الأمن السيبراني
المجالُ كاملًا، وبقيّةُ القدرات ضمنه.
أمن الأجهزة الطرفيّة وXDR
اكشِف ما يبلغ الجهازَ الطرفيّ واحتوِه، وارَه إلى جانب كلّ شيءٍ آخر.
ما هذه الخدمة
الكشفُ والاستجابة على الأجهزة الطرفيّة (EDR) يضع مستشعرًا على الجهاز فيعطيك رؤيةَ سلوك العمليّات لا الملفّاتِ وحدَها. والكشفُ الممتدّ (XDR) يصل ذلك القياسَ بالهويّة والبريد والشبكة، فيحمل التنبيهُ الواحدُ سياقًا يكفي للحكم عليه.
الأدواتُ ناضجة، والإخفاقُ نادرًا ما يكون في المستشعر. بل في ثغرات التغطية، وفي كشفٍ تُرك على إعدادات المورّد الافتراضيّة، وفي غياب مالكٍ لِما يقع بين إطلاق التنبيه وعزل الجهاز. وهنا يتركّز هذا العمل.
متى تحتاجها
إن صدق أكثرُ من واحدةٍ ممّا يلي، فهذه عادةً نقطةُ البداية الصحيحة.
- مضادُّ فيروساتٍ يُبلِغ «نظيف» بينما تُكتشف الحوادثُ لأن مستخدمًا لاحظ خطبًا ما.
- منتجُ EDR مُشترًى ومنشورٌ جزئيًّا، وما زالت خوادمُ أو أنظمةٌ قديمةٌ خارجَ التغطية.
- حجمُ تنبيهاتٍ بلغ حدًّا بدأ الفريقُ معه يتجاهل فئاتٍ كاملةً بصمت.
- لا جوابَ متّفقًا عليه لمن يملك عزلَ جهازِ إنتاجٍ في الثالثة فجرًا، وبأيّ صلاحيّة.
ما الذي يشمله النطاق
- تقييمُ التغطية: كلُّ نظامِ تشغيلٍ وخادمٍ وسطحِ مكتبٍ افتراضيٍّ وجهازٍ غيرِ مُدار، بتسميةِ الثغرات لا بتقريبها.
- النشرُ والتحصين: توزيعُ الوكيل، والحمايةُ من العبث، ومراجعةُ الاستثناءات لا توارثُها.
- هندسةُ الكشف: الضبطُ على بيئتك، وكتمُ الضجيج الذي تولّده برمجيّاتُك، وكتابةُ عمليّات الكشف التي تستدعيها مخاطرُك.
- أدلّةُ الاستجابة: ما يُؤتمَت، وما يحتاج إنسانًا، ومن هو ذلك الإنسانُ في كلّ ساعةٍ من اليوم.
- التكاملُ مع SIEM والهويّة، ليُقرأ تنبيهُ الجهاز إلى جانب تسجيل الدخول الذي سبقه.
ما الذي تستلمه
| المُخرَج | ما يحتويه |
|---|---|
| خطُّ أساسِ التغطية | جردُ الأصول مقابلَ الوكلاء المنشورين، بسردِ كلّ نظامٍ غيرِ مغطًّى وسببِه: بعدُ، أو لا يمكن، أو لن يكون. |
| مجموعةُ كشفٍ مضبوطة | كشفٌ مربوطٌ بتقنيّات MITRE ATT&CK، لكلٍّ نيّةٌ مذكورةٌ والضجيجُ الذي ضُبط تجاهه. |
| أدلّةُ الاستجابة | لكلّ سيناريو: إجراءُ الاحتواء، وصلاحيّةُ التنفيذ، ومسارُ الإبلاغ، والأدلّةُ التي تُحفظ قبل التصرّف. |
| حزمةُ التسليم | أدلّةُ التشغيل ومصفوفةُ التصعيد، وجلسةُ استعراضٍ مع الفريق الذي سيحملها بعدنا. |
مخطّطٌ معماريٌّ مرجعيّ
مرجعٌ لا قالب. بيئتُك هي التي تقرّر أيَّ أجزائه ينطبق، وبأيّ ترتيبٍ يصل.
كيف يُقاس النجاح
تُتَّفق المستهدفاتُ معك قبل بدء العمل، ويُرفَع التقريرُ عليها طوال مدّته.
- تغطيةُ الوكيل نسبةً إلى الأصول المعروفة، واتّجاهُ قائمة غير المغطّى.
- نسبةُ التنبيه إلى الفرز: كم تنبيهًا يقرأ الإنسانُ فعلًا في اليوم.
- متوسّطُ زمن الاحتواء للسيناريوهات التي تغطّيها الأدلّة، يُقاس في التمارين قبل أن يُقاس في الحوادث.
أسئلةٌ تُطرح علينا
لدينا مضادُّ فيروسات. هل يختلف EDR؟
نعم، اختلافًا جوهريًّا. مضادُّ الفيروسات التوقيعيُّ يسأل: هل هذا الملفُّ معروفٌ بأنه خبيث؟ أمّا EDR فيسجّل سلوكَ العمليّات وعلاقاتِها ونداءاتِها الشبكيّة، فيرصد سلسلةً من أفعالٍ كلٌّ منها مشروعٌ وحدَه. ويتيح لك أيضًا أن تعود فتجيب: ماذا حدث؟ — وهذا ما لا يفعله مضادُّ الفيروسات.
هل يُبطئ الوكيلُ أجهزتَنا؟
الوكلاءُ الحديثون خفيفون، لكنّ الاستثناءاتِ وسياسةَ الفحص هي التي تقرّر النتيجة، والاستثناءاتُ الموروثةُ مصدرٌ شائعٌ للبطء وللعمى معًا. نقيس الأثرَ على عيّنةٍ ممثّلةٍ قبل النشر الواسع، لا بعد الشكاوى.
ماذا يضيف XDR على EDR؟
الربط. تسجيلُ دخولٍ باستحالةِ سفرٍ ضعيفٌ وحدَه، وسكربتٌ مشبوهٌ كذلك، لكنّهما معًا على الهويّة نفسِها خلال عشر دقائق إشارةٌ قويّة. وXDR هو التمديدُ الذي يتيح كتابةَ كشفٍ عابرٍ لتلك المصادر.
هل ينبغي أن يكون الاحتواءُ آليًّا؟
في بعض السيناريوهات نعم — نمطُ فديةٍ مؤكَّدٌ لا ينتظر مكالمة. وفي غيرها يُحدث العزلُ الآليُّ لنظامِ إنتاجٍ الانقطاعَ الذي أراده المهاجم. الدليلُ يقرّر لكلّ سيناريو، وأنت تعتمد هذا الفصلَ قبل التشغيل.
هل نحتاج مركزَ عمليّاتٍ ليكون هذا مفيدًا؟
تحتاج من يتصرّف بما يجده. وقد يكون فريقَك بأدلّةٍ مكتوبة، أو خدمةً مُدارة. وما لا ينجح هو نشرُ الأداة ثمّ معاملةُ لوحتها كشيءٍ يُفتَح عند توفّر الوقت.
هل تضبطون نشرًا قائمًا لدينا؟
غالبًا يكون ذلك الارتباطَ الأعلى قيمة. فالنشرُ القائم يملك بيانات التغطية وتاريخَ الضجيج، فيبدأ الضبطُ من دليلٍ لا من افتراض.
اقرأ أيضًا
أمن السحابة
إدارةُ وضعيّةٍ وحمايةُ أحمالٍ وضبطُ صلاحيّاتٍ على AWS وAzure وGCP — بالتقاط سوء الإعداد في خطّ الإنتاج لا في بيئة الإنتاج.
إدارة الهويّة والوصول
دخولٌ موحَّدٌ وتحقّقٌ متعدّدُ العوامل ووصولٌ مميّزٌ ودورةُ التحاقٍ وانتقالٍ ومغادرة — فيُمنح الوصولُ عمدًا ويُرفَع آليًّا.
ابدأ بتقييم
أسرعُ طريقٍ إلى جوابٍ مفيد نظرةٌ قصيرةٌ محدَّدةُ النطاق على ما لديكم أصلًا.