يتطرق تقرير جديد من قسم تقييم الاختراق في كاسبرسكي إلى إخفاق مؤسسات كثيرة في اكتشاف حوادث الأمن السيبراني بسبب اعتمادها على النهج التفاعلي مع الحوادث، وضعف آليات المراقبة والرصد، والقصور التشغيلي. وكشفت نتائج التحليل الواردة في التقرير أن الأنشطة الخبيثة استمرت داخل المؤسسات لأكثر من ثلاثة أشهر في 31% من المؤسسات الخاضعة للتحليل. كما بينت النتائج أن أكثر من نصف الاختراقات عالية الخطورة (52%) لم تُكتشف إلا بعد 90 يوماً من نشاطها دون أي رصد، بل ظلت أقدم حادثة رُصدت خلال العام الماضي غير مكتشفة داخل الأنظمة لمدة أربع سنوات.
يركز تقييم الاختراق في كاسبرسكي على اكتشاف الهجمات السيبرانية النشطة، إلى جانب تحديد الهجمات السابقة غير المعروفة التي لم ترصدها الأدوات والعمليات التقنية في المؤسسة. وتهدف هذه الخدمة إلى توفير مستوى عالٍ من الموثوقية بشأن ما إذا كانت الشبكة مخترقة أم لا، فضلاً عن تقييم الوضع الأمني العام بالاعتماد على تحليل مستقل من الخبراء. ويكشف التقرير، المدعوم بتحليل للبيانات الإحصائية السنوية، عن الأمور التالية:
أدوات المراقبة والضبط ليست كافية وحدها: أظهرت النتائج أن 20% من حوادث الاختراق المكتشفة جرى تحديدها بجهود يدوية بشرية، فيما غفلت المؤسسات عن اكتشاف 60% من تلك الحوادث بسبب افتقارها إلى التنبيهات الأمنية عالية الدقة والموثوقية من الأدوات المتوافرة لديها. وتكشف هذه النتائج عن اعتماد كبير على الأدوات الآلية التي تفتقر إلى التهيئة المناسبة أو المراقبة الفعالة. لذا، لا بد من المواظبة على تهيئة أدوات المراقبة وتكييفها باستمرار مع مشهد التهديدات السيبرانية المتغير، وهنا تبرز أهمية العنصر البشري، إذ يحتاج المحللون إلى المراجعة المستمرة للتنبيهات منخفضة الدقة والموثوقية التي يتم إهمالها وتركها دون فحص.
استعادة الملفات الخبيثة من النسخ الاحتياطية: بالنسبة إلى مؤسسات كثيرة، كانت أنظمة النسخ الاحتياطي أشبه بنقطة ضعف خفية. فقد كانت 40% من جميع واجهات الأوامر عبر الويب، وهي برمجيات نصية خبيثة، موجودة في النسخ الاحتياطية دون اكتشاف، مما يشير إلى إمكانية استعادتها بعد إتمام إجراءات الاستجابة الأولية للحادث. لذلك، ينبغي فحص سلامة النسخ الاحتياطية ومحتواها بدقة كبيرة.
مشكلات التواصل قد تؤدي إلى تفويت بعض الحوادث: كشف ثلث الحالات ضمن تقييمات الاختراق (32%) عن مشكلات في التواصل الداخلي داخل المؤسسة، مثل غياب التأكيد الواضح لتنفيذ الإجراءات أو ضياع المعرفة والخبرات بسبب تغيير الموظفين. ويسلط هذا الأمر الضوء على الحاجة إلى إجراء تدريبات دورية منتظمة لاختبار جاهزية الخطط التقنية، فضلاً عن اختبار كفاءة مسارات العمل البشري والتواصل بين الموظفين، واتفاقيات المستوى التشغيلي.
تحديث ممارسات الاستجابة للحوادث بانتظام: لضمان كفاءة وفعالية الاستجابة للحوادث، ينبغي التعامل مع خطط العمل والإجراءات بوصفها وثائق تخضع للتحديث المستمر كلما ظهرت معلومات جديدة عن التهديدات السيبرانية. فإذا لم تتم مواءمة خطط الاستجابة للحوادث الأمنية مع التطور المستمر للتهديدات السيبرانية، فقد يزيد ذلك من احتمال تفويت التهديدات الحرجة والسماح بوقوع الاختراق.
ويعلق على هذه المسألة أمجد وجيه، خبير في فريق تقييم الاختراقات لدى كاسبرسكي، قائلاً: «لا تتعرض المؤسسات لأخطار خارجية فحسب، بل تواجه أيضاً تهديدات خفية داخل بنيتها التحتية، ولا تكون مؤشرات الاختراق واضحة على الدوام. وتعزز عمليات التدقيق الأمني الاستباقية احتمال اكتشاف المؤسسات لحالات الاختراق. كما يقلل دمج تقييمات الاختراق الدورية التي تجريها جهات خارجية ضمن عمليات المؤسسة من احتمال وقوع حوادث أمنية شديدة الخطورة، ويرفع مستوى الجاهزية العام لمواجهة الأخطار».
وتوصي كاسبرسكي المؤسسات باتباع الخطوات التالية:
إجراء فحص شامل لسلامة محرك الاكتشاف خلال مدة لا تتجاوز 30 يوماً، مع التركيز أولاً على سلامة بيانات القياس وجدوى القواعد.
تأسيس فريق متخصص للتحقق من صحة تنبيهات المستوى الأول، لمراجعة جميع أحداث الاكتشاف ذات الدقة المنخفضة وفقاً لجدول زمني محدد.
ضمان المراقبة الفعالة على مدار الساعة طوال أيام الأسبوع، والمدعومة بقدرات اكتشاف استباقية للتهديدات السيبرانية، تركز على تحديد الخط المرجعي، وتحليل التنبيهات منخفضة الدقة، ورصد أساليب الخصوم المبتكرة والجديدة.
إعادة تقييم مسار إدارة الثغرات الأمنية لضمان تطبيق التحديثات الأمنية المستمرة، وتفعيل سجلات التدقيق لجميع الأصول الحيوية.
تحديث مناهج التوعية الأمنية لمعالجة تسريب بيانات الاعتماد من الأجهزة الشخصية، وتعزيز ممارسات «أحضر جهازك الخاص» الآمنة.
إجراء تدريبات محاكاة افتراضية ودورية لاختبار جاهزية الخطط التقنية، وتعزيز مهارات فريق العمل، وتحسين آليات التواصل.
اعتماد اتفاقيات المستوى التشغيلي لتنظيم وتسهيل التواصل بين مختلف الفرق، ووضع إجراءات تشغيل قياسية لضمان التوثيق السليم.