لم تعد حملات التصيّد مجرد رسائل بريد إلكتروني تهدف لخداع الموظفين، بل تطورت لتصبح وسيلة لإرهاق المحللين الأمنيين داخل مراكز العمليات الأمنية (SOC). عندما يستغرق التحقيق في رسالة مشبوهة 12 ساعة بدلاً من خمس دقائق، يتحول الموقف من حادث يمكن احتواؤه إلى اختراق كامل.
التصيّد كسلاح ضد فرق الأمن
لطالما ركزت الصناعة على “الباب الأمامي” للدفاع ضد التصيّد: تدريب الموظفين، بوابات البريد الإلكتروني، وبرامج الإبلاغ عن الرسائل المشبوهة. لكن القليل من الاهتمام وُجه إلى ما يحدث بعد الإبلاغ، وكيف يستغل المهاجمون عملية التحقيق نفسها.
المهاجمون يرسلون آلاف الرسائل منخفضة الجودة التي تلتقطها البوابات أو الموظفون المدربون، لكنها تُغرق الـ SOC بتقارير وتنبيهات. وسط هذا الضجيج، تُدفن رسائل تصيّد دقيقة تستهدف أفراداً ذوي صلاحيات حساسة. هذه الاستراتيجية تُعرف أحياناً بـ هجوم حجب الخدمة المعلوماتي (IDoS)، حيث يصبح عبء العمل نفسه سطح هجوم.
نمط الفشل المتوقع
عندما يرتفع حجم البلاغات، يبدأ المحللون في تقليل وقت التحقيق لكل رسالة، ويعتمدون على مؤشرات سطحية. الأبحاث تشير إلى أن 66% من فرق SOC لا تستطيع مواكبة حجم التنبيهات. النتيجة: انخفاض جودة القرارات، وتجاهل مؤشرات جديدة قد تكون هي الحمولة الحقيقية.
المهاجمون يستغلون هذا النمط عبر رسائل مصممة لتبدو كالمراسلات الروتينية، مثل إشعارات مشاركة الملفات أو رسائل من موردين، مما يجعلها تمر بسرعة في طوابير التحقيق.
اقتصاديات الهجوم
تكلفة المهاجم لإرسال آلاف الرسائل شبه مجانية، خاصة مع أدوات الذكاء الاصطناعي التي تولد قوالب بسرعة. لكن تكلفة المدافع لكل رسالة مُبلّغ عنها هي دقائق أو ساعات من وقت محلل ماهر. هذه اللا تماثلية تجعل المدافع في موقف استنزاف دائم، حيث يضطر للتحقيق في كل شيء خوفاً من فقدان الرسالة الحقيقية.
المفارقة أن نجاح برامج التوعية الأمنية يزيد المشكلة: المزيد من الموظفين المدربين يعني المزيد من البلاغات، وبالتالي ضغط أكبر على فرق التحقيق.
الحل: تحقيقات جاهزة للقرار
المشكلة ليست نقص المعلومات، بل بطء تحويلها إلى قرارات واضحة. الحل يكمن في التحقيقات الجاهزة للقرار، حيث يقدم النظام للمحلل نتيجة مدعومة بالأدلة بدلاً من مؤشرات خام. هذا يقلل الحاجة للتخمين تحت ضغط الوقت.
النهج الجديد يعتمد على وكلاء ذكاء اصطناعي متخصصين، كل منهم يركز على جانب محدد: التحقق من هوية المرسل عبر سجلات SPF وDKIM، تحليل النص واللغة لاكتشاف أساليب الهندسة الاجتماعية، وربط البلاغات ببيانات الأجهزة الطرفية لرصد أي سلوك غير طبيعي. النتيجة هي سلسلة أدلة شفافة يمكن للمحلل مراجعتها وبناء ثقة تدريجية في النظام.
من ساعات إلى دقائق
الفرق بين تحقيق يستغرق 12 ساعة وآخر يُحسم في أقل من خمس دقائق ليس مجرد كفاءة تشغيلية، بل فارق أمني جوهري. في 12 ساعة يمكن للمهاجم استخدام بيانات اعتماد مسروقة للتحرك جانبياً داخل الشبكة، بينما في خمس دقائق يمكن إبطال هذه البيانات قبل أن يرسخ المهاجم وجوده.
الأنظمة المدعومة بالذكاء الاصطناعي لا تتعب ولا تتأثر بحجم البلاغات، ما يجعلها قادرة على امتصاص موجات التصيّد الجماعي بنفس الصرامة التي تحقق بها في رسائل التصيّد الموجهة.
قياس مرونة الـ SOC
المقاييس التقليدية مثل متوسط زمن الإغلاق أو عدد التذاكر لا تعكس القدرة على مواجهة استغلال عبء العمل. المقاييس الجديدة يجب أن تركز على:
- ثبات جودة التحقيق تحت الضغط.
- سرعة الوصول إلى قرار واضح.
- دقة التصعيد في فترات الذروة.
- نسبة الشفافية في القرارات الآلية.
عندما تصبح جودة التحقيق وسرعته ثابتة بغض النظر عن حجم البلاغات، تنهار استراتيجية المهاجم القائمة على استنزاف الموارد. الضجيج لم يعد غطاءً، والرسائل الدقيقة لم تعد تستفيد من محلل مرهق.
