الكشف والاستجابة المُدارة (MDR)

يشير Managed Detection & Response إلى وظائف SOC تُقدَّم عن بُعد ويقودها محلّلون: مراقبة مستمرة وتحقيق واحتواء فعلي للتهديدات – وهكذا تصوغها أيضًا بيوت التحليل مثل Gartner في أدلة السوق الخاصة بها. في المقابل يتولّى مزوّدو الخدمات الأمنية المُدارة التقليديون (MSSP) بالدرجة الأولى تشغيل البنية التحتية الأمنية ومراقبة الأحداث وتمرير التنبيهات إلى الفريق الداخلي؛ وتبقى الاستجابة الفعلية في العادة لدى العميل. ويُستخدم مصطلح «SOC-as-a-Service» في السوق بصورة غير موحّدة، ويُقصد به غالبًا مركز عمليات أمنية خارجي بالاشتراك يشمل المنصة والكوادر – وعمليًا يتداخل ذلك بشدة مع MDR. لذلك فإن الحاسم ليس المسمّى، بل القدرة المضمونة تعاقديًا: من يكتشف، ومن يحقّق – ومن يحق له التدخّل؟

جوهر كل خدمة MDR هو المراقبة على مدار 24/7 للقياسات عن بُعد من نقاط النهاية (EDR) والهويات والشبكة والسحابة، وغالبًا على حزمة تقنية محدّدة مسبقًا من المزوّد. وفي مرحلة الفرز يفصل المحلّلون – بدعم من الأتمتة – الحوادث الحقيقية عن الإنذارات الكاذبة، ويرتّبونها حسب درجة الخطورة، ويُثرون التنبيهات بالسياق ومعلومات التهديدات. والاستجابة الفعلية هي ما يميّز MDR عن مجرد التنبيه: إذ يستطيع المزوّد ضمن الإطار المتفق عليه أن يحتوي بنفسه، كأن يعزل الأجهزة المخترقة أو يحظر الحسابات أو ينهي العمليات الخبيثة. ويُكمّل صيد التهديدات الكشف القائم على التنبيهات بالبحث المدفوع بالفرضيات عن نشاط المهاجمين الذي لا تغطّيه قواعد الكشف القائمة بعد.

يقيس متوسط زمن الكشف (MTTD) المدة من بدء نشاط الهجوم حتى كشفه، ويقيس متوسط زمن الاستجابة (MTTR) المدة حتى الاستجابة أو الاحتواء؛ ويُستخدم إضافةً إلى ذلك متوسط زمن الإقرار (MTTA) ومتوسط زمن الاحتواء (MTTC). ولا تصبح هذه القيم ذات دلالة إلا لكل فئة خطورة وعلى امتداد الزمن – فالأرقام المحسوبة كمتوسط لجميع الحوادث تُخفي القيم الشاذة وفروق الأولوية. ومن المهم للعقود: يكاد يتعذّر التعهّد الجاد بقيمة MTTD مضمونة، لأن نقطة بدء الهجوم مجهولة بطبيعتها؛ لذلك تحدّد اتفاقيات SLA عادةً أزمنة الاستجابة والإخطار من لحظة ورود التنبيه. اطلبوا من المزوّد مؤشرات معرّفة بشفافية، يتّضح منها متى تبدأ الساعة ومتى تتوقف.

تتحدّد جودة خدمة MDR بدرجة كبيرة في مرحلة الإعداد الأولي. في البداية يتم ربط مصادر القياس عن بُعد والسجلات، مرتّبة حسب قيمة الكشف – وعادةً خدمات الهوية ونقاط النهاية ومكوّنات الشبكة والخدمات السحابية؛ والمعيار الأدنى لـ BSI لتسجيل الهجمات السيبرانية وكشفها (الإصدار 2.1، 2024) موجَّه وإن كان إلى الإدارة الاتحادية، إلا أنه يقدّم للمؤسسات الأخرى أيضًا توجيهًا رصينًا بشأن الأحداث التي ينبغي تسجيلها. وبناءً على ذلك يُعرَّف كتالوج لحالات الاستخدام، يُهيكل غالبًا وفق تكتيكات وتقنيات MITRE ATT&CK، ويُكيَّف مع البيئة في مرحلة ضبط. وأخيرًا تحدّد أدلة التشغيل لكل سيناريو من يحق له فعل ماذا: أيّ إجراءات الاحتواء ينفّذها المزوّد بشكل مستقل، ومتى يتم التصعيد، ومن يجب أن يكون متاحًا لدى العميل.

من النقاط المحورية في SLA: أزمنة الاستجابة والإخطار لكل درجة خطورة، والتوافر المتواصل، ومسارات التصعيد المحدّدة، ونظام تقارير بمؤشرات قابلة للتتبّع. وافحصوا كذلك مكان معالجة البيانات وتصنيفها من منظور قانون حماية البيانات، والتوافق مع حزمتكم التقنية القائمة، وقابلية نقل محتويات الكشف وبيانات السجلات وسجل الحالات عند الخروج. وبالنسبة للمنشآت الواقعة ضمن نطاق تطبيق NIS2 يُضاف الدعم في التزامات الإبلاغ: إذ تشترط المادة 23 من التوجيه (EU) 2022/2555 إنذارًا مبكرًا خلال 24 ساعة وإبلاغًا خلال 72 ساعة من العلم بحادث أمني جسيم، وتقريرًا ختاميًا في موعد أقصاه شهر واحد بعد الإبلاغ. ويجب على المزوّد إعداد النتائج بسرعة وبصورة منظّمة تكفل الالتزام بهذه المهل – أما التزام الإبلاغ ذاته فيبقى على عاتق المنشأة المعنية.

يتطلّب SOC خاص يعمل على مدار 24/7 تشغيلًا متواصلًا بنظام الورديات وهندسة كشف مستمرة وتدريبًا متواصلًا – وهي أعباء لا يستطيع في ظل نقص الكفاءات المتخصصة سوى جزء من المؤسسات تحمّلها على المدى الطويل. في المقابل يحقّق MDR قفزة سريعة في مستوى النضج بتكاليف قابلة للتخطيط، لكنه يقلّل السيطرة المباشرة على منطق الكشف وتحديد الأولويات. وكحل وسط ترسّخت النماذج المُدارة بشكل مشترك، التي تحتفظ فيها المؤسسة بالسيطرة على SIEM أو منصة البيانات ويتولّى المزوّد التحليل والاستجابة على مدار 24/7. وبصرف النظر عن النموذج: يرسّخ NIST SP ⁦800-61⁩ Rev. 3 (2025) الاستجابة للحوادث كجزء من إدارة المخاطر السيبرانية الشاملة – وتبقى الحوكمة والتواصل في الأزمات واستعادة التشغيل مهام داخلية حتى مع MDR.