عندما تظهر رسالة طلب الفدية على الشاشة، تحدد خطواتك الأولى مدة التعافي وحجم البيانات التي ستفقدها. نستعرض ما يجب فعله وما يجب تجنبه في أول 24 ساعة، من عزل الأنظمة والحفاظ على الأدلة إلى التحقق من سلامة النسخ الاحتياطية والإبلاغ عن الاختراق بموجب KVKK.
يصل أحد الموظفين صباحًا فيلاحظ أن امتدادات ملفاته قد تغيّرت، وأن على سطح المكتب ملفًا نصيًا بعنوان "تم تشفير بياناتك". وخلال دقائق يتعذّر فتح برنامج المحاسبة، وتصبح المجلدات على خادم الملفات غير قابلة للقراءة. كل مدير يتمنى ألا يعيش هذه اللحظة أبدًا، لكن على كل مدير أن يكون مستعدًا لها.
كُتب الكثير عن الوقاية من برامج الفدية، بما في ذلك سبب كون النسخ الاحتياطية غير القابلة للتعديل خط الدفاع الأخير. أما هذا المقال فيتناول الاستجابة لا الوقاية: بعد وقوع الهجوم، ما الذي ينبغي فعله في الساعات الـ 24 الأولى، وما الذي يجب تجنّبه تمامًا؟
الخطوات التالية إطار عام. فكل حادثة تختلف عن غيرها، وفي الهجمات الخطيرة يظل العمل مع فريق متمرّس في الاستجابة للحوادث هو القرار الصحيح دائمًا.
الساعة الأولى: السيطرة على الذعر ووقف الانتشار
نادرًا ما تبقى برامج الفدية على جهاز واحد، إذ تحاول الانتشار إلى المجلدات المشتركة على الشبكة والخوادم وأي نسخ احتياطية يمكنها الوصول إليها. هدفك الأول هو منع الضرر من التوسع.
افصل الأجهزة المصابة عن الشبكة
انزع كابل الشبكة وأوقف شبكة Wi-Fi على الحواسيب والخوادم التي تظهر عليها علامات التشفير. وفي الخوادم الافتراضية، يؤدي فصل محوّل الشبكة الافتراضي أو عزل شبكة VLAN المعنية على جدار الحماية المهمة نفسها. وإذا لزم الأمر، اقطع مؤقتًا الوصول إلى الإنترنت وأنفاق VPN بين الفروع.
لا تُطفئ الأجهزة عشوائيًا
عادةً ما تكون ردة الفعل الأولى هي إيقاف تشغيل الحاسوب. لكن المعلومات المحفوظة في الذاكرة، مثل العمليات الجارية والاتصالات المفتوحة وأحيانًا مفاتيح التشفير، تضيع عند إطفاء الجهاز. وهذه المعلومات قيّمة لفهم كيفية وقوع الهجوم، بل وتساعد أحيانًا في استعادة البيانات. فصل الجهاز عن الشبكة يكفي عادةً لوقف الانتشار، واتخذ قرار الإطفاء بالتنسيق مع مختص في الاستجابة للحوادث إن أمكن.
عيّن مسؤولًا عن إدارة الحادثة
عندما يحاول الجميع تجربة شيء ما، تُتلف الأدلة وتتضارب القرارات. لذا عيّن منسقًا واحدًا، وليعمل من خلاله كلٌّ من الفريق التقني والإدارة والفريق القانوني وفريق الاتصال. وافترض أن المهاجمين ربما يملكون أيضًا وصولًا إلى البريد الإلكتروني، فاستخدم الهاتف أو قناة مراسلة منفصلة للتواصل.
احفظ الأدلة
الضغط لإعادة الأنظمة إلى العمل بسرعة هائل. لكن محو الأدلة أثناء العمل قد يعني أنك لن تعرف أبدًا كيف دخل المهاجم. وأي استعادة تتم دون إغلاق نقطة الدخول قد تؤدي إلى تكرار الهجوم نفسه خلال أيام.
- صوّر رسالة الفدية وأي رسائل تظهر على الشاشة.
- صدّر سجلات جدار الحماية وVPN والبريد الإلكتروني والخوادم؛ فبعض الأجهزة تستبدل سجلاتها بسرعة.
- التقط لقطة (snapshot) أو نسخة من الخوادم الافتراضية المصابة قبل حذف أي شيء.
- لا تكتب فوق الأقراص المشفّرة ولا تهيّئها.
- احتفظ بخط زمني للحادثة: من لاحظ ماذا ومتى، ومتى نُفّذت كل خطوة.
هذه السجلات ضرورية للتحليل التقني، وللإخطارات الرسمية ومطالبات التأمين لاحقًا.
حدّد نطاق الحادثة
لا يمكنك وضع خطة استعادة دون معرفة الأنظمة المتأثرة. خلال الساعات الأولى، ابحث عن إجابات لهذه الأسئلة:
- ما الخوادم والحواسيب والمجلدات المشتركة التي شُفّرت؟
- هل تأثرت وحدة التحكم بالمجال (domain controller) وأنظمة الهوية؟
- هل يمكن الوصول إلى خادم النسخ الاحتياطي ومستودعاته، وهل هي سليمة؟
- هل يُحتمل أن تكون البيانات قد سُرّبت؟ هل لوحظت حركة بيانات صادرة مرتفعة على غير العادة في الأيام الأخيرة؟
- من أين قد يكون الهجوم بدأ: رسالة تصيّد، أم منفذ سطح مكتب بعيد مكشوف، أم جهاز VPN غير محدّث؟
كثير من مجموعات برامج الفدية اليوم تنسخ البيانات قبل تشفيرها ثم تلجأ إلى الابتزاز المزدوج: "ادفع وإلا سننشر". لذا يجب ألا يقتصر تحديد النطاق على سؤال "ما الذي شُفّر؟" بل أن يشمل أيضًا "ما الذي ربما سُرق؟".
لا تدفع الفدية بردة فعل
يستخدم المهاجمون مؤقتات العد التنازلي ومبالغ الفدية المتصاعدة لزيادة الضغط. وتحت هذا الضغط قد يبدو الدفع مغريًا، لكن من المفيد معرفة بعض الحقائق:
- الدفع لا يضمن الحصول على أداة فك تشفير تعمل؛ فالأدوات المقدَّمة قد تكون بطيئة أو مليئة بالأخطاء أو غير مكتملة.
- الدفع لا يعني أن البيانات المسروقة ستُحذف.
- المؤسسات التي تدفع قد تصبح هدفًا متكررًا.
- للدفع تبعات قانونية وضريبية، لذا يجب تقييم القرار مع مستشار قانوني.
إذا كانت لديك نسخ احتياطية سليمة ويمكن الوصول إليها، فغالبًا لا يُطرح سؤال الدفع أصلًا. لذا تحقّق من حالة نسخك الاحتياطية قبل أي نقاش حول الدفع.
تحقّق من سلامة النسخ الاحتياطية
النسخ الاحتياطية هي قلب عملية الاستعادة. ويدرك المهاجمون ذلك، فيحاولون حذفها أو إفسادها قبل التشفير. قبل البدء بالاستعادة، تحقّق مما يلي:
- هل النسخ الاحتياطية لم تُمسّ؟ النسخ المحفوظة في مستودعات غير قابلة للتعديل أو في حاويات S3 المحمية بقفل الكائنات (object lock) لا يمكن حذفها حتى لو اختُرقت كلمة مرور المسؤول. وعادةً ما تكون هذه النسخ نقطة الانطلاق الأكثر موثوقية.
- أي تاريخ نسخ احتياطي نظيف؟ قد يكون المهاجمون داخل الشبكة لأيام أو حتى أسابيع قبل التشفير، وقد تحتوي أحدث نسخة احتياطية على برمجيات خبيثة أيضًا. افتح النسخة وافحصها في بيئة معزولة.
- هل خادم النسخ الاحتياطي آمن؟ إذا كان الخادم منضمًا إلى المجال وتعرّض للاختراق، فالأكثر أمانًا الاستعادة من خادم نسخ احتياطي مبني من جديد.
الاحتفاظ بنسخة واحدة من نسخك الاحتياطية بمعزل عن الشبكة الرئيسية، في موقع مختلف وبصيغة غير قابلة للتعديل، يُحدث فرقًا هائلًا في هذه المرحلة. وهذا هو جوهر قاعدة النسخ الاحتياطي 3-2-1.
خطّط لترتيب الاستعادة
محاولة استعادة كل شيء دفعة واحدة تُرهق الشبكة والفريق معًا. أما وجود ترتيب أولويات محدد مسبقًا فيسرّع الاستعادة. وفيما يلي ترتيب نموذجي:
- البنية التحتية والهوية: مقطع شبكة نظيف، وقواعد جدار الحماية، ووحدة التحكم بالمجال وDNS.
- التطبيقات الحيوية للأعمال: أنظمة ERP والمحاسبة والمبيعات والطلبات، وقواعد البيانات.
- الاتصالات: البريد الإلكتروني وأدوات المراسلة الداخلية.
- المجلدات المشتركة: المشاريع النشطة والمجلدات الحديثة أولًا، ثم الأرشيف.
- حواسيب المستخدمين: ويُفضّل إعادة تثبيتها من صورة نظيفة.
لا تُعِد توصيل الأنظمة المستعادة مباشرةً بالشبكة القديمة. تحقّق منها في بيئة معزولة، وطبّق التحديثات الأمنية، وبعد ذلك فقط انقلها إلى بيئة الإنتاج. إن تحديد المدة التي يجب أن يعود خلالها كل نظام (RTO) ومقدار فقدان البيانات المقبول (RPO) مسبقًا يجعل هذه القرارات أسهل بكثير تحت الضغط.
أعد تعيين بيانات الاعتماد
تتقدّم معظم هجمات برامج الفدية عبر حسابات مستخدمين مخترقة. لذا لا تكفي استعادة الأنظمة؛ بل يجب أيضًا إبطال المفاتيح التي يملكها المهاجم.
- غيّر كلمات مرور جميع حسابات المسؤولين وحسابات الخدمات.
- إذا كنت تستخدم Active Directory، فأعد تعيين كلمة مرور حساب Kerberos (krbtgt) بطريقة منضبطة وبدعم من الخبراء.
- افرض المصادقة متعددة العوامل على VPN والوصول عن بُعد والبوابات السحابية والبريد الإلكتروني.
- ابحث عن حسابات مستخدمين جديدة ومهام مجدولة ربما أُنشئت أثناء الهجوم.
- لا تنسَ كلمات مرور إدارة البنية التحتية، مثل جدران الحماية ومنصة المحاكاة الافتراضية.
لا تتجاهل واجبات الإخطار
كثيرًا ما يكون هجوم برامج الفدية في الوقت نفسه خرقًا للبيانات الشخصية. فإذا كانت الأنظمة المشفّرة أو المسرَّبة تحتوي على بيانات العملاء أو الموظفين أو الموردين، تنشأ التزامات بموجب KVKK، قانون حماية البيانات الشخصية في تركيا.
كقاعدة عامة، يجب على المتحكّم في البيانات إخطار مجلس حماية البيانات الشخصية دون تأخير، وفي موعد أقصاه 72 ساعة من علمه بالخرق. كما يجب إبلاغ الأفراد المتأثرين خلال مدة معقولة. ننصح بالعمل مع مستشارك القانوني على مضمون الإخطار وتوقيته.
ضع في اعتبارك أيضًا ما يلي:
- إذا كانت لديك وثيقة تأمين سيبراني، فأبلغ شركة التأمين مبكرًا؛ إذ تحدد كثير من الوثائق مهلًا وإجراءات معينة.
- تواصل مع جهات إنفاذ القانون لتقديم بلاغ جنائي.
- أعدّ بيانًا واضحًا للعملاء والشركاء يستند إلى حقائق مؤكدة.
ما يجب تجنّبه: قائمة مختصرة
- تهيئة الأقراص المشفّرة أو الاستعادة فوقها.
- تشغيل أدوات "فك تشفير" عشوائية من الإنترنت على أنظمة الإنتاج.
- إعادة توصيل الأنظمة بالإنترنت قبل العثور على نقطة الدخول.
- السماح لأشخاص غير مخوّلين بالتواصل مع المهاجمين.
- مناقشة الحادثة عبر حسابات بريد إلكتروني قد تكون مخترقة.
- المضيّ قدمًا دون توثيق ما حدث.
بعد ذلك: الدروس المستفادة
لا تنتهي المهمة بعودة الأنظمة إلى العمل. خلال بضعة أسابيع، اعقد اجتماع مراجعة مع الفريق بأكمله: من أين دخل المهاجم، ولماذا لم يُكتشف، وأي الخطوات نجحت وأيها أضاع الوقت؟ يجب أن تتحول الإجابات إلى إجراءات ملموسة: عمليات التحديث، والمصادقة متعددة العوامل، وتقسيم الشبكة، والنسخ الاحتياطية غير القابلة للتعديل، واختبارات الاستعادة المنتظمة.
إن تكييف الخطوات الواردة في هذا المقال مع بيئتك وتحويلها إلى خطة مكتوبة للاستجابة للحوادث، قبل وقوع الحادثة التالية، سيوفّر عليك ساعات عندما يقع هجوم حقيقي.
الأسئلة الشائعة
هل يجب أن أُطفئ الحاسوب المصاب فورًا؟
في الغالب لا. افصله عن الشبكة أولًا، فالإطفاء قد يُتلف أدلة قيّمة في الذاكرة. واتخذ قرار الإطفاء مع مختص في الاستجابة للحوادث إن أمكن.
هل تكفي استعادة أحدث نسخة احتياطية؟
ليس دائمًا. فقد يكون المهاجمون داخل الشبكة منذ أيام، وقد تحتوي أحدث نسخة على برمجيات خبيثة. تحقّق من النسخة في بيئة معزولة، واختر نسخة أقدم نظيفة إذا لزم الأمر.
هل الإخطار بموجب KVKK مطلوب في كل حادثة برامج فدية؟
إذا كانت الأنظمة المتأثرة تحتوي على بيانات شخصية وتأثرت سريتها أو سلامتها أو إتاحتها، فمن المرجح جدًا أن ينشأ واجب الإخطار. قيّم الوضع مع مستشار قانوني ولا تفوّت مهلة الـ 72 ساعة.
هل يمكن أن تؤثر برامج الفدية على النسخ الاحتياطية السحابية؟
إذا استولى المهاجم على حساب المسؤول في برنامج النسخ الاحتياطي، فيمكن حذف النسخ السحابية العادية أيضًا. أما النسخ المعلَّمة بأنها غير قابلة للتعديل فلا يمكن حذفها أو تغييرها طوال فترة الاحتفاظ المحددة.
كن مستعدًا للتعافي مع CloudRUX
يمكن لأي أحد شراء البنية التحتية؛ لكن ما يصنع الفرق وقت الأزمة هو وجود مهندس يتحدث العربية والتركية على الطرف الآخر ويدير الأنظمة فعليًا. تحفظ CloudRUX نسخك الاحتياطية في مراكز بيانات في تركيا، مع نسخ غير قابلة للتعديل وفوترة شهرية ثابتة. تعرّف على خيارات النسخ الاحتياطي كخدمة (BaaS) وتخزين الكائنات S3، أو تواصل معنا لمراجعة خطة النسخ الاحتياطي والاستعادة معًا.