يخطط مدراء الأمن السيبراني في البنوك والشركات المالية الخاضعة لمؤسسة النقد العربي السعودي (ساما) برامج الاختبار السنوية لاستيفاء متطلبات اختبار الفريق الأحمر إطار ساما، لكن كثيرًا منهم يكتشفون أن اختبارات الاختراق التقليدية تتحقق من الضوابط الوقائية فقط — الجدران النارية وإدارة الثغرات والتحكم بالوصول — دون أن تثبت فعلياً أن مركز العمليات الأمنية وفريق الاستجابة للحوادث ونظام إدارة الأحداث الأمنية قادرة على كشف الهجوم واحتوائه قبل حدوث الأثر. يتطلب المجال السادس من إطار الأمن السيبراني لساما، وتحديدًا الضوابط من 6.3.1 إلى 6.3.4، اختبار قدرات الكشف والاستجابة من خلال محاكاة هجوم واقعي موجّه بأهداف.
يشرح هذا المقال الأهداف الأربعة للمهاجم التي يجب أن يسعى إليها اختبار الفريق الأحمر لتغطية هذه الضوابط، وكيفية بناء قواعد الاشتباك بحيث يختبر الاختبار فعلياً أفرادكم وعملياتكم وتقنياتكم من البداية إلى النهاية.
الفرق بين اختبار الاختراق واختبار الفريق الأحمر
اختبار الاختراق التقليدي يبحث عن أكبر عدد ممكن من الثغرات في نطاق محدد خلال فترة زمنية قصيرة — عادة أسبوع إلى أسبوعين — ويقدم تقريرًا بالثغرات المكتشفة ومستوى خطورتها. هذا النوع من الاختبارات يفي بمتطلبات الضوابط الوقائية، لكنه لا يجيب على السؤال الأهم: هل سيكتشف فريقنا هجومًا حقيقيًا قبل أن يصل المهاجم إلى البيانات الحساسة؟
اختبار الفريق الأحمر، على النقيض، يحاكي مهاجمًا مصممًا يسعى لأهداف متفق عليها — من الوصول الأولي حتى الأثر — بهدف اختبار قدرات الكشف والاستجابة. المهاجم المحاكى يتصرف بصمت، ويستخدم تقنيات التخفي، ويتجنب الكشف بقدر الإمكان، تمامًا كما يفعل المهاجم الحقيقي. النجاح في اختبار الفريق الأحمر لا يُقاس بعدد الثغرات المكتشفة، بل بقدرة الفريق الأزرق — مركز العمليات الأمنية وفريق الاستجابة للحوادث — على رصد الهجوم واحتوائه قبل تحقيق الهدف.
متطلبات المجال السادس من إطار ساما: الضوابط من 6.3.1 إلى 6.3.4
المجال السادس من إطار الأمن السيبراني لمؤسسة النقد العربي السعودي يتناول الكشف عن الحوادث السيبرانية والاستجابة لها والتعافي منها. الضوابط من 6.3.1 إلى 6.3.4 تتطلب من المؤسسات المالية:
6.3.1 - إنشاء قدرات الكشف: نشر أدوات وعمليات لرصد الأنشطة الشاذة والتهديدات السيبرانية عبر الشبكة والأنظمة والتطبيقات.
6.3.2 - المراقبة المستمرة: تشغيل مركز عمليات أمنية يراقب الأحداث الأمنية على مدار الساعة ويحلل التنبيهات ويصنف الحوادث.
6.3.3 - الاستجابة للحوادث: وضع إجراءات موثقة للاستجابة للحوادث السيبرانية، تشمل الاحتواء والاستئصال والتعافي، واختبار هذه الإجراءات بانتظام.
6.3.4 - التحسين المستمر: تحليل الحوادث والاختبارات لتحديد فجوات الكشف والاستجابة وتحسين القدرات.
لاستيفاء هذه الضوابط، لا يكفي أن تمتلك المؤسسة الأدوات والإجراءات على الورق؛ يجب أن تثبت فعليًا أن هذه القدرات تعمل أمام هجوم واقعي. هنا يأتي دور اختبار الفريق الأحمر.
الأهداف الأربعة للمهاجم في اختبار الفريق الأحمر
لتغطية الضوابط من 6.3.1 إلى 6.3.4، يجب أن يسعى اختبار الفريق الأحمر لتحقيق أربعة أهداف متسلسلة تحاكي سلسلة الهجوم الحقيقية. كل هدف يختبر طبقة مختلفة من قدرات الكشف والاستجابة.
الهدف الأول: الوصول الأولي
الوصول الأولي هو نقطة الدخول الأولى إلى بيئة المؤسسة. المهاجمون الحقيقيون يستخدمون تقنيات متنوعة للحصول على موطئ قدم أولي: البريد الإلكتروني التصيدي، استغلال ثغرات في التطبيقات المواجهة للإنترنت، اختراق حسابات ضعيفة، أو حتى الهندسة الاجتماعية.
في اختبار الفريق الأحمر، يجب أن يحاول المهاجم المحاكى الوصول الأولي باستخدام تقنية واقعية متفق عليها في قواعد الاشتباك. هذا الهدف يختبر:
- قدرة أنظمة الحماية على الحافة (البريد الإلكتروني، الويب، الشبكة) على منع الوصول.
- قدرة نظام إدارة الأحداث الأمنية على رصد محاولات الوصول المشبوهة.
- وعي الموظفين وقدرتهم على الإبلاغ عن محاولات التصيد أو الأنشطة المشبوهة.
- سرعة استجابة مركز العمليات الأمنية للتنبيهات الأولية.
إذا نجح المهاجم المحاكى في الوصول الأولي دون أن يكتشفه مركز العمليات الأمنية، فهذه فجوة في الضابط 6.3.1 و6.3.2.
الهدف الثاني: الحركة الجانبية
بعد الوصول الأولي، يسعى المهاجم الحقيقي للتحرك داخل الشبكة للوصول إلى الأنظمة والبيانات الحساسة. الحركة الجانبية تشمل استطلاع الشبكة الداخلية، اكتشاف الأنظمة الحرجة، والتنقل بين الأجهزة والخوادم.
في اختبار الفريق الأحمر، يحاول المهاجم المحاكى التحرك من نقطة الوصول الأولية نحو الأنظمة المستهدفة. هذا الهدف يختبر:
- فعالية تقسيم الشبكة والتحكم بالوصول الداخلي.
- قدرة أدوات الكشف على رصد الاستطلاع الداخلي والحركة غير الطبيعية بين الأنظمة.
- فعالية سجلات الأحداث والمراقبة على الأجهزة النهائية والخوادم.
- قدرة مركز العمليات الأمنية على ربط الأحداث المتفرقة وتحديد نمط الهجوم.
الحركة الجانبية الناجحة دون كشف تشير إلى فجوة في الرصد المستمر (الضابط 6.3.2) أو في تقسيم الشبكة.
الهدف الثالث: تصعيد الصلاحيات
لتحقيق الأثر الحقيقي، يحتاج المهاجم عادة إلى صلاحيات إدارية أو امتيازات مرتفعة. تصعيد الصلاحيات يشمل استغلال ثغرات في نظام التشغيل، سرقة بيانات اعتماد مميزة، أو استغلال سوء تكوين في الأنظمة.
في اختبار الفريق الأحمر، يسعى المهاجم المحاكى للحصول على صلاحيات إدارية على نظام حرج. هذا الهدف يختبر:
- فعالية إدارة الثغرات والتصحيحات.
- قدرة أدوات الكشف على رصد محاولات استغلال الثغرات أو سرقة بيانات الاعتماد.
- فعالية مبدأ الصلاحيات الأدنى وإدارة الحسابات المميزة.
- قدرة فريق الاستجابة للحوادث على احتواء الحساب المخترق قبل استخدامه.
تصعيد الصلاحيات الناجح دون كشف يشير إلى فجوة في الضوابط الوقائية وفي قدرات الكشف معًا.
الهدف الرابع: استخراج البيانات أو الأثر
الهدف النهائي للمهاجم الحقيقي هو تحقيق الأثر: سرقة البيانات الحساسة، تشفير الأنظمة (فدية)، تعطيل الخدمات، أو التلاعب بالبيانات. في اختبار الفريق الأحمر، يُتفق على هدف نهائي واقعي — عادة استخراج بيانات حساسة محاكاة أو الوصول إلى نظام حرج محدد.
هذا الهدف يختبر:
- قدرة أدوات منع فقدان البيانات على رصد ومنع استخراج البيانات.
- فعالية المراقبة على قنوات الخروج (الشبكة، البريد الإلكتروني، التخزين السحابي).
- سرعة فريق الاستجابة للحوادث في احتواء الهجوم قبل تحقيق الأثر.
- فعالية إجراءات الاستجابة الموثقة (الضابط 6.3.3).
إذا نجح المهاجم المحاكى في تحقيق الهدف النهائي دون أن يكتشفه أو يحتويه الفريق الأزرق، فهذه فجوة حرجة في قدرات الكشف والاستجابة الشاملة.
بناء قواعد الاشتباك لتغطية الضوابط
قواعد الاشتباك هي الاتفاق المكتوب بين الفريق الأحمر والمؤسسة المستهدفة، يحدد النطاق والأهداف والقيود والإجراءات. لتغطية الضوابط من 6.3.1 إلى 6.3.4، يجب أن تتضمن قواعد الاشتباك:
تحديد الأهداف الأربعة بوضوح: الوصول الأولي، الحركة الجانبية، تصعيد الصلاحيات، والأثر المستهدف. يجب أن تكون الأهداف واقعية ومرتبطة بالتهديدات الفعلية التي تواجه المؤسسة.
تحديد النطاق: الأنظمة والشبكات والتطبيقات المسموح باستهدافها، والأنظمة المستبعدة (مثل أنظمة الإنتاج الحرجة التي لا تتحمل الاختبار). النطاق يجب أن يغطي سطح الهجوم الحقيقي.
تحديد التقنيات المسموحة: هل يُسمح بالهندسة الاجتماعية؟ هل يُسمح باستهداف الموظفين عبر البريد الإلكتروني؟ هل يُسمح بالهجمات المادية؟ التقنيات يجب أن تحاكي التهديدات الواقعية.
تحديد مستوى الإخطار: هل سيكون الاختبار "أسود" (الفريق الأزرق لا يعلم بالاختبار)، "رمادي" (بعض الأفراد يعلمون)، أم "أبيض" (الفريق الأزرق يعلم ويتعاون)؟ الاختبار الأسود أو الرمادي يقدم تقييمًا أكثر واقعية لقدرات الكشف.
تحديد إجراءات السلامة: ماذا يحدث إذا اكتشف الفريق الأحمر ثغرة حرجة؟ ماذا يحدث إذا تسبب الاختبار في تعطيل غير مقصود؟ يجب أن تكون هناك قنوات اتصال طوارئ واضحة.
تحديد معايير النجاح: متى يُعتبر الهدف محققًا؟ متى يُعتبر الفريق الأزرق ناجحًا في الكشف والاحتواء؟ المعايير يجب أن تكون قابلة للقياس.
المراجعة المشتركة: القيمة الحقيقية للاختبار
القيمة الحقيقية لاختبار الفريق الأحمر لا تكمن في التقرير النهائي فقط، بل في المراجعة المشتركة بين الفريق الأحمر والفريق الأزرق بعد انتهاء الاختبار. في هذه الجلسة، يشرح الفريق الأحمر بالتفصيل كل خطوة من خطوات الهجوم: التقنيات المستخدمة، الأدوات، التوقيت، والأحداث التي كان يجب أن تثير التنبيهات.
يراجع الفريق الأزرق السجلات والتنبيهات التي رصدها فعلياً، ويحدد أين نجح في الكشف وأين فشل. هذه المراجعة تكشف الفجوات الحقيقية:
- التنبيهات التي أُنتجت لكن لم يتم التحقيق فيها بسبب الحجم الكبير أو سوء التصنيف.
- الأحداث التي لم تُنتج تنبيهات أصلاً بسبب فجوات في التغطية أو التكوين.
- الإجراءات التي لم تُنفذ بسرعة كافية بسبب نقص الأتمتة أو عدم وضوح المسؤوليات.
- الأدوات التي لم تعمل كما هو متوقع بسبب سوء التكوين أو التكامل.
هذه المراجعة تفي بمتطلب الضابط 6.3.4 (التحسين المستمر) وتوفر خارطة طريق واضحة لتحسين قدرات الكشف والاستجابة.
الترتيب المنطقي للعمل
لمؤسسة تخطط لاختبار الفريق الأحمر للمرة الأولى، الترتيب المنطقي هو:
- التأكد من وجود القدرات الأساسية: قبل اختبار الكشف والاستجابة، يجب أن تكون الأدوات الأساسية موجودة وتعمل: نظام إدارة الأحداث الأمنية، أدوات الكشف على الأجهزة النهائية، مركز عمليات أمنية (داخلي أو خارجي)، وإجراءات استجابة موثقة.
- إجراء اختبار اختراق تقليدي أولاً: اختبار الاختراق يكشف الثغرات الوقائية الواضحة ويقلل من احتمال أن ينجح اختبار الفريق الأحمر بسرعة كبيرة بسبب ثغرات أساسية.
- بناء قواعد الاشتباك بعناية: العمل مع الفريق الأحمر لتحديد الأهداف والنطاق والتقنيات بما يتناسب مع نضج المؤسسة وتهديداتها الفعلية.
- تنفيذ الاختبار: السماح للفريق الأحمر بالعمل على مدى فترة كافية (عادة 4-8 أسابيع) لمحاكاة هجوم واقعي بطيء ومخفي.
- المراجعة المشتركة المفصلة: تخصيص وقت كافٍ للمراجعة مع الفريق الأزرق لفهم كل فجوة وكل نجاح.
- تنفيذ التحسينات: معالجة الفجوات المكتشفة بترتيب الأولوية: الفجوات التي سمحت بالأثر أولاً، ثم الفجوات في الكشف المبكر.
- إعادة الاختبار: بعد فترة من التحسينات (عادة 6-12 شهرًا)، إعادة اختبار الفريق الأحمر لقياس التحسن.
الفجوات الشائعة التي يكشفها اختبار الفريق الأحمر
من الفجوات الشائعة التي نراها في اختبارات الفريق الأحمر:
حجم التنبيهات الكبير: مركز العمليات الأمنية يتلقى آلاف التنبيهات يوميًا، والتنبيهات الحقيقية تضيع وسط الضوضاء.
ضعف التكامل بين الأدوات: نظام إدارة الأحداث الأمنية لا يتلقى سجلات من جميع الأنظمة الحرجة، أو الأدوات لا تتبادل المعلومات.
نقص السياق: التنبيهات تفتقر إلى السياق الكافي لتحديد مدى خطورتها، فيتم تجاهلها أو تأجيلها.
ضعف الاستجابة للحوادث: الإجراءات موثقة لكن لم تُختبر، أو المسؤوليات غير واضحة، أو الأدوات اللازمة للاحتواء غير متوفرة.
فجوات في التغطية: بعض الأنظمة أو الشبكات لا تخضع للمراقبة أصلاً، فيستغلها المهاجم كنقطة عمياء.
بطء الاستجابة: حتى عندما يُكتشف الهجوم، الوقت بين الكشف والاحتواء طويل جدًا، مما يسمح للمهاجم بتحقيق الهدف.
كيف نساعدكم في اختبار قدرات الكشف والاستجابة
نحاكي مهاجمًا مصممًا يسعى لأهداف متفق عليها — من الوصول الأولي حتى الأثر — لاختبار أفرادكم وعملياتكم وتقنياتكم من البداية إلى النهاية.
تبدأ العملية بالتخطيط: نحدد معكم الأهداف والنطاق وقواعد الاشتباك بما يتناسب مع بيئتكم ومتطلبات ساما. ثم ننتقل إلى الاستطلاع: نجمع المعلومات عن سطح الهجوم لديكم. بعدها نبدأ التنفيذ: هجوم مضبوط نحو الأهداف المتفق عليها، باستخدام سيناريوهات مبنية على التهديدات وسلسلة هجوم موجهة بالأهداف. يمكن أن يشمل الاختبار الهندسة الاجتماعية (اختياري) وفق قواعد اشتباك صارمة.
بعد انتهاء الاختبار، نجري المراجعة: إعادة تشغيل مشتركة مع فريق الدفاع لشرح كل خطوة من خطوات الهجوم ومراجعة استجابتكم.
تتلقون ملخصًا تنفيذيًا لمجلس الإدارة، وسردًا تقنيًا للهجوم، وتحليل فجوات الرصد والاستجابة، وخارطة التحسين. تستغرق العملية عادة 4-8 أسابيع.
اختبار الفريق الأحمر ليس مجرد متطلب امتثال؛ إنه استثمار في تحسين قدرتكم الحقيقية على كشف الهجمات الحقيقية واحتوائها قبل أن تحقق أثرها. إذا كنتم تخططون لبرنامج الاختبار السنوي وتريدون التأكد من أن الاختبار يغطي متطلبات ساما من 6.3.1 إلى 6.3.4 بفعالية، تواصلوا معنا لمناقشة كيف يمكن لاختبار الفريق الأحمر أن يثبت فعالية قدرات الكشف والاستجابة لديكم.
