ما هو الكشف عن المخاطر والاستجابة لها (TDR)؟

لمعالجة المخاطر عبر الإنترنت والمشكلات الأمنية الأخرى، أنشأت العديد من المؤسسات مركز العمليات الأمنية (SOC)، وهو وظيفة مركزية أو فريق مسؤول عن تحسين وضع الأمان عبر الإنترنت للمؤسسة ومنع المخاطر وكشفها والاستجابة لها. بالإضافة إلى مراقبة الهجمات عبر الإنترنت، المستمرة والاستجابة لها، تنفذ مراكز عمليات الأمان (SOC) أيضاً عملاً استباقياً لتحديد المخاطر عبر الإنترنت الناشئة والثغرات الأمنية التنظيمية. تعمل معظم فرق مراكز عمليات الأمان والتي قد تكون في الموقع أو يتم الاستعانة بمصادر خارجية، على مدار الساعة طوال أيام الأسبوع.

يستخدم مركز عمليات الأمن (SOC) التحليل الذكي للمخاطر، والتكنولوجيا للكشف عن محاولة الاختراق أو الاختراق الناجح أو الاختراق الجاري. بمجرد تحديد المخاطر عبر الإنترنت، سيستخدم فريق الأمان أدوات الكشف عن المخاطر والاستجابة لها للقضاء على المشكلة أو التخفيف من حدتها.

يتضمن الكشف عن المخاطر والاستجابة لها عادةً المراحل التالية:
 

• الكشف. تساعد أدوات الأمان التي تراقب نقاط النهاية والهويات والشبكات والتطبيقات والسحابات على كشف المخاطر والانتهاكات المحتملة. يستخدم متخصصو الأمان أيضاً تقنيات تتبع المخاطر عبر الإنترنت للكشف عن المخاطر عبر الإنترنت المعقدة التي تتهرب من اكتشافها.
• الفحص. بمجرد تحديد الخطر، يستخدم مركز عمليات الأمان (SOC) الذكاء الاصطناعي وأدوات أخرى للتأكد من أن الخطر عبر الإنترنت حقيقي، وتحديد كيفية حدوثه، وتقييم أصول الشركة المتأثرة.
• الاحتواء. لوقف انتشار الهجوم عبر الإنترنت، تعزل فرق الأمان عبر الإنترنت والأدوات المؤتمتة والأجهزة والهويات والشبكات المصابة عن بقية أصول المنظمة.
• الاستئصال. تستأصل الفرق السبب الجذري لحادث أمني بهدف طرد الممثل السيئ تماماً من البيئة. كما أنها تعمل أيضاً على تخفيف نقاط الضعف التي قد تعرض المؤسسة لخطر هجوم مماثل عبر الإنترنت.
• الاسترداد. بعد أن تتأكد الفرق بشكل معقول من إزالة الخطر عبر الإنترنت أو الثغرة الأمنية، فإنها تعيد أي أنظمة معزولة إلى الإنترنت.
• التقرير. اعتماداً على خطورة الحادث، ستوثق فرق الأمن وتحيط القادة و/أو المديرين التنفيذيين و/أو مجلس الإدارة بما حدث وكيفية حله.
• تقليل المخاطر. لمنع حدوث انتهاك مماثل مرة أخرى ولتحسين الاستجابة في المستقبل، تدرس الفرق الحادث وتحدد التغييرات التي يجب إجراؤها على البيئة والعمليات.

أصبح تحديد المخاطر عبر الإنترنت أكثر صعوبة بشكل متزايد حيث وسعت المؤسسات بصمتها السحابية، وربطت المزيد من الأجهزة بالإنترنت وانتقلت إلى مكان عمل متكامل. يستفيد الممثلون السيئون من هذه الأجزاء المعرضة للخطر الموسعة وتجزئة الأدوات الأمنية باستخدام الأنواع التالية من التكتيكات:
 

• التصيد الاحتيالي عبر الحملات التسويقية. إحدى الطرق الأكثر شيوعاً التي يتسلل بها الممثلون السيئون إلى الشركة هي إرسال رسائل بريد إلكتروني تخدع الموظفين لتنزيل تعليمات برمجية ضارة أو تقديم بيانات الاعتماد الخاصة بهم.
• البرامج الضارة. ينشر العديد من المهاجمين عبر الإنترنت برامج مصممة لإتلاف أجهزة الكمبيوتر والأنظمة أو جمع معلومات حساسة.
• برامج الفدية الضارة. أحد أنواع البرامج الضارة، يحتجز مهاجمو برامج الفدية الضارة الأنظمة والبيانات الهامة كرهائن، ويهددون بالإفراج عن بيانات خاصة أو سرقة الموارد السحابية لاستخراج البيتكوين حتى يتم دفع الفدية. في الآونة الأخيرة، أصبحت برامج الفدية الضارة التي يديرها الإنسان، والتي من خلالها تتمكن مجموعة من المهاجمين عبر الإنترنت من الوصول إلى شبكة المؤسسة بأكملها، مشكلة متنامية بالنسبة لفرق الأمان.
• الهجمات الموزعة لحجب الخدمة (DDoS). باستخدام سلسلة من الروبوتات، يعطل الممثلون السيئون موقع الويب أو الخدمة عن طريق إغراقها بمعدل الاستخدام.
• الخطر الداخلي. لا تأتي جميع المخاطر عبر الإنترنت من خارج المؤسسة. هناك أيضاً خطر يتمثل في أن الأشخاص الموثوقين الذين لديهم إمكانية الوصول إلى البيانات الحساسة قد يتسببون في إلحاق الضرر بالمؤسسة عن غير قصد أو بشكل ضار.
• الهجمات القائمة على الهوية. تتضمن معظم الانتهاكات هويات مخترقة، وذلك عندما يسرق المهاجمون السيبرانيون بيانات اعتماد المستخدم أو يخمنوها ويستخدمونها للوصول إلى أنظمة المؤسسة وبياناتها.
• هجمات إنترنت الأشياء (IoT). أجهزة إنترنت الأشياء معرضة أيضا للمخاطر عبر الإنترنت وخاصة الأجهزة القديمة التي لا تحتوي على عناصر التحكم الأمنية المضمنة التي تمتلكها الأجهزة الحديثة.
• الهجمات المستهدفة لسلسلة التوريد. في بعض الأحيان، يستهدف أحد الممثلون السيئون مؤسسة ما عن طريق التلاعب بالبرامج أو الأجهزة التي يوفرها بائع خارجي.
• حقنة الرمز. من خلال استغلال الثغرات الأمنية في كيفية تعامل التعليمات البرمجية المصدر مع البيانات الخارجية، يدخل مجرمو الإنترنت تعليمات برمجية ضارة في التطبيق.

الكشف عن المخاطر
للتغلب على هجمات الأمان عبر الإنترنت المتزايدة، تستخدم المؤسسات نماذج المخاطر لتحديد متطلبات الأمان وتحديد نقاط الضعف والمخاطر وتحديد أولويات العلاج. باستخدام سيناريوهات افتراضية، يحاول مركز عمليات الأمان (SOC) الدخول إلى عقول مجرمي الإنترنت حتى يتمكنوا من تحسين قدرة المنظمة على منع الحوادث الأمنية أو التخفيف من حدتها. إطار عمل MITRE ATT&CK® نموذج مفيد لفهم تقنيات الهجمات عبر الإنترنت الشائعة وتكتيكاتها.

يتطلب الدفاع متعدد الطبقات أدوات توفر مراقبة مستمرة في الوقت الفعلي للبيئة وإظهار المشكلات الأمنية المحتملة. يجب أيضاً أن تتداخل الحلول، بحيث إذا تم اختراق إحدى طرق الكشف، فإن الطريقة الثانية ستكتشف المشكلة وتخطر فريق الأمان. تستخدم حلول الكشف عن المخاطر عبر الإنترنت مجموعة متنوعة من الأساليب لتحديد المخاطر، بما في ذلك:
 

• الكشف القائم على التوقيع. تفحص العديد من الحلول الأمنية البرامج ومعدل الاستخدام لتحديد التوقيعات الفريدة المرتبطة بنوع معين من البرامج الضارة.
• الكشف القائم على السلوك. للمساعدة في اكتشاف المخاطر عبر الإنترنت الجديدة والناشئة، تبحث الحلول الأمنية أيضاً عن الإجراءات والسلوكيات الشائعة في الهجمات عبر الإنترنت.
• الكشف القائم على الأمور غير المألوفة. يساعد الذكاء الاصطناعي والتحليلات الفرق على فهم السلوكيات النموذجية للمستخدمين والأجهزة والبرامج حتى يتمكنوا من تحديد شيء غير عادي قد يشير إلى وجود خطر عبر الإنترنت.

على الرغم من أهمية البرمجيات، يلعب الأشخاص دوراً لا يقل أهمية في الكشف عن المخاطر عبر الإنترنت. بالإضافة إلى فرز التنبيهات الصادرة عن النظام والتحقيق فيها، يستخدم المحللون تقنيات تتبع المخاطر عبر الإنترنت للبحث بشكل استباقي عن مؤشرات الاختراق، و يبحثون عن التكتيكات والتقنيات والإجراءات التي تشير إلى خطر محتمل. تساعد هذه الأساليب مركز عمليات الأمان في الكشف بسرعة عن الهجمات المعقدة التي يصعب اكتشافها وإيقافها