الغريزة الأولى عندما يقرر فريق أن يأخذ موضوع الكشف بجدية هي شراء شيء ما. هذه الغريزة غالباً خاطئة، وثمن الخطأ فيها باهظ.
أنت أصلاً تُولّد بيانات أمنية أكثر مما تقرأه فعلاً. السؤال ليس ما الذي تجمعه. السؤال هو ما الذي تنظر إليه، وبأي ترتيب، وماذا تفعل حين يخبرك بشيء.
راجع ما هو موجود عندك أصلاً. مزوّد الهوية أو متحكم النطاق (Domain Controller) يسجّل كل عملية مصادقة، الناجحة والفاشلة، مع عنوان المصدر والوقت. الجدار الناري يسجّل الجلسات. مركّز الـ VPN يعرف من اتصل ومن أين ولكم من الوقت. بوابة البريد ترى كل رسالة رُفضت ولماذا. مُحلّل DNS يرى كل اسم طلبته كل جهاز. خادم DHCP هو الشيء الوحيد الذي يستطيع لاحقاً أن يخبرك أي جهاز فعلي كان يحمل عنواناً معيناً في ساعة معينة.
هذه القائمة لا تكلّف شيئاً. هي أصلاً تُكتب، عادة على قرص يمحوها بالتدوير خلال أسبوعين.
الترتيب الذي تتعامل به مع هذه المصادر ليس ترتيب الحجم، بل ترتيب الفائدة. المصادقة أولاً: هي أصغر المصادر لكنها تكشف أكبر فئة من الاختراقات، لأن تسجيل الدخول هو كيف يبدأ معظمها. الـ DNS ثانياً، لأن أي برمجية خبيثة لازم تحُلّ اسم نطاق ما، ومحطة عمل تطلب نطاقاً سُجّل قبل أحد عشر يوماً في الساعة الثالثة فجراً هي جملة تقدر تتصرف بناءً عليها. التدفقات الصادرة ثالثاً، لأن تسريب البيانات هو السلوك الوحيد الذي لا يقدر المهاجم تفاديه.
هناك قراران هندسيان أهم من أي اختيار منتج.
ضع السجلات في مكان لا يقدر المضيف الأصلي يعدّله. مهاجم يملك صلاحيات مدير على خادم سيمسح سجلاته، والسجل الذي لا يوجد إلا على الجهاز المُستهدَف ليس دليلاً. أرسله إلى جهة أخرى، حتى لو كانت الوجهة مجرد صندوق آخر فيه قرص.
بعدها اضبط الساعات. شغّل NTP في كل مكان واتفق على منطقة زمنية واحدة — UTC، واكتبها في السجل. أن تحاول تطابق ثلاثة مصادر بثلاثة إزاحات زمنية مختلفة أثناء حادثة، في الساعة الثانية فجراً، هو المكان الذي تموت فيه التحقيقات.