دورة حياة معلومات التهديد: من الجمع إلى العمل

متطلبات الاستخبارات

موضوع 'متطلبات الاستخبارات' هو جزء أساسي في العمل على دورة حياة معلومات التهديد. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار المراد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل Hypothesis، تقنية ATT&CK، Data sources، Detection logic، Expected benign behavior، قارنها بالسلوك المتوقع، وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

الجمع

في هذه المرحلة، يتم تحديد الأدلة اللازمة للإجابة على سؤال التحقيق. بالنسبة لدورة حياة معلومات التهديد، النقاط الأساسية هي Hypothesis، تقنية ATT&CK، Data sources، Detection logic. لكل مصدر، يتم توثيق المالك، نطاق الاحتفاظ، المنطقة الزمنية، تأخير الاستقبال، والحقول التي قد تكون مفقودة.

جودة الجمع لا تقاس بوصول السجل 'Log'. يجب فحص Completeness، Latency، Parsing، Duplicate events ومزامنة الوقت. يسمح اختبار Canary أو حدث مختبر معروف بالتأكد من ظهور الإجراء في المصدر، ومروره عبر الـ Pipeline، وإمكانية البحث عنه في الحقول الصحيحة.

المعالجة والإثراء

موضوع 'المعالجة والإثراء' هو جزء أساسي في العمل على دورة حياة معلومات التهديد. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار المراد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل Hypothesis، تقنية ATT&CK، Data sources، Detection logic، Expected benign behavior، قارنها بالسلوك المتوقع، وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

التحليل والثقة

يبدأ التحقيق في دورة حياة معلومات التهديد بصياغة Hypothesis: ما هو السلوك الذي يفسر النتائج، وما هي الأدلة التي تؤكدها أو تنفيها. بعد ذلك، يتم توسيع النافذة الزمنية، والتحقق من الكيانات، والبحث عن تسلسل قبل وبعد الحدث.

الارتباط الجيد يجمع بين نوعين على الأقل من المعلومات من Hypothesis، تقنية ATT&CK، Data sources، Detection logic، Expected benign behavior، Test cases وcoverage. لكل نتيجة، يتم تحديد ما تثبته، وما لا تثبته، وما هي الخطوة التالية. إذا كانت البيانات غير كافية، يتم تحديد Unknown ولا يتم تحويل عدم وجود دليل إلى دليل على عدم الوجود.

النشر، العمل، والتغذية الراجعة

موضوع 'النشر، العمل، والتغذية الراجعة' هو جزء أساسي في العمل على دورة حياة معلومات التهديد. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار المراد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل Hypothesis، تقنية ATT&CK، Data sources، Detection logic، Expected benign behavior، قارنها بالسلوك المتوقع، وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

نقاط اختبار فريدة

في هذا الموضوع، يُنصح ببناء خريطة أدلة مركزة مسبقًا. نقاط الاختبار الرئيسية هي: Hypothesis، تقنية ATT&CK، Data sources، Detection logic، Expected benign behavior، Test cases وcoverage. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، عمل، ووقت أو يفسر سلوكًا مشروعًا.

• Hypothesis: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• تقنية ATT&CK: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Data sources: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Detection logic: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Expected benign behavior: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Test cases وcoverage: حدد القيمة المتوقعة، وما الذي سيعتبر استثنائيًا، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما يكون أحد هذه النقاط غير متاح، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن الاستعانة بالوقت، Host، User، وParent؛ إذا كان Payload مشفرًا، يتم استخدام Metadata، الحجم، التردد، وسياق TLS/DNS.

عملية العمل الموصى بها

1. حدد Scope وسؤال عمل واحد حول دورة حياة معلومات التهديد.
2. سجل مصادر البيانات والأدلة المطلوبة: Hypothesis، تقنية ATT&CK، Data sources، Detection logic.
3. أنشئ خط أساس قصير للسلوك الطبيعي أو النتيجة المتوقعة.
4. قم بإجراء الاختبار الأدنى في بيئة معملية واحفظ الوقت، المدخلات، والمخرجات.
5. ابنِ جدول زمني أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بالتحول إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به، ومعيار Retest.

سيناريو عملي

السيناريو المختار هو تحويل قائمة Domains إلى منتج استخباراتي قصير. الهدف من التمرين ليس إثبات القدرة على الهجوم، بل التدرب على الجمع، المقارنة، والتوثيق بطريقة آمنة. قبل بدء العمل، يتم تحديد بيانات وهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مراجع آخر نقده: لقطة شاشة أو Export للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيود، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓تحقق ووثق: Hypothesis.
• ✓تحقق ووثق: تقنية ATT&CK.
• ✓تحقق ووثق: Data sources.
• ✓تحقق ووثق: Detection logic.
• ✓تحقق ووثق: Expected benign behavior.
• ✓تحقق ووثق: Test cases وcoverage.
• ✓حدد Time zone، إصدار الأداة، ووقت الجمع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما تثبته النتيجة وما لا يزال مجهولاً.
• ✓حدد المالك والإجراء التالي مع الموعد.

أخطاء شائعة

• البدء من IOC عشوائي بدون Hypothesis.
• ربط ATT&CK بالاسم فقط.
• كتابة Rule بدون Test cases.
• تجاهل السلوك المشروع.
• قياس Rules بدلاً من Coverage.
• عدم إدارة الإصدارات.

ملخص ودعوة للعمل (CTA)

دورة حياة معلومات التهديد: من الجمع إلى العمل هو موضوع يربط المعرفة التقنية بالانضباط المهني. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI لـ HPI، يتم ممارسة هذه المبادئ من خلال الأنظمة، السجلات، والمختبرات. الاستمرار الطبيعي هو الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ المنتج كجزء من حافظة عمل مهنية.

الأسئلة الشائعة