5.1الاستجابة لحادث (حساب مخترق، برنامج الفدية (Ransomware))
الأساسي في 30 ثانية
- اعزل دون أن تطفئ : اقطع الشبكة (Wi-Fi متوقف، الكابل مفصول)، والجهاز يبقى مشتغلا — فالإطفاء يدمر الأدلة.
- نبه دون تأخير ولا تلمس شيئا : قسم تكنولوجيا المعلومات / المسؤول عن أمن النظم (RSSI) أولا، ولا تعبث أبدا بمفردك مع حادث.
- لا تدفع أبدا : لا ضمان، وتمويل للجريمة — والمخرج هو النسخة الاحتياطية خارج الشبكة (3.1).
حالة متسلسلة — كريم والصباح الذي تجمد فيه كل شيء
كريم، موظف مكتبي في الجزائر، يفتح صباحا مرفقا بعنوان « فاتورة » : تتجمد شاشته، وتتغير أسماء الملفات إلى امتدادات غريبة، وتظهر رسالة تطلب فدية. بدلا من الإطفاء أو الدفع، يقطع الـ Wi-Fi، ويترك الجهاز مشتغلا، ويتصل بمرجع تكنولوجيا المعلومات ويسجل الوقت والأعراض وآخر نقرة. هذه الوحدة تروي دقائقه الـ 10 الأولى — ويستمر الخيط في 5.2 و5.3 و5.4 و5.5.
هذه الحالة نفسها تعود في الدرس والمخطط والنص والتحدي 48 ساعة — وتستمر في 5.2 و5.3 و5.4 و5.5.
1. الدقائق الأولى الحاسمة
الحساب المخترق، والجهاز ذو السلوك الشاذ، وبرنامج الفدية (Ransomware)، والاحتيال : الدقائق الأولى هي التي تحدد حجم الأضرار. رد الفعل الجيد يحد منها ؛ ورد الفعل السيئ (الإطفاء، الدفع، العبث) يضاعفها. وقد نجح كريم لأن بطاقة رد الفعل كانت جاهزة قبل يوم الحادث.
القاعدة الذهبية : في حالة التوتر لا نرتجل بل ننفذ البطاقة. الشك لا يكلف شيئا (الإنذار الكاذب يمكن التحقق منه) ؛ أما الصمت أو العبث فيكلف غاليا.
2. اعزل دون أن تطفئ، نبه، ولا تلمس شيئا
اعزل : اقطع شبكة الجهاز (Wi-Fi متوقف، الكابل مفصول) لوقف الانتشار — لكن لا تطفئ شيئا (فالذاكرة الحية تحتوي أدلة مفيدة للتحليل). نبه دون تأخير قسم تكنولوجيا المعلومات / المسؤول عن أمن النظم (RSSI) والتسلسل الإداري ؛ ولا تلمس الجهاز بعد ذلك. كريم يعزل، ويتصل، ثم يبتعد عن لوحة المفاتيح.
حالة الحساب المخترق : تغيير كلمة المرور من جهاز آخر سليم + قطع كل الجلسات + التحقق من قواعد تحويل البريد (فالمهاجم غالبا يضيف تحويلا خفيا).
3. لا تدفع أبدا، وحافظ على الأدلة
لا تدفع أبدا الفدية : لا ضمان للاسترجاع، وتمويل للجريمة، وإشارة « دافع جيد » تدعو إلى هجوم جديد. والمخرج الحقيقي هو النسخة الاحتياطية خارج الشبكة (3.1) والمهنيون. كريم يرفض الدفع رغم ضغط العد التنازلي المعروض.
حافظ على الأدلة : لقطات الشاشة، والبريد الأصلي محفوظ، والأوقات مسجلة. هذا الملف سيخدم التحليل والشكوى والتأمين. ونبه الزملاء أيضا إذا كانت رسالة مفخخة ما تزال متداولة.
🔎 مثال ملموس — الدقائق الـ 10 الأولى لكريم
ما يفعله كريم، دقيقة بدقيقة.
الدقيقة 0-2 : شاشة متجمدة + ملفات معاد تسميتها -> Wi-Fi متوقف، الكابل مفصول، الجهاز يُترك مشتغلا.
الدقيقة 2-5 : اتصال بمرجع تكنولوجيا المعلومات (الرقم مسجل مسبقا) : « جهاز مشبوه، عزلته، ولن ألمس شيئا ».
الدقيقة 5-10 : تسجيل الوقت + الأعراض + آخر نقرة، التقاط رسالة الفدية، تنبيه زميلين معرضين.
-> الحساب : تغيير كلمة المرور من الهاتف + قطع الجلسات + التحقق من قواعد التحويل.القراءة : لكل دقيقة تصرفها، ولا عبث.
الدرس : البطاقة تُكتب قبل الحادث، لا أثناءه.
مفردات القسم
- الحادث الأمني
- كل حدث يمس (أو يبدو أنه يمس) بالأمن : حساب مخترق، جهاز شاذ، برنامج فدية، احتيال.
مثال بسيط: كريم يرى ملفاته معاد تسميتها بامتدادات غريبة : فيتعامل معها كحادث.
ما ليس كذلك: « إنه مجرد خلل، سأنتظر حتى يمر ».
رد فعل: عند الشك، اعزل ونبه — فالإنذار الكاذب لا يكلف شيئا.
- العزل
- قطع شبكة الجهاز المصاب دون إطفائه : وقف الانتشار مع الحفاظ على الأدلة.
مثال بسيط: كريم يقطع الـ Wi-Fi ويفصل الكابل، والشاشة تُترك مشتغلة.
ما ليس كذلك: إطفاء الجهاز أو مواصلة العمل عليه.
رد فعل: الشبكة تُقطع أولا، والأسئلة بعد ذلك.
- عدم الإطفاء
- الإطفاء يدمر أدلة في الذاكرة الحية مفيدة للتحليل.
مثال بسيط: جهاز كريم يبقى مشتغلا حتى وصول قسم تكنولوجيا المعلومات.
ما ليس كذلك: الضغط على زر التشغيل « لوقف الفيروس ».
رد فعل: دون تعليمات قسم تكنولوجيا المعلومات، لا نطفئ أبدا جهازا مشبوها.
- عدم الدفع أبدا
- الفدية لا تضمن شيئا، وتمول الجريمة، وتجلب هجوما جديدا.
مثال بسيط: كريم يرفض الدفع رغم العد التنازلي المعروض.
ما ليس كذلك: الدفع بسرعة « لاسترجاع الملفات الحيوية ».
رد فعل: الفدية = النسخ الاحتياطية (3.1) + المهنيون، والدفع أبدا.
- الحفاظ على الأدلة
- اللقطات، والبريد الأصلي، والأوقات : ملف التحليل والشكوى والتأمين.
مثال بسيط: كريم يصور الرسالة ويحتفظ بالبريد المفخخ الأصلي.
ما ليس كذلك: حذف البريد المفخخ « للتنظيف ».
رد فعل: سجل الوقت والأعراض وآخر نقرة — فورا.
في التطبيق — بطاقة رد الفعل الشخصية (لتحضيرها مسبقا)
- حرر بطاقتك في 5 أسطر : 1) أعزل (الشبكة مقطوعة والجهاز مشتغل) ؛ 2) أنبه [جهة تكنولوجيا المعلومات : الاسم / الرقم] ؛ 3) لا ألمس الجهاز بعد ذلك ؛ 4) أسجل ما رأيت (الوقت، الأعراض، آخر نقرة) ؛ 5) أنبه زملائي إذا كانت رسالة مفخخة متداولة.
- املأ الرقم الحقيقي لقسم تكنولوجيا المعلومات / المرجع — الآن، لا يوم الحادث.
- حالة الحساب المخترق (شخصي أو مهني يمكن الوصول إليه) : تغيير فوري لكلمة المرور من جهاز آخر + قطع كل الجلسات + التحقق من قواعد تحويل البريد.
- اطبع البطاقة أو احفظها حيث تجدها تحت التوتر — ففي ذلك كل فائدتها.
نص جاهز — تنبيه قسم تكنولوجيا المعلومات في دقيقة واحدة
« مرحبا، معكم كريم : جهاز مشبوه، عزلته عن الشبكة دون إطفائه ولن ألمس شيئا. الأعراض : شاشة متجمدة وملفات معاد تسميتها منذ [الوقت]، بعد فتح مرفق [موضوع البريد]. سأرسل لكم اللقطات وأبقى متاحا على هاتفي. »
يُقال هاتفيا لمرجع تكنولوجيا المعلومات / المسؤول عن أمن النظم (RSSI)، ثم تُرسل اللقطات + البريد الأصلي دون تحويله إلى زملاء آخرين.
نموذج للنسخ — بطاقة رد فعل للحادث
الحادث — بطاقة رد الفعل (تُستكمل مسبقا)
1) أعزل : Wi-Fi متوقف + الكابل مفصول، والجهاز يُترك مشتغلا.
2) أنبه : قسم تكنولوجيا المعلومات / المسؤول عن أمن النظم (RSSI) [الاسم + الرقم] : _______________ | التسلسل الإداري : _______________
3) لا ألمس الجهاز بعد ذلك.
4) أسجل : الوقت ___ | الأعراض ___ | آخر نقرة ___ | اللقطات : نعم / لا
5) أنبه الزملاء المعرضين (دون تحويل الفخ).
الحساب المخترق : تغيير كلمة المرور من جهاز آخر + قطع الجلسات + التحقق من قواعد التحويل.منفرد / مكتب صغير
كريم وحده دون قسم تكنولوجيا معلومات داخلي : بطاقة فيها جهة مقدم الخدمة + التسلسل الإداري، والجهاز معزول ومنقول جانبا بانتظار التدخل.
شركة صغيرة جدا / ميزانية صغيرة
بطاقة معلقة قرب كل جهاز + رقم قسم تكنولوجيا المعلومات مكتوب بقلم عريض : لا أداة مكلفة، فقط الرقم المتاح والأسطر الـ 5.
شركة صغيرة ومتوسطة في الجزائر
كريم يسجل المرجع الداخلي والتسلسل الإداري الواجب تنبيهه في الجزائر : لا رقم طوارئ مخترع — فالدائرة الداخلية أولا، ثم المنصات الرسمية (5.2).
فريق يبدأ
كل عضو يملأ بطاقته ثم اختبار تجريبي لـ 5 دقائق : من يتصل بمن، وبأي كلمات، دون لمس الجهاز.
✓ ممارسات جيدة
- اعزل الجهاز عن الشبكة دون إطفائه.
- حضر بطاقة رد الفعل (رقم تكنولوجيا المعلومات الحقيقي) قبل الحادث.
- في حالة الحساب المخترق، غير كلمة المرور من جهاز سليم.
✗ أخطاء شائعة
- إطفاء الجهاز (تدمير الأدلة).
- دفع الفدية (لا ضمان، وتمويل للجريمة).
- العبث المنفرد بدل تنبيه المسؤول عن أمن النظم (RSSI) / قسم تكنولوجيا المعلومات.
النقاط الأساسية
- اعزل دون إطفاء، نبه فورا، ولا تلمس شيئا : ثلاثية الدقائق الأولى.
- لا ندفع الفدية أبدا : النسخ الاحتياطية (3.1) والمهنيون هم طريق الخروج.
- الحساب المخترق : تغيير كلمة المرور من جهاز سليم + قطع الجلسات + التحقق من قواعد التحويل.
- بطاقة رد الفعل تُحضر قبل الحادث — ففي التوتر لا نفكر بل ننفذ.
تحدي 48 ساعة — طبق غدا
حرر بطاقة رد الفعل في 5 أسطر مع رقم تكنولوجيا المعلومات / المسؤول عن أمن النظم (RSSI) الحقيقي وعلقها قرب جهازك : هل تستطيع التنبيه في أقل من 5 دقائق ؟
- أستطيع ذكر الثلاثية : اعزل، نبه، لا تلمس شيئا.
- بطاقة رد الفعل مكتوبة برقم تكنولوجيا المعلومات الحقيقي.
- أعرف لماذا لا نطفئ ولا ندفع أبدا.
أسئلة شائعة
كيف أعرف أن جهازي مخترق ؟
الإشارات الكلاسيكية : بطء مفاجئ، نوافذ / تحويلات شاذة، كلمات مرور مرفوضة، رسائل مرسلة دون علمك، ملفات معاد تسميتها بامتدادات غريبة (برنامج الفدية (Ransomware)). عند الشك : اعزل ونبه — فالإنذار الكاذب لا يكلف شيئا.
لماذا لا أدفع إذا كانت البيانات حيوية ؟
إضافة إلى الأخلاق : فئة من الضحايا لا تسترجع شيئا أبدا، والدفع يدعو إلى هجوم جديد، وعقوبات تستهدف بعض المدفوعات. وضمان الحياة الحقيقي هو النسخة الاحتياطية خارج الشبكة في 3.1 — وهي تُجهز الآن.
جهاز كريم يعرض رسالة فدية. ما رد الفعل الأول ؟