Compromise Assessment: تعقّب المهاجمين المتخفّين

Compromise Assessment هو فحص في نقطة زمنية مدعوم بالأساليب الجنائية الرقمية لبيئة تقنية المعلومات بحثًا عن آثار اختراقات نشطة أو سابقة. ويتبع مبدأ «Assume Breach»: لا يُفحص غياب الثغرات الأمنية، بل وجود نشاط المهاجمين أو غيابه – على نقاط النهاية والخوادم، وفي خدمات الهوية، وكذلك في سجلات الشبكة والسحابة. والفحص محدود زمنيًا ويقدّم لقطة لحظية لنطاق محدّد وفترة مراقبة محدّدة. وهو لا يحلّ محل الكشف المستمر ولا محل مركز العمليات الأمنية، بل يجيب عن سؤال في تاريخ محدّد لا يستطيع التشغيل الجاري وحده الإجابة عنه.

في عمليات Mergers & Acquisitions يتحقّق المشتري قبل الدمج مما إذا كان سيرث مع الشركة المستهدفة اختراقًا قائمًا – فوفق M-Trends 2026 كان الاختراق القائم مسبقًا («prior compromise») بنسبة 10% ثالث أكثر نواقل الهجوم الأولية شيوعًا، بل 30% في حالات برامج الفدية. والداعي الثاني هو اشتباه ملموس، مثلًا بعد تنبيهات من الجهات الرسمية أو فرق CERT، أو قياسات عن بُعد لافتة، أو رسالة ابتزاز. وبعد معالجة حادث أمني يُثبت التقييم قبل استعادة التشغيل عدم بقاء أي منافذ وصول متبقية – وهو مكوّن من مكوّنات معالجة الحوادث التي يشترطها مثلًا NIS2 في المادة 21 الفقرة 2 البند b على المنشآت المعنية. وفي سياق التأمين السيبراني أيضًا، مثلًا في حوار المخاطر أو بعد وقوع ضرر، قد يُطلب وضع اختراق موثّق أو يكون مفيدًا.

بعد تحديد النطاق تُجمع الآثار الجنائية الرقمية على نطاق واسع: معلومات العمليات والتشغيل التلقائي، والمهام والخدمات المجدولة، وسجلات تسجيل الدخول والأحداث، وسجلات سطر الأوامر وPowerShell، واتصالات الشبكة، وكذلك الآثار في خدمات الهوية والسحابة. وتُبنى على ذلك استراتيجيتا بحث متكاملتان: تقارن مسوحات IOC البيانات بمؤشرات الاختراق المعروفة (بصمات الملفات وعناوين IP والنطاقات)، في حين تبحث التحليلات القائمة على TTP سلوكيًا عن تقنيات الهجوم وفق قاعدة معرفة MITRE ATT&CK، فترصد بذلك أيضًا النشاط الذي لا توقيع معروفًا له. وتُحلَّل قياسات EDR القائمة أو تُنشر مؤقتًا طوال مدة الفحص؛ وتُتحقّق النتائج اللافتة يدويًا لفصل النتائج الحقيقية عن الضوضاء.

يجيب اختبار الاختراق عن سؤال أين يمكن لمهاجم الدخول – فهو موجّه نحو الثغرات ويحاكي الهجوم. ويجيب Compromise Assessment عن سؤال ما إذا كان مهاجم قد دخل بالفعل أو كان قد دخل – فهو موجّه نحو الأدلة وينظر إلى الوراء. أما صيد التهديدات فهو عملية مستمرة مدفوعة بالفرضيات ضمن تشغيل راسخ لعمليات الأمن؛ في حين أن Compromise Assessment جرد شامل في نقطة زمنية يمكن تنفيذه حتى دون SOC خاص. ولا تحلّ هذه الصيغ الثلاث محل بعضها، بل تكمّل بعضها.

النتيجة المحورية هي إفادة الاختراق: تقييم موثّق لما إذا عُثر في النطاق والفترة المفحوصين على مؤشرات لنشاط مهاجمين نشط أو سابق – بما في ذلك حدود هذه الإفادة، إذ لا تُثبت النتيجة السلبية خلوًّا مطلقًا من الاختراق، بل تستند إلى قاعدة البيانات المتاحة فعليًا. ويُضاف إلى ذلك تقرير بالنتائج يتضمن النتائج المنفردة المقيَّمة والأنظمة المتأثرة، وكذلك توصيات للتحصين والكشف مرتّبة حسب الأولوية. وإذا عُثر على اختراقات نشطة ينتقل التقييم إلى استجابة منظّمة للحوادث؛ وينبغي تحديد نقاط التسليم مسبقًا – بما يتّسق مع دمج معالجة الحوادث في إدارة المخاطر السيبرانية كما يصفه NIST SP ⁦800-61⁩ Rev. 3.

المهاجمون النشطون هم أندر النتائج لكنهم أخطرها. والأكثر شيوعًا آثار اختراقات سابقة لم تُكتشف قط، وWebshells على الأنظمة المكشوفة، وآليات الاستمرارية مثل الخدمات المُنشأة حديثًا أو المهام المجدولة أو مدخلات التشغيل التلقائي، وكذلك الحسابات المميّزة المخترقة أو المهجورة وأدوات الصيانة عن بُعد غير المصرّح بها. وإلى جانب ذلك تقدّم تقييمات كثيرة نتائج هيكلية: ثغرات في التسجيل وتغطية أجهزة الاستشعار، وفترات احتفاظ بالسجلات قصيرة جدًا، أو إعدادات غير آمنة من شأنها أن تُصعّب المعالجة الجنائية الرقمية لاحقًا. وتدخل هذه النتائج أيضًا في التوصيات – ويصف BSI IT-Grundschutz متطلبات هذه الجاهزية الجنائية في الوحدة DER.2.2.