أنظمة كشف الهجمات (SzA)

أُدخل الالتزام باستخدام أنظمة كشف الهجمات بقانون أمن تقنية المعلومات 2.0، وسرى على مشغّلي KRITIS اعتبارًا من 1 مايو 2023 (المادة 8a الفقرة 1a من BSIG بصيغته السابقة). ومع قانون تطبيق NIS2 النافذ منذ 6 ديسمبر 2025 بات منصوصًا عليه في المادة 31 الفقرة 2 من BSIG: يجب على مشغّلي المنشآت الحيوية استخدام أنظمة «ترصد وتحلّل باستمرار وتلقائيًا المعايير والخصائص الملائمة من التشغيل الجاري» – مع الالتزام بأحدث ما توصّلت إليه التقنية. وتعرّف المادة 2 من BSIG أنظمة SzA بأنها عمليات مدعومة بأدوات تقنية ودمج تنظيمي، أي صراحةً ليست مجرد منتج، بل تكامل بين التقنية والتنظيم. ويجب إثبات التنفيذ وفق المادة 39 من BSIG عبر عمليات تدقيق أمني أو فحوص أو شهادات – في القانون الجديد كل ثلاث سنوات (سابقًا كل عامين وفق المادة 8a الفقرة 3 من BSIG بصيغته السابقة).

المعيار للتنفيذ والفحص هو «الدليل الإرشادي لاستخدام أنظمة كشف الهجمات» الصادر عن BSI (الإصدار 1.1 بتاريخ 18 نوفمبر 2024، المعدَّل تحريريًا مقارنة بالنسخة الأولى الصادرة في سبتمبر 2022؛ ولا يزال يشير إلى الوضع القانوني السابق). يقسّم الدليل المتطلبات إلى ثلاثة مجالات هي التسجيل والكشف والاستجابة، ويصوغها على غرار IT-Grundschutz كمتطلبات «يجب» و«ينبغي» و«يجوز»؛ ويحيل كمرجع إضافي إلى الوحدات OPS.1.1.5 وDER.1 وDER.2.1 وغيرها. ويتم التقييم عبر نموذج درجات تنفيذ من 0 إلى 5: تعني الدرجة 3 استيفاء جميع متطلبات «يجب» في كل المجالات؛ وتشترط الدرجة 4 إضافةً إلى ذلك جميع متطلبات «ينبغي» (مع استثناءات مبرَّرة تبريرًا وجيهًا فقط)، وتشمل الدرجة 5 متطلبات «يجوز». ولتقديم دليل الإثبات يجب من حيث المبدأ بلوغ درجة التنفيذ 3 على الأقل؛ ولا يُسمح بالانحراف نحو الأدنى إلا بتبرير.

يبدأ الكشف الفعّال بالسؤال عن بيانات السجلات التي تُجمع أصلًا. يشترط الدليل الإرشادي تحديد جميع الأنظمة ذات الصلة بالخدمة الحيوية، وتخزين بيانات السجلات والتسجيل اللازمة مركزيًا، وإتاحتها للتحليل بعد تصفيتها وتوحيدها وتجميعها وربطها. ويجب أن يتم استيعاب المصادر حسب الأولوية من الخارج إلى الداخل – من حدود الشبكة إلى مناطقها الداخلية، وعلى مستوى الأنظمة انطلاقًا من الأنظمة الحيوية المركزية مثل تقنيات التحكم في العمليات والأتمتة. ويشمل نطاق التطبيق صراحةً تقنية المعلومات وOT وكذلك مراكز البيانات والأنظمة المدمجة. ويجب كذلك مراعاة حماية البيانات ومهل الحذف القانونية، وإنشاء عملية لإدارة التغيير تُحدّث التسجيل عند حدوث تغييرات في نطاق التطبيق.

تُطوَّر محتويات الكشف على نحو متزايد كالبرمجيات: بإدارة الإصدارات والاختبار وقابلية إعادة الاستخدام. وقد رسّخت Sigma مكانتها كصيغة توقيعات مفتوحة قائمة على YAML لأحداث السجلات؛ ويمكن تحويل القواعد عبر sigma-cli وpySigma إلى لغات الاستعلام لمنصات SIEM الشائعة وتبادلها عبر مستودع SigmaHQ الذي يُدار تشاركيًا. ولتخطيط التغطية يوصي الدليل الإرشادي لـ BSI بمنهجية موحّدة مثل MITRE ATT&CK أو ATT&CK for ICS. وتصف مصفوفة Enterprise في الإصدار 19 (أبريل 2026) ‏15 تكتيكًا و222 تقنية و475 تقنية فرعية؛ ويُوضّح ربط القواعد الخاصة بـ ATT&CK أيّ تقنيات الهجوم يتم كشفها – وأين توجد الثغرات.

عمليًا ينشأ كشف الهجمات من تكامل عدة مكوّنات. يجمع SIEM بيانات السجلات من مصادر متباينة ويربطها مركزيًا، ويحقّق التحليل المستمر والمؤتمت المطلوب مع إطلاق التنبيهات عند تجاوز القيم الحدّية. ويوفّر EDR قياسات عن بُعد مفصّلة وإمكانات استجابة على نقاط النهاية والخوادم؛ ويكشف NDR الحالات الشاذة في حركة الشبكة ويغطّي بذلك أيضًا المجالات التي يتعذّر فيها تثبيت الوكلاء البرمجيين – مثل بيئات OT أو الأنظمة المدمجة. ويشترط الدليل الإرشادي فضلًا عن ذلك تحديدًا كشف البرمجيات الخبيثة بإدارة مركزية وكذلك أنظمة كشف التسلل الشبكية (NIDS) عند نقاط التقاء الشبكات الداخلية والخارجية. لا تفي أي أداة منفردة بالمتطلبات وحدها؛ والحاسم هو التغطية الموثّقة لكامل نطاق التطبيق.

ليست حالات استخدام الكشف مشروعًا لمرة واحدة، بل محفظة ذات دورة حياة: تحليل التهديدات وتحديد الأولويات، وتطوير القواعد، والاختبار والمعايرة في التشغيل الاعتيادي (Baselining)، والتشغيل الإنتاجي مع الضبط، إضافة إلى المراجعة الدورية والاستبعاد. ويشترط الدليل الإرشادي صراحةً إعادة ضبط آليات الكشف بناءً على تأهيل الأحداث ذات الصلة بالأمن، والحفاظ على تحديث التوقيعات دائمًا. ومن الثغرات النمطية في الفحوص والمشاريع: تغطية غير مكتملة لمصادر السجلات لا سيما في شبكات OT، وغياب عمليات الاستجابة أو عدم التدرّب عليها، وعدم وجود تنظيم موثوق للتحليل خارج ساعات العمل، وإرهاق التنبيهات بسبب قواعد غير معايَرة، وغياب توثيق التخطيط والاستثناءات المبرَّرة – وهذا الأخير يظهر على أبعد تقدير عند تقييم درجة التنفيذ.