في كل اختراق راجعه هذا المكتب، كانت بيانات التتبّع (التيليمتري) موجودة، لكن لم يكن أحد يقرأها.
هذا ليس انتقادًا للأشخاص المعنيّين. السجلّات تُنشأ تلقائيًا، بكميات كبيرة، وبصيغ لم يختَرها أحد، وقراءتها تكون الأولوية الرابعة عند أي شخص إلى أن تأتي الأسبوع الذي تصبح فيه الأولوية الوحيدة. لكن هذا يغيّر طبيعة العمل فعليًا. نادرًا ما تكون البيانات ناقصة عندك. المفقود هو الانتباه.
ابدأ بما هو متوفر لديك أصلًا، فهو أكثر مما تظن. سجلّات المصادقة على متحكّم النطاق (Domain Controller) أو مزوّد الهوية. سجلّات جلسات جدار الحماية والـVPN. سجلّات وصول خادم الويب. سجلّات بوّابة البريد الإلكتروني. سجلّات استعلامات DNS، وهي التي لا يحتفظ بها تقريبًا أحد، ومع ذلك تجيب عن أسئلة أكثر من كل السجلّات الأخرى مجتمعة. سجلّات نقاط النهاية (Endpoint)، إن كان هناك أي نظام منها منشورًا. وسجلّات إيجار DHCP، وهي الشيء الوحيد الذي سيخبرك لاحقًا أي جهاز فعلي كان يحمل عنوانًا معيّنًا.
والآن الرقم الذي يجب أن يغيّر طريقة تفكيرك. المجموعات المرتبطة ببرمجيات الفدية، في الحالات التي رُوجعت هنا، بقيت داخل البيئة مدة تتراوح بين ثلاثة وخمسة أسابيع قبل أن يُشفَّر أي شيء. أسابيع. كل ما فعلوه خلال تلك الفترة — حصر المشاركات (shares)، تجربة بيانات اعتماد، تجهيز أرشيفات، محاولات دخول فاشلة بحسابات غير موجودة أصلًا — كله واضح وصاخب، لو كان هناك من يصغي.
طول مدة البقاء في البيئة، إذا فُهم بشكل صحيح، خبر جيد. يعني أن الاختراق كان قابلًا للنجاة منه. يعني أن هناك شهرًا كاملًا من الأدلة أُنتج قبل وقوع الضرر، وأن النتيجة لم تُحسم بسبب الثغرة التي سمحت بالدخول، بل بسبب أن أحدًا لم ينظر.
لذلك احتفظ، كحدّ أدنى، بثلاثة أنواع من السجلّات، واحتفظ بها في مكان لا يستطيع المهاجم التعديل فيه. أحداث المصادقة، لأنها تُظهر اللحظة التي يتحوّل فيها الوضع من طبيعي إلى غير طبيعي. استعلامات DNS، لأن أي برمجية خبيثة لا بد أن تحلّ اسمًا ما (resolve). وتدفّقات الشبكة الصادرة، لأن استخراج البيانات هو الشيء الوحيد الذي لا يستطيع المهاجم تجنّبه.
تسعون يومًا حدّ أدنى معقول لمدة الاحتفاظ بالسجلّات. معظم الاختراقات تُكتشف بعد وقت طويل من بدايتها، والسجلّ الذي دُوِّر بالفعل (rotated) لا يختلف عن السجلّ الذي لم تجمعه أبدًا.
عادة يستحق أن تبنيها من الآن: مرة كل أسبوع، اختر حسابًا واحدًا واقرأ كل ما فعله. لا تبحث عن شيء معيّن. أنت هنا تتعلّم كيف يبدو الوضع الطبيعي، وهذه هي الطريقة الوحيدة التي ستتمكن بها لاحقًا من ملاحظة غير الطبيعي.