איך בונים Post-Incident Review ו-Lessons Learned

מתי לקיים Review

הנושא 'מתי לקיים Review' הוא חלק מרכזי בעבודה על Post-Incident Review. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה, פעולות תגובה שבוצעו, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Timeline מאומת

Timeline הוא עמוד השדרה של Post-Incident Review. מנרמלים זמנים ל-UTC או מציינים במפורש את אזור הזמן, שומרים גם Event time וגם Ingestion time, ומחברים אירועים לפי מזהים יציבים. השורה צריכה לכלול זמן, מקור, ישות, פעולה, תוצאה ואמינות.

פער או סתירה אינם תקלה במסמך אלא ממצא. Clock drift, עיכוב קליטה, NAT, reuse של PID או Session מתמשך יכולים לשנות סדר. לכן מציינים טווחי אי-ודאות ומחזיקים קישור חזרה לראיה הגולמית.

Root cause וגורמים תורמים

הנושא 'Root cause וגורמים תורמים' הוא חלק מרכזי בעבודה על Post-Incident Review. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה, פעולות תגובה שבוצעו, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

פערי Detection/Response

הנושא 'פערי Detection/Response' הוא חלק מרכזי בעבודה על Post-Incident Review. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה, פעולות תגובה שבוצעו, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Action items, Owners ו-Deadlines

הנושא 'Action items, Owners ו-Deadlines' הוא חלק מרכזי בעבודה על Post-Incident Review. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה, פעולות תגובה שבוצעו, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה, פעולות תגובה שבוצעו, Timeline והנחות עבודה. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• מקור הראיה: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• זמן איסוף ואזור זמן: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Hash ו-Chain of Custody: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• כלי וגרסה: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• פעולות תגובה שבוצעו: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Timeline והנחות עבודה: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא Post-Incident Review.
2. רשמו את מקורות הנתונים והראיות הדרושים: מקור הראיה, זמן איסוף ואזור זמן, Hash ו-Chain of Custody, כלי וגרסה.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא תבנית Review לאירוע Phishing. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: מקור הראיה.
• ✓בדקו ותעדו: זמן איסוף ואזור זמן.
• ✓בדקו ותעדו: Hash ו-Chain of Custody.
• ✓בדקו ותעדו: כלי וגרסה.
• ✓בדקו ותעדו: פעולות תגובה שבוצעו.
• ✓בדקו ותעדו: Timeline והנחות עבודה.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• לשנות את המערכת לפני שימור ראיות.
• לא לתעד אזור זמן.
• לא לחשב Hash.
• לערבב עובדה והשערה.
• לא לתעד מי החזיק בראיה.
• להעדיף שלמות תאורטית על בלימת נזק מיידי.

סיכום ו-CTA

איך בונים Post-Incident Review ו-Lessons Learned הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• NIST SP 800-61 Rev. 3 — Incident Response
• NIST SP 800-86 — Integrating Forensic Techniques
• CISA — Incident Response resources
• YARA Documentation
• Microsoft Learn — Respond to compromised email account