تضمّن SIEM لدى مورّد خدمات تقنية قواعد ارتباط عُيّنت لها مستويات خطورة ثابتة، عالية ومتوسطة ومنخفضة، عند كتابتها. واستندت تعيينات الخطورة إلى ملف مخاطر التقنية في وقت تطوير القاعدة. وكانت اتفاقيات مستوى الخدمة لمراجعة التنبيهات كالتالي: مراجعة التنبيهات العالية خلال ثلاثين دقيقة، والمتوسطة خلال أربع ساعات، والمنخفضة خلال أربع وعشرين ساعة. وعندما أشارت استخبارات التهديدات الواردة من ISAC الخاص بقطاع المورّد إلى أن مجموعة معينة من الجهات الفاعلة في التهديد تستهدف بنشاط مورّدي الخدمات التقنية في المنطقة، ورُصدت وهي تستخدم تقنية محددة للحركة الجانبية تتضمن تنفيذ WMI من مضيف بعيد، وُزّعت إحاطة الاستخبارات على فريق الأمن. وجرى الإقرار بالإحاطة، لكن أحدًا لم يحدّث تعيين الخطورة لقاعدة SIEM التي تكشف التنفيذ عن بُعد عبر WMI، وهي قاعدة كُتبت قبل عامين حين صُنّف التنفيذ عن بُعد عبر WMI متوسط الخطورة لأنه كان شائعًا نسبيًا بوصفه تقنية إدارية مشروعة ويتطلب سياقًا إضافيًا محددًا لتأكيد النية الخبيثة. وبعد ثلاثة أيام من الإحاطة، انطلقت القاعدة إثر حدث مصادقة أعقبه تنفيذ عن بُعد عبر WMI، وهو التسلسل ذاته الذي وصفته الاستخبارات. ودخل التنبيه قائمة الانتظار المتوسطة. وكانت SLA للمراجعة خلال أربع ساعات تعني أن التنبيه رُوجع بعد ثلاث ساعات وأربعين دقيقة، أي بعد أن أنشأ المهاجم آلية ثبات قائمة على مهمة مجدولة وبدأ في تجهيز البيانات. لقد صُنّف التنبيه تصنيفًا صحيحًا في عالم يكون فيه التنفيذ عن بُعد عبر WMI مؤشرًا متوسط المخاطر. أما في عالم أصبحت فيه تلك التقنية بعينها TTP الرئيسية لمجموعة نشطة من الجهات الفاعلة في التهديد تستهدف قطاع المورّد، فكان ينبغي مراجعته خلال ثلاثين دقيقة.
ما فجوات ترتيب أولويات التنبيهات في حقيقتها؟
فجوات ترتيب أولويات التنبيهات هي حالات عدم التوافق بين تعيينات خطورة التنبيهات الثابتة والسياق الديناميكي للمخاطر الذي يجعل تقنيات معينة أكثر أو أقل خطورة تبعًا لمشهد التهديدات الحالي. فمستويات خطورة التنبيهات تُعيَّن عند كتابة القواعد استنادًا إلى ملف المخاطر العام للتقنية في ذلك الوقت. ومع تطور مشهد التهديدات، بظهور مجموعات جديدة من الجهات الفاعلة في التهديد، وتغيير المجموعات القائمة لأساليبها وتقنياتها وإجراءاتها، وبدء حملات تستهدف قطاعات بعينها، تتغير الخطورة النسبية لتقنيات بعينها. وتعيينات الخطورة الثابتة التي لا تأخذ سياق التهديدات الحالي في الحسبان تُحدث بصورة منهجية عدم توافق بين إلحاح الاستجابة في SOC والمخاطر الفعلية.
تمثل مشكلة التعيين الثابت الآلية التشغيلية. فقواعد الكشف يكتبها مهندسو الكشف الذين يعيّنون الخطورة استنادًا إلى ملف المخاطر العام للتقنية: مدى تكرار رصدها في سياقات خبيثة مقارنة بالسياقات المشروعة، وحجم السياق الإضافي اللازم لتأكيد النية الخبيثة، ومدى جسامة الأثر المحتمل إذا استُخدمت التقنية بصورة خبيثة. وهذه التقييمات دقيقة وقت التعيين، لكنها لا تُحدَّث تلقائيًا عندما تغيّر استخبارات التهديدات ملف مخاطر تقنيات بعينها. إن SLA للمراجعة خلال أربع ساعات لتقنية تصبح TTP الرئيسية لمجموعة نشطة من الجهات الفاعلة في التهديد تستهدف قطاع المورّد هي نافذة زمنية مدتها أربع ساعات صُممت لسياق تهديدات مختلف.
تمثل الفجوة بين استخبارات التهديدات وترتيب الأولويات آلية الإخفاق المحددة. ففرق استخبارات التهديدات تتلقى الاستخبارات عن أساليب الجهات الفاعلة في التهديد الحالية وتقنياتها وإجراءاتها وتوزعها، وفرق هندسة الكشف تكتب القواعد الخاصة بتلك الأساليب والتقنيات والإجراءات وتصونها، وفرق ترتيب الأولويات تعيّن مستويات الخطورة لفئات التنبيهات وتحدّثها. وفي المؤسسات التي تعمل فرقها بمعزل بعضها عن بعض، لا تصل الاستخبارات التي تغيّر ملف مخاطر تقنية ما تلقائيًا إلى قرار ترتيب الأولويات، وقد لا يملك المحلل الذي يقرأ إحاطة ISAC صلاحية تحديث تعيين الخطورة لقاعدة SIEM ذات الصلة.
- تعيينات خطورة ثابتة لا تُحدَّث عندما تغيّر استخبارات التهديدات سياق المخاطر
- استخبارات TTP لا تصل إلى قرارات ترتيب الأولويات: إحاطة ISAC لا تؤدي إلى تحديث الخطورة
- SLA مراجعة متوسطة مدتها أربع ساعات لـ TTP الرئيسية لجهة فاعلة نشطة في التهديد
- لا ترتيب للأولويات وفق السياق: استهداف الجهات الفاعلة في التهديد الحالية لا يعدّل خطورة التنبيهات
- الفجوة بين الاستخبارات وترتيب الأولويات: فرق منفصلة دون تكامل
لماذا يهم هذا
تكتسب فجوات ترتيب أولويات التنبيهات أهميتها في TPRM لأن سرعة استجابة SOC لتنبيه معين تتحدد بمستوى خطورته، ومستوى الخطورة الذي لا يعكس سياق التهديدات الحالي يُنتج سرعات استجابة معايَرة لمشهد تهديدات لم يعد قائمًا. فاتفاقيات مستوى الخدمة لدى المورّد، بمددها البالغة ثلاثين دقيقة وأربع ساعات وأربعًا وعشرين ساعة، لا تكون ذات معنى إلا إذا كانت تعيينات الخطورة التي توجّه التنبيهات إلى تلك القوائم متوافقة مع مشهد التهديدات الحالي.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم الامتثال لـ SLA الخاصة بالتنبيهات دون تقييم ما إذا كانت تعيينات الخطورة محدَّثة. فالامتثال لـ SLA يقيس ما إذا كانت التنبيهات تُراجَع ضمن SLA المحددة لها، أما توافق الخطورة فيقيس ما إذا كانت التعيينات توجّه التنبيهات إلى SLA المناسبة لسياق مخاطرها الحالي.
- تقييم الامتثال لـ SLA دون توافق الخطورة
- لا يوجد مسار من استخبارات التهديدات إلى ترتيب الأولويات: الاستخبارات لا تؤدي إلى مراجعات للخطورة
- لا تُراجَع تعيينات الخطورة في أعقاب استخبارات التهديدات
- عدم التمييز في التقييم بين الترتيب الثابت والديناميكي للأولويات
- لم يُقيَّم تحديدًا ترتيب أولويات TTP الخاصة بالجهات الفاعلة في التهديد النشطة
كيف تبدو الممارسة الجيدة
تدمج برامج ترتيب أولويات التنبيهات الناضجة استخبارات التهديدات في عملية تعيين الخطورة، فتراجع تحديدًا مستويات الخطورة وتحدّثها لقواعد الكشف التي تطابق التقنيات المحددة في استخبارات الجهات الفاعلة في التهديد الحالية، وتطبّق ترتيبًا للأولويات وفق السياق يرفع الخطورة مؤقتًا لتقنيات بعينها عند ورود استخبارات عن استهداف نشط.
- التكامل بين استخبارات التهديدات وترتيب الأولويات: إحاطات ISAC تؤدي إلى مراجعات للخطورة
- رفع مؤقت لدرجة الخطورة للتقنيات المطابقة لأساليب الجهات الفاعلة في التهديد النشطة وتقنياتها وإجراءاتها
- وتيرة منتظمة لمراجعة الخطورة: مراجعة ربعية لجميع تعيينات خطورة القواعد
- القدرة على ترتيب الأولويات وفق السياق: القاعدة نفسها تُنتج أولوية مختلفة بحسب السياق الحالي
- صلاحية تحديث الأولوية: قدرة المحلل على رفع الأولوية مؤقتًا استنادًا إلى الاستخبارات
الأدوات
SIEM مع الترتيب الديناميكي للأولويات: Microsoft Sentinel مع التكامل مع استخبارات التهديدات، وSplunk مع التنبيه القائم على المخاطر
تستطيع منصات SIEM المتكاملة مع استخبارات التهديدات تعديل خطورة التنبيهات ديناميكيًا استنادًا إلى سياق IOC وTTP الحالي، فترفع أولوية التنبيهات التي تطابق تقنيات الجهات الفاعلة في التهديد النشطة. وبالنسبة لممارسي TPRM، يوفر السؤال عمّا إذا كان SIEM لدى المورّد يطبّق التنبيه القائم على المخاطر أو الترتيب الديناميكي للأولويات استنادًا إلى استخبارات التهديدات سؤالًا محددًا عن ترتيب الأولويات وفق السياق.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الترتيب الديناميكي للأولويات في خطر تصاعد حجم التنبيهات. فرفع خطورة تقنيات بعينها خلال الحملات النشطة يزيد حجم التنبيهات عالية الأولوية، مما يقلل زمن التحليل المتاح لكل تنبيه للأحداث عالية الخطورة فعلًا. ويكمن الحل الحوكمي في رفع محدد زمنيًا: أولوية مرفوعة مؤقتًا للتقنيات المطابقة لاستخبارات الجهات الفاعلة في التهديد النشطة، مع إعادة ضبط تلقائية بعد مدة محددة ما لم تُجدَّد الاستخبارات.
- أنشئ مسارًا من استخبارات التهديدات إلى ترتيب الأولويات تؤدي فيه الإحاطات إلى مراجعة الخطورة
- طبّق رفعًا مؤقتًا للخطورة لتقنيات TTP الخاصة بالجهات الفاعلة في التهديد النشطة
- راجع جميع تعيينات الخطورة كل ربع سنة، بمعزل عن محفزات الاستخبارات
- اسأل عن عملية تحديث الخطورة: كيف تغيّر الاستخبارات ترتيب أولويات التنبيهات
- اختبر ترتيب الأولويات وفق السياق: متى حُدِّثت خطورة آخر مرة استنادًا إلى استخبارات التهديدات
إذا كنت فريقًا صغيرًا
اطرح على المورّد الأعلى مخاطر لديك سؤالًا واحدًا: خلال الأشهر الاثني عشر الماضية، هل حُدِّث أي تعيين لخطورة التنبيهات استنادًا إلى استخبارات التهديدات؟ وتحديدًا، هل رُفعت أولوية أي قاعدة في SIEM لأن مصدرًا لاستخبارات التهديدات حدّد تلك التقنية بوصفها TTP الرئيسية لجهة فاعلة في التهديد تستهدف قطاعك بنشاط؟ إذا كانت الإجابة بالنفي، فنظام ترتيب الأولويات ثابت، وسرعة استجابة SOC لتقنيات الجهات الفاعلة في التهديد النشطة معايَرة وفق سياق تهديدات ربما لم يعد قائمًا.
- اسأل عمّا إذا كانت أي تعيينات للخطورة قد حُدِّثت استنادًا إلى استخبارات التهديدات خلال الأشهر الاثني عشر الماضية
- اسأل عن المسار من استخبارات التهديدات إلى ترتيب الأولويات
- اسأل عمّا إذا كانت استخبارات TTP عن الجهات الفاعلة في التهديد النشطة تؤدي إلى رفع الأولوية
- اطلب تاريخ آخر مراجعة للخطورة عبر جميع القواعد
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«عندما ينشر ISAC الخاص بقطاعكم استخبارات تحدد TTP معينة بوصفها التقنية الرئيسية لجهة فاعلة نشطة في التهديد تستهدف قطاعكم، هل تؤدي تلك الاستخبارات إلى مراجعة خطورة التنبيه، واحتمال رفعها، لقاعدة SIEM التي تغطي تلك التقنية؟»
ما تتوقعه دليلًا
- تأكيد وجود مسار من استخبارات التهديدات إلى ترتيب الأولويات
- تحديث حديث للخطورة ناتج عن استخبارات التهديدات
- القدرة على ترتيب الأولويات وفق السياق
- وتيرة مراجعة الخطورة
ينبغي سؤال المورّد الذي يؤكد وجود اتفاقيات مستوى خدمة محددة للتنبيهات عمّا إذا كانت تعيينات الخطورة التي توجّه التنبيهات إلى تلك الاتفاقيات تُحدَّث استنادًا إلى استخبارات التهديدات الحالية. فاتفاقيات مستوى الخدمة تقيس الامتثال، أما تعيينات الخطورة فتحدد ما إذا كان الامتثال معايَرًا وفق التهديد الحالي.
كيف تُثبت ذلك
- سجلات المسار من استخبارات التهديدات إلى ترتيب الأولويات
- سجل تحديثات الخطورة الناتجة عن الاستخبارات
- توثيق القدرة على ترتيب الأولويات وفق السياق
- سجلات المراجعة الربعية للخطورة
الخلاصة الرئيسية
تنبيه متوسط الخطورة. مراجعة خلال أربع ساعات. TTP الرئيسية لجهة فاعلة نشطة في التهديد. رسّخ المهاجم وجوده خلال الساعات الأربع. تحقق SLA، لكن ترتيب الأولويات كان متقادمًا. فتعيينات الخطورة الثابتة المعايَرة قبل عامين لمشهد تهديدات مختلف أنتجت استجابة خلال أربع ساعات لخطر يستدعي ثلاثين دقيقة. قُرئت إحاطة ISAC، لكن تعيين الخطورة لم يُحدَّث. ولم يكن المسار من الاستخبارات إلى ترتيب الأولويات، الذي كان سيربط الإحاطة بتحديث الخطورة، موجودًا. إن الترتيب الديناميكي للأولويات، حيث تؤدي استخبارات التهديدات إلى مراجعة الخطورة، يسدّ الفجوة بين التهديد الحالي والتعيين الثابت الذي كان دقيقًا لتهديدات الأمس.