Threat Hunting Engagement: ما الذي يشمله البحث المحدد زمنيًا

ما هو

يُنظَّم العمل حول مجموعة صغيرة من الفرضيات المتفق عليها. وقبل البحث، يحدد الطرفان مصادر بيانات القياس، ونوافذ الاحتفاظ، وطريقة الوصول، وحدود الحساسية، وجهات الاتصال المسمّاة، وموافقات المزوّدين حيثما لزمت، والقرار الذي ينبغي أن تستند إليه النتائج. ويراجع المحلّلون الأنماط المريبة وعناصر مؤشرات الاختراق (IOC) أو مؤشرات الهجوم (IOA) ذات الصلة، ثم يصنّفون المواد إلى معلوماتية أو مريبة أو مؤكَّدة الأهمية ضمن الأدلة المتاحة. ويسجّل التقرير فجوات الكشف وبيانات القياس إلى جانب النتائج والأولويات والقيود. وهو بحث مركّز ومحدد زمنيًا؛ أما المراقبة والاستجابة للحوادث والتحقيق الرقمي المعمّق والمعالجة فتُدار عبر ترتيبات منفصلة عند الحاجة.

لمن هذا؟

يفيد البحث الفرق التي:

• لديها مصدر قلق أو فرضية محددة قد تتمكن بيانات القياس الحالية من الإجابة عنها
• تستطيع إتاحة أدلة متفق عليها من نقاط النهاية أو الهوية أو السحابة أو الشبكة أو التطبيقات لنافذة مراجعة محدودة
• تحتاج إلى تمييز منظّم بين الإشارات المعلوماتية والأنماط المريبة والعناصر التي تحتاج إلى متابعة من مالك مسمّى
• تريد فهم فجوات بيانات القياس والكشف قبل اختيار أعمال أوسع في المراقبة أو الاستجابة أو الهندسة

ما يساعد على توضيح

يساعد البحث على توضيح:

• الفرضيات التي يمكن استكشافها بشكل معقول من المصادر والاحتفاظ والوصول وجودة الأدلة المتفق عليها
• الأنماط أو العناصر المعلوماتية أو المريبة أو المؤكَّدة الأهمية ضمن حدود المراجعة
• المواضع التي تقلل فيها السجلات المفقودة أو قصر مدة الاحتفاظ أو الصلاحيات أو حدود المزوّد أو قيود الحساسية من درجة الثقة
• سؤال الكشف أو التحقيق أو التشغيل أو الاستجابة الذي ينبغي أن يعالجه المالك المناسب بعد ذلك

ما هو متضمن

• فرضيات مؤكَّدة، ومصادر بيانات القياس، ونوافذ الاحتفاظ، وطريقة الوصول، وقيود الحساسية، وجهات اتصال مسمّاة، وتنسيق مع المزوّد حيثما لزم، ونافذة البحث
• مراجعة بيانات القياس المتفق عليها من نقاط النهاية أو الهوية أو السحابة أو الشبكة أو التطبيقات بحثًا عن أنماط ذات صلة وعناصر IOC أو IOA
• فرز قائم على الأدلة للمواد المعلوماتية والمريبة والمؤكَّدة الأهمية
• توثيق فجوات الكشف وبيانات القياس وحدود النطاق والنتائج والمتابعة المرتّبة حسب الأولوية
• جلسة استخلاص مشتركة مع أصحاب المصلحة المسمّين لمناقشة الأدلة وعدم اليقين والتصعيد والأسئلة التالية

ما لا يشتمل عليه

• المراقبة المستمرة، أو MDR، أو عمليات SOC دون انقطاع، أو الاستجابة المناوبة للتنبيهات، أو النشر التلقائي للوكلاء والتسجيل
• الاستجابة الحية للحوادث، أو الاحتواء العملي، أو تنفيذ التعافي، أو تنفيذ المعالجة، أو تحقيق رقمي معمّق كامل
• أي التزام باكتشاف اختراق أو برمجية خبيثة أو سبب جذري أو تهديد أو إجراء مريب، أو ببيئة نظيفة
• منح الاعتماد، أو تغطية كشف شاملة، أو مراجعة مصادر خارج الحدود الزمنية وحدود الأدلة المتفق عليها

متى تختارها

اختر البحث عندما تستطيع المؤسسة صياغة سؤال مركّز، مثل: هل يظهر نمط ما في مجموعة محددة من بيانات القياس، أو هل لمؤشر معروف صلة بالبيئة، أو هل تحتاج فجوة في الضوابط إلى أدلة أوضح. وهو مفيد بعد تغيير في التسجيل، أو مصدر قلق أثاره أحد أصحاب المصلحة، أو قبل تقرير ما إذا كان نموذج التشغيل يحتاج إلى التوسع. وفي الحالات الطارئة، يكون ترتيب الاستجابة الطارئة هو المسار الصحيح. وإذا ظهرت مؤشرات على حادث نشط أثناء العمل، تُصعَّد إلى جهات الاتصال المسمّاة، وقد تتطلب دعم استجابة محدد النطاق بشكل منفصل.

نهجنا

يبدأ البحث بأسئلة واضحة. فنتفق على الفرضيات ونجمع خريطة الأدلة المتاحة: المصادر، والاحتفاظ، ومسار الوصول، وقيود الحساسية، وشروط المزوّد، وجهات الاتصال، والنافذة الزمنية. ثم يتتبّع المحلّلون مسار الأدلة المعتمد، مع الحفاظ على التمييز بين الملاحظة والاستنتاج المؤكد. ويُسجَّل مصدر البيانات المفقود بوصفه فجوة بدلًا من اعتباره نتيجة سلبية. وفي جلسة الاستخلاص، يتلقى العميل سردًا موجزًا للنتائج، والعناصر ذات الصلة، وملاحظات الكشف، والقيود، والمتابعة المرتّبة حسب الأولوية. ويدعم هذا السجل اختيارًا مستنيرًا بشأن الضبط أو بيانات القياس الإضافية أو التحقيق أو الاستجابة أو عمل منفصل. كما يسجّل التقرير ظروف المراجعة العملية: متى كانت الأدلة متاحة، وأي الأنظمة لم تكن مرئية، وهل أثّر الاحتفاظ أو الوصول في النتيجة. ويتيح ذلك لمسؤول الأمن مقارنة البحث بالعمليات المعتادة ومعرفة كيف يكمّل برنامج المراقبة. ولا يُنظر في بحث لاحق إلا حين يبرّره سؤال جديد أو تغيير في المصادر أو نقطة قرار.

الأسئلة المتكررة

مقالات ذات صلة