فريق تقنية المعلومات لديك لا يستطيع مراقبة شبكتك على مدار الساعة. إليك ما يفلت.

أغلى لحظة في حادثة سيبرانية ليست حين يقتحم المهاجم. إنها الامتداد الصامت بين أول فعل خبيث وأول إنسان ينظر إليه فعلاً. وعبر الاختراقات التي استجبنا لها في المملكة، نادراً ما تُقاس تلك النافذة بالدقائق. إنها ساعات. أياماً غالباً. وأحياناً أشهراً. وإليك ما يوجع — في كل مرة تقريباً، التنبيه الذي كان ينبغي أن يلتقطها كان قد أُطلق بالفعل في مكان ما، في وحدة تحكم لا يراقبها أحد.

تشتري المؤسسات السعودية أدوات أمنية أسرع من أي وقت. EDR وNGFW وSIEM وحماية الهوية وأمن البريد وحماية أحمال العمل السحابية — لم يكن الرصيف أقدر قط. وما لم يواكب هو الجانب البشري: من يقرأ التنبيهات عند الثانية فجراً يوم الجمعة في عطلة طويلة، وهي بالضبط اللحظة التي اختار المهاجم أن يعمل فيها.

هذه المقالة عن تلك الفجوة. ما الذي يفلت حين تملك الأدوات لكن بلا مراقبة متواصلة. ولماذا يفشل بناء مركز عمليات داخلي على مدار الساعة دائماً تقريباً تحت حجم معين. وكيف يبدو عمل مركز عمليات مُدار موثوق في السوق السعودي.

ماذا يقدّم "لدينا SIEM" بلا مراقبة على مدار الساعة

الـ SIEM يبتلع السجلات. ويربط الأحداث. ويولّد التنبيهات. ولا شيء من ذلك، بمفرده، يمنع اختراقاً.

ما يمنع الاختراق هو محلل مدرَّب يقرأ تنبيهاً عالي الدقة خلال دقائق من إطلاقه، ويؤكد أنه نشاط خصم حقيقي لا ضجيج حميد، ويصعّده عبر عملية استجابة محددة، ويحتويه قبل أن ينتشر التحرك الجانبي. تلك وظيفة بشرية. التقنية تنتج الإشارة؛ والبشر يقررون معناها. اشترِ الإشارة بلا مفسّر وتكون قد بنيت كاشف دخان باهظ الثمن لا يسمعه أحد.

والمهاجم يفهم هذا تماماً. جهات التهديد التي تستهدف المؤسسات السعودية تجدول عملياتها عمداً في عطل نهاية الأسبوع والإجازات وساعات العمل الأولى — لأن الوقت غير المراقَب هو حيث تكسب مكوثها. وهذا ليس تخميناً؛ إنه نمط ثابت في الحوادث التي نستجيب لها. التوقيت اختيار، واختيار مُتّخذ ضد تقويم توظيفك.

ما الذي يفلت

هذه النقاط العمياء نجدها في كل مراجعة بعد حادثة تقريباً.

نشاط العيش على الأرض الذي لا يستثير مكافحة الفيروسات أبداً. PowerShell وWMI والمهام المجدولة والملفات الثنائية الموقّعة تشغّل نصوصاً غير موقّعة. لا شيء هنا برمجية خبيثة بالمعنى التقليدي — إنها أدوات إدارية شرعية تُستخدم بنية خبيثة. الـ EDR يولّد كل القياسات التي تحتاجها، لكن لا أحد يصطاد فيها، ولا توقيع يُطلَق لأنه لا شيء يطابقه.

هجمات الهوية التي تبدو شرعية تقريباً. تسجيلات دخول باستحالة سفر، وأنماط إرهاق المصادقة متعددة العوامل، وإساءة استخدام منح OAuth في Microsoft 365، وتجاوزات الوصول المشروط عبر المصادقة القديمة. مزوّد الهوية يسجّل كل ذرة منها. وبلا مراقبة نشطة، لا أحد يربط النقاط — والهوية صارت الآن سطح الهجوم الأساسي لمعظم المؤسسات.

التحرك الجانبي البطيء. نقطة نهاية واحدة مخترقة تصل بهدوء إلى عشرة مضيفين داخليين عبر ست ساعات لن تُسجَّل كعالية الخطورة في معظم مجموعات القواعد. كل اتصال منفرد يبدو غير لافت. مجتمعةً، إنها التوقيع النموذجي لاستطلاع ما بعد الاستغلال — لكن فقط إن كان أحد ينظر إلى النمط بدل الأحداث المفردة.

أخطاء تهيئة سحابية تصير حوادث. حاوية تخزين عامة جديدة، وتسجيل تطبيق بصلاحيات كاسحة، وقاعدة إعادة توجيه بريد إلى عنوان خارجي. السجلات السحابية الأصيلة تلتقط كل ذلك. ومعظم الفرق الداخلية لا تفتحها أبداً، لأن التسجيل السحابي يقع خارج نطاق المراقبة الشبكية التقليدية.

شذوذات التقنية التشغيلية وإنترنت الأشياء. شبكة كاميرات منشأة تبدأ فجأة اتصالات صادرة إلى مزوّد استضافة. نظام تحكّم صناعي يتحدث خارج خطه الأساسي. هذه الإشارات تقيم هناك في NetFlow وسجلات الجدار، وتُفوَّت دائماً تقريباً — جزئياً لأن لا أحد يملك مراقبة التقنية التشغيلية، وجزئياً لأن لا أحد حدّد ما هو الخط الأساسي أصلاً.

المكوث أثناء التعافي من الكوارث. بيئة نسخ احتياطي مخترقة بهدوء، فحين تُستعاد الإنتاج من النسخ بعد فدية، يُستعاد المهاجم معها. وهذه قاسية بشكل خاص: تفعل المؤسسة كل شيء صحيحاً عند التعافي وتُصاب مجدداً على أي حال. والتقاطها يعني مراقبة بنية النسخ الاحتياطي كبيئة من الدرجة الأولى، وهو ما لا يفعله أي فريق داخلي تقريباً.

لا شيء من هذه غريب. كلها حِرَفية خصم روتينية، وكلها قابلة للفوات بلا قدرة على مدار الساعة يشغّلها أناس يصطادون لا يفرزون فحسب.

لماذا يفشل البناء الداخلي عادةً للسوق المتوسط السعودي

الاقتصاديات لا ترحم. مركز عمليات حقيقي على مدار الساعة — بلا نقاط عمياء عند تسليم المناوبة — يحتاج على الأقل ثمانية إلى اثني عشر محللاً على مناوبة تتبع الشمس، إضافة إلى مدير، ووظيفة صيد تهديدات وهندسة كشف، وتصعيد من المستوى الثالث. ذلك اثنا عشر إلى خمسة عشر دوراً بدوام كامل قبل أن تنفق ريالاً على الأدوات.

والعدد ليس سوى البداية.

ندرة الكفاءات في المملكة حقيقية. محللو مراكز العمليات ذوو الخبرة مكلفون ويُخطَفون من قبل بنوك وجهات حكومية أكبر بأسرع مما تدرّبهم. فتنتهي إلى تمويل خط تدريب لمنافسيك.

هندسة الكشف تراكم ديناً. قواعد SIEM تحتاج ضبطاً مستمراً مع ظهور أحمال وتطبيقات وتقنيات جديدة. والفرق التي تدير التشغيل اليومي لا تجد له وقتاً، فيتقادم محتوى الكشف وتصير التنبيهات أقل فائدة تدريجياً.

انضباط العملية ثقيل. تغطية الإجازات، ومناوبات الاستدعاء، ومصفوفات التصعيد، وصيانة أدلة التشغيل، والمراجعات بعد الحوادث — السقالة التي تجعل المركز يعمل فعلاً كبيرة وسهلة نقص الاستثمار فيها. وهي أيضاً غير مرئية حتى تفشل.

تشتت الأدوات كلفة مستمرة. خياطة SIEM وSOAR ومعلومات التهديدات وEDR وأدوات الهوية في تجربة محلل متماسكة ليست مشروع تكامل لمرة واحدة. إنه عمل مستمر يزاحم كل شيء آخر.

بالنسبة للمؤسسات فوق نحو 10,000 موظف بميزانيات أمن قوية، قد يستقيم البناء الداخلي. أما للسوق المتوسط السعودي — 200 إلى 5,000 موظف — فنسبة الكلفة إلى القدرة في البناء الداخلي أسوأ بنيوياً من الشراكة، في كل حالة نمذجناها.

ما يقدّمه مركز عمليات مُدار موثوق

السوق مزدحم بـ"مزوّدي خدمات أمن مُدارة". أما مركز العمليات المُدار الحقيقي — الكشف والاستجابة المُدارة بالمعنى الحديث — فلا يشبه بتاتاً خدمة تجميع سجلات مكسوّة بلغة أمنية.

ما يفصل الاثنين يبدأ بعمليات من داخل المملكة: محللون في المملكة، وقيادة تعامل ناطقة بالعربية، وإقامة بيانات داخل المملكة حيث تشترطها اللوائح. [1] وبعد ذلك، ابحث عن قياسات تشغيلية منشورة لا ادعاءات تسويقية، والتزامات استجابة تعاقدية تحدّد الاحتواء لا الإبلاغ، وصيداً نشطاً للتهديدات لا فرز تنبيهات محضاً، وهندسة كشف تبقي المحتوى حديثاً مع تغيّر بيئتك.

نشغّل مركز عمليات أمنية على مدار الساعة من داخل المملكة مبنياً على ثلاثة التزامات: تغطية متواصلة بلا فجوات عند تسليم المناوبة، وقياسات تشغيلية شفافة تُنشَر شهرياً، واستجابة للحوادث تحتوي لا تكتفي بالإبلاغ. وذلك التمييز الأخير هو اللعبة كلها — كثير من المزوّدين سيخبرونك أن شيئاً وقع. وأقل بكثير سيوقفونه.

أسئلة شائعة

لدينا SIEM — أليس ذلك كافياً؟ لا. الـ SIEM ينتج إشارة؛ لا يفسّرها ولا يتصرف حيالها. وبلا محللين يقرؤون التنبيهات ويستجيبون لها على مدار الساعة، الـ SIEM أرشيف سجلات باهظ يوثّق اختراقك بالتفصيل بعد وقوعه.

هل يمكننا تشغيل مركز عمليات في ساعات العمل فقط؟ تستطيع، لكن المهاجمين يعملون تحديداً خارج تلك الساعات. المراقبة في ساعات العمل تغطي النافذة الأقل احتمالاً لتعرّضك للهجوم وتترك البقية مفتوحة.

أي حجم مؤسسة ينبغي أن يبني داخلياً؟ عريضاً، فوق 10,000 موظف بميزانية أمن كبيرة. وتحت ذلك، نادراً ما تبرّر اقتصاديات اثني عشر إلى خمسة عشر دوراً إضافة إلى الأدوات نفسها مقابل الشراكة.

ما الفرق بين المراقبة وMDR؟ المراقبة تراقب وتنبّه. أما MDR فيحقّق ويصطاد ويحتوي. والكلمة في العقد أقل أهمية مما يلتزم المزوّد بفعله فعلاً حين يُطلَق شيء.

أين يضعك هذا

الخيار الحقيقي نادراً ما يكون "مركز عمليات داخلي مقابل مُدار" تجريدياً. إنه أبسط وأكثر إزعاجاً من ذلك: هل لديك عيون خبيرة متواصلة على بيئتك، أم لديك أدوات تُطلق تنبيهات في فراغ؟ السؤال الأول ليس أي مزوّد. بل هل أحد يراقب أصلاً عند الثانية فجراً في عطلة طويلة. فإن كانت الإجابة لا، فبقية رصيفك الأمني تفعل أقل مما تظن.

سنقضي 45 دقيقة في رسم خارطة تغطيتك الرقابية الحالية مقابل النقاط العمياء أعلاه ونمنحك قراءة صادقة عن أين أنت مكشوف — سواء انتهى بك الأمر إلى العمل معنا أم لا.

احجز مكالمة استكشاف مركز العمليات. اتصل على 920-020-750، أو راسلنا على [email protected]، أو زر itbuilders.com.sa.