كيف تساعد معلومات التهديدات السيبرانية في كشف القراصنة قبل الهجوم

قال أحمد أشرف، مستشار أول للأمن السيبراني في كاسبرسكي، إن معلومات التهديدات السيبرانية Threat Intelligence أصبحت عنصرًا أساسيًا في مواجهة الهجمات السيبرانية، مؤكدًا أن معرفة أساليب القراصنة والجهات المهاجمة والبنية التحتية التي يستخدمونها تساعد المؤسسات على بناء دفاعات أكثر قدرة على اكتشاف التهديدات والتعامل معها.

وأوضح أحمد أشرف أن قيمة معلومات التهديدات السيبرانية ترتفع كلما كانت المعلومات حديثة ودقيقة وأكثر تفصيلًا، لأن فهم طبيعة التهديد والجهة التي تقف وراءه والتكتيكات والأدوات المستخدمة يمنح فرق الأمن السيبراني قدرة أكبر على اتخاذ قرارات دفاعية مناسبة.

وأضاف أن الأمر لا يتعلق فقط بجمع معلومات عن الهجمات السيبرانية، وإنما بتحويل هذه المعلومات إلى إجراءات فعلية يمكن استخدامها في حماية الأنظمة والشبكات، موضحًا أن المؤسسات التي تعرف بشكل أفضل طريقة عمل الجهات المهاجمة تصبح أكثر قدرة على تطوير وسائل دفاع تساعدها على اكتشاف الهجمات والتصدي لها.

أهمية Threat Intelligence في مراكز عمليات الأمن

وشدد أحمد أشرف على ضرورة دمج معلومات التهديدات السيبرانية داخل مراكز عمليات الأمن Security Operations Centers، بحيث تصبح جزءًا من العمليات اليومية لفرق الأمن السيبراني، بداية من التحذير المبكر والكشف والوقاية، وصولًا إلى التحقيق والاستجابة للحوادث.

وأشار إلى أن وجود Threat Intelligence داخل مراكز عمليات الأمن يساعد محللي الأمن السيبراني على اتخاذ قرارات أكثر دقة، كما يساهم في تحسين سرعة اكتشاف الهجمات وتقليل الوقت اللازم للتعامل معها وحل آثارها.

وأوضح أن معلومات التهديدات يمكن أن تلعب دورًا أيضًا في التخطيط الأمني، حيث تساعد المؤسسات على بناء دفاعاتها بطريقة استراتيجية بدلًا من انتظار وقوع الهجوم ثم البدء في التعامل مع تداعياته.

كيف تتحول البيانات إلى معلومات تهديدات سيبرانية؟

وأكد أحمد أشرف أن امتلاك كميات كبيرة من البيانات لا يعني بالضرورة امتلاك معلومات تهديدات سيبرانية مفيدة، موضحًا أن القيمة الحقيقية تبدأ بعد تحليل البيانات وتنقيحها واستخلاص المعلومات المهمة منها.

وأشار إلى أن مصادر Threat Intelligence متعددة، من بينها المصادر الخاصة وشبكات الأمن، إلى جانب المعلومات المتاحة من المصادر المفتوحة Open Source Intelligence، إلا أن الحجم الكبير للبيانات يتطلب أدوات وخبرات متخصصة لتحويلها إلى معلومات قابلة للاستخدام.

وأوضح أن عملية تحليل معلومات التهديدات السيبرانية يمكن أن تستفيد من تقنيات وأنظمة مختلفة، من بينها أنظمة تحليل السلوك، وأدوات التعلم الآلي، وبيئات Sandbox، بالإضافة إلى فرق البحث المتخصصة التي تعمل على دراسة التهديدات وإجراء التحقيقات اللازمة.

مستويات معلومات التهديدات السيبرانية

ولفت أحمد أشرف إلى أن Threat Intelligence تنقسم إلى عدة مستويات، تشمل المعلومات التكتيكية Tactical Threat Intelligence، والمعلومات التشغيلية Operational Threat Intelligence، والمعلومات الاستراتيجية Strategic Threat Intelligence.

وأوضح أن المعلومات التكتيكية تعتمد على ما يعرف باسم Atomic Indicators، وتشمل مؤشرات تقنية مثل عناوين IP، وأسماء النطاقات، وقيم التجزئة Hashes وغيرها من المؤشرات المرتبطة بالهجمات السيبرانية.

وتستخدم هذه المؤشرات في تطوير قواعد الكشف ومساعدة محللي الأمن السيبراني في فرز التنبيهات ومراقبة الأنظمة وتنفيذ عمليات البحث عن التهديدات داخل الشبكات.

أما المستويات الأعلى من معلومات التهديدات، فتساعد على فهم تكتيكات المهاجمين وإجراءاتهم وقدراتهم ونواياهم، وهو ما يمنح فرق الأمن السيبراني صورة أوسع عن طريقة تنفيذ الهجمات.

أحمد أشرف: لا تعتمدوا على مؤشر واحد لاكتشاف الهجمات

وأشار أحمد أشرف إلى أن الاعتماد على مؤشر واحد للكشف عن الهجمات السيبرانية قد لا يكون كافيًا، خاصة مع قدرة المهاجمين على تغيير بعض العناصر التي تعتمد عليها أنظمة الحماية في عمليات الكشف.

وأوضح أن بناء طبقات متعددة من مؤشرات الكشف يساعد المؤسسات على تطوير قدراتها في رصد الهجمات، بدءًا من الملفات وعناوين IP وأسماء النطاقات، وصولًا إلى الأدوات المستخدمة والسلوك والأنشطة المرتبطة بالجهة المهاجمة.

وتطرق إلى أهمية استخدام نماذج تحليل التهديدات، ومنها Diamond Model، لفهم العلاقة بين مختلف عناصر الهجوم، بما يساعد فرق الأمن السيبراني على تكوين صورة أكثر اكتمالًا عن الحادث والجهة التي تقف وراءه.

وأكد أن تطور أساليب القراصنة يجعل من الضروري ألا تكتفي المؤسسات بمراقبة مؤشرات تقليدية يمكن تغييرها بسهولة، وإنما عليها تحليل سلوك المهاجمين وتكتيكاتهم وأدواتهم والبنية التحتية التي يعتمدون عليها.

واختتم أحمد أشرف بالتأكيد على أن القيمة الحقيقية لمعلومات التهديدات السيبرانية لا ترتبط بحجم البيانات التي تمتلكها المؤسسة، وإنما بقدرتها على تحليل هذه البيانات وتحويلها إلى معلومات استخباراتية تساعد فرق الأمن السيبراني على اتخاذ قرارات أفضل، واكتشاف الهجمات مبكرًا، وتطوير دفاعات أكثر قدرة على مواجهة القراصنة.