استُهدفت شركة تكنولوجيا رعاية صحية وأحد مورّديها الرئيسيين لتحليلات البيانات في حملة الجهة المهددة نفسها، وهي مجموعة متقدمة تنفذ عمليات تجسس ضد مؤسسات الرعاية الصحية. واستخدمت الحملة بنية تحتية ثابتة وتقنيات متشابهة ومنهجية سرقة بيانات الاعتماد نفسها عبر أهداف متعددة في قطاع الرعاية الصحية. ورصد SOC لدى شركة الرعاية الصحية الاختراق من خلال أحداث مصادقة غير اعتيادية، وبدأ إجراء IR، فحدد أربعة مؤشرات اختراق خلال الأيام الثلاثة التالية. وفي الأثناء، كان SOC لدى مورّد التحليلات قد رصد بشكل مستقل الجهة المهددة نفسها في بيئته قبل ستة أيام، وأتم تحقيقًا أوسع، وحدد سبعة مؤشرات اختراق تشمل عينات من البرمجيات الخبيثة ونطاقات C2 وتقنيات محددة للتلاعب ببيانات الاعتماد. ولم تكن لدى أي من الطرفين أي آلية لتبادل مؤشرات الاختراق مع الآخر أثناء تحقيقاتهما المتزامنة. ولم يكن المورّد قد حدد العميل بوصفه مؤسسة مستهدفة معه. ولم يكن العميل قد فكر فيما إذا كان المورّد يتعرض للحملة نفسها. وعندما وصل إخطار المورّد إلى العميل في اليوم الثاني عشر، وكان إخطارًا بخرق لا تبادلًا لمعلومات التهديدات، اكتشف فريق IR لدى العميل أن مؤشرات الاختراق الثلاثة الإضافية في تحقيق المورّد كان من الممكن أن تسرّع جدوله الزمني بما يُقدَّر بثلاثة أيام. وكان المهاجم قد استغل بيئة العميل لمدة تسعة أيام قبل اكتشافه. وكان من الممكن تجنب ثلاثة من تلك الأيام بتبادل IOC مع مورّد مستهدف معه.
ما مشكلات الجداول الزمنية للاستجابة عبر المؤسسات حقًا؟
تنشأ مشكلات الجداول الزمنية للاستجابة عبر المؤسسات عندما تحقق كل مؤسسة متأثرة على حدة في الحوادث الأمنية التي تمس مؤسسات متعددة، ولا سيما حوادث سلسلة التوريد التي تستهدف المورّدين وعملاءهم في الحملة نفسها، بدلًا من التحقيق عبر تبادل منسق للمعلومات. والنتيجة هي ازدواجية جهود التحقيق، وتأخر الاكتشاف لدى الطرف الأقل معلومات، والعجز عن منع المهاجم من استغلال عدم تكافؤ المعلومات بين المؤسسات التي تحقق كلٌّ على حدة.
يمثل نمط الاستهداف في حملات سلسلة التوريد سياق التهديد المحدد. فالجهات المهددة المتقدمة التي تستهدف المؤسسات عبر سلسلة توريدها كثيرًا ما تستهدف مؤسسات متعددة في القطاع نفسه في آن واحد: المورّد وعددًا من عملائه، أو مورّدين متعددين في سلسلة توريد مشتركة. والمعلومات التي تجمعها مؤسسة مستهدفة ذات صلة مباشرة بتحقيقات المؤسسات المستهدفة الأخرى التي تواجه الخصم نفسه. والتحقيق المنفرد يمنع تدفق هذه المعلومات بين المؤسسات المستهدفة معًا خلال الإطار الزمني الذي كانت ستسرّع فيه الاكتشاف والاستجابة المتبادلين.
تمثل مشكلة تثبيط تبادل IOC العائق البنيوي أمام التنسيق عبر المؤسسات. فتبادل مؤشرات الاختراق وتفاصيل الحوادث عبر الحدود المؤسسية أثناء الحوادث النشطة ينطوي على مراجعة قانونية واعتبارات خصوصية وتعرض للمسؤولية ومخاوف تتعلق بالحساسية التنافسية، وهي أمور تثبط التبادل أو تؤخره حتى عندما يفيد جميع الأطراف. والمؤسسات التي أبرمت مسبقًا اتفاقيات لتبادل المعلومات وأنشأت قنوات اتصال موثوقة تستطيع التبادل أثناء الحوادث بسرعة أكبر من تلك التي يتعين عليها إنشاء علاقة التبادل أثناء الحادث نفسه.
- تحقيق منفرد في تهديد مشترك: المهاجم نفسه، وفرق IR منفصلة، ولا تنسيق
- تثبيط تبادل IOC: عوائق قانونية وتنافسية أمام التبادل الفوري لـIOC
- لا آلية تبادل مسبقة: إنشاء علاقة التبادل أثناء الحادث
- فجوة إدراك الاستهداف المشترك: لا يفكر أي من الطرفين فيما إذا كان المورّد أو العميل قد يواجه التهديد نفسه
- إطالة مدة بقاء المهاجم بسبب تأخر الاكتشاف المتبادل
لماذا يهم هذا
تكتسب الجداول الزمنية للاستجابة عبر المؤسسات أهمية في TPRM لأن حوادث سلسلة التوريد كثيرًا ما تُنشئ سيناريوهات استهداف مشترك يمكن فيها للاستجابة المنسقة أن تحقق اكتشافًا أسرع وتقلص مدة بقاء المهاجم لجميع الأطراف. فالعميل الذي يحافظ على علاقة مسبقة لتبادل معلومات التهديدات مع مورّديه الأعلى مخاطرة يستفيد من اكتشاف المورّد المبكر للتهديدات المشتركة. والمورّد الذي يعلم أن عملاءه سيتبادلون مؤشرات الاختراق خلال الحوادث يمكنه إدماج معلومات العملاء في الجدول الزمني لتحقيقه.
يُظهر نموذج التنسيق في ISAC هذه القيمة على مستوى القطاع. فقد أثبتت مراكز تبادل المعلومات وتحليلها في قطاع الخدمات المالية وقطاع الرعاية الصحية ومنظمات تبادل المعلومات في البنية التحتية الحيوية أن تبادل معلومات التهديدات على مستوى القطاع يسرّع الاكتشاف لجميع المشاركين. وينطبق المبدأ نفسه على مستوى العلاقة بين المورّد والعميل: فالتبادل المباشر بين المؤسسات المستهدفة معًا التي تجمعها علاقة وثقة مسبقتان يسرّع الاستجابة المتبادلة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم التفكير فيما إذا كان هناك سيناريو استهداف مشترك عند الاستجابة للحوادث. فقد لا تفكر فرق IR المنشغلة ببيئتها الخاصة فيما إذا كان مورّدها أو عميلها يواجه التهديد نفسه في الوقت ذاته، وفيما إذا كان التواصل معه أثناء التحقيق سيكشف معلومات مشتركة.
- غياب الوعي بالاستهداف المشترك أثناء IR: عدم اعتبار المورّد أو العميل هدفًا محتملًا مشتركًا
- لا آلية مسبقة لتبادل IOC مع المورّدين
- المراجعة القانونية تؤخر التبادل أثناء الحوادث النشطة
- لا موجز مشترك لمعلومات التهديدات مع المورّدين الحرجين
- المشاركة في ISAC دون تنسيق مع التبادل الخاص بالمورّد
كيف تبدو الممارسة الجيدة
تُنشئ برامج الاستجابة عبر المؤسسات الناضجة مسبقًا آليات لتبادل IOC مع المورّدين والعملاء الحرجين، من خلال مراكز تبادل المعلومات وتحليلها أو اتفاقيات التبادل الثنائية أو التبادل المباشر لمعلومات التهديدات، وتُدرج تقييم الاستهداف المشترك خطوةً مبكرة معيارية في إجراءات IR للحوادث التي تنطوي على جهات مهددة مشتركة.
- اتفاقية تبادل ثنائية مسبقة مع المورّدين والعملاء الحرجين
- خطوة تقييم الاستهداف المشترك في إجراءات IR: هل يواجه المورّد أو العميل التهديد نفسه؟
- قناة اتصال موثوقة لتبادل IOC أثناء الحوادث
- المشاركة في ISAC للتبادل على مستوى القطاع
- موافقة قانونية مسبقة لتبادل IOC أثناء الحوادث: تجنب التأخير أثناء الاستجابة الجارية
الأدوات
تبادل معلومات التهديدات: MISP، وOpenCTI، وSTIX/TAXII
توفر منصات تبادل معلومات التهديدات تبادلًا منظمًا لـIOC بصيغ تتيح للأدوات الأمنية لدى المؤسسات المستقبِلة استيعابها آليًا. ويتيح الإعداد المسبق لموجزات STIX/TAXII أو مجموعات تبادل MISP مع المورّدين الحرجين تبادلًا أسرع لـIOC أثناء الحوادث مقارنةً بالتبادل عبر البريد الإلكتروني. وبالنسبة لممارسي TPRM، فإن إنشاء تبادل منظم لمعلومات التهديدات مع المورّدين الحرجين يوفر الآلية اللازمة لتسريع الاكتشاف المتبادل.
مراكز تبادل المعلومات وتحليلها: FS-ISAC، وH-ISAC، وIT-ISAC
توفر مراكز تبادل المعلومات وتحليلها مجتمعات لمعلومات التهديدات خاصة بكل قطاع، تُتبادل فيها التهديدات المشتركة بين المشاركين في آن واحد. وبالنسبة لممارسي TPRM، فإن ضمان مشاركة العميل ومورّديه الحرجين في ISAC نفسه يوفر سياقًا مشتركًا للوعي بسيناريوهات الاستهداف المشترك.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التبادل عبر المؤسسات في عائق الحساسية القانونية والتنافسية. فالحصول المسبق على موافقة قانونية لتبادل IOC يقلل تأخر التبادل أثناء الحوادث النشطة. واتفاقية التبادل الثنائية التي تعالج مسبقًا مخاوف المسؤولية والتعامل مع البيانات والحساسية التنافسية تتيح تبادلًا أسرع حين يتطلبه الحادث.
- أبرم اتفاقية ثنائية لتبادل معلومات التهديدات مع المورّدين الحرجين
- تفاوض على موافقة قانونية مسبقة لتبادل IOC أثناء الحوادث المشتركة
- أضف فحص الاستهداف المشترك إلى إجراء IR: التواصل مع المورّدين الحرجين عند تحديد جهة مهددة تستهدف سلسلة التوريد
- أنشئ تبادلًا عبر MISP أو STIX/TAXII مع المورّدين الحرجين
- شارك في ISAC مشترك مع المورّدين الحرجين
إذا كنت فريقًا صغيرًا
أضف خطوة واحدة إلى إجراء IR لديك لأي حادث ينطوي على جهة مهددة قد تستهدف قطاعك: تواصل مع مسؤول IR لدى كل مورّد من مورّدي الفئة 1، واسأله عمّا إذا كان قد رصد المؤشرات نفسها في بيئته. هذه الخطوة تكلف مكالمة هاتفية واحدة. وفي سيناريو الاستهداف المشترك، قد توفر تلك المكالمة مؤشرات اختراق تسرّع تحقيقك بأيام. حدّد مسبقًا جهة اتصال IR لدى كل مورّد من الفئة 1 حتى تصل المكالمة إلى الشخص المناسب فورًا.
- أضف فحص الاستهداف المشترك إلى إجراء IR
- أنشئ جهات اتصال من IR إلى IR لدى مورّدي الفئة 1 لمكالمات التبادل الطارئة
- تفاوض على اتفاقية ثنائية لتبادل IOC مع المورّدين الحرجين
- شارك في ISAC مشترك
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إذا رصد SOC لديكم جهة مهددة قد تستهدف عملاءكم أيضًا، فما الإجراء المتبع لديكم لتبادل معلومات التهديدات مع العملاء المتأثرين، وهل لديكم آلية لتبادل مؤشرات الاختراق مباشرةً مع فريقنا الأمني أثناء تحقيق جارٍ؟»
ما تتوقعه دليلًا
- إجراء إخطار العملاء في سيناريوهات الاستهداف المشترك
- آلية تبادل IOC: STIX/TAXII أو MISP أو اتفاقية ثنائية
- المشاركة في ISAC القطاع المشترك
- موافقة قانونية مسبقة لتبادل IOC
ينبغي سؤال المورّد الذي يؤكد نضج IR المستقلة لديه عمّا إذا كانت سيناريوهات الاستهداف المشترك جزءًا من إجراء IR لديه، وكيف يجري تبادل IOC مع العملاء أثناء التحقيقات الجارية. النضج المستقل قيّم. والنضج المنسق أكثر قيمة.
كيف تُثبت ذلك
- توثيق اتفاقية التبادل الثنائية
- سجلات إجراء تقييم الاستهداف المشترك
- إعداد آلية تبادل IOC
- سجلات المشاركة في ISAC
الخلاصة الرئيسية
التهديد نفسه. تحقيقان. سبعة مؤشرات اختراق وأربعة مؤشرات اختراق. لا تبادل. ثلاثة أيام من بقاء المهاجم كان يمكن تجنبها. استهدف المهاجم الطرفين في آن واحد واستفاد من تحقيق كلٍّ منهما على حدة. وكانت مجموعة IOC المجمعة التي كانت ستسرّع كلا التحقيقين موجودة، لكنها موزعة بين فريقي IR لم تكن لديهما آلية للتبادل أثناء التحقيق الجاري. وتعالج اتفاقيات التبادل الثنائية المسبقة، وآليات تبادل IOC، وفحص الاستهداف المشترك ضمن إجراء IR العوائقَ البنيوية قبل وقوع الحادث الذي يكشفها. التهديد منسق. والاستجابة ينبغي أن تكون كذلك.