ساعات اولیه پس از وقوع یک حادثه سایبری (Cyber Incident) بسیار پرالتهاب و پر از فعالیت است. تیم‌های امنیتی در حال بررسی، بخش IT در حال مهار اثرات و تیم‌های حقوقی در حال ارزیابی تعهدات هستند. اکثر تیم‌ها برای هماهنگی از ابزارهای روزمره خود مانند ایمیل (Email)، Slack، Microsoft Teams و تماس‌های ویدئویی استفاده می‌کنند.
اما زمانی که خودِ محیط‌های همکاری یا سیستم‌های ایمیل بخشی از حادثه باشند، شرایط بسیار پیچیده می‌شود. اگر مهاجم به حساب‌های کاربری تیم پاسخ به حادثه (Incident Response) دسترسی پیدا کرده باشد، می‌تواند پیام‌ها را بخواند، برنامه‌های مهار (Containment Plans) را نظارت کند یا حتی خود را به جای اعضای تیم جا بزند. در این حالت، سازمان با یک بحران دوم روبرو می‌شود: عدم اعتماد به سیستم‌هایی که برای مدیریت بحران به آن‌ها وابسته است.
شکاف در برنامه‌های پاسخ به حادثه
بسیاری از برنامه‌های Incident Response (IR) سناریوی از کار افتادن ابزارها را پیش‌بینی کرده‌اند، اما کمتر به سناریوی “عملکرد عادی اما غیرقابل اعتماد” پرداخته‌اند. این یعنی سیستم‌ها کار می‌کنند، اما شما نمی‌دانید چه کسی در حال خواندن یا تغییر پیام‌هاست.
در حملات باج‌افزاری (Ransomware)، این موضوع واضح است زیرا سیستم‌ها از کار می‌افتند، اما در سناریوهای پیچیده‌تر، مهاجم می‌تواند در جلسات Zoom یا Teams حضور داشته باشد و تمام استراتژی‌های دفاعی شما را مشاهده کند. اگر مهاجم به کانال‌های ارتباطی دسترسی داشته باشد، هرگونه بحث درباره اقدامات مهار یا اظهارنظر حقوقی، مستقیماً در اختیار او قرار می‌گیرد.
راهکارهای استراتژیک برای مدیران امنیتی
- استفاده از کانال‌های Out-of-band: سازمان باید از قبل روشی برای انتقال عملیات پاسخ به خارج از شبکه اصلی (Out-of-band) داشته باشد تا از نظارت مهاجم جلوگیری شود.
- شناسایی وابستگی‌ها: نباید فقط به یک اپلیکیشن جایگزین فکر کرد؛ بلکه باید وابستگی‌های زیرساختی مانند سرویس‌های هویت (Identity Services)، مدیریت دستگاه‌های موبایل (MDM) و اعتبارنامه‌ها (Credentials) را بررسی کرد تا کانال جدید به همان نقاط شکست (Single Point of Failure) وابسته نباشد.
- تأیید هویت مجزا: فرآیند تأیید هویت اعضای تیم نباید به حساب‌هایی که تحت بررسی هستند وابسته باشد، زیرا مهاجم ممکن است از طریق آن‌ها خود را جا بزند.
- تمرینات شبیه‌سازی (Tabletop Exercises): تمرینات نباید فقط بر کارکرد ابزار جدید تمرکز کنند، بلکه باید بر “لحظه تصمیم‌گیری” برای مهاجرت به کانال امن و تشخیص عدم اعتماد به محیط فعلی تمرکز داشته باشند.
در نهایت، برنامه‌ریزی برای ارتباطات امن باید به گونه‌ای باشد که فرض شود سازمان ممکن است در دادگاه حاضر شود. ثبت دقیق تصمیمات، توسط چه کسی و بر اساس چه واقعیت‌هایی، در یک محیط امن و ایزوله، برای مقابله با پیامدهای حقوقی و نظارتی ضروری است.
