الساعة الأولى عند اكتشاف حادث أمن سيبراني

المشكلة التي يعالجها هذا الدليل

عند الاشتباه في حادث أمني يجب أن تحافظ الساعة الأولى على الأدلة وتحمي العمل وتحدد المسؤوليات. الحذف العشوائي أو إعادة تشغيل الأنظمة قد يتلف أدلة مهمة.

خطوات تطبيق عملية

• حدد قناة بلاغات ومسؤولًا للحادث
• سجل وقت الاكتشاف والمبلغ والأنظمة المتأثرة
• احتوِ الوصول بإجراء معتمد مع حفظ الأدلة
• قيّم أثر الحادث ومتطلبات الإخطار القانوني
• احتفظ بسجل زمني للقرارات وجهات التصعيد

اختبار قبول واضح

نفذ تمرينًا مكتبيًا لبلاغ عن نشاط إداري مشبوه. تحقق من معرفة من يملك صلاحية العزل ومن يعتمد التواصل الخارجي.

خطأ شائع يجب تجنبه

أمر عام بإطفاء كل الأجهزة قد يزيد التعطل ويمحو أدلة مؤقتة؛ اربط الاحتواء بطبيعة الحادث.

حدد الصلاحية وقناة التواصل أولًا

الساعة الأولى إطار لتنظيم العمل، وليست مهلة ثابتة أو وصفة تناسب كل حادث. تختلف رسالة دفع مشبوهة عن جلسة إدارة مسروقة أو خادم مشفر. عيّن منسقًا للحادث ومحققًا تقنيًا وصاحب قرار أعمال، واتفق على قناة موثوقة لا تعتمد بالكامل على النظام المشتبه به. سجل التوقيت والملاحظات والقرارات في سجل محكوم، وافصل الحقائق عن الفرضيات. لا تنقل الأدلة الحساسة الخام إلى مجموعة محادثة واسعة.

قيّم الأثر والنطاق بصورة مؤقتة

اسأل عما شوهد والحساب أو الخدمة المعنية وبداية النشاط واستمراره. حدد احتمال تأثر تشغيل العملاء أو البيانات الحساسة أو الإدارة. قد يكون جهاز واحد ظاهرًا لحادث هوية أوسع؛ لا تعتبر النطاق الأول نهائيًا. احفظ السجلات المتاحة قبل انتهاء الاحتفاظ، وحدد المخول بجمع الأدلة. عند ظهور التزامات إخطار قانونية أو تعاقدية، استعن بالمختصين بدل اختراع مواعيد أو إرسال إشعارات غير معتمدة.

اختر الاحتواء بقرار مسجل

قد يحد العزل من الضرر لكنه قد يوقف التشغيل أو يفقد معلومات متطايرة إذا نُفذ بلا تقدير. يوازن المسؤول المخول بين الأثر والأدلة والبدائل؛ قد يناسب الحالة إلغاء جلسة أو تعطيل اعتماد أو عزل جهاز بأداة معتمدة. وثق سبب الاختيار والأثر المتوقع على العمل. لا تمسح جهازًا أو تحذف سجلات أو تشغل برنامج تنظيف غير مجرب لمجرد اختفاء التنبيه. صعّد التحقيق حين يتجاوز خبرة الفريق.

جهز التعافي دون إعلان انتهاء الحادث

حدد النسخ السليمة واعتمادات الاستعادة واعتمادات الخدمات أثناء الاحتواء. خادم بديل لا يكفي إذا كان الاعتماد المكشوف سيعيد للمهاجم الوصول. قبل فتح الخدمة، حدد فحوص نقطة الدخول واستمرار الوصول الخبيث وسلامة البيانات وسلوك العمل الطبيعي. استعد الخدمة على مراحل مع مراقبة، واحصل على قبول صاحب القرار لما بقي من عدم يقين. سجل تغييرات المستجيبين حتى يمكن فصلها عن نشاط المهاجم لاحقًا.

اختم الجولة الأولى بتسليم واضح

أعد ملخصًا قصيرًا للحقائق المؤكدة والخدمات المتأثرة أو المحتمل تأثرها والإجراءات والأسئلة المفتوحة والمسؤولين وموعد التحديث التالي. تجنب الجزم بحجم الأثر قبل كفاية الأدلة. حافظ على خط زمني وإمكانية الوصول لمن يملك قرار العزل أو العودة. في المراجعة اللاحقة، افحص وصول التنبيه وتأخر القرار ونقص السجلات أو بيانات التواصل. تطوير هذه الظروف أهم من افتراض أن قائمة واحدة تستطيع تحديد نتيجة كل حادث.