محاولة تلخيص لكتاب بعنوان “Security Orchestration and Automation Playbook” (دليل تنسيق وأتمتة الأمن)،
وهو دليل عملي لتنفيذ حلول SOAR.
يتناول الكتاب كيفية تحسين موقف الأمن السيبراني وزيادة الكفاءة من خلال الأتمتة دون فقدان التحكم في العمليات الأمنية والمعلوماتية الهامة.
محتويات الكتاب تشمل:
1.مقدمة: توضيح كيف تساعد الأتمتة في تحسين الأداء وتقليل الوقت اللازم للاستجابة.
2.التحقيق في محاولات التصيد: كيفية أتمتة فحص المرفقات والروابط المشبوهة.
3.إدارة حسابات المستخدمين: أتمتة إجراءات إنشاء وإلغاء تفعيل الحسابات.
4.احتواء البرمجيات الخبيثة: التحقيق في البرامج الضارة واحتوائها.
5.إثراء التنبيهات: تحسين جودة التنبيهات الأمنية وتقليل الإيجابيات الكاذبة.
6.تنبيه ChatOps: استخدام تطبيقات الدردشة لتوزيع التنبيهات.
7.صيد التهديدات: أتمتة عمليات البحث عن التهديدات والتحليل.
8.التصحيح والإصلاح: إدارة الثغرات الأمنية وتنفيذ التصحيحات اللازمة.
9.تبسيط الأمان مع InsightConnect: عرض لحلول الأتمتة والأدوات المقدمة من Rapid7.
هذا الكتاب يهدف إلى تقديم إرشادات واضحة وفعالة لتحسين أداء فرق الأمن السيبراني من خلال استخدام الأتمتة والتنسيق بين الأدوات الأمنية المختلفة.

الفصل الأول من الكتاب، والذي يحمل عنوان “مقدمة”، يقدم نظرة عامة عن كيفية استخدام تنسيق وأتمتة الأمن السيبراني لتحسين كفاءة فرق الأمان دون التضحية بالتحكم في العمليات الأمنية والمعلوماتية المهمة. يشرح الفصل أهمية التعرف على النقاط المؤلمة التي تواجهها المؤسسة وكيف يمكن للأتمتة أن تكون حلاً فعالاً لها.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديد نقاط الألم:
•كمية التنبيهات الكبيرة التي تتلقاها الفرق الأمنية والتي يصعب التعامل معها بفعالية وسرعة.
•معاناة الفرق من الإرهاق نتيجة العبء الكبير من العمل.
•صعوبة توظيف والاحتفاظ بالمواهب في مجال الأمن السيبراني.
•الوقت الطويل المستغرق في جمع وتحليل المعلومات.
•زيادة متوسط الوقت المستغرق للاستجابة للتهديدات.
2.تعريف حالات الاستخدام الشائعة:
•تحديد المهام الأكثر تكرارًا التي يقوم بها أعضاء الفريق الأمني والتي يمكن أن تستفيد من الأتمتة.
•بعض الشركات قد تستفيد من أتمتة معالجة حوادث البرمجيات الخبيثة، بينما قد تحتاج أخرى إلى تنسيق عمليات صيد التهديدات وإثراء البيانات لإدارة حجم التهديدات المتزايد.
3.أهمية حالات الاستخدام الأكثر شيوعًا:
•التركيز على تحديد وتنفيذ حالات الاستخدام التي يمكن أن تجلب قيمة فورية للمؤسسة.
•الأتمتة يمكن أن تساعد في تحسين استجابة الفريق الأمني وتخفيف العبء عنهم، مما يمكنهم من التركيز على تحليل التهديدات والرد عليها بدلًا من الانشغال بالمهام الروتينية.
4.نصائح للبدء:
•قبل البحث عن حل للأتمتة والتنسيق، يجب تحديد أولويات المؤسسة والحالات التي تحتاج إلى حل سريع.
•توفير إرشادات حول كيفية البدء في تنفيذ الأتمتة والتنسيق داخل المؤسسة لتحسين الأداء وزيادة الكفاءة.
الفصل يوفر توجيهات شاملة حول كيفية الاستفادة من الأتمتة والتنسيق لتحسين كفاءة وأداء فرق الأمن السيبراني، مع التركيز على الاستخدام الفعّال للموارد المتاحة وتوجيه الجهود نحو المهام التي تحقق أكبر قيمة مضافة.

الفصل الثاني من الكتاب يتناول موضوع “التحقيق في محاولات التصيد” (Phishing Investigations) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في تحسين كفاءة وسرعة الاستجابة لحوادث التصيد الاحتيالي.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات التحقيق في محاولات التصيد:
•يعتبر التصيد الاحتيالي أحد أكثر طرق الهجوم شيوعًا التي تؤدي إلى اختراقات أمنية ناجحة.
•يتطلب التحقيق في رسائل البريد الإلكتروني الاحتيالية القيام بمهام يدوية تستغرق وقتًا طويلًا، مثل فحص المرفقات وتفجيرها (detonation)، والتحقق من الروابط (URLs)، ومتابعة الطلبات المشبوهة للمعلومات الحساسة.
2.دور الأتمتة في تحسين التحقيقات:
•يمكن لأدوات الأتمتة تنفيذ هذه المهام خلف الكواليس، مما يتيح للفريق الأمني التركيز على بقية التحقيق والاستجابة.
•الأتمتة تضمن التعامل مع الحالة بفعالية وكفاءة مع تسريع وقت الاستجابة.
3.خطوات أتمتة التحقيق في محاولات التصيد:
•فحص المرفقات والروابط: استخدام الإضافات لتصفح آمن وصناديق الرمل (sandboxes) لفحص المرفقات المشبوهة والتحقق من الروابط.
•بناء تدفقات العمل لتحديد التهديدات: استخدام تدفقات العمل لتحليل الروابط والمرفقات البريدية باستخدام مصادر متعددة للمعلومات الاستخباراتية. يمكن إضافة خطوات لإخراج تقارير تفصيلية حول كل مؤشر تم تحديده.
•تحديد نقاط اتخاذ القرار: بعد إجراء الفحوصات والتحقيقات الروتينية، يمكن تكوين تدفقات العمل لتحفيز نقطة اتخاذ القرار حول كيفية المضي قدمًا. أمثلة على ذلك تشمل تصنيف البريد الإلكتروني كتصيد مؤكد، ونشر رسالة تنبيه داخل المؤسسة عبر تطبيقات مثل Slack.
4.حالة استخدام شائعة:
•يمثل التحقيق في التصيد الاحتيالي تحديًا كبيرًا للفرق الأمنية بسبب الطبيعة اليدوية والمستهلكة للوقت لهذه العملية. يوضح الكتاب كيف يمكن للأتمتة تقليل الوقت المستغرق من ساعات إلى دقائق.
•الوقت المستغرق قبل الأتمتة وبعدها: قبل الأتمتة، قد يستغرق التحقيق في محاولة تصيد واحدة عدة ساعات، بينما يمكن للأتمتة تقليل هذا الوقت إلى دقائق قليلة.
مثال عملي على تدفق العمل للتحقيق في التصيد:
•قبل الأتمتة: إنشاء تذكرة، فحص الروابط، تحليل ما هو مشبوه، فحص نقطة النهاية للمستخدم للبرمجيات الضارة، البحث عن رسائل بريد إلكتروني مشابهة، حظر البريد الوارد، تنبيه الموظفين.
•بعد الأتمتة: يتم تنفيذ هذه المهام بواسطة أدوات الأتمتة، مما يقلل الزمن المستغرق للإجراءات اليدوية ويترك قرار التصنيف النهائي والتعامل للفرق البشرية عند الحاجة.
الفصل يوضح كيف يمكن للأتمتة تحسين كفاءة وفعالية التحقيق في حوادث التصيد الاحتيالي، مما يعزز من قدرة الفرق الأمنية على الاستجابة بشكل أسرع وأكثر دقة للتهديدات السيبرانية.

الفصل الثالث من الكتاب يتناول موضوع “إدارة حسابات المستخدمين” (Provisioning and Deprovisioning Users) ويشرح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في تسهيل وإدارة عملية إضافة وإزالة المستخدمين بسرعة وفعالية، وهو أمر بالغ الأهمية للأمن السيبراني في أي مؤسسة.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.أهمية إدارة حسابات المستخدمين:
•إدارة صلاحيات المستخدمين تعتبر عملية حيوية يجب على جميع المؤسسات إتمامها بسرعة وفعالية للرد على التهديدات الأمنية.
•الواقع المؤسف هو أن العديد من الشركات لا تستطيع مواكبة هذه المتطلبات، مما يترك فجوات أمنية.
2.دور الأتمتة في إدارة حسابات المستخدمين:
•يمكن لأدوات التنسيق والأتمتة إزالة عبء إدارة الحسابات يدويًا في حالات متعددة، من إنشاء الحسابات الجديدة إلى إلغاء تفعيل حسابات الموظفين المغادرين.
•الأتمتة تقلل من الأخطاء البشرية وتضمن أن العملية تتم بسرعة وكفاءة.
3.إجراءات أتمتة إدارة الحسابات:
•إعداد الحسابات الجديدة:
•يتطلب الموظفون المختلفون مستويات وصول مختلفة إلى الأدوات والأنظمة داخل المنظمة.
•يمكن تنسيق الأدوات مثل Okta أو Active Directory لتبدأ عملية الأتمتة المتعلقة بحسابات المستخدمين المخصصة.
•إلغاء تفعيل حسابات الموظفين المغادرين:
•بغض النظر عن سبب مغادرة الموظف، من الأفضل أمنيًا إزالة الوصول إلى حسابه في أسرع وقت ممكن.
•عندما يغادر موظف، يمكن للفرق الأمنية وتقنية المعلومات تعطيل الحساب فورًا من خلال سير عمل آلي.
•إغلاق أبواب الوصول:
•حسابات المستخدمين غالبًا ما تكون مستهدفة في هجمات التصيد الاحتيالي.
•في حالة حدوث حادثة، يمكن للأتمتة إلغاء تفعيل حسابات المستخدمين المتأثرة، وإزالة الوصول إلى الأنظمة الرئيسية، وإلغاء الأذونات حسب الحاجة حتى يتم احتواء التهديد.
4.الإضافات الشائعة المستخدمة في الأتمتة:
•يتضمن الفصل أمثلة على الإضافات الشائعة التي يمكن استخدامها في الأتمتة مثل AWS IAM، وAD/LDAP، وOkta، وDuo، وJIRA، وGitHub، وWorkday.
مثال عملي على تدفق العمل لإدارة الحسابات:
•إعداد الحسابات:
•قبل الأتمتة: استغراق ساعات لإنشاء الحساب في خدمة الدليل، إضافة المستخدم إلى الأدوات المطلوبة حسب دوره، إرسال بريد إلكتروني للتهيئة، نشر البرمجيات المطلوبة إلى نقطة النهاية، إخطار الجهات المعنية.
•بعد الأتمتة: تقليل الزمن المستغرق إلى دقائق من خلال تنفيذ هذه الخطوات بواسطة الأدوات الآلية.
•إلغاء تفعيل الحسابات:
•قبل الأتمتة: يستغرق العملية حوالي 40 دقيقة لتجميع المفاتيح وإزالتها، قائمة المجموعات وإزالة المستخدم منها، حذف المستخدم.
•بعد الأتمتة: يمكن تنفيذ هذه الخطوات في دقائق قليلة باستخدام الأتمتة.
الفوائد المحققة من الأتمتة:
•زيادة الكفاءة وتقليل الأخطاء البشرية.
•تحسين زمن الاستجابة للأحداث الأمنية.
•ضمان التزام عمليات إدارة الحسابات بالسياسات الأمنية المنظمة.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية إدارة حسابات المستخدمين، مما يسهم في تعزيز الأمان وتقليل الفجوات الأمنية داخل المؤسسة.

الفصل الرابع من الكتاب يتناول موضوع “احتواء البرمجيات الخبيثة” (Malware Containment) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في الكشف عن البرمجيات الخبيثة واحتوائها بسرعة وفعالية، مما يقلل من الأضرار المحتملة على الشبكة والأصول المؤسسية.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات التعامل مع البرمجيات الخبيثة:
•فرق الأمان تواجه عبء كبيرًا من البرمجيات الخبيثة مثل برامج الفدية، الفيروسات، وبرامج التجسس.
•التحقيق اليدوي في هذه التهديدات يستغرق وقتًا طويلًا ويمكن أن يؤدي إلى انتشار الأضرار قبل اتخاذ الإجراءات اللازمة.
2.دور الأتمتة في احتواء البرمجيات الخبيثة:
•يمكن لأدوات الأتمتة التعرف على النشاطات الضارة والتحقيق فيها واحتوائها بسرعة، مما يقلل من وقت الاستجابة ويحد من انتشار الأضرار.
•الأتمتة تتيح إجراء تحقيق شامل في التهديدات داخل بيئات آمنة مثل صناديق الرمل (sandboxes) قبل أن تصل البرمجيات الخبيثة إلى الشبكة.
3.إجراءات أتمتة احتواء البرمجيات الخبيثة:
•التعرف على النشاطات الضارة:
•من المهم معرفة العلامات الدالة على وجود البرمجيات الخبيثة، مثل أسماء العمليات المشبوهة أو النشاطات الغير عادية في السجلات.
•الأتمتة تساعد في التعرف على هذه العلامات بشكل أسرع وأكثر دقة.
•التحقيق في التهديدات:
•عند اكتشاف البرمجيات الخبيثة، يمكن استخدام تدفقات العمل لتحليلها باستخدام الإضافات من حلول تحليل البرمجيات الخبيثة الرائدة وأدوات صناديق الرمل.
•هذا يتيح التحقيق في الملفات الخبيثة في بيئة آمنة قبل أن تصل إلى الشبكة.
•احتواء وإزالة التهديدات:
•كل برمجية خبيثة تتطلب بعض الإجراءات لاحتوائها وإزالتها.
•الأتمتة تتيح التعرف على المستخدمين والأصول المتأثرة وتترك نقاط اتخاذ القرار لممارسي الأمن لإزالة الحسابات المتضررة، وعزل البرمجيات الخبيثة، أو فصل الأجهزة من الشبكة.
4.الإضافات الشائعة المستخدمة في الأتمتة:
•يتضمن الفصل أمثلة على الإضافات الشائعة التي يمكن استخدامها في الأتمتة مثل VirusTotal، وHybrid Analysis، وCuckoo، وPalo Alto Wildfire، وVMRay، وCortex، وJIRA.
مثال عملي على تدفق العمل لاحتواء البرمجيات الخبيثة:
•قبل الأتمتة: يتطلب تقديم عينة، تشغيلها من خلال سلسلة من المحللين، تصنيفها بناءً على درجة الخطورة، اتخاذ الإجراءات مثل عزل الأصول أو قتل العمليات على النقاط النهائية، وإنشاء تذكرة للمتابعة.
•بعد الأتمتة: يتم تنفيذ هذه الخطوات بواسطة أدوات الأتمتة مما يقلل الزمن المستغرق من ساعات إلى دقائق قليلة.
الفوائد المحققة من الأتمتة:
•زيادة كفاءة الاستجابة وتقليل وقت التعطل.
•تحسين دقة وكفاءة التحقيقات.
•تقليل العبء على فرق الأمان وتمكينهم من التركيز على المهام الأكثر تعقيدًا.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية احتواء البرمجيات الخبيثة، مما يسهم في تعزيز الأمان وتقليل الأضرار المحتملة داخل المؤسسة.

الفصل الخامس من الكتاب يتناول موضوع “إثراء التنبيهات” (Alert Enrichment) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في تحسين جودة وكفاءة التنبيهات الأمنية التي تتلقاها الفرق الأمنية، مما يتيح لها التركيز على التهديدات الحقيقية وتجنب الإرهاق الناتج عن التنبيهات الكاذبة.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات التعامل مع التنبيهات الأمنية:
•فرق العمليات الأمنية في المؤسسات الكبيرة تعتمد على مجموعة واسعة من الأدوات الأمنية، التي يمكن أن تصل إلى 75 أداة مختلفة في المتوسط.
•التعامل مع التنبيهات من هذه الأدوات بشكل يدوي يتطلب الكثير من الوقت ويشوش قيمة عمل المحللين من المستوى الأول (Tier 1 analysts).
2.دور الأتمتة في إثراء التنبيهات:
•الأتمتة يمكن أن تساعد في تسريع اكتشاف التهديدات عن طريق إثراء جودة التنبيهات الأمنية الواردة.
•يمكن لأدوات الأتمتة أن تتخلص من الكثير من الإيجابيات الكاذبة تلقائيًا، مما يوفر للفرق الأمنية مزيدًا من الوقت والسياق للتعامل مع التهديدات الحقيقية.
3.إجراءات إثراء التنبيهات:
•ترك المهام الصعبة للآلات:
•الفرق الأمنية اليوم تتلقى ما يقرب من 12,000 تنبيه أمني يوميًا.
•يمكن للأدوات الأمنية جمع وتجميع السياق الملائم حول حدث أمني تلقائيًا، مما يسمح للفرق بالتركيز على التحليل والاستجابة بدلاً من قضاء وقت طويل في جمع البيانات.
•تقليل الضوضاء:
•الإرهاق الناتج عن التنبيهات حقيقي ويمكن أن يؤدي إلى تجاهل التهديدات الهامة.
•يمكن تحسين العمليات من خلال أتمتة المهام المتكررة، مما يسمح بالتعامل مع الإيجابيات الكاذبة بسرعة وتوفير الوقت للتهديدات الحقيقية.
•توفير المعلومات اللازمة للعمل بكفاءة:
•إثراء التنبيهات الأمنية تلقائيًا بمعلومات مهمة مثل عمليات البحث عن الموقع الجغرافي لعناوين IP، وتحليل النطاقات، وتفجير البرمجيات الخبيثة.
•يمكن تنسيق منصات الاستخبارات الأمنية المفضلة أو استخدام مجموعة متنوعة من الأدوات المفتوحة المصدر لضمان أن الفريق مجهز بالسياق اللازم لاتخاذ الإجراءات.
4.الإضافات الشائعة المستخدمة في الأتمتة:
•يتضمن الفصل أمثلة على الإضافات الشائعة التي يمكن استخدامها في الأتمتة مثل WhoIS، وAbuse IPDB، وDomainTools، وFreeGeoIP، وGeoIP2 Precision، وSnort Labs IP Reputation، وPowerShell، وPython.
مثال عملي على تدفق العمل لإثراء التنبيهات:
•قبل الأتمتة: التنبيه يتضمن اسم المضيف وعنوان IP، التحقق من الموقع الجغرافي، البحث عن عناوين IP والنطاقات، أخذ “لقطة” من نقطة النهاية (مثل قائمة العمليات ومفاتيح التسجيل والوصول إلى المستخدمين).
•بعد الأتمتة: يتم تنفيذ هذه الخطوات بواسطة أدوات الأتمتة مما يقلل الزمن المستغرق من ساعات إلى دقائق قليلة، مما يتيح للمحللين احتواء التهديدات أو جمع السياق الإضافي اللازم.
الفوائد المحققة من الأتمتة:
•تحسين جودة وكفاءة التنبيهات الأمنية.
•تقليل الإيجابيات الكاذبة والإرهاق الناتج عن التنبيهات.
•توفير مزيد من الوقت والسياق للفرق الأمنية للتعامل مع التهديدات الحقيقية.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية إثراء التنبيهات الأمنية، مما يسهم في تعزيز الأمان وتقليل الضوضاء والإيجابيات الكاذبة داخل المؤسسة.

الفصل السادس من الكتاب يتناول موضوع “تنبيهات ChatOps الموزعة” (ChatOps: Distributed Alerting) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في تحسين كفاءة التواصل والتنبيه بين الفرق الأمنية باستخدام تطبيقات الدردشة مثل Slack. هذه الاستراتيجية تقلل من الإرهاق الناتج عن التنبيهات وتعزز الاستجابة السريعة للتهديدات.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات التنبيه التقليدي:
•في مركز العمليات الأمنية (SOC) التقليدي، الوقت هو العامل الأهم في قياس الأداء الرئيسي (KPI).
•الفرق تسعى دائمًا لتقليل الوقت بين توليد التنبيه وحل المشكلة إلى أقل ما يمكن.
•التعامل مع التنبيهات من خلال الأدوات التقليدية يمكن أن يكون مرهقًا ويؤدي إلى تفويت التنبيهات الحقيقية بسبب الإرهاق.
2.دور الأتمتة في تحسين التنبيهات عبر ChatOps:
•استخدام استراتيجية التنبيه الموزع عبر تطبيقات الدردشة يساعد في تجنب الإرهاق الناتج عن التنبيهات والمشاكل المتعلقة بتوظيف الكوادر الأمنية.
•تنبيهات ChatOps تجعل التنبيهات تصل فورًا إلى الشخص الذي قام بإنشائها، مما يحسن من نسبة الإشارة إلى الضوضاء (signal-to-noise ratio) ويعزز الاستجابة السريعة.
3.إجراءات التنبيه عبر ChatOps:
•تبسيط عمليات العمل:
•يمكن تفعيل إجراءات لإرسال تعليقات إلى حلول مثل JIRA أو Slack.
•تجعل هذه الاستراتيجية عمليات الأمان أكثر تبسيطًا وتعاونًا وكفاءة.
•تدفق المعلومات ثنائي الاتجاه:
•الأتمتة يمكن أن ترسل التنبيهات الواردة من أدوات الأمان مباشرة إلى تطبيقات الدردشة وتفوض المهام إلى الأدوات المتصلة الأخرى، مما يجعل الاتصال وإدارة الحالات ثنائي الاتجاه.
•العمل أثناء التنقل:
•تتيح تكاملات ChatOps للفريق العمل أثناء التنقل والحفاظ على أقصى وقت تشغيل دون الحاجة إلى التواجد الفعلي في مركز العمليات الأمنية للحفاظ على أمان المؤسسة.
4.مثال عملي على تدفق العمل لتنبيهات ChatOps:
•قبل الأتمتة:
•استهلاك التنبيه من SIEM مع مستخدم مرفق، إرسال تأكيد عبر Slack للمستخدم مع تفاصيل التنبيه، عزل المستخدم إذا لم يتم تأكيد الحادث، إغلاق الحادث أو مواصلة التحقيق.
•بعد الأتمتة:
•يتم تنفيذ هذه الخطوات بواسطة أدوات الأتمتة مما يقلل الزمن المستغرق من ساعات إلى دقائق قليلة، مما يتيح للمحللين اتخاذ القرارات بسرعة أكبر.
الفوائد المحققة من الأتمتة:
•تحسين كفاءة التواصل والتنبيه بين الفرق الأمنية.
•تقليل زمن الاستجابة للتنبيهات الأمنية.
•تعزيز التعاون بين الفرق الأمنية وتحسين مرونة العمل.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية تنبيهات ChatOps الموزعة، مما يسهم في تعزيز الأمان وتقليل الضوضاء والإيجابيات الكاذبة داخل المؤسسة.

الفصل السابع من الكتاب يتناول موضوع “صيد التهديدات” (Threat Hunting) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في تحسين كفاءة وفعالية عمليات صيد التهديدات، مما يتيح للفرق الأمنية تحديد التهديدات المعقدة والمتقدمة بشكل استباقي.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات صيد التهديدات التقليدية:
•عملية صيد التهديدات تستغرق وقتًا طويلاً وتتطلب مجموعة مهارات تقنية عالية، وهو ما لا يتوفر لدى العديد من المؤسسات.
•وفقًا لدراسة معهد SANS، فإن 31% فقط من المؤسسات لديها موظفين مخصصين لصيد التهديدات.
•الهجمات المتقدمة المستمرة (APTs) تعتبر من أخطر التهديدات التي يمكن أن تنجح بسهولة وتسبب أضرارًا واسعة النطاق قبل اكتشافها.
2.دور الأتمتة في تحسين صيد التهديدات:
•الأتمتة تخفض الحواجز أمام صيد التهديدات وتعزز قدرة الفريق على التنافس مع الخصوم المتقدمين من خلال أتمتة العمليات المرتبطة بتحديد البرمجيات الضارة والمجالات والمؤشرات الأخرى.
3.إجراءات أتمتة صيد التهديدات:
•تشغيل مجموعات البيانات المختلفة:
•صيد التهديدات ليس مجرد عملية تستغرق وقتًا طويلًا، بل هو أيضًا عملية غير محدودة.
•كلما زادت مجموعات البيانات التي تستطيع تحليلها، كلما كانت عملية البحث عن الاختراق أكثر شمولاً.
•الأتمتة تسمح بإضافة أدوات إضافية لمجموعات البيانات دون إضافة وقت كبير لدورة الصيد.
•أتمتة المهام المتكررة:
•من خلال أتمتة المهام الجارية المرتبطة بصيد التهديدات، مثل عمليات الفحص المتكررة، يمكن للفريق توفير المزيد من الوقت للتركيز على العثور على التهديدات والتعامل معها.
•يمكن إدراج أعضاء الفريق بشكل استراتيجي في هذه العملية لزيادة الكفاءة إلى أقصى حد.
•الإخطار والاستجابة بشكل أسرع:
•إنشاء وتفعيل تدفقات عمل استجابة مخصصة بناءً على نوع التهديد المكتشف.
•هذا يضمن اتباع البروتوكولات المناسبة، وإخطار أصحاب المصلحة في أسرع وقت ممكن، وأن الجميع يعمل من نفس مجموعة البيانات لتحقيق تحقيق شامل من البداية إلى النهاية.
4.مثال عملي على تدفق العمل لصيد التهديدات:
•قبل الأتمتة: إدخال المؤشرات (IP، المجال، اسم الملف/التجزئة)، التحقيق في مجموعات البيانات (نقاط النهاية، الشبكة، الأمان/SIEM)، إنشاء نتائج للكشف عن تكتيكات وأساليب وإجراءات المهاجمين (TTPs)، تقديم تقرير عن نتائج الصيد وإخطار أصحاب المصلحة.
•بعد الأتمتة: يتم تنفيذ هذه الخطوات بواسطة أدوات الأتمتة مما يقلل الزمن المستغرق من ساعات إلى دقائق قليلة، مما يتيح للمحللين اتخاذ الإجراءات اللازمة بسرعة أكبر.
الفوائد المحققة من الأتمتة:
•تعزيز كفاءة وفعالية عمليات صيد التهديدات.
•تحسين زمن الاستجابة وتقليل المخاطر الناتجة عن التهديدات المتقدمة.
•توفير المزيد من الوقت للفرق الأمنية للتركيز على المهام الأكثر تعقيدًا والمهمة.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية صيد التهديدات، مما يسهم في تعزيز الأمان وتقليل الفجوات الأمنية داخل المؤسسة.

الفصل الثامن من الكتاب يتناول موضوع “التصحيح والإصلاح” (Patching and Remediation) ويوضح كيف يمكن لأدوات الأتمتة والتنسيق أن تساعد في إدارة الثغرات الأمنية بفعالية، مما يضمن معالجة القضايا الحرجة في الوقت المناسب والحفاظ على بيئة آمنة.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.تحديات التصحيح والإصلاح التقليدية:
•الفرق الأمنية تواجه عددًا كبيرًا من الثغرات الأمنية في بيئاتهم أكثر مما يمكنهم معالجته بشكل واقعي.
•هذا يؤدي إلى تراكم متزايد من الثغرات، مما يترك المؤسسة أكثر عرضة للهجمات إذا لم يتم اتخاذ الإجراءات في الوقت المناسب.
2.دور الأتمتة في تحسين التصحيح والإصلاح:
•يجب أن يتكامل حل SOAR (تنسيق وأتمتة الاستجابة الأمنية) مع الأدوات الحالية لتنسيق عمليات إدارة الثغرات من الإخطار إلى الإصلاح.
•الأتمتة تضمن معالجة القضايا الحرجة مع كل استشارة أمنية تصل، مع الحفاظ على نقاط اتخاذ القرار البشري في المواقع الأكثر أهمية.
3.إجراءات أتمتة التصحيح والإصلاح:
•مراقبة قوائم الاستشارات:
•كانت تنسيق استجابة البائعين للثغرات عملية يدوية تتطلب مشاركة العديد من أصحاب المصلحة.
•باستخدام حل الأتمتة، يمكن بناء تدفقات عمل لمراقبة قوائم الاستشارات تلقائيًا عبر إضافات RSS، وتعيين نقاط اتخاذ القرارات والإجراءات حسب الحاجة.
•إخطار أصحاب المصلحة:
•عندما تحتاج الثغرة إلى معالجة، يمكن للأتمتة أن تحفز تلقائيًا إنشاء تذاكر الخدمة عبر التكامل مع الحلول الرائدة مثل JIRA وServiceNow.
•الامتثال لمتطلبات الأمان:
•تنسيق جميع أصحاب المصلحة وضمان تنفيذ المهام الضرورية ضمن الإطار الزمني المحدد في SLA (اتفاقية مستوى الخدمة) هو مشروع مستهلك للوقت بحد ذاته.
•تتيح الأتمتة الاستجابة بكفاءة وضمن الأطر الزمنية المطلوبة، مما يضمن عدم تسرب الثغرات.
4.الإضافات الشائعة المستخدمة في الأتمتة:
•يتضمن الفصل أمثلة على الإضافات الشائعة التي يمكن استخدامها في الأتمتة مثل Microsoft SCCM، وIBM BigFix، وMetasploit، وJIRA، وServiceNow.
مثال عملي على تدفق العمل للتصحيح والإصلاح:
•قبل الأتمتة: عند اكتشاف الثغرات بعد الفحص، إنشاء مجموعة من التصحيحات ذات الصلة، تمكين المحلل من نشر التصحيح أو إنشاء مجموعة تصحيحية مرحلية لفريق تقنية المعلومات، إنشاء تذاكر لتتبع كل ثغرة، تحديث التذاكر بنتائج التصحيح، إعادة فحص الأصول للتأكد من نجاح التصحيح.
•بعد الأتمتة: يتم تنفيذ هذه الخطوات بواسطة أدوات الأتمتة مما يقلل الزمن المستغرق من ساعات إلى دقائق قليلة.
الفوائد المحققة من الأتمتة:
•زيادة كفاءة عملية التصحيح والإصلاح.
•تقليل زمن الاستجابة للثغرات الأمنية.
•ضمان معالجة القضايا الحرجة في الوقت المناسب، مما يقلل من المخاطر الأمنية.
•تحسين الامتثال لمتطلبات الأمان وتقليل الفرص لتسرب الثغرات الأمنية.
هذا الفصل يوضح كيف يمكن للأتمتة تبسيط وتحسين عملية التصحيح والإصلاح، مما يسهم في تعزيز الأمان وتقليل الفجوات الأمنية داخل المؤسسة.

الفصل التاسع من الكتاب يتناول موضوع “تبسيط الأمان مع InsightConnect” (Simplify Your Security with InsightConnect) ويوضح كيف يمكن لمنصة InsightConnect من Rapid7 تحسين كفاءة وفعالية العمليات الأمنية من خلال أدوات الأتمتة والتنسيق.
النقاط الرئيسية التي يتم تناولها في هذا الفصل تشمل:
1.مقدمة عن InsightConnect:
•InsightConnect هي حل أتمتة وتنسيق أمني (SOAR) يساعد الفرق الأمنية على تسريع وتبسيط العمليات الزمنية المستهلكة بقليل من البرمجة أو بدونها.
•المنصة توفر أكثر من 270 إضافة لتوصيل الأدوات بسهولة وإنشاء تدفقات عمل قابلة للتخصيص، مما يمكن الفرق الأمنية من التعامل مع تحديات أخرى مع الحفاظ على نقاط اتخاذ القرار البشري عند الضرورة.
2.مزايا استخدام InsightConnect:
•توفير الوقت وزيادة الإنتاجية:
•المنصة تمكن الفرق الأمنية من توفير الوقت والجهد الذي كان يُنفق على المهام الروتينية، مما يتيح لهم التركيز على التهديدات الحقيقية والتحليل العميق.
•تحسين الكفاءة التشغيلية:
•من خلال الأتمتة، يمكن للفرق الأمنية تحسين كفاءتها التشغيلية بشكل كبير، مما يؤدي إلى استجابة أسرع وأكثر فعالية للتهديدات.
•إمكانية التخصيص:
•تتيح المنصة إنشاء تدفقات عمل مخصصة تتناسب مع احتياجات المؤسسة الفريدة، مما يعزز من فعالية الاستجابة الأمنية.
3.إجراءات استخدام InsightConnect:
•الاتصال بالأدوات:
•يتيح InsightConnect توصيل الأدوات المختلفة بسهولة باستخدام الإضافات المتاحة، مما يوفر بيئة تكاملية شاملة.
•إنشاء تدفقات العمل:
•يمكن إنشاء تدفقات عمل قابلة للتخصيص تتناسب مع عمليات المؤسسة، سواء كانت تتعلق بالكشف عن التهديدات أو التحقيق أو التصحيح.
•توفير القرارات الحرجة:
•يمكن تضمين نقاط اتخاذ القرار البشري في تدفقات العمل لضمان أن الفرق الأمنية تظل مسيطرة على العمليات الحرجة.
4.أمثلة على تدفقات العمل الممكنة باستخدام InsightConnect:
•التعامل مع البريد الإلكتروني التصيدي:
•فحص المرفقات والتحقق من الروابط، تحليل البريد الإلكتروني المشبوه، وتنفيذ إجراءات التصحيح تلقائيًا عند التأكد من التهديد.
•احتواء البرمجيات الخبيثة:
•تحديد النشاطات الضارة، تحليل البرمجيات الخبيثة في بيئات آمنة، وعزل الأجهزة المتأثرة أو إزالة الحسابات المتضررة.
•إدارة الثغرات الأمنية:
•مراقبة قوائم الاستشارات الأمنية، إنشاء تذاكر الخدمة تلقائيًا، وتنفيذ التصحيحات وإعادة فحص الأصول للتحقق من النجاح.
الفوائد المحققة من استخدام InsightConnect:
•توفير الوقت والجهد:
•الأتمتة تتيح توفير الوقت الذي كان يُنفق على المهام اليدوية، مما يسمح للفرق بالتركيز على الأنشطة الأكثر قيمة.
•تحسين الكفاءة التشغيلية:
•تحسين سرعة ودقة العمليات الأمنية، مما يؤدي إلى استجابة أسرع وأكثر فعالية للتهديدات.
•زيادة الإنتاجية:
•الفرق الأمنية يمكنها تحقيق المزيد من المهام بموارد أقل، مما يزيد من إنتاجيتها وكفاءتها.
هذا الفصل يوضح كيف يمكن لمنصة InsightConnect تبسيط وتحسين العمليات الأمنية داخل المؤسسة من خلال أدوات الأتمتة والتنسيق، مما يعزز من الكفاءة التشغيلية ويقلل من المخاطر الأمنية.