فوائد رصد حلول النظم الرقمية لأمن الشبكات

وتواجه أفرقة أمن الشبكات سطحاً ممتداً باستمرار من حيث الهجوم حيث يكون كل استفسار من هذه الأسئلة ناقلاً محتملاً للحلول التوفيقية، ويترجم نظام الأسماء الأساسية للشبكة أسماء النطاقات التي يمكن قراءةها من البشر إلى عناوين الأجهزة، مما يجعلها أساساً للاتصال عبر الإنترنت، غير أن تصميمها القائم على أساس الحيازة والثقة يجعلها أداة مفضلة للمهاجمين.

فهم رصد النظم العالمية لسواتل الملاحة

وتشمل عمليات رصد نظم المعلومات الرقمية القبض على حركة المرور بين العملاء والمصممين وتفتيشها، وخلافاً للجولات النارية التقليدية التي تركز على عناوين وموانئ IP، ينظر رصد هذه النظم إلى طبقة الاستفسارات نفسها، ويجمع الحل النموذجي البيانات الوصفية مثل المصادر IP، والمجالات المسدودة، ورمز الاستجابة، والمعلومات المتعلقة بالتوقيت، وتطبق الأدوات المتقدمة التعلم الآلي، وتغذيات المعلومات المتعلقة بالتهديدات على المناطق المشبوهة، ويحدد المحاولات الاسترجاعية للبيانات، ويكشف عنها.

ويمكن نشر رصد الـ دي إن إس أي كجهاز قائم بذاته، أو كعامل برامجيات عن المصممين الترويحيين، أو كخدمة قائمة على الغيوم تُستخدم في عمليات تسجيل الدخول من الهياكل الأساسية القائمة، وكثيراً ما تُدرج البيانات المولدة في نظم المعلومات الأمنية وإدارة الأحداث أو تستخدم لإنفاذ السياسات على حافة الشبكة، ولأن حركة الـ دي إن إس نادراً ما تكون مشفرة من طرف لآخر مع بروتوكولات مثل شبكة معلومات مستمدة من معلومات أساسية يمكن الوصول إليها.

الكشف المبكر عن التهديدات

ومن بين أكثر الفوائد التي استشهد بها رصد النظم الإنمائية الوطنية قدرتها على كشف التهديدات في وقت مبكر من سلسلة القتل، ويعتمد العديد من الهجمات على النظم الوطنية لفض مجالات القيادة والمراقبة، أو تسليم الحمولات، أو الاتصال بالبلدين المصابين، ويمكن للمنظمات، من خلال تحليل أنماط الاستفسار، أن تكتشف علامات على الحل الوسط قبل حدوث أي سرقة أو إعدام فيديات.

الكشف عن حالة الشذوذ

وتحتفظ حلول رصد نظم الأمن الوطني بخطوط أساس للحركة العادية لكل شبكة فرعية أو مجموعة مستخدمين أو جهاز، وعندما يبدأ العميل فجأة في الاستفسار عن مجال معروف باستضافة مجموعات أو أجهزة الاسترجاع، يولد النظام إنذارا، فعلى سبيل المثال، فإن محطة عمل لا تتصل أبدا بالمجالات الأجنبية التي تحل محلا للشبكة أو العنوان المتحرك قد تشير إلى وجود منزل يزوره الطروادة، ويتيح الكشف عن الوقت الحقيقي لفرق الأمن أن تهاجم المضيفها وتتحقق ذلك لاحقا.

ووفقاً لتقرير من معهد الشبكة، يستخدم أكثر من 90 في المائة من البرمجيات غير السليمة بيئياً أثناء مرحلة من العدوى، ولذلك فإن رصد هذا الحركة يوفر مؤشراً عالياً وخفيفاً من الأهمية للحلول التوفيقية، كما تبين الدراسات التي أجراها التحالف المعني بالتهديدات السيبرية أن الكشف عن هذه المواد يمكن أن يقلل من الوقت اللازم للكشف (MTTD) من أسابيع إلى دقائق عندما يدمج مع تدفقات عمل آلية للاستجابة.

القفل الاستباقي لـ (ماليشيس دومانز)

وتُدمج أدوات عديدة للرصد في برامج المعلومات الاستخباراتية المتعلقة بالأخطار التي تُحتفظ بقوائم معالجة للمجالات الخبيثة، وتُستكمل هذه المواد في وقت قريب من الوقت الحقيقي من مصادر مثل شبكات العسل المفتوحة المصدر، وبحوث التهديد التجاري، وتنبيهات الحكومة، وعندما يحاول المستخدم أو الجهاز حل مجال سيء معروف، تعيد دائرة تصميم النظم الرقمية صفحة مغلقة أو جهاز للحفر بالوعة، مما يحول دون إقامة أي صلة.

Best practice]: Combine automatic blocking with a policy that allows security teams to whitelist legitimate domains that may be incorrectly flagged. Use a layered approach where DNS blocking is one element alongside endpoint detection and response.

منع تسرب البيانات

إن تسلل البيانات عبر نفق الدي إن إس هو تقنية مخفية تتعدى قواعد الحماية الاعتيادية، ويورد المهاجمون البيانات المسروقة (مثل أرقام بطاقات الائتمان، أو الملكية الفكرية، أو وثائق التفويض) إلى الاستفسارات التي ترسل إلى مصمم متحرك يسيطرون عليه، ولأن حركة الدي إن إس غالبا ما تُسمح بها وتُفتش بعمق نادراً، يمكن أن تستمر عملية التسلل لأسابيع دون كشفها.

الكشف عن أنماط الزينة غير المعتادة

ويمكن أن تتضمن الاستفسارات عن حلول تحليلية عن طول الاستفسارات، وعدد الطلبات في الثانية، وقيم حركة نمور تحرير تاميل إيلام، وخط الاستفسار عن القواعد الفرعية، والاستفسارات المعيارية قصيرة، ومتابعة نمط من البحث المتكرر عن نفس المجال، واستخدام هياكل فرعية يمكن التنبؤ بها، كما أن الاستفسارات المتعلقة بالاختبارات التي كثيرا ما تتضمن قيودا طويلة وشبه عشوائية، وتظهر معدلا للاستفسار العالي دون حدوث هجوم مفاجئ.

فعلى سبيل المثال، أبلغت شركة معلومات عن حالة اكتشفت فيها شركة طاقة نفقة تابعة للدائرة بعد نشرها - فقدوا بيانات هندسية حساسة لشهور، مع رصد سليم لنظم الديموغرافيا، أوقفت عملية التسلل خلال ساعات، كما يوصي المعهد الوطني للمعايير والتكنولوجيا التابع للولايات المتحدة بإجراء تفتيش على حركة المرور في إطاره لمنع فقدان البيانات في [NIST SP 800-53].

"الطوان المُغلقة في "الرسولفر

ويمكن أن تؤدي بعض حلول رصد النظم الإنمائية الوطنية إلى إعاقة أساليب النفق المعروفة عن طريق تطبيق سياسات صارمة للاستفسار، مثلاً، يمكن تشكيل مصمم لا يسمح إلا بمجالات تضاهي الأنماط الدونية الصحيحة (مثل سجلات المعايير ألف أو AAAAAAAAAAAA) ويرفض الاستفسارات التي تحمل أسماء طويلة غير عادية، وفي حين أن ذلك قد يكسر بعض التطبيقات المشروعة التي تستخدم نظم الـ دي إن إس دي إن إس في الاكتشاف (مثلا بعض الخدمات السحابية) فإن المبادلات التبادلات تعتبر مقبولة في بيئة أمنية عالية.

تعزيز الرؤية والمراقبة

وبالإضافة إلى كشف التهديدات والوقاية منها، يوفر رصد النظم الرقمية معلومات استخبارية تشغيلية تساعد أفرقة تكنولوجيا المعلومات والأمن على فهم شبكتها على نحو أفضل.

تحليل السلوكيات

ويمكن للمنظمات، من خلال تجميع سجلاتها بمرور الوقت، أن تحدد المجالات التي يمكن للمستعملين أو الأجهزة أو الإدارات الوصول إليها، وتساعد هذه الرؤية على تحديد نظام المعلومات الخفية (الخدمات السحابية غير المأذون بها)، والتطبيقات المحظورة التي تسبب التطلعات المفرطة لنظم المعلومات، والانتهاكات المحتملة للسياسة العامة مثل بث الفيديو في العمل، مثلاً، تشير الزيادة المفاجئة في الاستفسارات عن نطاق مراقبة السجلات المالية.

فصل الشبكة وإنفاذ السياسات

وكثيرا ما تدعم حلول الرصد التي تقوم بها إدارة الشؤون الداخلية تحديد مسارات ومرشحات تستند إلى السياسات العامة استنادا إلى نطاقات المصدر IP وهوية المستخدم (عن طريق الإدماج مع دليل فعال) أو نوع الأجهزة، ويمكن لمديري البرامج وضع قواعد مثل " سد جميع أجهزة تكنولوجيا المعلومات من أي مجال خارج خواديم التحديث المعتمدة " أو " لا توفر سوى الحواسيب المحمولة التي تديرها الشركات للحصول على تطبيقات داخلية حساسة عن طريق أفقية لمراجعة الحسابات القائمة على أساس التجزئة " .

التحليل الجنائي والاستجابة للحوادث

وعندما تقع حادثة أمنية، تكون سجلات الـ دي إن إس مينتر هي مادة ذهبية للمحققين الشرعيين، وتكشف عن الجدول الزمني الكامل للتواصل مع الفئة جيم-2، والتنقل الأفقي، واحتمال تسلل البيانات، وبإعادة صياغة الاستفسارات من جهة مضيفة متضررة، يمكن للمحللين تحديد جميع المجالات التي تم الاتصال بها قبل وبعد التطفل، مما يساعد على تحديد نطاق الخرق، والأدوات المستخدمة، وما إذا كان هناك أي منابر البحث السريع قد تم نقلها.

الحد من الهجوم السطحي ووقت الدويل

وبالرغم من أن الفترة الفاصلة بين الحل التوفيقي الأولي والكشف عنها هي مقياس حرج في أمن الفضاء، فإن المهاجمين الأطول لا يزالون غير مكتشفين، والأضرار الأكثر قدرة على القيام بها، وأن رصد هذه النظم يقل كثيرا عن فترة الرصد المبكر، وحتى إذا كان الوصول الأولي يتفاوت من خلال تقلص حجم البريد الإلكتروني أو تنزيل التنبيهات بواسطة الدافع، فإن البرمجيات السيئة يجب أن تظل تحل مجالا للاتصال بالوطن.

وبالإضافة إلى ذلك، فإن عرقلة المجالات الخبيثة على مستوى النظم الوطنية لسواتل الملاحة يحول دون إنشاء قناة موثوقة من طراز C2، وحتى إذا تعرض المضيف للخطر، فإن الهجوم لا يمكن أن يمضي قدماً إلى ما بعد المأزق الأولي إذا لم يتمكن من التواصل الخارجي، وهذا يؤدي إلى تحييد العديد من أنواع الطرواد والفدية التي يمكن الوصول إليها عن بعد.

الامتثال والفوائد التنظيمية

كما أن العديد من الأنظمة والأطر الصناعية تتطلب صراحة أو ضمنا رصد نظم الأمن السلبية كجزء من برنامج أمن شامل، ويشترط معيار أمن البيانات المتعلقة بصناعة بطاقات الدفع رصد جميع أشكال حركة المرور على الشبكة وتسجيلها، ويقضي قانون سلامة النقل والمساءلة في مجال التأمين الصحي بأن تنفذ المنظمات ضمانات لحماية المعلومات الصحية الإلكترونية المحمية، بما في ذلك إبرازها في الاتصالات الشبكية، كما أن اللائحة العامة لحماية البيانات تشدد على حماية البيانات من خلال تصميمها، وعدم الكشف عنها بسرعة.

وبالنسبة للوكالات الاتحادية، تتطلب مبادرة الربط بالإنترنت المشمول بالوصاية والتوجيه التنفيذي الملزم 18-01 الصادر عن وزارة الأمن الداخلي ضوابط أمنية من جانب إدارة الأمن الوطني، وتقضي هذه التوجيهات بأن تستخدم الوكالات جهازاً مركزياً للتصميم على النظم الرقمية مع قدرات على منع التهديد، ويتوافق تنفيذ رصد النظم الرقمية مع هذه الولايات الاتحادية ويظهر الالتزام بأفضل الممارسات في مجال الأمن السيبراني.

الاعتبارات الرئيسية والتحديات المحتملة

وفي حين أن رصد نظم المعلومات الرقمية يوفر قيمة هائلة، فإنه ليس بدون تحديات، إذ يجب على المنظمات أن تنظر في آثار الخصوصية: فرصد حركة المرور عبر الشبكات الرقمية يعني قطع كل مجال يمكن أن تثيره كل زيارة للمستعملين، مما قد يثير شواغل تتعلق بخصوصية الموظفين، ومن المهم وضع سياسات واضحة، والحد من الاحتفاظ بالسجلات اللازمة، وكشف هوية شركاء التنفيذ حيثما أمكن ذلك، بالإضافة إلى أن زيادة عدد الحالات المشفرة التي يمكن أن تُستشف منها الشبكة الخارجية.

ومن التحديات الأخرى التي تواجه هذه الحالة، وليس كل استفسارات غير عادية، بل إن شبكة مشروعة لتقديم المحتوى قد تولد العديد من الرؤوس الفرعية، إذ أن شركات مثل أكامي تستخدم شوارع عشوائية لموازنة الحمولة، مما يمكن أن يؤدي إلى تنبيهات، ومن الضروري أن تكون خطوط الأساس للانتقال الحسنة والاحتفاظ بقائمة بيضاء مستكملة.

ويمكن أن تكون التكلفة عاملاً أيضاً، ففي حين أن أدوات المصادر المفتوحة مثل dnsmonitor] موجودة، فإن حلول المشاريع التي تعالج ملايين الاستفسارات في الثانية وتتكامل مع نظم الإدارة المستدامة يمكن أن تكون باهظة التكلفة، وينبغي للمنظمات أن تقيِّم التكلفة الإجمالية للملكية بما في ذلك التخزين، والحساب، وساعات الموظفين اللازمة للتدقيق والإنذار، غير أن العودة إلى الاستثمار كثيراً ما تبرر النفقات التي تُعطى لها تكلفة محتملة.

خاتمة

ورصد النظم الإنمائية الوطنية هو مراقبة أمنية أساسية توفر الكشف المبكر عن التهديدات، وتمنع تسلل البيانات، وتحجب المجالات الخبيثة، وتبرز بشكل غير مطابق في نشاط الشبكة، ومن خلال تنفيذ حل لرصد النظم الرقمية، يمكن للمنظمات أن تقلل كثيرا من وقت الإقامة، وتحسن الاستجابة للحوادث، وتلبي الاحتياجات التنظيمية، وفي حين أن هناك تحديات مثل النظم الرقمية المشفرة وشواغل الخصوصية، يمكن معالجتها بتخطيط دقيق وبات أمنية ذات طبقات.

External References]