في ظل وفرة بيانات المراقبة المتاحة أمام فرق الأمن السيبراني، ما زالت فرق العمليات الأمنية تواجه صعوبة في الإجابة عن أسئلة أساسية أثناء التحقيقات: ماذا حدث؟ ما الأدلة المتوفرة؟ وكيف نضمن أننا نرى الصورة كاملة في سياقها؟ هذه التحديات تتفاقم مع تسارع اكتشاف الثغرات في ما يُعرف بـ”عصر الميثوس”، حيث لم تعد التنبيهات وحدها كافية، بل باتت الحاجة ملحّة إلى أدلة موثوقة تثبت وجود استغلال فعلي أو تعرض مباشر.
لماذا الاعتراض الشبكي ضرورة؟
يرى ريتشارد بيتليتش أن برامج الأمن القوية لا يجب أن تقتصر على الوقاية، بل عليها التركيز على الاعتراض (Interdiction)، أي تعطيل النشاط الخبيث قبل أن يحقق المهاجم أهدافه. فالتحكم المسبق لا يمنع دائمًا استخدام بيانات اعتماد مسروقة، ولا يوقف البرمجيات الخبيثة عند الحدود، ولا يحول دون تسرب البيانات. لذلك، يطرح بيتليتش أن النجاح الدفاعي الحقيقي يكمن في القدرة على عزل المهاجمين واحتوائهم بعد الاختراق الأولي وقبل حدوث خرق شامل. هنا يأتي دور NDR، الذي يوفر رؤية شاملة لحركة المرور داخل الشبكة، ويتيح التدخل النشط بدلًا من الاكتفاء بالحواجز السلبية.
أدلة الشبكة.. أساس التحقيقات
يُبرز الكتاب أربعة مصادر رئيسية للأدلة الشبكية:
- التقاط الحزم الكاملة
- الملفات المستخرجة
- سجلات المعاملات
- التنبيهات والكشف
هذه الأدلة تمنح فرق الأمن وعيًا سياقيًا عالي الدقة، وتساعد في منع انتشار الهجوم والحفاظ على أدلة موثوقة يمكن الاستناد إليها في التحقيقات.
الصيد التهديدي يبدأ بفرضية
يؤكد بيتليتش أن الصيد التهديدي لا يجب أن يُبنى على متابعة التنبيهات فقط، بل على فرضية حول تقنيات الخصم. بعد صياغة الفرضية، يُجري المحلل استعلامات على سجلات الشبكة للتحقق منها أو نفيها. من بين التقنيات الاستباقية:
- التعرف على الملفات التنفيذية المشبوهة
- التحقيق في البروتوكولات غير المعتادة
- تتبع عمليات نقل البيانات الكبيرة للخارج
- كشف التحركات الجانبية داخل الشبكة
- تحليل شهادات التشفير المكشوفة
الذكاء الاصطناعي في خدمة الـNDR
لقد غيّر الذكاء الاصطناعي مشهد الدفاع الشبكي كما غيّر الهجمات. يوضح بيتليتش أن دمج الذكاء الاصطناعي في التحقيقات يعزز الكفاءة ويقلل العبء الذهني على المحللين. ثلاثة مجالات رئيسية يبرزها الكتاب:
- إطارات التنبيه المحسّنة: تحديد مكان وكيفية جمع بيانات المرور.
- الفرز الآلي بالوكيل: تسريع الاستجابة للحوادث عبر وكلاء مستقلين.
- تشغيل الأدوات المتكاملة: تنسيق أدوات الشبكة والنقاط الطرفية والسحابة والتطبيقات.
مع ذلك، يبقى التحقق البشري عنصرًا أساسيًا لضمان دقة النتائج ومنع الانحرافات.
دروس تشغيلية للفرق الأمنية
يقدم الكتاب توصيات عملية، أبرزها:
- اعتماد استراتيجية “الصفر-تنبيه” لتجنب إرهاق الفرق بكثرة القواعد المسبقة.
- التعامل مع التنبيه كبداية للتحقيق وليس كتعريف نهائي للحادث، ما يضمن جمع الأدلة بشكل شامل ودقيق.
