هل يستطيع جهاز الكمبيوتر إخبارك أن المهاجم موجود بداخله؟ تعرّف على تقنيات EDR!

تُعد حماية الأجهزة الطرفية من الجوانب الأساسية في عمل محلل مركز العمليات الأمنية، لأن أجهزة الموظفين والخوادم قد تكون نقطة البداية لكثير من الهجمات الإلكترونية. تعمل حلول اكتشاف التهديدات والاستجابة لها على الأجهزة الطرفية (EDR) على جمع معلومات تفصيلية حول أنشطة الأجهزة، مثل تشغيل العمليات، والتغييرات التي تحدث للملفات، والاتصالات الشبكية، وبعض محاولات الاستمرارية داخل النظام. ومن المهارات التي يجب تعلمها: - تحليل تنبيهات EDR: فهم سبب إصدار التنبيه، والعملية المرتبطة به، والمستخدم الذي نفذ النشاط. - تحليل شجرة العمليات (Process Tree): تتبع العلاقة بين البرنامج الأصلي والعمليات التي أنشأها، لمعرفة ما إذا كان هناك سلوك غير طبيعي. - اكتشاف آليات الاستمرارية (Persistence): فهم الطرق التي قد يستخدمها المهاجم لضمان استمرار تشغيل برامجه بعد إعادة تشغيل الجهاز. - تحليل سلوك الملفات والاتصالات: تحديد البرامج التي تتصل بعناوين خارجية أو تنفذ عمليات غير معتادة. ومن الأدوات المفيدة في هذا المجال Wazuh، الذي يوفر إمكانات للمراقبة الأمنية وتحليل الأحداث، وVelociraptor الذي يساعد في جمع الأدلة والاستجابة والتحقيق عبر الأجهزة. مثال تطبيقي: إذا أنشأ برنامج مكتبي غير معروف عملية فرعية تشغل PowerShell، ثم حاول البرنامج الاتصال بعنوان خارجي، يستطيع المحلل مراجعة شجرة العمليات وتوقيت التنفيذ وسطر الأوامر والاتصالات المرتبطة به لتحديد طبيعة النشاط. من المهم ألا يتم عزل الجهاز أو إيقاف العمليات بصورة عشوائية، بل يجب اتباع إجراءات الاستجابة المعتمدة في المؤسسة والمحافظة على الأدلة عند الحاجة. نصيحة: تدرب على تحليل شجرة العمليات داخل بيئة افتراضية آمنة، وتعلم كيف تميز بين تشغيل البرامج الطبيعي والسلوك الذي يستحق التحقيق. المصادر: Wazuh Documentation: documentation.wazuh.com Velociraptor Documentation: docs.velociraptor.app Microsoft Defender for Endpoint: learn.microsoft.com