الخلاصة

  • طلب RFC 3067 كائناً مشتركاً يفصل بين الحدث المرصود والدليل وتصنيف الحادث والضرر الفعلي والأثر المحتمل ودرجة الثقة.
  • كان السجل ينمو من التنبيه إلى الأرشيف، ويحفظ قيود كل عنصر وسلسلة حفظ الدليل وأفعال فرق CSIRT السابقة.

قبل المخطط، نظرية لتسليم القضية

نُشر RFC 3067 في فبراير 2001 كوثيقة معلوماتية تسجل متطلبات TERENA لتنسيق وصف كائن الحادث وتبادله، IODEF. كانت الهجمات تعبر البلدان واللغات والثقافات ونطاقات المسؤولية، وكانت الفرق تحتاج إلى تبادل التنبيهات والتحقيقات والإحصاءات والدروس اللاحقة.

لم يكن الكائن المقترح ظرفاً آلياً فحسب. كان على البشر إنشاؤه والتصريح بإرساله، وأن يبقى مقروءاً بالأدوات العادية وقابلاً للمعالجة. قد تبدأ رسالة كشف القصة، لكنها لا تملك القصة كلها. وصف الحادث يحمل ما تعلمته فرق متعددة وقررته وفعلته بمرور الوقت.

لهذا فصل النص بين الحدث والدليل والحادث والضرر والأثر والثقة. قد يولد حدث مرصود تنبيهاً. يدعم الدليل استنتاجاً. يتضمن الحادث خرقاً. يصف الضرر نتيجة واقعة في نظام أو خدمة، بينما يصف الأثر العواقب على مجتمع المستخدمين. وتوضح الثقة قوة معلومات التقرير. لم تكن هذه مرادفات موزعة في خانات.

التنبيه لم يملك الاستنتاج

قد تطلق ثلاث محاولات دخول فاشلة تنبيهاً من دون أن تثبت مهاجماً أو اختراقاً أو ضرراً أو أثراً. يقدّر كاشف إحصائي الاحتمال، وتصعّد إحدى الفرق وفق سياستها، وتربط أخرى الحدث بحملة. كان على الكائن المشترك حفظ كل خطوة من دون تحويل أول إشارة إلى حكم نهائي.

لذلك اشترط RFC درجة ثقة، خصوصاً مع التقدير الآلي. يمكن أخذ الأثر المحتمل من قائمة موحدة أو من خبرة عضو مسؤول. ويمكن لنوع غير معروف أن يحمل اسماً مؤقتاً خاصاً بالتنفيذ. تدعم البنية التجميع، ويحفظ النص الحر ما لم يستقر بعد.

وينمو السجل أثناء التحقيق. تكون التفاصيل قليلة عند التنبيه، ثم تضيف المعالجة الهجوم والأدلة والجهات والأهداف والنتائج والأفعال. تبقى أفعال فرق CSIRT السابقة ظاهرة كي يعرف الفريق التالي ما بقي. الكائن ملف متغير، لا جرس إنذار مجمد.

لكل حجرة جمهور مختلف

يحقق التبادل التنسيق لكنه قد يكشف كلمات مرور ومعرفات ومواد جنائية رقمية. طلب RFC قيد وصول لكل عنصر، لا تصنيفاً واحداً فوق التقرير كله.

قد يرى المستقبل نوع الهجوم والشبكة ولا يحق له رؤية هوية الضحية أو الدليل المختوم. قد تحتفظ الإحصاءات بأثر مجمع وتحذف التفاصيل التشغيلية. وقد يبقى الدليل في مخزن خارجي لأن سلسلة حفظه وصلاحياته مختلفة.

لا يكفي التشفير: قد يفك نظام مخول البيانات ثم يوزعها خطأ. يجب أن يسافر وسم التقييد مع المعلومة كسياق سياسة. وكان التبادل عادة يبدأ بتصريح مشغل أو مدير CSIRT. تساعد قابلية القراءة الآلية سلطة الإنسان ولا تنشئها.

احتاج الدليل إلى تاريخ حفظ

ذكر RFC النسخ الخام والسجلات وإحصاءات النواة والذاكرة المؤقتة والذاكرة والملفات المؤقتة كأدلة ممكنة. طلب حفظ السلامة والتشفير عند الحاجة وسلسلة حفظ موثقة والامتثال للقانون المحلي. يحتاج المستقبل إلى البايتات وإلى معرفة جامعها ووقتها وظروفها وتحولاتها.

فصّل RFC 3227 لاحقاً ترتيب التطاير وتقليل التغيير والتوثيق. لا يستطيع تنسيق أن يضمن قبول الدليل في كل قانون. وللزمن حد مماثل: يساعد الوقت المحلي مع فرق UTC في التطبيع والربط، لكنه لا يصلح ساعة خاطئة أو تأخيراً مجهولاً أو سببية زائفة.

حوّل RFC 5070 المتطلبات عام 2007 إلى نموذج XML، وصرح بأنه تنسيق نقل لا تعريف عالمي للحادث ولا أفضل مخزن. حل RFC 7970 محله عام 2016. أصبح المخطط ملموساً، لكن السلطة ظلت موزعة بين المنشئ والجامع والمنظمة المرسلة والمستقبل والقانون المحلي.

يجعل الكائن المشترك الاختلاف قابلاً للقراءة من دون دمج الرصد والاستنتاج والقرار والنتيجة. يستطيع البرنامج التحقق من الوثيقة ونقلها، لا إثبات صحة التصنيف أو نجاح الاستجابة.

المصادر