ندوة عبر الإنترنت حول معالجة النقاط العمياء للهوية في مراكز العمليات الأمنية

تغرق فرق الأمن في التنبيهات والسجلات وأدوات المراقبة. لكن عند وقوع هجوم، غالباً ما يستغرق سؤال محوري وقتاً طويلاً للإجابة: من أو ما الذي يقف وراء هذا النشاط، وما الذي يمكنه الوصول إليه؟

قد يعود تسجيل دخول مشبوه إلى موظف، بينما قد يصدر استدعاء API غير معتاد عن حساب آلة. كما قد يكون وكيل ذكاء اصطناعي يصل إلى أنظمة حساسة بصلاحيات لم تُراجع مؤخراً.

قد يكشف نظام إدارة المعلومات والأحداث الأمنية (SIEM) أو أداة كشف الاستجابة على نقاط النهاية (EDR) النشاط، لكن غياب المعرفة بالهوية وراءه وصلاحياتها والأنظمة التي يمكنها الوصول إليها يترك مركز العمليات الأمنية (SOC) بصورة غير مكتملة.

هذا السياق المفقود قد يحوّل حادثة يمكن السيطرة عليها إلى مشكلة أكبر بكثير.

في ندوة عبر الإنترنت بعنوان Fuel the SOC with Identity Context: Securing Humans, Machines, and AI Agents، سيناقش خبراء أمن كيف يمكن لسياق الهوية في الوقت الفعلي مساعدة مراكز العمليات الأمنية على التحقيق في التهديدات بكفاءة أكبر، وفهم المخاطر المحتملة، والاستجابة بفعالية.

النقطة العمياء بين الهوية والعمليات الأمنية

يمثل الانفصال بين فرق إدارة الهوية والوصول (IAM) وفرق العمليات الأمنية مشكلة كبيرة. ففرق IAM تعرف من لديه وصول إلى ماذا، بينما تراقب فرق العمليات الأمنية الأنشطة المشبوهة وتستجيب للتهديدات.

غالباً ما تستخدم هذه الفرق أدوات وبيانات وأولويات مختلفة. ونتيجة لذلك، عند تفعيل تنبيه، قد يفهم محللو SOC ما حدث لكن يجدون صعوبة في استيعاب تداعياته.

على سبيل المثال، عند اختراق حساب خدمة، قد يكتشف المحللون نشاطاً مشبوهاً لكن تظل أسئلة دون إجابة:

• ما التطبيقات والأنظمة التي يمكن لهذا الحساب الوصول إليها؟
• هل يمكن لمهاجم استخدامه للتغلغل أعمق في الشبكة؟
• ما الأضرار المحتملة التي قد يسببها؟
• هل يمكن تعطيل الحساب دون تعطيل عمليات الأعمال الحيوية؟

هذه الإجابات حاسمة. فحظر الهوية الخاطئة قد يعطل العمليات، بينما تأخير الإجراء قد يمنح المهاجم فرصاً أكبر لاستغلال الثغرات.

هويات أكثر، وصول أكثر، مخاطر أكثر

ركزت المراقبة الأمنية التقليدية أساساً على المستخدمين والأجهزة ونشاط الشبكة. اليوم، تعتمد المؤسسات أيضاً على حسابات الخدمة ومفاتيح API وأحمال العمل الآلية ووكلاء الذكاء الاصطناعي الذين يمكنهم العمل دون تدخل بشري مباشر.

غالباً ما تمتلك هذه الهويات وصولاً إلى أنظمة وبيانات حساسة. وإذا اختُرق أحدها، فإن مجرد اكتشاف الإجراء المشبوه ليس سوى البداية. يجب على فرق الأمن أيضاً فهم صلاحياته واتصالاته وتأثيره المحتمل.

هنا يصبح سياق الهوية ضرورياً للتحقيقات. فبدلاً من التعامل مع كل تنبيه كحادثة منعزلة، يمكن للمحللين ربط النشاط المشبوه بالهوية المسؤولة، وتقييم مدى تقدم المهاجم، واختيار استجابة تقلل الضرر دون تعطيل العمليات بلا داعٍ.

كيف تبدو استجابة SOC الأفضل فعلياً؟

الهدف ليس إنشاء لوحات معلومات إضافية أو توليد مزيد من التنبيهات. بل تزويد المحللين بالمعلومات اللازمة أثناء حادثة تتكشف.

يتضمن ذلك دمج استخبارات الهوية مع تنبيهات SIEM وEDR الحالية، مما يمكّن الفرق من:

• التحقيق بشكل أسرع: تحديد الهوية البشرية أو الآلية أو هوية الذكاء الاصطناعي المعنية.
• رؤية المخاطر الحقيقية: تحديد الصلاحيات والأنظمة المتصلة والحركة الجانبية المحتملة.
• احتواء التهديدات بأمان: الاستجابة لبيانات الاعتماد المخترقة دون تعطيل الأتمتة الحيوية بلا داعٍ.
• العمل معاً بشكل أفضل: تسهيل سير العمل المشترك ومسارات التصعيد الواضحة وأهداف الاستجابة المشتركة بين فرق IAM وSOC.

التمييز واضح: إدراك حدوث شيء مشبوه مفيد، لكن فهم تأثيره المحتمل وكيفية تخفيفه أكثر قيمة بكثير.

تعلّم كيفية سد الفجوة

خلال الندوة، سيستكشف خبراء الأمن كيف يمكن للمؤسسات دمج IAM والعمليات الأمنية. واستناداً إلى عمليات نشر مؤسسية واقعية، ستتناول الجلسة طرقاً عملية لإثراء التنبيهات الأمنية بسياق الهوية، والتحقيق في الحركة الجانبية، وتقييم نطاق التأثير المحتمل للهجوم، وتحسين الاستجابة للحوادث دون تعطيل أنظمة الإنتاج.

ستغطي المناقشة أيضاً كيف يمكن للفرق أن تتوافق حول مقاييس مشتركة وعمليات تصعيد وأدلة إجراءات استجابة. مركز العمليات الأمنية لديك يمتلك التنبيهات بالفعل؛ والآن يحتاج إلى السياق للتصرف.

التسجيل في الندوة المجانية متاح، مما يوفر فرصة لتعلم كيفية تحويل استخبارات الهوية إلى استجابة أمنية أسرع وأذكى.

 

المصدر: The Hacker News