الكشف اللي يطابق اسم ملف يمسك مهاجم واحد بالضبط: هو الوحيد اللي ما غيّر اسم الملف.
رخيص التغيير، غالي التغيير
هاي أهم فكرة بهذا المجال. بعض الأشياء اللي تگدر تكتشفها، تغييرها على المهاجم سهل وبسيط، وبعضها غالي وصعب. الهاش يتغيّر بإعادة الترجمة (recompile). اسم الملف يتغيّر بكتابة بسيطة. الدومين يتغيّر بصرف دولار واحد. بس تسلسل الأفعال اللي يسويها الشخص بعد ما يدخل — يستكشف الشبكة، يسحب بيانات الدخول، يتحرك جانبياً، يجمّع البيانات، ويطلع — هذا هو أسلوب شغله. لو يريد يغيّر هذا، لازم يتعلم شغلة جديدة من الصفر.
لذلك اكتب كشوفاتك بالجهة الغالية، وتعامل مع الجهة الرخيصة كشي قابل للتخلي عنه.
مثال واضح. "نبّه إذا طلع ملف اسمه psexec.exe" ما له فايدة؛ تغيير الاسم يفشّل الخطة. بس "نبّه إذا انشأ حساب خدمة عن بعد على جهاز، وهذا الحساب ما سوى هيج شي من قبل" يمسك التقنية نفسها بغض النظر شلون تسمّى الملف التنفيذي، لأن إنشاء خدمة عن بعد هو جوهر شغلة الأداة.
القاعدة اللي تعلّم الناس يوقفون عن القراءة
هسه نوصل للجزء اللي يحدد هل كل هذا الكلام يصمد قدام أسبوع شغل حقيقي: كل كشف لازم يكون عنده "قصة إنذار كاذب" قبل ما يشتغل فعلياً.
مشكلة الفشل الحقيقية مو إنذار فاتك. المشكلة أربعين إنذار باليوم كلهم من برنامج النسخ الاحتياطي، وهذا يعلّم الشخص المناوب يسكّر القائمة بلا قراءة، وبعد ثلاثة أسابيع ييي إنذار حقيقي ويتسكر بنفس السرعة. الكشف المزعج أسوأ من عدم وجود كشف أصلاً، لأنه يكلفك انتباه ما كان عندك أصلاً، ويعلّم ردة فعل غلط.
شلون تكتب قاعدة
لكل قاعدة، اكتب جنبها ثلاث نقاط. شنو الشي الطبيعي اللي ممكن يسوي نفس الفعل. چم مرة تتوقع تنطلق هذي القاعدة. شنو المفروض يسوي الشخص اللي يستلم الإنذار. إذا ما تگدر تجاوب على النقطة الثالثة، القاعدة ناقصة — هي بس تنبيه بلا هدف.
ابدأ ضيّق وبعدين وسّع. قاعدة تراقب بس أربعة حسابات مدراء دومين راح تنطلق نادراً، وكل مرة تنطلق تعني شي حقيقي. نفس القاعدة لو طبّقتها على كل الحسابات، راح تغرقك باليوم الأول وتنطفي باليوم الثالث.
واضبط القاعدة بالاستثناء، مو بالحذف. إذا برنامج النسخ الاحتياطي فعّل القاعدة، استثنِ هذا الحساب على هذا الجهاز لهذا الفعل بالذات، واكتب السبب. حذف القاعدة يضيّع الكشف كله؛ بينما الاستثناء الموثّق يحافظ عليه ويخبر الشخص الجاي شنو سبق وفهمته.
Five rules and a week of their output. The column you need is not in the table; sort by the one that is worked out for you, and notice that the busiest rule and the worst rule are not the same rule.
rule fired confirmed -------- ----- --------- RULE-101 18 14 RULE-118 412 1 RULE-126 7 7 RULE-140 63 21 RULE-155 204 88