استخراج المعلومات مما هو يشتغل أصلاً

#

أول رد فعل لأي فريق يقرر إنّه يأخذ موضوع الكشف عن التهديدات بجدية هو إنه يشتري شيء. هذا الرد عادة يكون خاطئ، وثمن الخطأ فيه يكون غالي.

أنت أصلاً تولّد بيانات تخص الأمن أكثر مما تراجعه فعلياً. السؤال مو شنو تجمع. السؤال هو شنو تراقب، وبأي ترتيب، وشنو تسوي لما يظهر لك شيء.

راجع اللي عندك أصلاً

راجع اللي موجود أصلاً. موفر الهوية عندك أو متحكم النطاق (Domain Controller) يسجّل كل عملية دخول، الناجحة والفاشلة، مع عنوان المصدر والوقت. الجدار الناري يسجّل الجلسات. مُركّز الـVPN يعرف منو اتصل، من وين، وكم مدة. بوابة البريد تشوف كل رسالة تم رفضها وليش. محلل DNS عندك يشوف كل اسم نطاق طلبته كل جهاز. وخادم DHCP هو الوحيد اللي يكدر لاحقاً يخبرك شنو الجهاز الفيزيائي اللي كان يملك عنوان معين بساعة معينة.

هذا كله ما يكلفك شيء. هو أصلاً يُكتب، بس عادة على قرص يمسحه النظام خلال أسبوعين.

الترتيب المهم

الترتيب اللي تشتغل بيه مو حسب حجم البيانات، هو حسب الفايدة. أول شيء، سجلات الدخول: هي أصغر مصدر بس تمسك أكبر فئة من الاختراقات، لأن أغلب الاختراقات تبدأ بشخص يسجّل دخول. ثاني شيء، الـDNS، لأن أي برمجية خبيثة لازم تحل اسم نطاق، وجهاز يطلب نطاق تم تسجيله من إحدى عشر يوم بالساعة الثالثة فجراً هو مؤشر تگدر تتصرف بيه مباشرة. ثالث شيء، حركة البيانات الصادرة، لأن تسريب البيانات هو السلوك الوحيد اللي ما يكدر المهاجم يتجنبه.

قرارين أهم من أي منتج

بالهندسة، فيه قرارين أهم من أي خيار منتج.

خزّن السجلات بمكان ما يكدر الجهاز المصدر يعدّل بيه. المهاجم اللي يحصل على صلاحيات مدير على سيرفر راح يمسح سجلاته، والسجل اللي موجود بس على الجهاز المُستهدف ما يصير دليل. أرسله لمكان ثاني، حتى لو الوجهة بس جهاز ثاني فيه قرص.

بعدين، صلّح الساعات. شغّل NTP بكل مكان واتفق على منطقة زمنية وحدة — UTC، واكتبها بالسجل. لمّا تحاول تربط ثلاث مصادر بثلاث فروقات زمنية مختلفة أثناء حادثة، بالساعة الثانية فجراً، هذا وين تموت التحقيقات.