كاسبرسكي تكشف عن ثغرات في استجابة المؤسسات للتهديدات الإلكترونية وحوادث أمنية لم يتم اكتشافها

يتطرق تقرير جديد من قسم تقييم الاختراق في كاسبرسكي (Kaspersky Compromise Assessment) إلى إخفاق مؤسسات كثيرة في اكتشاف حوادث الأمن السيبراني بسبب اعتمادها على النهج التفاعلي مع الحوادث، وضعف آليات المراقبة والرصد، والقصور التشغيلي. وكشفت نتائج التحليل الواردة في التقرير أنّ الأنشطة الخبيثة استمرت في المؤسسات لأكثر من 3 شهور فيما نسبته 31% من المؤسسات الخاضعة للتحليل. كما بينت النتائج أنّ أكثر من نصف الاختراقات عالية الخطورة (52%) لم تُكتشف إلا بعد 90 يوماً من نشاطها دون أي رصدٍ، بل ظلّت الحادثة الأقدم التي رُصدت خلال العام الماضي غير مكتشفة داخل الأنظمة لمدة أربع سنوات.

يركز تقييم الاختراق في كاسبرسكي على اكتشاف الهجمات السيبرانية النشطة، جنباً إلى جنبٍ مع تحديد الهجمات السابقة غير المعروفة التي لم ترصدها الأدوات والعمليات التقنية في مؤسستك. وترمي هذه الخدمة إلى توفير مستوى عالٍ من الموثوقية بشأن ما إذا كانت الشبكة مخترقة أو لا، فضلاً عن تقييم الوضع الأمني العام بالاعتماد على تحليل مستقل من الخبراء. ويكشف التقرير، المدعوم بتحليل للبيانات الإحصائية السنوية، عن الأمور التالية:

أدوات المراقبة والضبط ليست كافية وحدها. أظهرت النتائج أنّ نسبة 20% من حوادث الاختراق المكتشفة جرى تحديدها بجهود يدوية بشرية، فيما غفلت المؤسسات عن اكتشاف 60% من تلك الحوادث نظراً لافتقارها إلى التنبيهات الأمنية عالية الدقة والموثوقية من الأدوات القائمة لديها. وتكشف هذه النتائج عن اعتماد كبير على الأدوات الآلية التي تفتقر إلى التهيئة المناسبة أو المراقبة الفعالة. فلا بد من المواظبة على تهيئة أدوات المراقبة وتكييفها باستمرار مع مشهد التهديدات السيبرانية المتغير دائماً، وهنا تبرز أهمية العنصر البشري؛ إذ يحتاج المحللون إلى المراجعة المستمرة للتنبيهات منخفضة الدقة والموثوقية التي يتم إهمالها وتركها دون فحص.

استعادة الملفات الخبيثة من النسخ الاحتياطية. بالنسبة لمؤسسات كثيرة، كانت أنظمة النسخ الاحتياطي لديها أشبه بنقطة ضعف خفية. فقد كانت 40% من جميع واجهات الأوامر عبر الويب (web shells) التي تم رصدها (برمجيات نصية أو برمجيات خبيثة) موجودة في النسخ الاحتياطية دون اكتشاف، مما يشير إلى إمكانية استعادتها بعد إتمام إجراءات الاستجابة الأولية للحادث. لذلك، ينبغي فحص سلامة النسخ الاحتياطية ومحتواها بدقة كبيرة.

مشكلات التواصل ربما تؤدي إلى تفويت بعض الحوادث. كشف ثلث الحالات ضمن تقييمات الاختراق (32%) عن مشكلات في التواصل الداخلي ضمن المؤسسة مثل غياب التأكيد الواضح لتنفيذ الإجراءات أو ضياع المعرفة والخبرات بسبب تغيير الموظفين. ويسلط هذا الأمر الضوء على الحاجة إلى إجراء تدريبات دورية منتظمة لاختبار جاهزية الخطط التقنية، فضلاً عن اختبار كفاءة مسارات العمل البشري والتواصل بين الموظفين، واتفاقيات المستوى التشغيلي.

تحديث ممارسات الاستجابة للحوادث بانتظام. لضمان كفاءة وفعالية الاستجابة للحوادث، ينبغي التعامل مع خطط العمل والإجراءات كوثائق تخضع للتحديث المستمر كلما ظهرت معلومات جديدة عن التهديدات السيبرانية. فإذا لم تتم مواءمة خطط الاستجابة للحوادث الأمنية مع التطور المستمر للتهديدات السيبرانية، فقد يزيد ذلك من احتمال تفويت التهديدات الحرجة والسماح بوقوع الاختراق.

يعلق على هذه المسألة أمجد وجيه، خبير في فريق تقييم الاختراقات لدى كاسبرسكي: «لا تتعرض المؤسسات لأخطار خارجية فحسب، بل تواجه أيضاً تهديدات خفية داخل بنيتها التحتية، ولا تكون مؤشرات الاختراق واضحة على الدوام. وتعزز عمليات التدقيق الأمني الاستباقية احتمال اكتشاف المؤسسات لحالات الاختراق. كما يقلل دمج تقييمات الاختراق الدورية التي تجريها جهات خارجية ضمن عمليات المؤسسة من احتمال وقوع حوادث أمنية شديدة الخطورة، ويرفع مستوى الجاهزية العام لمواجهة الأخطار.»

توصي كاسبرسكي المؤسسات باتباع الخطوات التالية:

•              إجراء فحص شامل لسلامة محرك الاكتشاف خلال مدة لا تتجاوز 30 يوماً، مع التركيز أولاً على سلامة بيانات القياس وجدوى القواعد.

•              تأسيس فريق متخصص للتحقق من صحة تنبيهات المستوى الأول لمراجعة جميع أحداث الاكتشاف ذات الدقة المنخفضة وفقاً لجدول زمني محدد.

•              ضمان المراقبة الفعّالة على مدار الساعة وطوال أيام الأسبوع، والتي تكون مدعومة بقدرات اكتشاف استباقية للتهديدات السيبرانية تركز على تحديد الخط المرجعي، وتحليل التنبيهات منخفضة الدقة، ورصد أساليب الخصوم المبتكرة والجديدة.

•              إعادة تقييم مسار إدارة الثغرات الأمنية لضمان تطبيق التحديثات الأمنية المستمرة وتفعيل سجلات التدقيق لجميع الأصول الحيوية.

•              تحديث مناهج التوعية الأمنية لمعالجة تسريب بيانات الاعتماد من الأجهزة الشخصية وتعزيز ممارسات BYOD الآمنة (أحضر جهازك الخاص). ويمكن لمنصة كاسبرسكي للتوعية الأمنية المؤتمتة (Kaspersky Automated Security Awareness Platform) أن تساعد في هذا الخصوص.

•              إجراء تدريبات محاكاة افتراضية ودورية لاختبار جاهزية الخطط التقنية، وتعزيز مهارات فريق العمل، وتحسين آليات التواصل.

•              اعتماد اتفاقيات المستوى التشغيلي لتنظيم وتسهيل التواصل بين مختلف الفرق، ووضع إجراءات تشغيل قياسية لضمان التوثيق السليم.

يمكنكم الاطلاع على التقرير الكامل من Securelist.com.