يتناول هذا المقال صيد التهديدات في حسابات الخدمة داخل الأنظمة الحساسة التي تخضع لـضوابط الهيئة الوطنية للأمن السيبراني، وتحديدًا ضوابط الأمن السيبراني للأنظمة الحساسة (NCA CSCC). وما نعرضه هنا أنماط نموذجية تتكرر في بيئات تشغيل البنية التحتية الحرجة عبر قطاعات مختلفة، وليس وصفًا لجهة بعينها.
لماذا حسابات الخدمة الخاملة؟
حساب الخدمة أُنشئ ذات يوم لتكامل بين نظامين أو لمهمة جدولة أو لعملية نسخ احتياطي. انتهى المشروع وبقي الحساب، وغالبًا بصلاحيات مرتفعة وكلمة مرور لا تتغير، وبلا مالك واضح. لا يتلقى هذا الحساب تنبيه انتهاء كلمة المرور، ولا يخضع لمراجعة المدير المباشر، ولا يكتمل فيه التحقق متعدد العوامل في أغلب الأحيان.
لهذه الأسباب يصلح الحساب المنسي مدخلًا هادئًا للمهاجم. وفي الارتباطات النموذجية تكون الفرضية الأولى: مهاجم يستخدم حسابًا مميزًا منسيًا ليتحرك داخل البيئة دون أن يثير تنبيهًا. الأدوات التقليدية لا تنبّه لأن الحساب صحيح والكلمة صحيحة، والمصادقة ناجحة.
الفرضية وحدودها
الفرضية الجيدة قابلة للاختبار ومحددة النطاق. نصوغها هكذا: إذا كان في بيئة الأنظمة الحرجة حساب خدمة مميز خامل، فسيظهر في سجلات المصادقة سلوك لا يطابق وظيفته المعروفة.
وتتفرع عنها ثلاثة أسئلة:
- هل توجد حسابات في السجلات لا مقابل لها في الجرد؟
- هل ظهر دخول من مصدر أو في وقت أو إلى نظام خارج النمط الوظيفي للحساب؟
- هل استُخدم حساب مصمم للعمل غير التفاعلي في جلسة تفاعلية؟
الخطوة الأولى: مقارنة السجلات بالجرد
ينطلق الصيد من جرد حسابات الخدمة، ويُقارن بسجلات المصادقة. والتحدي العملي أن الجرد نفسه ناقص في كثير من البيئات، ولذلك يعمل الاتجاهان معًا:
- من الجرد إلى السجلات: لكل حساب مسجل، ما آخر نشاط له، ومن أين، وإلى أي أنظمة؟ الحساب المسجل بلا نشاط طويل ثم يستيقظ فجأة هو المرشح الأول.
- من السجلات إلى الجرد: كل هوية تظهر في المصادقة ولا تجد مقابلًا في الجرد تُعامل حسابًا مجهول المصدر، وتُتتبع حتى يُعرف مالكها أو يثبت أنها غير مشروعة.
كثيرًا ما تكون نتيجة هذه المرحلة وحدها ذات قيمة، فالحسابات مجهولة المصدر تُعد نتيجة قائمة بذاتها حتى قبل أي دليل على اختراق، لأنها فجوة في الحوكمة تستدعي المعالجة.
الخطوة الثانية: الدخول خارج النمط الوظيفي
لكل حساب خدمة نمط يمكن وصفه: الجهاز المصدر، والخادم الهدف، والتوقيت، ونوع الجلسة. نبني خط الأساس من السجلات ثم نبحث عن الانحراف، ومن أمثلته:
- دخول من جهاز لم يستخدمه الحساب من قبل.
- دخول خارج النافذة الزمنية المعتادة للمهمة المجدولة.
- وصول إلى أنظمة لا تدخل في وظيفة الحساب.
- تسلسل غير معتاد عبر عدة خوادم خلال فترة قصيرة.
يختلف خط الأساس بين القطاعات. ففي بيئات الطاقة والمرافق تكون المهام الدورية منتظمة جدًا فيسهل رصد الشذوذ، أما في القطاع المالي فتتعدد التكاملات والمهام فتحتاج الفرضية إلى تقسيم الحسابات إلى فئات قبل المقارنة.
الخطوة الثالثة: الاستخدام التفاعلي لحسابات غير تفاعلية
حساب الخدمة لا ينبغي أن يفتح جلسة سطح مكتب بعيد أو يسجل دخولًا إلى وحدة تحكم. فإذا ظهر ذلك في السجلات فهو إشارة قوية، لأن البشر هم من يعمل تفاعليًا، والمهاجم الذي يملك بيانات الاعتماد يتصرف كإنسان لا كمهمة مجدولة.
ونفحص هنا نوع تسجيل الدخول في سجلات ويندوز أو ما يكافئه في بيئات أخرى، وأوامر الصدفة المنفذة بعد الدخول، وأي إنشاء لحسابات أو تعديل لعضويات المجموعات المميزة. وتُربط هذه الأنماط بتقنيات المهاجمين الموثقة في MITRE ATT&CK، وفي مقدمتها استخدام الحسابات الصالحة.
كيف نتعامل مع الأدلة
لا يكفي أن نقول إن حسابًا يبدو مريبًا. ينبغي أن يحمل كل استنتاج:
- الاستعلام الذي أنتجه والفترة الزمنية التي غطاها.
- السجلات الخام التي تدعمه.
- تقدير ما يعنيه للمخاطر، مع التمييز بين الدليل المؤكد والاشتباه.
- ما لم تستطع البيانات الإجابة عنه، لأن الصيد يعتمد على ما تجمعه الجهة أصلًا، وحيث تقل التغطية ينبغي أن يذكر التقرير ذلك صراحة.
وهذه الصراحة مهمة في الأنظمة الحساسة، فغياب النتيجة لا يعني غياب التهديد إذا كانت السجلات لا تغطي الفترة أو النظام.
ما ينبغي أن يبقى بعد الصيد
قيمة الصيد لا تنتهي بتقريره. وعلى الجهة أن تخرج بما يلي:
- قواعد كشف دائمة تنبّه عند أي دخول تفاعلي لحساب خدمة، أو دخول من مصدر جديد.
- جرد محدّث يربط كل حساب بمالك ووظيفة ونمط متوقع.
- إصلاحات تشمل تعطيل الحسابات غير المستخدمة، وتقييد حقوق الدخول التفاعلي، وتدوير بيانات الاعتماد، وتقليص الصلاحيات.
- قراءة لفجوات السجلات تحدد الأنظمة التي ينبغي أن تُضاف مصادرها إلى مركز العمليات.
وتتسق هذه المخرجات مع توجه ضوابط NCA CSCC نحو إدارة الهويات والصلاحيات، ومراقبة الأحداث، وإدارة سجلاتها في الأنظمة الحساسة. ولا نذكر هنا رقم ضابط بعينه، والأولى أن تُطابق كل جهة مخرجاتها مع نصوص الضوابط المنطبقة عليها.
تكييف الفرضية مع بيئتكم
قبل تنفيذ الفرضية اسألوا أنفسكم:
- هل لدينا جرد لحسابات الخدمة يمكن الاعتماد عليه، ومن يملكه؟
- ما مدة الاحتفاظ بسجلات المصادقة، وهل تغطي الأنظمة الحرجة كلها؟
- هل نستطيع التمييز بين الجلسة التفاعلية وغير التفاعلية في بياناتنا؟
- من يستلم القواعد الجديدة في مركز العمليات، وكيف تُضبط لتقليل الإنذارات الكاذبة؟
الخلاصة والخطوة التالية
فرضية حسابات الخدمة الخاملة بسيطة في صياغتها، لكنها تكشف فجوات حقيقية في الحوكمة والرصد معًا. وفي خدمة الصيد الاستباقي للتهديدات نعمل عبر أربع مراحل: التخطيط باختيار الفرضيات من تهديدات القطاع، ثم الصيد في السجلات والأجهزة وبيانات الهوية، ثم التقرير بالنتائج والأدلة والمخاطر، ثم التحصين بتحويل النتائج إلى قواعد كشف وإصلاحات. وتشمل المخرجات خطة الصيد والفرضيات، وتقرير النتائج مع الأدلة، وقواعد كشف جديدة، وخريطة تغطية مقابل ATT&CK. وتُنفذ الخدمة في دورات شهرية أو ربع سنوية.
إذا رغبتم في اختبار هذه الفرضية في بيئتكم، فتواصلوا معنا لمناقشة النطاق وحدود البيانات المتاحة.
