الخلاصة

  • يطلب RFC 2350 من فريق الاستجابة أن يوضح من يخدمه، وكيف تُرفع البلاغات، وما مصدر سلطته، وما سياساته وخدماته.
  • هذه البيانات ترسم حدود التوقع المعقول؛ أما الاستلام والتأكيد والإسناد والاستئصال والتعافي والتنسيق فتحتاج إلى سجلات خاصة بكل حالة.

نُشر RFC 2350 في يونيو 1998 بوصفه BCP 21 لمعالجة سوء الفهم بين فرق الاستجابة والمجتمعات التي تخدمها. واقترح وصفاً عاماً يضم اسم الفريق وعنوانه ومنطقته الزمنية وساعات عمله ومفاتيحه، ثم مهمته وجمهوره والجهة الراعية وسلطته وسياسات الدعم والإفصاح والاتصال وخدماته ونماذج الإبلاغ.

قيمة هذا الوصف أنه يوضح الوعد قبل الأزمة. لكنه ليس سجلاً لما حدث بعد البلاغ.

ساعات العمل ليست زمناً مقاساً للاستجابة

يطلب RFC بيان العطل وما إذا كان هناك خط يعمل على مدار الساعة. وبذلك يستطيع المبلّغ تقدير ما إذا كانت المعالجة الفورية جزءاً من الخدمة المتوقعة. غير أن الإرسال، والوصول إلى النظام المعلن، والإقرار بالاستلام، وقرار الفرز أربع وقائع منفصلة.

الصفحة العامة تثبت القناة وشروط توافرها المقصودة. أما المراحل التالية فتحتاج إلى سجل نقل أو تذكرة أو إقرار أو أثر مكافئ. كما يذكر RFC أن مستوى الدعم قد يتغير تبعاً لعبء الفريق واكتمال المعلومات. لذلك لا تعني عبارة «24 ساعة» أن هذا البلاغ عولج لحظة وصوله.

البلاغ يسبق تأكيد الحادثة

يشمل الفرز في RFC 2350 تفسير البلاغات وترتيب أولويتها وربطها بالحوادث والاتجاهات، ثم المساعدة في تحديد ما إذا كانت حادثة قد وقعت فعلاً وما نطاقها. التحقق يأتي بعد الإدخال.

ويفصل إطار FIRST لخدمات CSIRT، الإصدار 2.1، بين قبول البلاغ وتحليل الحادثة وتحليل الآثار والأدلة الجنائية. فقد تكشف المراجعة الأولية حاجة إلى معلومات إضافية، أو خطأ إعداد، أو عطل جهاز، أو إنذاراً كاذباً، أو ضرورة تحويل البلاغ إلى جهة أخرى.

رقم التذكرة يثبت أن ادعاءً دخل المسار. ولا يثبت صحة الادعاء. تأكيد الحادثة يحتاج إلى الأدلة والحكم اللذين نقلا الحالة من «مبلّغ عنها» إلى «مؤكدة».

نطاق الخدمة ليس نطاق السيطرة

يفصل RFC بين الجمهور الذي يخدمه الفريق وبين سلطته. قد يكون فريق المجتمع استشارياً، وقد لا يملك فريق داخل مؤسسة حق التدخل في كل نظام يقع ضمن نطاق خدمته.

ومن ثم لا يمنح استقبال البلاغ سلطة تلقائية لعزل جهاز أو حجز وسيط أو إلزام مورّد أو تثبيت رقعة أو إعادة خدمة إلى الإنتاج. قد يقدم CSIRT المشورة بينما ينفذ مالك النظام؛ وقد ينسق مع فريق آخر من دون أن يملك قراره.

يجب ربط كل إجراء مهم بمن يملك الصلاحية، ومن نفذه، وما الذي لوحظ بعده. توصية الاحتواء ليست احتواءً. وطلب إزالة باب خلفي ليس دليلاً على زواله.

الفرز والتنسيق والحل أفعال مختلفة

يقسم RFC الاستجابة إلى فرز وتنسيق وحل. الفرز يقيّم ويتحقق. التنسيق يصنف المعلومات وفق سياسة الإفصاح ويبلغ الأطراف المعنية على أساس الحاجة إلى المعرفة. أما الحل فعادة خدمة إضافية أو اختيارية، وقد يضم المساعدة الفنية والاستئصال والمساعدة في التعافي.

ليست هذه سلسلة آلية تنتهي حتماً بالإغلاق. يمكن للفريق أن ينجز الفرز من دون إدارة النظام، وأن يرسل إخطاراً من دون تلقي تأكيد، وأن يقترح الاستئصال من دون فحص الحالة النهائية. بل ينص قسم الاعتبارات الأمنية في RFC على أن الوثيقة لا تعالج الاستجابات الفعلية لحوادث بعينها، بل الوصف المناسب للاستجابات التي تقدمها الفرق.

ويحتفظ إطار FIRST بالفصل بين القبول والتحليل والأدلة الجنائية والتخفيف والتعافي والتنسيق ودعم الأزمات. كما لا يقيّم قدرة فريق بعينه أو سعته أو نضجه أو جودته. المصطلح المشترك ليس تدقيقاً للأداء.

سياسة التنسيق لا تنسب الهجوم إلى فاعل

تشرح سياسات التعاون والإفصاح مع من يتبادل الفريق المعلومات. لكنها لا تعرّف المهاجم. قد يتطلب الإسناد آثاراً فنية وخطاً زمنياً وبنية تحتية وقرائن هوية ومعلومات استخبارية وفرضيات بديلة ومعياراً مؤسسياً أو قانونياً.

يتناول RFC 3227 جمع الأدلة وأرشفتها على نحو مستقل، بما في ذلك تحديد الأنظمة ومصادر الدليل. كما يفصل FIRST بين تحليل الحادثة والتحليل الجنائي. عرض الخدمة لا ينشئ مواد القضية.

عبارة «نستقبل البلاغات وننسق مع الآخرين» تصف واجهة. أما «نسبنا هذه الحادثة إلى الفاعل س» فتحتاج إلى استنتاج مؤرخ ومنهج ونطاق ودرجة ثقة وأدلة.

التعافي حالة يجب التحقق منها

يعرّف RFC التعافي بأنه مساعدة على إعادة الأنظمة والخدمات المتضررة إلى وضع ما قبل الحادثة. كلمة «مساعدة» لا تجعل التنفيذ أو قرار الإغلاق ملكاً حصرياً للفريق.

يبين NIST SP 800-61 Rev. 3، الصادر نهائياً في أبريل 2025، سلسلة الإثبات العملية: اختيار إجراءات التعافي وتنفيذها، فحص أصول الاستعادة، تأكيد الخدمات الأساسية والتشغيل المعتاد، مراقبة الأنظمة المستعادة، التحقق من سلامتها، إعلان نهاية التعافي وفق معايير، واستكمال الوثائق.

لا تثبت خانة في قائمة الخدمات أياً من ذلك. كما أن عودة شاشة تسجيل الدخول لا تثبت إزالة السبب الجذري أو زوال الاستمرارية الخبيثة أو سلامة البيانات أو اتساق الخدمات التابعة.

المصادر والحدود

  • RFC 2350: المصدر الرئيسي لقالب الوصف والفصل بين الجمهور والسلطة والخدمات.
  • FIRST CSIRT Services Framework 2.1: تصنيف لاحق للخدمات الممكنة، لا حكماً على فريق محدد.
  • NIST SP 800-61 Rev. 3: متطلبات تشغيلية معاصرة للاستجابة والتعافي.
  • RFC 3227: إرشاد منفصل لجمع الأدلة وحفظها.

لا يدقق هذا المقال فريقاً مسمى ولا يزعم أن خدمة معلنة لم تُنفذ. وهو يقرر فقط أن الإعلان لا يكفي لإثبات التنفيذ.