الساعات الأربع الأولى، والقرارات التي لا يمكن التراجع عنها

أول شيء يفعله معظم الناس عند وقوع حادثة هو الشيء الذي يدمّر الأدلة.

يكتشف أحدهم جهازاً مشبوهاً فيعيد تشغيله. أو يعيد تهيئته بالكامل. أو يسحب كابل الشبكة، وبعد ساعة لا يستطيع الإجابة على السؤال الوحيد المهم: هل سُرق شيء، ومن أين أيضاً. الذاكرة تختفي، وقائمة العمليات الجارية تختفي، والاتصالات القائمة التي كانت ستكشف عن الجهاز الثاني المخترق تختفي معها.

ما يمكن التراجع عنه وما لا يمكن

إذن المهارة المفيدة هنا ليست السرعة. المهارة هي معرفة أي الإجراءات يمكن التراجع عنها وأيها لا يمكن، واتخاذ الإجراءات التي لا رجعة فيها بقرار واعٍ لا بردّ فعل تلقائي.

قابل للتراجع: عزل جهاز عند السويچ أو الجدار الناري، تعطيل حساب، حجب عنوان، إلغاء جلسة. كل هذه الإجراءات توقف النزيف ويمكن التراجع عنها خلال دقيقة إذا تبيّن أن القرار كان خاطئاً.

غير قابل للتراجع: إعادة التشغيل، إعادة التهيئة، حذف الملفات، تشغيل برنامج تنظيف. هذه الإجراءات تدمّر حالة كانت موجودة فقط في الذاكرة أو فقط في ذلك النظام، ولا يمكن استرجاعها مهما تمنّيت ذلك.

الساعة الأولى، بالترتيب

هذا يعطيك ترتيب العمل في الساعة الأولى. احتوِ المشكلة بإجراءات قابلة للتراجع. اجمع الحالة المتطايرة — الذاكرة أولاً، لأنها تختفي بانقطاع الطاقة، ثم قائمة العمليات، والاتصالات الشبكية، والمستخدمين المسجَّلين الدخول. بعد ذلك فقط قرّر بشأن القرص الصلب.

هناك توتر حقيقي هنا، ومن الأفضل الاعتراف به بدل التظاهر بأنه يُحل بسهولة. كل دقيقة تقضيها في الحفاظ على الأدلة هي دقيقة لا يزال فيها المهاجم داخل النظام. أحياناً القرار الصحيح هو التضحية بالأدلة ووقف الضرر — فإذا كان برنامج الفدية يشفّر البيانات فعلياً، لن يشكرك أحد على نسخة جميلة من ذاكرة الجهاز الذي شُفّرت فيه كل البيانات أثناء انشغالك بأخذ النسخة. المهم أن يكون هذا قراراً تتخذه بوضوح، مع شخص آخر، وتدوّنه كتابياً. لا أن يحدث لأن أحدهم أصابه الذعر.

أمران آخران يحددان مصير الأسبوع

أمران آخران يحددان كيف يسير الأسبوع.

تواصلوا عبر قناة لا يستطيع المهاجم الوصول إليها. إذا كان يسيطر على خادم بريدكم، فإن قناة التواصل الخاصة بالحادثة داخل ذلك البريد مكشوفة له ويقرأها. اتفقوا على القناة البديلة قبل أن تحتاجوها، لأن الاتفاق عليها أثناء الحادثة متأخر جداً.

واحتفظوا بجدول زمني أثناء العمل لا بعده. مستند واحد مشترك، لا يُحذف منه شيء، كل إجراء مسجَّل بتوقيت UTC ومع اسم من قام به. قد يبدو هذا عبئاً زائداً في الساعة الأولى، لكنه السبب الوحيد الذي يمكّنك من الإجابة على الأسئلة في الأسبوع الثالث — سواء من مجلس إدارتكم، أو من جهة رقابية، أو من الشخص الذي يتولى المهمة بعدك حين لا تكون قد نمت.