عندما يواجه مدير مركز العمليات الأمنية في مؤسسة مالية سعودية آلاف التنبيهات يومياً، يصبح الضغط هائلاً لتقليل الحجم وإعطاء المحللين فرصة للتركيز على التهديدات الحقيقية. الحل الذي يلجأ إليه كثيرون يبدو منطقياً: إخفاء الفئات التي تنتج إيجابيات كاذبة بشكل متكرر — تنبيهات فشل تسجيل الدخول من شبكة داخلية، أو محاولات الوصول إلى موارد غير موجودة، أو نشاط شبكي من تطبيقات معروفة.
لكن هذا النهج في ضبط تنبيهات مركز العمليات الأمنية الإيجابيات الكاذبة يخلق مشكلة أخطر: عندما تخفي فئة كاملة من التنبيهات، فإنك تخفي أيضاً الحوادث الحقيقية التي تقع ضمن نفس الفئة. المهاجم الذي يستغل حساباً مخترقاً لمحاولات تسجيل دخول متعددة يختفي وسط الضجيج المخفي. النشاط الشاذ من تطبيق "معروف" — ربما بعد اختراقه — لا يصل أبداً إلى المحلل.
النتيجة: ارتفاع حاد في متوسط وقت الاكتشاف، وفجوات في التغطية تكتشفها الجهات التنظيمية أثناء التفتيش أو — الأسوأ — بعد حادث فعلي.
هذا المقال يشرح الخطأ الشائع في إدارة التنبيهات، ويقدم منهجية مكونة من أربع خطوات لإعادة كتابة منطق الكشف بدلاً من إخفاء الضجيج، مع أمثلة عملية من بيئات مراكز العمليات الأمنية في المؤسسات السعودية المنظمة.
الخطأ الأول: إخفاء فئات التنبيهات بدلاً من تحسين منطق الكشف
عندما تصل نسبة الإيجابيات الكاذبة في فئة معينة إلى مستويات عالية — مثلاً تنبيهات "محاولات تسجيل دخول فاشلة متعددة" التي تنتج مئات التنبيهات يومياً من موظفين ينسون كلمات المرور — يلجأ بعض مدراء مراكز العمليات الأمنية إلى تعطيل القاعدة بالكامل أو إضافة استثناء واسع يشمل كل الشبكة الداخلية.
المشكلة: هذا الإخفاء يحجب أيضاً الهجمات الحقيقية. المهاجم الذي يحصل على وصول أولي ثم يحاول التحرك جانبياً عبر محاولات تسجيل دخول إلى أنظمة أخرى — نشاط يجب أن يثير تنبيهاً فورياً — يصبح غير مرئي.
افعل هذا بدلاً من ذلك:
أعد كتابة منطق الكشف ليميز بين السلوك الطبيعي والشاذ. بدلاً من إخفاء كل محاولات تسجيل الدخول الفاشلة من الشبكة الداخلية، أضف شروطاً إضافية:
- عدد المحاولات الفاشلة يتجاوز عتبة معينة في نافذة زمنية قصيرة (مثلاً عشر محاولات في خمس دقائق)
- الحساب المستهدف ليس من الحسابات التي لها تاريخ في نسيان كلمات المرور (قائمة محدثة شهرياً)
- المحاولات تستهدف حسابات متعددة من نفس المصدر (مؤشر على هجوم تخمين)
- المحاولات تحدث خارج ساعات العمل المعتادة للمستخدم
هذا النهج يقلل الضجيج مع الحفاظ على القدرة على كشف الهجمات الحقيقية.
الخطأ الثاني: عدم إنشاء خط أساس للسلوك الطبيعي قبل الضبط
كثير من فرق العمليات الأمنية تبدأ في ضبط التنبيهات بناءً على ملاحظات فورية — "هذا التنبيه يظهر كثيراً ودائماً إيجابي كاذب" — دون فهم عميق للسلوك الطبيعي في البيئة.
المشكلة: بدون خط أساس، لا تعرف ما إذا كان التنبيه المتكرر يمثل فعلاً سلوكاً طبيعياً أم أنه يخفي نمطاً شاذاً. ما يبدو "طبيعياً" للمحلل قد يكون في الواقع نشاطاً شاذاً أصبح مألوفاً بسبب تكراره.
افعل هذا بدلاً من ذلك:
قبل تعديل أي قاعدة كشف، أنشئ خط أساس للسلوك الطبيعي:
- اجمع بيانات التنبيهات لفترة كافية (أسبوعين على الأقل، ويفضل شهر كامل يشمل أيام عمل وعطلات)
- حلل الأنماط: متى تظهر التنبيهات؟ من أي مصادر؟ ما الحسابات أو الأنظمة المتأثرة؟
- ميز بين التباين الطبيعي (مثل زيادة نشاط تسجيل الدخول صباح الأحد) والشذوذ الحقيقي (مثل نشاط من موقع جغرافي جديد)
- وثق خط الأساس هذا كمرجع لأي ضبط مستقبلي
في مؤسسة مالية سعودية، كشف هذا النهج أن ما بدا "ضجيجاً طبيعياً" من تنبيهات الوصول إلى قاعدة بيانات كان في الواقع نشاطاً شاذاً من حساب خدمة تم اختراقه — لكنه أصبح مألوفاً لأنه استمر لأسابيع دون تحقيق.
الخطأ الثالث: استخدام قوائم استثناءات ثابتة بدلاً من منطق ديناميكي
عندما تقرر إضافة استثناءات لتقليل الإيجابيات الكاذبة، يكون النهج الشائع هو إنشاء قائمة ثابتة: "لا تنبه على هذه العناوين IP" أو "تجاهل هذه الحسابات" أو "استثن هذه التطبيقات".
المشكلة: البيئات تتغير. الحساب الذي كان آمناً الشهر الماضي قد يُخترق اليوم. العنوان IP الموثوق قد يُعاد تخصيصه. التطبيق المعروف قد يُستخدم كقناة للتسريب بعد اختراقه. القوائم الثابتة تصبح بسرعة نقاط عمياء.
افعل هذا بدلاً من ذلك:
استخدم منطق استثناءات ديناميكياً يعتمد على السياق والسلوك، وليس فقط على الهوية:
- بدلاً من استثناء حساب خدمة بالكامل، استثنه فقط عندما يصل إلى الموارد المتوقعة في الأوقات المتوقعة من المصادر المتوقعة
- بدلاً من استثناء نطاق IP داخلي، استثنه فقط للأنشطة المعتادة وليس للسلوكيات الشاذة (مثل محاولات الوصول إلى أنظمة حساسة خارج ساعات العمل)
- راجع قوائم الاستثناءات شهرياً على الأقل، وأزل أي إدخالات لم تعد صالحة
وثق كل استثناء: لماذا أُضيف، من وافق عليه، ومتى يجب مراجعته.
الخطأ الرابع: عدم ربط التنبيهات ذات الصلة في نافذة زمنية
تنبيه واحد قد يبدو إيجابياً كاذباً بمفرده، لكنه يصبح مؤشراً قوياً على هجوم عندما يُربط مع تنبيهات أخرى في نفس النافذة الزمنية.
المشكلة: عندما تعالج كل تنبيه بمعزل عن الآخر، تفقد السياق. محاولة تسجيل دخول فاشلة واحدة قد تكون خطأ بشرياً. لكن محاولة تسجيل دخول فاشلة، تليها محاولة ناجحة من نفس المصدر، ثم وصول فوري إلى بيانات حساسة — هذا نمط هجوم واضح.
افعل هذا بدلاً من ذلك:
أنشئ قواعد ارتباط تجمع التنبيهات ذات الصلة في نافذة زمنية محددة:
- اربط تنبيهات تسجيل الدخول الفاشلة والناجحة من نفس المصدر في نافذة خمس دقائق
- اربط تنبيهات الوصول إلى بيانات حساسة مع تنبيهات تغيير الصلاحيات من نفس الحساب في نافذة ساعة
- اربط تنبيهات الشبكة الشاذة مع تنبيهات نقاط النهاية من نفس الجهاز
هذا الارتباط يقلل عدد التنبيهات التي يراها المحلل (عدة تنبيهات تصبح حادثاً واحداً)، ويرفع جودة التنبيهات (السياق الإضافي يسهل التحقيق)، ويكشف الهجمات متعددة المراحل التي قد تختفي في الضجيج.
منهجية الإعادة المكونة من أربع خطوات
لتطبيق هذه المبادئ بشكل منهجي، استخدم هذه الخطوات الأربع لكل قاعدة كشف تحتاج إلى ضبط:
1. خط الأساس
اجمع بيانات التنبيهات لفترة كافية وحلل الأنماط. حدد ما هو طبيعي: التكرار، التوقيت، المصادر، الأهداف. وثق هذا الخط الأساس.
2. منطق الاستثناءات
بدلاً من إخفاء الفئة، أعد كتابة القاعدة لتضيف شروطاً إضافية تميز بين الطبيعي والشاذ. استخدم منطقاً ديناميكياً يعتمد على السياق والسلوك، وليس فقط على الهوية.
3. نافذة الارتباط
حدد التنبيهات الأخرى التي يجب ربطها مع هذا التنبيه في نافذة زمنية محددة. أنشئ قواعد ارتباط تجمع الأحداث ذات الصلة في حادث واحد.
4. التحقق
بعد تطبيق التغييرات، راقب النتائج لمدة أسبوعين على الأقل:
- هل انخفض عدد التنبيهات؟
- هل انخفضت نسبة الإيجابيات الكاذبة؟
- هل لا تزال القاعدة تكشف الهجمات الحقيقية؟ (اختبر بمحاكاة إن أمكن)
- هل أنشأت نقاطاً عمياء جديدة؟
وثق النتائج وعدّل حسب الحاجة.
المتطلبات التنظيمية للعمليات الأمنية في المملكة
البنك المركزي السعودي (ساما) والهيئة الوطنية للأمن السيبراني يتوقعان من المؤسسات المنظمة قدرات رصد واستجابة فعالة. هذا يعني ليس فقط وجود مركز عمليات أمنية، بل أيضاً قدرة مثبتة على كشف الحوادث والاستجابة لها في وقت مناسب.
إخفاء فئات التنبيهات بدلاً من تحسين منطق الكشف يخلق فجوات في التغطية قد تكتشفها الجهات التنظيمية أثناء التفتيش. عندما يسأل المفتش "كيف تكتشفون محاولات الوصول غير المصرح به؟" ويكتشف أن قواعد الكشف ذات الصلة معطلة أو مخفية، فإن هذا يثير أسئلة جدية حول فعالية برنامج الأمن السيبراني بالكامل.
الأهم: عندما يحدث حادث فعلي ويتبين أن التنبيهات ذات الصلة كانت مخفية، فإن هذا يضع المؤسسة في موقف صعب أمام الجهات التنظيمية — وقد يؤدي إلى عقوبات وتدقيق أشد.
كيف نساعد في تحسين العمليات الأمنية
استشاراتنا في العمليات الأمنية تساعد المؤسسات السعودية المنظمة في تصميم قدرات العمليات الأمنية والمراقبة والاستجابة للحوادث وتقييمها وتحسينها، لتحقيق رصد واستجابة يرقيان إلى التوقعات التنظيمية.
نقدم تقييماً لنضج العمليات الأمنية يوفر رؤية مقيسة لنضج قدرات الرصد والاستجابة في مؤسستكم، ونساعد في بناء دليل حالات الرصد يتضمن حالات رصد مرتبة حسب التهديد والالتزام، مع منطق كشف محسّن يقلل الإيجابيات الكاذبة دون إضعاف القدرة على الكشف.
كما نراجع عقود الخدمات المُدارة مقابل المتطلبات إذا كنتم تعتمدون على مزود خارجي لمركز العمليات الأمنية، لضمان أن مستويات الخدمة والقدرات تلبي التوقعات التنظيمية والتشغيلية.
نساعدكم أيضاً في بناء خطة الاستجابة للحوادث وأدلتها التشغيلية، ونجري تمريناً للمحاكاة مع فرقكم لاختبار الخطة وتحديد الفجوات، ونقدم خلاصة الدروس المستفادة وخارطة طريق للتحسين.
دورنا استشاري: نصمم العمليات الأمنية ونقيّمها ونحسّنها، ونساعدكم في اختيار مقدمي الخدمات والإشراف عليهم، لتبقى مشورتنا مستقلة. تستغرق المشاركة من أربعة إلى عشرة أسابيع حسب النطاق.
النتيجة: عمليات أمنية تكشف التهديدات الحقيقية بسرعة، وتقلل الضجيج دون إنشاء نقاط عمياء، وتفي بمتطلبات الإبلاغ التنظيمية — وتمنح فرقكم القدرة على التركيز على ما يهم فعلاً.
