أول شيء يسويه أغلب الناس عند وقوع حادثة هو الشيء الذي يدمر الأدلة.
يلاقي أحدهم جهازاً مشبوهاً فيعيد تشغيله. أو يعيد تهيئته. أو يسحب كابل الشبكة، وبعد ساعة لا يقدر يجاوب على السؤال الوحيد المهم: هل سُرق شيء، ومن أين غيره أيضاً. الذاكرة راحت، قائمة العمليات الجارية راحت، والاتصالات القائمة التي كانت ستكشف الجهاز الثاني المخترَق راحت معها.
فالمهارة المفيدة هنا ليست السرعة. المهارة هي أن تعرف أي الإجراءات قابل للتراجع عنه وأيها لا، وأن تتخذ الإجراءات غير القابلة للتراجع بقرار واعٍ لا كردة فعل.
قابل للتراجع: عزل الجهاز عند المفتاح الشبكي أو جدار الحماية، تعطيل حساب، حجب عنوان، إلغاء جلسة. كل هذه الإجراءات توقف النزيف ويمكن التراجع عنها خلال دقيقة إذا تبين أن القرار كان خاطئاً.
غير قابل للتراجع: إعادة التشغيل، إعادة التهيئة، حذف الملفات، تشغيل برنامج تنظيف. هذه الإجراءات تدمر حالة كانت موجودة فقط في الذاكرة أو فقط في ذلك النظام الملفي، ولا يمكن استرجاعها مهما تمنيت.
هذا يعطيك ترتيب العمل في الساعة الأولى. احتوِ الموقف بطريقة قابلة للتراجع. اجمع الحالة المتطايرة — الذاكرة أولاً، لأنها تختفي بمجرد انقطاع الطاقة، ثم قائمة العمليات، اتصالات الشبكة، والمستخدمون المسجَّلون حالياً. وبعد هذا فقط قرر بشأن القرص الصلب.
هناك توتر حقيقي هنا، ومن الأفضل ذكره بوضوح بدل التظاهر بأنه يُحل بسهولة. كل دقيقة تصرفها في حفظ الأدلة هي دقيقة يبقى فيها المهاجم داخل النظام. أحياناً القرار الصحيح هو التضحية بالأدلة ووقف الضرر — إذا كان برنامج الفدية يشفّر البيانات فعلياً، لن يشكرك أحد على نسخة رائعة من ذاكرة جهاز شُفّرت فيه كل البيانات بينما كنت تأخذها. المهم أن يكون هذا قراراً تتخذه بصوت مسموع، مع شخص آخر، وتدوّنه كتابياً. لا أن يحصل لأن أحدهم أصابه الذعر.
وهناك أمران آخران يحددان مسار الأسبوع كله.
تواصل عبر قناة لا يكون المهاجم موجوداً فيها. إذا كان المهاجم قد اخترق خادم بريدك، فإن قناة إدارة الحادثة داخل ذلك البريد مقروءة من قبله. اتفق على القناة البديلة قبل أن تحتاجها، لأن الاتفاق عليها وقت الحادثة يكون قد فات أوانه.
واحتفظ بخط زمني أثناء العمل، لا بعده. وثيقة واحدة مشتركة، تُضاف إليها المعلومات فقط ولا تُحذف، وكل إجراء مسجَّل بتوقيت عالمي منسّق (UTC) ومن قام به. يبدو هذا عبئاً إضافياً في الساعة الأولى، لكنه السبب الوحيد الذي يمكّنك من الإجابة على الأسئلة بعد ثلاثة أسابيع — سواء من مجلس إدارتك، أو من جهة رقابية، أو من الشخص الذي يتسلم المهمة عنك حين لا تكون قد نمت.