الاستجابة للحوادث
أنشطة الاستجابة للحوادث
ماذا ستتعلّم؟
- ترتّب مراحل الاستجابة وتشرح لماذا هذا الترتيب بعينه.
- تفرّق بين الاحتواء والاستئصال والتعافي.
- تعرف قواعد الأدلّة الرقمية: سلسلة الحيازة والحفظ والحجز القانوني.
- تشرح ما تحليل السبب الجذري وصيد التهديدات ومتى يُستعملان.
أسئلة هذا الهدف تدور حول الترتيب: يصف السؤال حالة ويسأل «ما الخطوة التالية». والجواب لا يأتي من حماسة إصلاح الوضع بل من معرفة أن كل مرحلة تُفسد ما بعدها إن سُبقت.
المراحل السبع
التحضير
الخطة والفريق والأدوات والتدريب. لا يُصنَع أثناء الحادثة — إمّا موجود أو لا.
الكشف
ملاحظة أن شيئًا وقع، من تنبيه أو بلاغ أو ملاحظة.
التحليل
تحديد النطاق: ما المصاب وما المتأثّر وما المسار. الاحتواء قبل معرفة النطاق يوقف أنظمة سليمة ويترك مصابة.
الاحتواء
منع الانتشار مع الحفاظ على الأدلّة. عزل لا إطفاء — إطفاء الجهاز يمحو ذاكرته وفيها أثمن الأدلّة.
الاستئصال
إزالة السبب: البرمجية، الحساب المخترَق، الثغرة المستغَلّة.
التعافي
إعادة الخدمة مع مراقبة مكثّفة — لأن المهاجم قد يكون ترك بابًا لم يُكتشَف.
الدروس المستفادة
أكثر المراحل إهمالًا، ولهذا تتكرّر الحادثة نفسها.
لا تُطفئ الجهاز
الغريزة الأولى عند اكتشاف إصابة هي فصل الكهرباء. وهي خطأ: الذاكرة تحوي العمليات الجارية والاتصالات المفتوحة ومفاتيح التشفير — وكلّها تختفي بالإطفاء. الصحيح عزل الجهاز عن الشبكة مع إبقائه يعمل، والتقاط صورة الذاكرة أولًا. إن ذكر السؤال أدلّة أو تحقيقًا فالإطفاء خيار خاطئ دائمًا.
الأدلّة الرقمية
| Chain of custody | سجلّ متّصل بمن حاز الدليل ومتى وماذا فعل به. انقطاعه يُسقط الدليل قضائيًا مهما كان صحيحًا. |
|---|---|
| Legal hold | أمر بتجميد حذف البيانات المتعلّقة بنزاع أو تحقيق. يعلو على سياسة الاحتفاظ المعتادة. |
| Acquisition / preservation | أخذ نسخة طبق الأصل والعمل عليها لا على الأصل، مع بصمة تجزئة تثبت عدم التعديل. |
| Order of volatility | جمع الأدلّة من الأسرع زوالًا إلى الأبقى: الذاكرة ثم الاتصالات ثم القرص ثم النسخ الاحتياطية. |
| Root cause analysis | لماذا وقع أصلًا؟ لا «ما البرمجية» بل «كيف دخلت ولماذا لم نرها». |
| Threat hunting | بحث استباقي عن مهاجم موجود لم يُطلق أي تنبيه. يفترض الاختراق بدل انتظار الإنذار. |
سياق حديث: NIST غيّر البنية
الترتيب أعلاه هو ما يختبره SY0-701. وللعلم فقط: أصدرت NIST في أبريل 2025 النسخة الثالثة من SP 800-61 وأعادت بناءها حول إطار الأمن السيبراني 2.0 بدل الدورة الرباعية التقليدية. هذا لا يغيّر ما يُسأل عنه في الاختبار، ومن المفيد أن تعرف أن المرجع تطوّر.
مثال واقعي: ترتيب يفسده الاستعجال
يكتشف محلّل فدية على خادم ملفّات. الاستجابة السيّئة: يطفئ الخادم فورًا، ثم يمسحه ويستعيده من نسخة احتياطية، ثم يعلن انتهاء الحادثة. النتيجة أن الذاكرة ضاعت فلا يُعرف كيف دخل المهاجم، والنسخة المستعادة قد تحوي البرمجية نفسها لأن تاريخ الإصابة مجهول، والحساب المخترَق الذي استُعمل ما زال يعمل. والاستجابة الصحيحة: عزل الخادم عن الشبكة وهو يعمل، والتقاط صورة الذاكرة، ثم تحليل النطاق — هل أصاب غيره؟ — ثم الاستئصال، ثم التعافي بمراقبة. الفرق كلّه في أن التحليل سبق الاحتواء والاحتواء سبق الاستئصال.
ما يهمّ في الاختبار
- الاحتواء قبل الاستئصال دائمًا، والتحليل قبل الاحتواء. الترتيب هو المُختبَر.
- «افصله عن الشبكة» صحيح، و«أطفئه» خاطئ متى ذُكرت الأدلّة.
- انقطاع سلسلة الحيازة يُسقط الدليل قضائيًا. التوثيق ليس بيروقراطية هنا.
- صيد التهديدات استباقي بلا تنبيه، والاستجابة للحوادث تفاعلية بعد تنبيه. السؤال يفرّق بالمبادرة.
تحقّق سريع
أجب في ذهنك أولًا، ثم اكشف الإجابة.
لماذا يُعزَل الجهاز المصاب بدل إطفائه؟اكشف الإجابة
لأن الذاكرة تحوي العمليات الجارية والاتصالات المفتوحة ومفاتيح التشفير، وكلّها تُفقَد بالإطفاء. العزل يوقف الانتشار ويحفظ الدليل معًا.
لماذا يسبق التحليل الاحتواء؟اكشف الإجابة
لأن الاحتواء بلا معرفة النطاق يعزل ما ليس مصابًا ويترك ما هو مصاب. تحديد النطاق أولًا يجعل الاحتواء دقيقًا بدل أن يكون تخمينًا مكلفًا.
ما الفرق بين تحليل السبب الجذري والاستئصال؟اكشف الإجابة
الاستئصال يزيل ما وجدته في هذه الحادثة. وتحليل السبب الجذري يجيب: لماذا أمكن أصلًا؟ ولماذا لم نكتشفه أبكر؟ الأول يُنهي الحادثة والثاني يمنع تكرارها.
متى يبدأ صيد التهديدات؟اكشف الإجابة
بلا تنبيه. هو بحث استباقي يفترض أن مهاجمًا داخل الشبكة لم تكشفه الأدوات، ويبحث عن أثره بفرضيات. الاستجابة للحوادث تبدأ بعد إشارة، وهذا يبدأ بدونها.
سجّل الدخول لتتبّع تقدّمك في هذا الموضوع.
خطوتك التالية
اقرأ الدرس ثم علّمه مكتملًا
المصادر
استُعملت للتحقّق من المعلومات. المحتوى أصلي بصياغة Passuit.