ما هو الأمن السيبراني

ما الذي يحميه الأمن السيبراني بالضبط؟

ثلاثة أشياء، وقلّ من يحملها الثلاثة معا في ذهنه. الأمن السيبراني هو حفظ سرية المعلومات وسلامتها وإتاحتها، ومعها الأنظمة التي تحملها. وهذه الثلاثة ليست اختراعنا: فالمعهد الوطني الأمريكي للمعايير والتقانة يعرّفها كلها في FIPS 199، فيسمي السرية «حفظ القيود المصرّح بها على الوصول إلى المعلومات وإفشائها»، والسلامة «الحماية من التعديل أو الإتلاف غير السليم»، والإتاحة «ضمان وصول موثوق وفي وقته إلى المعلومات».

والآن الثلاثة نفسها بلغة يومك أنت. السرية أن لا تظهر قائمة عملائك على الإنترنت. والسلامة أن تكون أسعار متجرك هي التي وضعتها أنت وأن لا يكون أحد قد حذف صفرا من آخرها بهدوء. والإتاحة أن يكون الموقع شغّالا حين يأتي إليه زبون في الصباح.

وهنا موقف: حين يقول أكثر الناس «أمن» فإنهم يتصورون السرية وحدها، أي أن يقرأ أحد شيئا لي. لكن الذي يفسد يوم العمل فعلا هو غالبا أحد الاثنين الآخرين. فالموقع الذي يسقط يوما يخسر مالا وثقة؛ والموقع الذي يعدّل أحد محتواه بهدوء أسوأ، لأن أحدا لا ينتبه لمدة طويلة. وبرامج الفدية هجوم على هذين بالضبط: لا تأخذ بياناتك بل تخرجها من متناولك.

وتخرج من هذا التقسيم نتيجة عملية. السؤال الصحيح ليس «كيف أزيد أمن موقعي» بل «أي من هذه الثلاثة يضرّني أكثر إن ذهب». وللمدونة الشخصية يكون الجواب عادة الإتاحة. وللمتجر سلامة الطلبات والمدفوعات. وللموقع الذي يحمل ملفات عملاء السرية. وترتيب أعمالك يخرج من هذا الجواب لا من قائمة وجدتها على الإنترنت.

من يأتي إلى موقعي ولماذا أنا أصلا؟

هذا سؤال يطرحه على نفسه كل صاحب موقع صغير تقريبا، والجواب الذي يعطيه لنفسه خاطئ: «أنا لست أحدا، من يهتم بي». والجواب الحقيقي أن لا أحد يهتم بك، ولهذا السبب بالذات يطرقون بابك كل يوم.

الأرقام مأخوذة من سجل هذا الموقع نفسه، ليوم كامل، السادس من سبتمبر ٢٠٢٦. في ذلك اليوم وحده وصل إلى rgb.ir ١٩١ طلبا تبحث عن ملف أو برنامج إما أنه ليس هنا أصلا أو أنه لا يعني شيئا إلا لمهاجم. جاءت هذه الطلبات الـ١٩١ من ٢٤ عنوانا مختلفا وطلبت ٩٠ مسارا مختلفا. ونال ١٦٩ منها ٤٠٤ ولا شيء غيره، أي الجواب «لا وجود لهذا هنا».

وتوزّعها هكذا: ٦٢ طلبا تبحث عن ملف إعدادات إطار عمل، و٦٠ تبحث عن ملف يطبع إعدادات الخادم، و٣٧ تتعلق بووردبريس، و١٩ تصطاد بابا خلفيا جاهزا، والباقي ١٣ متفرقات. والعائلة الوحيدة التي نالت شيئا غير ٤٠٤ هي عائلة ووردبريس، لأن ووردبريس هو البرنامج الوحيد الذي يعمل هنا فعلا؛ وحتى تلك نالت تحويلا أو اتصالا مقطوعا لا نموذج دخول.

لكن اللافت في ذلك السجل ليس الأعداد بل التكرار. في الساعة ٢:٢٠ فجرا طلب جهاز مستأجر ٥٧ عنوانا واحدا تلو الآخر وأنهى الأمر كله في ٦٠ ثانية. وبعد تسع عشرة ساعة، في التاسعة مساء، طلب جهاز آخر من عنوان آخر العناوين الـ٥٧ نفسها بالضبط؛ القائمة، بالترتيب نفسه، متطابقة سطرا بسطر. وتلك الـ٥٧ لم تكن غريبة أيضا: ٢٨ إملاء مختلفا لملف إعدادات واحد و٢٩ موضعا قد يجلس فيه ملف يطبع الإعدادات. ولا وجود لأي من الملفين على هذا الموقع. وقد وصف كلا الجهازين نفسه بأنه كروم، أحدهما على ماك والآخر على ويندوز.

وفي اليوم نفسه طُلبت منا أشياء مضحكة بصراحة: برنامج تحكم بطابعة ثلاثية الأبعاد، ونظام إدارة مدرسة، وإطار عمل PHP صيني، وصفحة سجل لإضافة بريد في ووردبريس لا نملكها. لا شيء من ذلك مثبّت هنا ولم ينظر أحد قبل الطرق ليرى إن كان مثبّتا. وهذا ما تعنيه كلمة انتهازي: لم يخترك أحد، بل كنت في القائمة فحسب.

لماذا يبحث الماسح عن باب خلفي لشخص آخر؟

في اليوم نفسه كان ١٩ من تلك الطلبات الـ١٩١ يصطاد شيئا لا يوجد إلا إن كان الموقع مخترقا من قبل. عشرة أسماء ومسارات مختلفة، كلها من عائلة واحدة: قشرة ويب، أي الملف الذي يتركه المهاجم بعد دخوله ليعود المرة القادمة بلا عناء. وقد حلّلت شركات الأمن هذه العائلة ووثّقتها منذ سنين وهي معروفة بالاسم.

فكّر لحظة في معنى ذلك. تلك الطلبات لم تكن تحاول اختراق موقعنا أصلا. كانت تسأل إن كان أحد آخر قد اخترقه من قبل وترك الباب مفتوحا. فالموقع الذي اخترق مرة ثم نُظّف في الظاهر يظل له باب مفتوح إلى الأبد إن بقي ذلك الملف الواحد فيه، ويستطيع كل من يعرف اسمه أن يعبر منه دون حاجة إلى أي هجوم جديد.

وتخرج من ذلك نتائج عملية تراها أقل في قوائم الأمن المعتادة. أولا: إزالة البرمجية الخبيثة بإضافة لا تكفي؛ المهم إيجاد طريق الدخول وإغلاقه، وإلا تكرر الأمر نفسه الأسبوع القادم. ثانيا: بعد أي حادث تُبدَّل كل كلمات المرور والمفاتيح، لا كلمة مرور المدير وحدها. ثالثا وهو أهم من الاثنين: الطريق الموثوق لإعادة موقع مصاب هو استعادة نسخة احتياطية تاريخها قبل الاختراق يقينا، وهذا ما يحوّل النسخ الاحتياطي من عمل ممل إلى أهم قرار أمني تتخذه.

ونقول ملاحظة صادقة أيضا: لا يستطيع أحد منا أن يعرف من السجل من كان وراء تلك الطلبات الـ١٩. أكان مهاجما أم باحثا يمسح الإنترنت فذلك غير ظاهر في الطلب نفسه، وأي ادعاء في هذا تخمين. فالذي يُظهره السجل سلوك لا نية.

العادات الخمس التي تغطي أكثر الخطر

حين يكون المهاجم سكربتا يشغّل قائمة فليس المفترض أن يكون الدفاع معقّدا هو الآخر. خمس عادات تُبطل أكثر تلك القائمة ولا تحتاج واحدة منها إلى اختصاص.

إبقاء كل شيء محدّثا. ذلك السكربت يصطاد ثغرات معروفة، أي أشياء رقّعها صانع البرنامج من قبل. والموقع المحدّث غير مرئي عمليا أمام أكثر تلك القائمة. والمركز الوطني البريطاني للأمن السيبراني يضع تثبيت التحديثات في وقتها ضمن الأعمال الأساسية القليلة في قائمة نصائحه القصيرة للمستخدمين العاديين.

كلمة مرور فريدة لكل حساب. والمهم هنا ليس صعوبة الكلمة بل عدم تكرارها. فالكلمة المكررة تعني أن تسريب موقع تافه يفتح حسابك المهم أيضا. وثمة اعتقاد شائع تخالفه الإرشادات الرسمية: تغيير كلمة المرور دوريا غير لازم. فوثيقة SP 800-63B من معهد المعايير الأمريكي نفسه تنص صراحة على أن الخدمات لا يجوز أن تُلزم المستخدم بتغيير دوري، وأن عليها فرض التغيير فقط حين يوجد دليل على تسرّب. والتفاصيل تأتي في درس كلمة المرور والتحقق بخطوتين في هذا المسار.

تحقق بخطوتين على الحسابات المهمة. البريد أولا ثم البقية، لأن البريد مفتاح استعادة كل حساباتك الأخرى ومن أخذه فقد أخذها كلها.

نسخ احتياطي، والأهم حفظه في مكان آخر. فالنسخة التي تجلس على الخادم نفسه لا تنفع في حادث يأخذ الخادم كله. وأصدق جملة في هذا القسم: نسخة احتياطية لم تُختبر قط هي افتراض لا نسخة احتياطية.

الشك في كل رسالة مستعجلة. وهذه العادة الوحيدة غير التقنية، وهي الأقل ظهورا في القوائم الرسمية. فكل احتيال ناجح تقريبا يحمل استعجالا مصطنعا: حسابك يُغلق الليلة، وطردك يعود خلال ساعة. والتوقف لحظة يمنع من الخسارة عمليا أكثر مما يمنع أي برنامج. ودرس التصيّد في هذا المسار يفتح طريقة تمييزه.

وكم ينفع ذلك: على هذا الخادم بالذات لم يقفل نظام حماية الدخول أحدا إلا ٣ مرات بين الثلاثين من أغسطس والرابع من سبتمبر ٢٠٢٦، بينما وصل إلى الموقع ١٩١ طلب استطلاع في يوم واحد. والفرق بين هذين الرقمين ليس صدفة: فأكثر تلك السكربتات لا تصل أصلا إلى مرحلة تجربة كلمة مرور، لأن ما كانت تبحث عنه غير موجود.

ماذا تفعل إن ظننت أنك اختُرقت للتو

افصل شيئا أولا، فمن هنا يبدأ أكثر الذعر. رؤية محاولات في التقارير لا تعني اختراقا. فالطلبات الـ١٩١ التي عددناها في القسم الثاني كانت كلها محاولات ولم تنجح واحدة منها. وإن كانت إضافتك الأمنية تخبرك كل يوم بأن كذا هجوما صُدّ، فذلك يعني أن العمل يجري، لا أن شيئا وقع.

أما العلامات الحقيقية فأخرى: دخول ناجح من مكان لم تكن فيه، وحساب مدير لم تنشئه، وملفات بتاريخ تعديل غريب، وتحويل الزوار إلى موقع آخر بطريقة لا تحدث إلا على الهاتف أو إلا من نتائج البحث، وتحذير المتصفح على موقعك، أو رسائل أُرسلت باسمك ولم ترسلها.

وإن رأيت واحدة من هذه فترتيب العمل مهم. من جهاز آخر تثق بسلامته غيّر كلمة مرور بريدك الأساسي وشغّل التحقق بخطوتين؛ فما دام البريد بيد غيرك فكل كلمة مرور أخرى تغيّرها يمكن استعادتها من جديد. ثم أخبر مستضيف موقعك، فسجلات جهة الخادم عنده وحده. واحتفظ بنسخة من حال الموقع الآن كما هي دون مساس، ولو كانت مصابة؛ فإن محوت كل شيء فلن تعرف أبدا من أين دخلوا ويبقى الطريق نفسه مفتوحا. وأخيرا استعد نسخة احتياطية بتاريخ تثق أنه قبل الحادث.

وتحذير يخسر به كثيرون: أوائل النتائج للبحث عن «موقعي اخترق» إعلانات في الغالب. ولا يستطيع أحد أن يعطيك سعرا ووقتا قاطعين قبل النظر في موقعك، ومن يذكر رقما دون أن يرى شيئا فهو يبيع شيئا آخر.