Sophos تختبر المساءلة عبر تتبع تحديثات جدار الحماية السريعة

ملخص

كشفت Sophos عن هجوم Asnarok على XG Firewall في 2020 وعالجته، بما في ذلك التحديث السريع والإرشادات للعملاء حول الأجهزة المتضررة.
من كان يملك السيطرة العملية على تعرض إدارة جدار الحماية، وإطلاق التحديث السريع الطارئ، وتجزئة الحسابات المحلية، وتدوير بيانات اعتماد العملاء، وتتبع الأجهزة، وأدلة ما بعد المعالجة، وإثبات أن جهاز الأمن كان جديرًا بالثقة بعد الاختراق؟
قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل.
الشركات الصغيرة والمتوسطة ومسؤولو جدار الحماية ومقدمو الخدمات المدارة وفرق الأمن وبائعو الأجهزة والعملاء احتاجوا إلى دليل على أن سرعة التحديث ترجمت إلى استعادة الثقة.
تبقي المقالة بيانات الشركة وسجلات الحكومة أو الهيئات التنظيمية وأبحاث الأمن والمواد القانونية وإرشادات المعايير في مسارات أدلة منفصلة حتى لا يبالغ الملف العام في تقدير ما هو معروف.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

جعلت Sophos من تتبع التحديثات السريعة لجدار الحماية اختبارًا للمساءلة حول الثقة في الأجهزة لأن الحادث المرئي هو مجرد سطح لسؤال مؤسسي أعمق. كشفت Sophos عن هجوم Asnarok على XG Firewall في 2020 وعالجته، بما في ذلك التحديث السريع وإرشادات العملاء حول الأجهزة المتضررة. أطلق هذا الزناد نمطًا عامًا مألوفًا: كان على المؤسسة نشر لغة بسرعة، وكان على الفرق الفنية العمل من أدلة غير كاملة، وكان على المتأثرين اتخاذ قرار بشأن ما يجب فعله، وكان على الغرباء فصل الثقة عن الإثبات. لم يكن الخطر مجرد الاختراق الأصلي أو الانقطاع أو التعرض. بل كان احتمال أن يتلقى كل جمهور رواية مختلفة عن السيطرة العملية.

بالنسبة لـ Sophos Technology GmbH، تدور القضية حول تعرض إدارة جدار الحماية، والتحديث السريع الطارئ، وتجزئة الحسابات المحلية، وإرشادات تدوير بيانات الاعتماد، وتتبع الأجهزة، وأدلة ما بعد المعالجة، وأدلة إجراءات العملاء. هذه أسماء تشغيلية، لكنها أيضًا أسماء حوكمة. تسمي من كان بإمكانه منع الحدث، ومن كان بإمكانه الحد من نطاقه، ومن كان بإمكانه جعل الحدث أسهل للاكتشاف، ومن كان بإمكانه جعل الإصلاح مرئيًا لأولئك الذين اعتمدوا عليه. لا يكتفي سجل المساءلة الناضج ببيان أن التحقيق اكتمل أو أن الأنظمة استُعيدت. بل يسأل عن الأدلة التي جعلت هذا البيان صحيحًا، وما هي الأدلة التي بقيت غير مكتملة، ومن كان عليه أن يتصرف قبل توفر تلك الأدلة.

لذا فإن السؤال المركزي مباشر: من كان يملك السيطرة العملية على تعرض إدارة جدار الحماية، وإطلاق التحديث السريع الطارئ، وتجزئة الحسابات المحلية، وتدوير بيانات اعتماد العملاء، وتتبع الأجهزة، وأدلة ما بعد المعالجة، وإثبات أن جهاز الأمن كان جديرًا بالثقة بعد الاختراق؟ يجب ألا يتطلب الجواب العام من القراء استنتاج الضوابط الخاصة من لغة الحوادث المصقولة. بل يجب أن يحدد نقطة السيطرة، ومصدر الدليل، والجمهور المتأثر، وعدم اليقين المتبقي. هذا الهيكل يحمي المؤسسة وكذلك الجمهور. يوقف التكهنات من ملء الفجوات التي كان يمكن وصفها بصدق، ويمنع معالجة التأكيدات الواسعة كدليل على إصلاح محدد.

واجب الإثبات الأول هو السيطرة، وليس اللوم

واجب الإثبات الأول هو السيطرة، وليس اللوم، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

في هذه الحالة، يشمل سطح السيطرة هذا تعرض إدارة جدار الحماية، والتحديث السريع الطارئ، وتجزئة الحسابات المحلية، وإرشادات تدوير بيانات الاعتماد، وتتبع الأجهزة، وإثبات ما بعد المعالجة، وأدلة إجراءات العملاء. هذه العناصر ليست قائمة زخرفية. إنها الأماكن التي تصبح فيها المساءلة إما قابلة للملاحظة أو تذوب في الذاكرة المؤسسية.

السجل العام حول ثغرة اليوم الصفري لجدار حماية Sophos XG Asnarok، والتحديث السريع الطارئ، وإرشادات تدوير بيانات الاعتماد، وتتبع الأجهزة، وسجل مساءلة الثقة في جدار الحماية يظهر أيضًا لماذا يمكن أن يُفهم نفس الحدث بشكل خاطئ من قبل جماهير مختلفة. يريد العميل معرفة ما إذا كان يحتاج إلى تدوير بيانات الاعتماد، أو إعادة بناء نظام، أو تحذير المستخدمين، أو الاتصال بجهة تنظيمية، أو تغيير تكوين، أو قبول عدم يقين متبقي. يريد مجلس الإدارة معرفة ما إذا كانت الإدارة لديها أدلة كافية لاتخاذ هذه الخيارات عندما كان الحدث جاريًا. يريد المنظم تواريخ وفئات وسكان متأثرين وواجبات. يريد البائع تمييز سيطرته على منتجه أو خدمته عن تكوين العميل وتبعيات الطرف الثالث.

لا شيء من هذه الأسئلة غير شرعي. تظهر مشكلة المساءلة عندما يتلقى كل جمهور جزءًا مختلفًا من السجل ولا يمكن لأحد رؤية كيف تتناسب الأجزاء معًا.

حد مصدر واحد لهذا القسم هو source: sophos.com. إنه مفيد لملف الأدلة العام، لكنه لا يستطيع الإجابة على كل سؤال ملكية داخلي. الهدف ليس تضخيم المصدر. الهدف هو توضيح ما يمكنه إثباته، وما يمكنه فقط وضعه في سياقه، وما يبقى خارج الملف العام. هذا الانضباط مهم بشكل خاص عندما تستخدم النسخة العامة عبارات مثل حادث، اختراق، تعرض، متأثر، مستعاد، آمن، مصحح، أو معالج. يمكن أن تكون هذه الكلمات دقيقة ومع ذلك غامضة جدًا لدعم قرار ما لم تكن مرتبطة بتواريخ وأنظمة وأشخاص وجماهير متأثرة واستثناءات متبقية.

سجل أقوى سيربط إذن الملاك المسجلين، والأدلة المؤرخة، واللغة الموجهة للعملاء، والسجلات الفنية. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

تتعامل هذه المقالة مع بيانات الشركة كدليل على ما قالته الشركة وأفادت به، وليس كإثبات مستقل لكل حقيقة جنائية خاصة. حد مصدر ثانٍ هو source: support.sophos.com. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

ملف الأدلة يجب أن يطابق سطح التشغيل

ملف الأدلة يجب أن يطابق سطح التشغيل، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

حد مصدر واحد لهذا القسم هو source: nvd.nist.gov. إنه مفيد لملف الأدلة العام، لكنه لا يستطيع الإجابة على كل سؤال ملكية داخلي. الهدف ليس تضخيم المصدر. الهدف هو توضيح ما يمكنه إثباته، وما يمكنه فقط وضعه في سياقه، وما يبقى خارج الملف العام. هذا الانضباط مهم بشكل خاص عندما تستخدم النسخة العامة عبارات مثل حادث، اختراق، تعرض، متأثر، مستعاد، آمن، مصحح، أو معالج. يمكن أن تكون هذه الكلمات دقيقة ومع ذلك غامضة جدًا لدعم قرار ما لم تكن مرتبطة بتواريخ وأنظمة وأشخاص وجماهير متأثرة واستثناءات متبقية.

سجل أقوى سيربط إذن الأدلة المؤرخة، واللغة الموجهة للعملاء، والسجلات الفنية، ورؤية مجلس الإدارة. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

تُستخدم سجلات الحكومة والهيئات التنظيمية للواجبات العامة والإشعارات وفئات السيطرة، بينما لا تُعامل كإعادة بناء تقنية ضحية بضحية. حد مصدر ثانٍ هو source: cyber.gc.ca. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

إجراءات العميل تكون عادلة فقط عندما تكون أدلة المزود قابلة للاستخدام

إجراءات العميل تكون عادلة فقط عندما تكون أدلة المزود قابلة للاستخدام، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

حد مصدر واحد لهذا القسم هو source: tenable.com. إنه مفيد لملف الأدلة العام، لكنه لا يستطيع الإجابة على كل سؤال ملكية داخلي. الهدف ليس تضخيم المصدر. الهدف هو توضيح ما يمكنه إثباته، وما يمكنه فقط وضعه في سياقه، وما يبقى خارج الملف العام. هذا الانضباط مهم بشكل خاص عندما تستخدم النسخة العامة عبارات مثل حادث، اختراق، تعرض، متأثر، مستعاد، آمن، مصحح، أو معالج. يمكن أن تكون هذه الكلمات دقيقة ومع ذلك غامضة جدًا لدعم قرار ما لم تكن مرتبطة بتواريخ وأنظمة وأشخاص وجماهير متأثرة واستثناءات متبقية.

سجل أقوى سيربط إذن اللغة الموجهة للعملاء، والسجلات الفنية، ورؤية مجلس الإدارة، ومعالم المعالجة. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

يستخدم تحليل بائعي الأمن للتقنيات المرصودة وإرشادات المدافعين والتسلسل الزمني، لكن لا تحول المقالة لغة الحملة الواسعة إلى ادعاء حول كل عميل أو منشأة. حد مصدر ثانٍ هو source: rapid7.com. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

المراجعة الموثوقة تفصل بين ما هو معروف وما هو مستنتج

المراجعة الموثوقة تفصل بين ما هو معروف وما هو مستنتج، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

سجل أقوى سيربط إذن السجلات الفنية، ورؤية مجلس الإدارة، ومعالم المعالجة، ومعالجة الاستثناءات. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

توثيق المنتج الحالي مفيد لتصميم السيطرة الحالي ومفردات القارئ، وليس كدليل على أن الميزة نُشرت بنفس الطريقة خلال نافذة الحادث. حد مصدر ثانٍ هو source: cisa.gov. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

الإصلاح يجب أن يكون قابلاً للقياس بعد الإعلان

الإصلاح يجب أن يكون قابلاً للقياس بعد الإعلان، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

حد مصدر واحد لهذا القسم هو source: cisa.gov. إنه مفيد لملف الأدلة العام، لكنه لا يستطيع الإجابة على كل سؤال ملكية داخلي. الهدف ليس تضخيم المصدر. الهدف هو توضيح ما يمكنه إثباته، وما يمكنه فقط وضعه في سياقه، وما يبقى خارج الملف العام. هذا الانضباط مهم بشكل خاص عندما تستخدم النسخة العامة عبارات مثل حادث، اختراق، تعرض، متأثر، مستعاد، آمن، مصحح، أو معالج. يمكن أن تكون هذه الكلمات دقيقة ومع ذلك غامضة جدًا لدعم قرار ما لم تكن مرتبطة بتواريخ وأنظمة وأشخاص وجماهير متأثرة واستثناءات متبقية.

سجل أقوى سيربط إذن رؤية مجلس الإدارة، ومعالم المعالجة، ومعالجة الاستثناءات، والاختبار بعد الحادث. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

حيث تظهر الإيداعات القانونية أو الإجراءات العامة، تُعامل كسجلات إجرائية أو إفصاحية ما لم يكن الحكم النهائي صريحًا في المصدر المُشار إليه. حد مصدر ثانٍ هو source: attack.mitre.org. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

التدقيق التالي يجب أن يحافظ على عدم اليقين بدلاً من تنعيمه

التدقيق التالي يجب أن يحافظ على عدم اليقين بدلاً من تنعيمه، وهذا يهم Sophos Technology GmbH لأن قضية المساءلة هي أن جهاز الأمن موثوق به للدفاع عن الأنظمة الأخرى، لذا يجب أن يقترن التحديث السريع الطارئ بأدلة حول حالة الاختراق وبيانات الاعتماد والتتبع المرئي للعميل. تبدأ المراجعة الضعيفة بأعلى تصنيف حادث ثم تسأل من يمكن إلقاء اللوم عليه. تبدأ المراجعة المفيدة في وقت أبكر. تسأل من كان يملك سطح السيطرة العملي قبل أن يصبح الحدث مرئيًا، ومن كان بإمكانه رؤية الإشارة الضعيفة بينما كانت لا تزال قابلة للتنفيذ، ومن كانت لديه السلطة لتغيير الحالة التي جعلت الإشارة مهمة.

حد مصدر واحد لهذا القسم هو source: attack.mitre.org. إنه مفيد لملف الأدلة العام، لكنه لا يستطيع الإجابة على كل سؤال ملكية داخلي. الهدف ليس تضخيم المصدر. الهدف هو توضيح ما يمكنه إثباته، وما يمكنه فقط وضعه في سياقه، وما يبقى خارج الملف العام. هذا الانضباط مهم بشكل خاص عندما تستخدم النسخة العامة عبارات مثل حادث، اختراق، تعرض، متأثر، مستعاد، آمن، مصحح، أو معالج. يمكن أن تكون هذه الكلمات دقيقة ومع ذلك غامضة جدًا لدعم قرار ما لم تكن مرتبطة بتواريخ وأنظمة وأشخاص وجماهير متأثرة واستثناءات متبقية.

سجل أقوى سيربط إذن معالم المعالجة، ومعالجة الاستثناءات، والاختبار بعد الحادث، وتخطيط الجمهور المتأثر. سيظهر عندما انتقلت المؤسسة من الشك إلى التأكيد، وعندما حذرت الأطراف المتأثرة، وعندما غيرت السيطرة ذات الصلة، وعندما تمكنت من إثبات أن التغيير وصل إلى البيئة المتأثرة. سيحافظ أيضًا على الأدلة المضادة. إذا قال البائع إن محتوى العميل لم يتأثر، يجب أن تشرح المراجعة الدليل على هذا الحد. إذا قالت الشركة إن فقط حقول معينة كانت متورطة، يجب أن تشرح المراجعة كيف تم تحديد هذا النطاق. إذا قال المزود إن الأسطول المستضاف تم تصحيحه، يجب أن تسأل المراجعة كيف يمكن للعملاء تأكيد تعرضهم وواجباتهم المتبقية.

تحتفظ المقالة بالأسئلة غير المحلولة لأن الأسئلة غير المحلولة جزء من سجل المساءلة وليس عيبًا كتابيًا يجب إخفاؤه. حد مصدر ثانٍ هو source: cisa.gov. تقرأ المصادر معًا تدعم نمطًا مسؤولًا من المراجعة: ليس حكمًا، ولا ضمانًا تسويقيًا، ولا إعادة بناء جنائية لا يسمح بها السجل العام، بل خريطة لما يمكن للقارئ معرفته بمسؤولية. لهذا تعود هذه المقالة باستمرار إلى السيطرة العملية. المساءلة ليست نفس العلم المطلق. إنها الالتزام بذكر أي دليل غير أي قرار، ومن كان لديه القوة لتغيير السيطرة ذات الصلة، ومن تحمل التكلفة بينما كانت المؤسسة لا تزال تجمع الأدلة.

كيف ستبدو الأدلة الأفضل

تصميم أدلة عامة أقوى لـ Sophos Technology GmbH سيبقي ثلاثة ملفات متوائمة. الملف الأول سيكون سجل القرار: من غير سيطرة، ومن وافق على بيان عام، ومن قبل استثناءًا، ومن تلقى التحذير. الثاني سيكون ملف الإثبات التقني: الطوابع الزمنية، والأنظمة المتأثرة، والهويات ذات الصلة، وفئات البيانات المكشوفة، وفحوصات الاسترداد، والاختبارات التي أظهرت ما إذا كان الإصلاح قد وصل إلى البيئة التي يعتمد عليها القراء فعليًا. الثالث سيكون ملف القارئ: سرد بسيط لما يجب على المتأثرين فعله، وما فعلته المؤسسة بالفعل من أجلهم، وما لا يمكنها إثباته بعد، ومتى سيضيق التحديث التالي نطاق عدم اليقين.

هذا التصميم مهم لأن المساءلة تتحلل عندما تتباعد هذه الملفات. يمكن أن يترك الاستشارة الدقيقة تقنيًا العملاء غير قادرين على التصرف. يمكن أن يحذف الإشعار القانوني الدقيق الأدلة التشغيلية التي تحتاجها فرق الأمن. يمكن أن يخفي بيان الاستعادة الواثق الحلول البديلة اليدوية التي لم تتم تسويتها أبدًا. يجب أن يسأل معيار المراجعة إذن ما إذا كان السجل العام يربط السيطرة والإثبات والنتيجة في نفس التسلسل الزمني.

بالنسبة لهذه المقالة، الإثبات المطلوب عملي وليس احتفاليًا: من كان يملك السيطرة العملية على تعرض إدارة جدار الحماية، وإطلاق التحديث السريع الطارئ، وتجزئة الحسابات المحلية، وتدوير بيانات اعتماد العملاء، وتتبع الأجهزة، وأدلة ما بعد المعالجة، وإثبات أن جهاز الأمن كان جديرًا بالثقة بعد الاختراق؟

ملف أدلة القارئ

تستخدم المقالة المصادر العامة التالية كملف قراءة لثغرة اليوم الصفري لجدار حماية Sophos XG Asnarok، والتحديث السريع الطارئ، وإرشادات تدوير بيانات الاعتماد، وتتبع الأجهزة، وسجل مساءلة الثقة في جدار الحماية. يُعامل كل مصدر بحدود: تثبت بيانات الشركة ما قالته الشركة أو أفادت به، تثبت سجلات الحكومة والهيئات التنظيمية الإجراء الرسمي أو الواجب، تثبت المنشورات التقنية الآليات المرصودة ضمن نطاقها، تثبت السجلات القانونية الموقف الإجرائي ما لم يكن الحكم النهائي صريحًا، وتوفر وثائق المعايير معايير سيطرة وليست نتائج بأثر رجعي.

1. مصدر عام مستخدم لملف الأدلة:https://www.sophos.com/en-us/blog/asnarok
1. مصدر عام مستخدم لملف الأدلة:https://support.sophos.com/support/s/article/KBA-000007319?language=en_US
1. مصدر عام مستخدم لملف الأدلة:https://nvd.nist.gov/vuln/detail/CVE-2020-12271
1. مصدر عام مستخدم لملف الأدلة:https://www.cyber.gc.ca/en/alerts/sophos-xg-firewall-vulnerability-cve-2020-12271
1. مصدر عام مستخدم لملف الأدلة:https://www.tenable.com/blog/cve-2020-12271-zero-day-sql-injection-vulnerability-in-sophos-xg-firewall-exploited-in-the-wild
1. مصدر عام مستخدم لملف الأدلة:https://www.rapid7.com/blog/post/ra-cve-2020-12271-sophos-xg-firewall-pre-auth-sql-injection-vulnerability-analysis/
1. مصدر عام مستخدم لملف الأدلة:https://www.sophos.com/en-us/security-advisories
1. مصدر عام مستخدم لملف الأدلة:https://www.cisa.gov/resources-tools/resources/secure-remote-access
1. مصدر عام مستخدم لملف الأدلة:https://www.cisa.gov/sites/default/files/publications/Capacity_Enhancement_Guide-Securing_Network_Infrastructure_Devices_508.pdf
1. مصدر عام مستخدم لملف الأدلة:https://attack.mitre.org/techniques/T1078/
1. مصدر عام مستخدم لملف الأدلة:https://attack.mitre.org/techniques/T1059/008/
1. مصدر عام مستخدم لملف الأدلة:https://www.cisa.gov/known-exploited-vulnerabilities-catalog
1. مصدر عام مستخدم لملف الأدلة:https://www.cisa.gov/securebydesign
1. مصدر عام مستخدم لملف الأدلة:https://www.cisecurity.org/controls
1. مصدر عام مستخدم لملف الأدلة:https://www.nist.gov/cyberframework
1. مصدر عام مستخدم لملف الأدلة:https://attack.mitre.org/techniques/T1190/

ملف الأدلة هذا أوسع عمدًا من إشعار حادث واحد لأن ثغرة اليوم الصفري لجدار حماية Sophos XG Asnarok، والتحديث السريع الطارئ، وإرشادات تدوير بيانات الاعتماد، وتتبع الأجهزة، وسجل مساءلة الثقة في جدار الحماية أثرت على أكثر من جمهور واحد. يجب أن يدعم السجل العام الأشخاص الذين يحتاجون إلى إجراء عملي، والمديرين الذين يحتاجون إلى خطة إصلاح، والمنظمين الذين يحتاجون إلى نطاق، والقراء الذين يحتاجون إلى معرفة أي الادعاءات لا تزال غير مؤكدة.

أسئلة مراجعة مجلس الإدارة

يجب أن يسمي ملف المراجعة المالك العملي لكل قرار، والتاريخ الذي اتخذ فيه القرار، والأدلة المستخدمة، والجمهور الذي اعتمد عليه. بدون هذا الهيكل، يمكن إعادة سرد نفس الحادث لاحقًا كعطل تقني، أو نزاع قانوني، أو مشكلة خدمة عملاء، أو مشكلة مالية بدون أساس ثابت لتحديد أي رواية كاملة.

يحافظ سجل المساءلة المفيد أيضًا على عدم اليقين. يجب أن يذكر ما هو معروف من بيانات الشركة، وما هو معروف من سجلات الحكومة أو المحكمة، وما هو معروف من المستجيبين الخارجيين للحوادث، وما يبقى مستنتجًا. هذا الفصل يحمي القراء من الدقة الزائفة ويحمي المؤسسة من معالجة الثقة المبكرة كدليل.

السيطرة المهمة ليست استجابة بطولية بعد وقوع الحدث. إنها القدرة على إظهار، بينما الحدث لا يزال جاريًا، أي دليل سيغير قرارًا. إذا كان إشعار العميل، أو تقرير مجلس الإدارة، أو مطالبة التأمين، أو تحديث المنظم، أو رسالة الخدمة العامة ستكون مختلفة بعد مراجعة سجل واحد إضافي، يجب أن يكون هذا الاعتماد مرئيًا في السجل.

بالنسبة لهذه الحالة المحددة، يجب أن تسأل مراجعة مجلس الإدارة عما إذا كان من كان يملك السيطرة العملية على تعرض إدارة جدار الحماية، وإطلاق التحديث السريع الطارئ، وتجزئة الحسابات المحلية، وتدوير بيانات اعتماد العملاء، وتتبع الأجهزة، وأدلة ما بعد المعالجة، وإثبات أن جهاز الأمن كان جديرًا بالثقة بعد الاختراق؟ يجب ألا يكون الجواب سردًا وحده. يجب أن يتضمن أدلة مؤرخة، وأسماء مالكين، وجماهير متأثرة، والتزامات موجهة للعملاء، وقائمة بالحقائق التي لا تزال المؤسسة غير قادرة على إثباتها عند إعداد السجل العام.