبل اتخاذ أي إجراء.

تتولى PWN-ALL الجانب التقني من العملية: حيث تجمع البيانات المتعلقة بالبنية التحتية للمهاجم، وتتحقق من ادعاءاته، وتوثق الاتصالات، وتقدم المواد إلى شركة التأمين والمستشارين المتخصصين. ويبقى التقييم القانوني واتخاذ القرار بشأن المعاملة من اختصاص المؤسسة ومستشاريها المعتمدين.

يجب أن تكون الاتصالات مع المهاجم خاضعة للرقابة

قد يؤدي التراسل المستقل مع المبتز إلى الكشف عن مدى حساسية أنظمة معينة، أو الوضع الداخلي للمؤسسة، أو حدود قدراتها.

وبموجب اتفاق مناسب، يمكن لـ PWN-ALL مرافقة التواصل الخاضع للرقابة، والمساعدة في:

  • التحقق مما إذا كان المهاجم يمتلك بالفعل البيانات المزعومة؛
  • طلب عملية فك تشفير تجريبية؛
  • تقييم كفاءة أداة فك التشفير؛
  • تحديد مدى واقعية المطالب من الناحية التقنية؛
  • الحصول على وقت إضافي؛
  • الاحتفاظ بسجل كامل للرسائل والقرارات.

لا يحل هذا الدعم محل المراجعة القانونية، ولا يعني توصية بالدفع، ولا يمنح فريق DFIR الحق في اتخاذ قرار نيابة عن العميل.

يجب التحقق من ادعاءات المهاجم

قبل اتخاذ القرار النهائي، قد يُطلب إجراء فك تشفير تجريبي لمجموعة محدودة من الملفات، وإثبات الوصول إلى البيانات المذكورة، وتأكيد فعالية الأداة المقترحة.

ولكن حتى الفحص الناجح لا يضمن الاستعادة الكاملة.

فقد يقوم المهاجم بتسليم أداة فك تشفير غير مستقرة، أو فك تشفير جزء فقط من البيانات، أو الاحتفاظ بالمعلومات المسروقة، أو نقلها إلى أطراف أخرى، أو العودة عبر الوصول الذي تم الاحتفاظ به.

يجب تحليل الأدوات التي تم الحصول عليها واختبارها في بيئة معزولة.

المفاوضات لا توقف التحقيق

التواصل مع المهاجم لا يحل محل الاستجابة.

في الوقت نفسه، يجب الاستمرار في:

  • تحديد موقع التهديد؛
  • البحث عن الناقل الأولي؛
  • إلغاء الجلسات المخترقة؛
  • تغيير كلمات المرور؛
  • حماية النسخ الاحتياطية؛
  • جمع الأدلة؛
  • فحص البيئة السحابية؛
  • البحث عن آليات التثبيت؛
  • التحضير للاستعادة الآمنة.

لا يُعتبر الحادث منتهياً بعد دفع الفدية. فلا يزال يتعين تنظيف الأنظمة أو إعادة بنائها، واستبدال بيانات الوصول المخترقة، وإزالة آليات التثبيت.

قد يغير الدفع عنصرًا واحدًا من عناصر الأزمة، لكنه لا يزيل الاختراق ولا يحل محل الاستعادة الآمنة.

ما لا يجب فعله أثناء وقوع حادث نشط

إيقاف تشغيل البنية التحتية بالكامل دون خطة

قد يؤدي ذلك إلى إتلاف الأدلة المتطايرة، وتعقيد عملية التحليل، وإيقاف العمليات غير المتأثرة. يجب أن يكون العزل محددًا أو قطاعيًّا، وأن يستند إلى تقييم المخاطر.

إعادة تثبيت الأنظمة قبل جمع البيانات

يؤدي التهيئة السريعة إلى إزالة آثار الوصول الأولي للمهاجم وتثبيته وتحركاته.

الإعلان عن الانتصار بعد إزالة البرمجيات الخبيثة

قد يكون الملف الضار مجرد أداة من بين أدوات أخرى. من الضروري التحقق من الهويات، وجلسات العمل السحابية، والرموز المميزة، والوصول عن بُعد، وقواعد البريد الإلكتروني، وتطبيقات SaaS، والبنية التحتية للإدارة.

اعتبار تغيير كلمة المرور إجراءً وقائيًّا كاملاً

قد يتبقى لدى المهاجم جلسات نشطة، أو رموز تحديث، أو أذونات OAuth، أو طرق بديلة للتوثيق متعدد العوامل (MFA).

استخدام قنوات الاتصال المخترقة

يمكن للمهاجم قراءة رسائل الفريق، وتكييف تكتيكاته، وإخفاء آثاره.

الاتصال بالمبتز بشكل مستقل

قد تؤدي الاتصالات غير المخطط لها إلى إضعاف الموقف التفاوضي، أو الكشف عن مدى حساسية الأنظمة، أو خلق مخاطر قانونية وتشغيلية إضافية.

استعادة الأنظمة قبل إغلاق نقطة الدخول

وإلا فإن عملية الاستعادة ستتحول إلى حادثة متكررة.

اعتبار عدم وجود تشفير بمثابة عدم وجود تسرب

قد يحدث سرقة البيانات عبر خدمات سحابية شرعية وجلسات مستخدمين نشطة، دون إحداث الأحداث المميزة لبرامج الفدية.

الوثوق في النسخة الاحتياطية دون التحقق منها

يجب التحقق من النسخة ليس فقط من حيث قابلية القراءة، بل أيضًا من حيث سلامتها ونقاوتها وخلوها من آليات التثبيت المخزنة.

نشر استنتاجات غير مؤكدة

لا يجوز الوعد بعدم وجود تسرب ما لم يتم تأكيد ذلك من خلال التحقيق.

الإعلان عن خلو البيئة من التهديدات بسبب عدم وجود تنبيهات جديدة

قد لا يعني عدم وجود أحداث عدم وجود مهاجم، بل قد يعني عدم كفاية الرؤية.

كيفية قياس الجاهزية

لا يُشير عدد التنبيهات التي تم إغلاقها إلى أي شيء تقريبًا بشأن قدرة المؤسسة على الصمود في وجه هجوم خطير.

المؤشرات الأكثر فائدة هي:

  • الوقت المستغرق لتأكيد الحادث؛
  • الوقت المستغرق لتعيين قائد الحادث؛
  • الوقت المستغرق حتى إجراء أول عملية عزل؛
  • الوقت المستغرق حتى إنهاء الجلسات المخترقة؛
  • الوقت المستغرق في الحصول على السجلات السحابية؛
  • الوقت المستغرق في التحقق من سلامة النسخة الاحتياطية؛
  • نسبة الأنظمة الحرجة التي تتوفر لها بيانات قياس عن بُعد كافية؛
  • اكتمال المخطط الزمني؛
  • الوقت المستغرق في إزالة الناقل الأولي؛
  • نسبة التدابير التي تم تنفيذها بعد المراجعة اللاحقة للحادث.

من المهم قياس ليس فقط السرعة، بل جودة الحلول أيضًا:

  • عدد الإجراءات التي تم تنفيذها دون تعيين مسؤول عنها؛
  • كم عدد التغييرات التي لم تُسجَّل في السجل؛
  • ما هي الأدلة التي فُقدت؛
  • كم عدد الأنظمة التي اضطررنا إلى استعادتها مرارًا؛
  • ما هي الافتراضات الواردة في خطة الاستجابة للحوادث (IR) التي تبين أنها غير صحيحة.

بعد وقوع الحادث، لا نحتاج إلى وثيقة شكلية تفيد بـ«إجراء محادثة»، بل إلى خطة محددة للتغييرات تتضمن المسؤولين والمواعيد ومعايير المراجعة.

الحد الأدنى من جاهزية المؤسسة في عام 2026

قبل وقوع الحادث، يجب أن يكون لدى الشركة:

  • خطة استجابة للحوادث (IR) معتمدة؛
  • مصفوفة الأدوار والصلاحيات؛
  • قناة اتصال خارج الشبكة؛
  • كتيبات إرشادية منفصلة للسيناريوهات الرئيسية؛
  • خريطة للأنظمة الحيوية والترابطات؛
  • فترة كافية لحفظ السجلات؛
  • نسخ احتياطية ثابتة وقابلة للتحقق؛
  • إجراءات حفظ الأدلة؛
  • بيئة إدارية خالية من التداخلات؛
  • بيانات الاتصال بفريق DFIR الخارجي؛
  • قوالب للرسائل الداخلية والخارجية؛
  • إجراءات النظر في مطالب المبتز؛
  • تدريبات محاكاة وتقنية منتظمة.

لا ينبغي الاكتفاء بفحص الفريق التقني فقط. يجب أن يشارك في التدريبات كل من الإدارة، وقسم تكنولوجيا المعلومات، وقسم الأمن، ومسؤولي العمليات التجارية، والقسم القانوني وقسم الاتصالات، وشركة التأمين، والموردين الرئيسيين، وشريك DFIR الخارجي.

الخطة التي لم يتم اختبارها قط في ظل ظروف زمنية محدودة هي مجرد افتراض وليست وسيلة حماية.

الاستجابة هي إدارة حالة عدم اليقين

نادرًا ما يتم الحصول على جميع الإجابات فورًا أثناء الهجوم.

الفريق القوي لا ينتظر اليقين المطلق، وفي الوقت نفسه لا يتصرف بشكل أعمى. فهو يفصل الحقائق عن الفرضيات، ويتخذ قرارات قابلة للتراجع حيثما أمكن ذلك، وينسق الإجراءات التصديية، ويحفظ الأدلة، ويتبع جدولاً زمنياً موحداً، ويدير في الوقت نفسه المخاطر التقنية والتجارية.

لا يمكن جعل الحادث قابلاً للتنبؤ به تمامًا.

ولكن يمكن جعل عمل الفريق قابلاً للتنبؤ.

متى تكون هناك حاجة إلى فريق استجابة خارجي

تتدخل PWN-ALL في الحوادث التي تتطلب السرعة، والحفاظ على الأدلة، والاستعادة الخاضعة للرقابة:

  • برامج الفدية والابتزاز بدون تشفير؛
  • سرقة البيانات ونشرها؛
  • احتيال BEC واختراق البريد الإلكتروني المؤسسي؛
  • الاستيلاء على الحسابات؛
  • اختراق Microsoft 365 و Google Workspace؛
  • الهجمات على البنية التحتية السحابية؛
  • اختراق تطبيقات الويب والخوادم؛
  • الحوادث التي تحدث عبر الموردين والمقاولين.

قد تشمل المهام الاحتواء الفوري، والتحقيقات الجنائية الرقمية، وتحديد نطاق الاختراق، وجمع الأدلة وحفظها، ودراسة خيارات فك التشفير، والتحقق من النسخ الاحتياطية، والدعم الفني للاتصالات الخاضعة للرقابة، والاستعادة الآمنة، وإعداد التقارير، وتعزيز الحماية لاحقًا. بالنسبة للحوادث الجارية، تطبق PWN-ALL عملية استجابة منفصلة تعمل على مدار الساعة.

في حالة وقوع حادث نشط:

لا تقم بإيقاف تشغيل الأنظمة المتأثرة، ولا تحذف أي آثار، ولا ترد على المهاجم بنفسك، ولا تبدأ في الاستعادة الجماعية قبل إجراء التقييم الأولي.

المهمة الأولى هي الحد من أنشطة المهاجم دون إتلاف المعلومات الضرورية للتحقيق واتخاذ القرارات وإعادة تشغيل الأعمال بشكل آمن.