لا تنتظر وصول الهجوم إليك.. اكتشف المهاجم قبل أن يصدر التنبيه!

تساعد استخبارات التهديدات السيبرانية (Threat Intelligence) فرق الأمن على فهم المهاجمين وأساليبهم والبنية التحتية التي يستخدمونها، بينما يسمح الصيد الاستباقي للتهديدات (Threat Hunting) بالبحث عن الأنشطة المشبوهة التي قد لا تكتشفها أنظمة التنبيه التقليدية. من المهم أن يتعلم محلل SOC الفرق بين ثلاثة مفاهيم: - IOC: مؤشرات الاختراق، مثل عناوين IP المشبوهة وأسماء النطاقات والملفات ذات البصمات المعروفة. - TTPs: تكتيكات وتقنيات وإجراءات المهاجمين، وهي تصف كيف ينفذ المهاجم عملياته بدل الاكتفاء بمؤشر واحد. - Threat Intelligence: المعلومات التي تساعد على تفسير التهديدات وتقييم مدى ارتباطها بالبيئة المستهدفة. ومن الأدوات والمنصات المهمة MISP، التي تساعد على تنظيم ومشاركة معلومات التهديدات، وVirusTotal الذي يوفر معلومات حول الملفات والنطاقات وعناوين IP من مصادر أمنية متعددة. كما يمكن استخدام OSINT، أي جمع المعلومات المتاحة علنًا، للمساعدة في فهم البنية التحتية الرقمية المرتبطة بتهديد معين. أما Threat Hunting فيعتمد على وضع فرضية ثم البحث عن أدلة تؤكدها أو تنفيها. مثال: قد تضع فرضية أن أحد الأجهزة داخل المؤسسة يتواصل مع خادم خارجي بصورة دورية. تبدأ بمراجعة سجلات DNS والشبكة والعمليات، ثم تبحث عن نمط الاتصالات وتتحقق من طبيعة النطاق وعلاقته بالتهديدات المعروفة. ومن الأخطاء الشائعة الاعتماد على مؤشر واحد باعتباره دليلًا نهائيًا؛ فعنوان IP قد يكون مشتركًا بين خدمات متعددة، كما أن بعض المؤشرات تفقد قيمتها مع مرور الوقت. نصيحة عملية: اختر حادثة منشورة، واستخرج منها مؤشرات الاختراق والتقنيات المستخدمة، ثم ابحث عن آثار مشابهة في سجلات بيئة تدريبية. المصادر: MISP Project: misp-project.org VirusTotal: virustotal.com MITRE ATT&CK: attack.mitre.org