الساعات الأربع والعشرون الأولى من الحادث السيبراني: ما يجب فعله وما يجب تجنّبه

تكتشف معظم المؤسسات الحادث من خلال شيء غريب: رسالة فدية، أو تنبيه لا يفهمه أحد، أو مورّد يسأل عن فاتورة غريبة وصلته من بريدك. وما يحدث بعد ذلك يكون عادةً ارتجالًا. لكن بضع قواعد بسيطة تصنع فرقًا كبيرًا.

لا تُطفئ كل شيء

قطع الكهرباء يمحو الذاكرة، وهي كثيرًا ما تحتوي على أدوات المهاجم واتصالاته الشبكية ومفاتيح التشفير. اعزل الأجهزة المصابة عن الشبكة حيثما أمكن، باستخدام أداة كشف التهديدات على الأجهزة أو بفصل كابل الشبكة، واتركها تعمل حتى تُجمع الأدلة.

احفظ الأدلة

• صدّر سجلات الجدران النارية والشبكات الافتراضية الخاصة والبريد وأنظمة الهوية ولوحات التحكم السحابية قبل أن تُستبدل؛
• خذ نسخًا من الذاكرة والأقراص للأنظمة الرئيسية؛
• سجّل من فعل ماذا ومتى منذ الدقيقة الأولى؛
• حافظ على سلسلة الحيازة لكل ما قد تحتاج إليه الشرطة أو شركات التأمين أو المحاكم.

تواصل عبر قناة منفصلة

إذا كان المهاجم يصل إلى البريد أو تطبيقات المحادثة، فقد يقرأ خطوات استجابتك. انقل فريق الحادث إلى الهاتف أو إلى قناة منفصلة نظيفة. واتفقوا على من يتحدث إلى الموظفين والعملاء وشركات التأمين والصحافة، ولا تقولوا شيئًا علنًا حتى يجري التحقق من الحقائق.

حدّد النطاق قبل التنظيف

الإغراء هو إعادة تعيين كلمات المرور وإعادة بناء أول جهاز مصاب فورًا. لكن إن كانت للمهاجم مواطئ قدم أخرى، فسيلاحظ رد الفعل ويغيّر أسلوبه. اكتشف كيف دخل، وأي الحسابات استخدم، وإلى أين وصل، ثم أخرجه من كل مكان دفعة واحدة، بما في ذلك إعادة تعيين بيانات الدخول للحسابات ذات الصلاحيات العالية وحسابات الخدمات.

راجع التزاماتك

قد يفرض قانون حماية البيانات، والجهات الرقابية القطاعية، ووثائق التأمين السيبراني، وعقود العملاء، الإبلاغَ خلال مهل محددة. أعدّ قائمة بها في اليوم الأول، مع تاريخ ووقت بدء كل مهلة.

بعد ذلك

استعد الأنظمة من نسخ احتياطية تحققت من نظافتها، وراقب عن كثب أي محاولات للعودة، واكتب تقريرًا قصيرًا يتضمن السبب والتسلسل الزمني والإصلاحات. فالدروس لا تفيد إلا إذا تولّى أحد مسؤوليتها.

فريق الاستجابة للحوادث لدينا متاح على مدار الساعة للاحتواء والتحقيق الجنائي الرقمي والتعافي، ويساعد العملاء أيضًا على إعداد الخطط والتدرّب عليها قبل الحاجة إليها.