صيد التهديدات واستخبارات التهديد

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1هرم الألم: ماذا يؤلم المهاجم؟

ليست كل المؤشرات متساوية. حجب تجزئة ملف يزعج المهاجم ثانية واحدة، أما كشف طريقته في سرقة كلمات المرور فيجبره على تعلم طريقة جديدة. اصعد في الهرم كلما استطعت.

2الاستخبارات: أنواعها ومشاركتها

الاستخبارات ليست قائمة عناوين IP سيئة. هي معلومة تساعد قرارًا: المدير يحتاج أن يعرف أي العصابات تستهدف البنوك في المنطقة (استراتيجية)، والصياد يحتاج تقنياتها (تكتيكية). وحين تشارك معلومة مع جهة أخرى، علّمها بـ TLP ليعرف المستلم حدود نشرها.

3صيد بالفرضية: خطوة بخطوة

كل صيد يبدأ بجملة يمكن إثباتها أو نفيها، ويُوثق، وينتهي بنتيجة: وجدنا شيئًا، أو لم نجد واكتشفنا فجوة رؤية، أو كتبنا قاعدة. امشِ مع صيد حقيقي:

4صيد بالإحصاء: اتصال منتظم كالساعة

برنامج التحكم الذي يزرعه المهاجم (beacon) يتصل بخادمه كل فترة ثابتة تقريبًا ليسأل «هل لديك أوامر؟». البشر لا يتصفحون بهذا الانتظام. خذ اتصالات كل جهاز بكل وجهة، واحسب الفترات بينها، وابحث عما تقل فيه التغيرات كثيرًا. المهاجم الذكي يضيف عشوائية (jitter)، لكنها غالبًا محدودة.

الوجهة المنتظمة كل دقيقة تقريبًا بتفاوت صغير هي المريبة. Teams منتظم أيضًا لكنه معروف ومراجع.

from statistics import mean, pstdev

def gaps(times):
    return [b - a for a, b in zip(times, times[1:])]

connections = {   # host -> destination -> connection times in seconds
    ("PC-114", "cdn-update-sync.net"): [0, 61, 119, 181, 240, 302, 359, 421, 480, 541],
    ("PC-114", "news.example.com"):    [0, 15, 400, 410, 2900, 3005, 3010, 6000],
    ("PC-207", "teams.microsoft.com"): [0, 30, 60, 90, 120, 150, 180, 210, 240, 270],
}
allowed = {"teams.microsoft.com"}          # known chatty apps you already reviewed

for (host, dest), times in connections.items():
    g = gaps(times)
    spread = pstdev(g) / mean(g)           # coefficient of variation: 0 = perfectly regular
    verdict = "known app" if dest in allowed else "BEACON?" if spread < 0.1 and len(times) >= 8 else "human-like"
    print(f"{host} -> {dest:<22} every ~{mean(g):5.0f}s  spread {spread:4.2f}  {verdict}")

مثال محلول

المسألة: وصلك تقرير TLP:AMBER من مركز القطاع فيه 40 عنوان IP و12 تجزئة لحملة تستهدف شركات الطاقة، ووصف أنها تستخدم مهام مجدولة باسم يشبه تحديث Google للبقاء. ماذا تفعل؟

الحل: (1) المؤشرات (أسفل الهرم): أدخلها في SIEM وابحث للخلف 90 يومًا، واحجبها، لكن لا تعتمد عليها وحدها. (2) السلوك (أعلى الهرم): فرضية صيد: «توجد مهام مجدولة باسم يشبه Google Update لكنها لا تشير إلى مسار Google الحقيقي». ابحث في أحداث 4698 (إنشاء مهمة مجدولة) وSysmon. (3) إن وجدت شيئًا: حادثة. وإن لم تجد: وثّق أن الفرضية منفية وتأكد أن 4698 مفعّل على كل الأجهزة. (4) حوّل الفرضية إلى قاعدة Sigma دائمة. (5) احترم AMBER: شارك داخل شركتك فقط ومع من يحتاج.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك