السجلات الموجودة لديك، والتي ستتمنى أنك احتفظت بها

في الاختراقات التي تُنشر تفاصيلها علناً، تكون بيانات المراقبة موجودة في الغالب، لكن لم يكن هناك من يقرأها.

وهذا ليس انتقاداً للأشخاص المعنيين. فالسجلات تُنتَج تلقائياً، بكميات كبيرة، وبصيغ لم يختَرها أحد، وقراءتها تكون في ذيل أولويات الشخص إلى أن يأتي الأسبوع الذي تصبح فيه الأولوية الوحيدة. لكن هذا يغيّر طبيعة المهمة فعلياً. فنادراً ما تكون البيانات ناقصة، بل الناقص هو الانتباه.

ابدأ مما هو متوفر لديك

ابدأ مما هو متوفر لديك أصلاً، لأنه أكثر مما تتصور. سجلات تسجيل الدخول في وحدة تحكم النطاق (Domain Controller) أو مزوّد الهوية. سجلات جلسات الجدار الناري والشبكة الافتراضية الخاصة (VPN). سجلات الوصول إلى خادم الويب. سجلات بوابة البريد الإلكتروني. سجلات استعلامات DNS، وهي سجلات لا يحتفظ بها تقريباً أحد، مع أنها تجيب عن أسئلة أكثر من بقية السجلات مجتمعة. سجلات نقاط النهاية (Endpoint)، إن وُجد ما يُراقبها. وسجلات تخصيص عناوين DHCP، وهي الشيء الوحيد الذي سيخبرك لاحقاً أي جهاز فعلي كان يحمل عنواناً معيناً.

مدة بقاء المهاجم، ولماذا هي خبر جيد

والآن الأمر الذي يجب أن يغيّر طريقة تفكيرك. في حالات برمجيات الفدية التي نُشرت تفاصيلها علناً، يبقى المهاجم عادة داخل البيئة أسابيع قبل أن يُشفَّر أي شيء — وليس دقائق. أسابيع. وكل ما يفعله المهاجم خلال تلك الفترة — من فحص المجلدات المشتركة، واختبار بيانات الاعتماد، وتجهيز الأرشيفات، وفشل محاولات الدخول بحسابات غير موجودة — يُحدث ضجيجاً واضحاً، إن كان هناك من يُصغي.

وطول مدة بقاء المهاجم خبر جيد، إذا فُهم على وجهه الصحيح. فهو يعني أن الاختراق كان قابلاً للنجاة منه. ويعني أن هناك شهراً كاملاً من الأدلة أُنتجت قبل وقوع الضرر، وأن النتيجة لم تتقرر بسبب الثغرة التي سمحت بالدخول، بل بسبب أن لا أحد نظر إليها.

احتفظ بثلاثة أشياء

لذا احتفظ على الأقل بثلاثة أشياء، واحتفظ بها في مكان لا يستطيع المهاجم التعديل عليه. أحداث تسجيل الدخول، لأنها تُظهر اللحظة التي يتحول فيها السلوك الطبيعي إلى سلوك غير طبيعي. استعلامات DNS، لأن أي برمجية خبيثة لا بد أن تحتاج إلى تحليل اسم نطاق. وتدفقات الشبكة الصادرة، لأن تسريب البيانات هو الشيء الوحيد الذي لا يمكن للمهاجم تجنبه.

وتسعون يوماً حد أدنى معقول لمدة الاحتفاظ بالسجلات. فمعظم الاختراقات تُكتشف بعد وقت طويل من بدايتها، والسجل الذي دارت دورته وحُذف يُعادل السجل الذي لم تجمعه أصلاً.

عادة تستحق أن تبنيها من الآن: مرة في الأسبوع، اختر حساباً واحداً واقرأ كل ما فعله. ليس بحثاً عن شيء معيّن، بل لتتعلّم كيف يبدو السلوك الطبيعي، لأن هذه هي الطريقة الوحيدة التي ستمكّنك لاحقاً من ملاحظة السلوك غير الطبيعي.