الاستجابة للحوادث ليست خطوة واحدة — إنها دورة. خمس مراحل، يتم التدريب عليها ربع سنوياً، وتتحسن مع كل حادث. قانون الخمسة يضرب مرة أخرى. FNORD.
1. 🔍 كشف
تعرف متى يحدث شيء سيء.
المراقبة: AWS GuardDuty (تهديدات في الوقت الفعلي)، CloudTrail (سجلات التدقيق)، التنبيهات الأمنية (الإجراءات غير الطبيعية). المصادر: الأنظمة الآلية، الموظفون، الباحثون الأمنيون الخارجيون، العملاء.
التصنيف: حرج (مطلوب استجابة فورية)، عالٍ (خلال ساعة)، متوسط (خلال 4 ساعات)، منخفض (خلال 24 ساعة). الزمن المستهدف: كشف الحوادث الحرجة خلال 15 دقيقة.
الكشف هو الخطوة الأولى. إذا لم تعرف أنك مخترق، فأنت مخترق بالفعل — فقط لا تعلم بعد. GuardDuty + CloudTrail + اليقظة = رؤية منهجية.
2. 🛡️ احتواء
أوقف النزيف.
فوري: عزل الأنظمة المخترقة (فصل الشبكة، إلغاء الاعتمادات)، منع الانتشار، حفظ الأدلة. الزمن المستهدف: أقل من 30 دقيقة للحوادث الحرجة.
طويل المدى: الأنظمة المعزولة تظل معزولة حتى الاستئصال الكامل. ضوابط تعويضية (WAF، قواعد أمنية، MFA القسري). لا تعد الإنتاج قبل النظافة.
الاحتواء هو تخفيف الضرر. اعزل، ثم افحص. لا تصلح الخدمة قبل أن تفهم النطاق — ستعيد الخدمة مع الخصم بداخلها.
3. 🧹 استئصال
أزل التهديد تمامًا.
الإجراءات: إزالة البرامج الضارة، إغلاق الثغرات، تدوير الاعتمادات، ترقيع الأنظمة، تحديث القواعد. التحقق: فحص جميع الأنظمة المتأثرة. لا افتراضات — تحقق من كل شيء.
الطب الشرعي: جمع الأدلة، تحليل السبب الجذري، توثيق مسار الهجوم، تحديد IOCs (مؤشرات الاختراق). حافظ على سلسلة الحفظ للإجراءات القانونية المحتملة.
الاستئصال لا يتعلق بالسرعة — بل بالاكتمال. الاستئصال الجزئي = إعادة الاختراق الحتمية. قم بتنظيف كل شيء أو ستنظف مرة أخرى قريبًا.
4. 🔄 استرداد
أعد الأنظمة بأمان.
الإجراءات: استعادة من النسخ الاحتياطية النظيفة، إعادة بناء الأنظمة المخترقة (بدون إعادة استخدام المخترق)، التحقق من السلامة، المراقبة المكثفة. لا تسرع في الاسترداد.
التحقق: اختبار جميع الوظائف، فحص الأنظمة المستعادة بحثًا عن آثار متبقية، مراقبة الشذوذات. العودة إلى الإنتاج فقط بعد نظيف يمكن التحقق منه.
الاسترداد ليس "إعادة التشغيل واستمر." إنه "أعد البناء، تحقق، راقب، ثم ربما استعد." السرعة تأتي في المرتبة الثانية بعد اليقين.
5. 📝 دروس مستفادة
تحسين للحادث التالي.
المراجعة: خلال 48 ساعة من الحل. الأسئلة: ماذا حدث؟ لماذا لم نكتشفه مبكرًا؟ ما الذي نجح/فشل في الاستجابة؟ كيف نمنع التكرار؟
الإجراءات: تحديث الضوابط، تحسين المراقبة، ترقيع الأنظمة، تدريب الفريق. توثيق كل شيء. تقارير الحوادث العامة تبني الثقة.
الحوادث بدون دروس مستفادة ستتكرر. التوثيق بدون إجراءات هو مسرح. نحن ننشر الدروس علنًا لأن الشفافية تبني الثقة أكثر من السرية. FNORD.