مدة بقاء المهاجم

يُعد مؤشر مدة بقاء المهاجم من أهم مؤشرات الأداء الرئيسية (KPIs) في مجال الأمن السيبراني، حيث يقيس الفترة الزمنية التي يظل فيها المهاجم داخل الشبكة قبل اكتشافه وإخراجه. تعكس هذه المدة مدى فعالية قدرات الكشف والاستجابة لدى المؤسسة. كلما زادت مدة البقاء، زادت فرص المهاجم في التحرك أفقيًا (Lateral Movement) عبر الأنظمة، وتصعيد الصلاحيات (Privilege Escalation)، وسرقة البيانات الحساسة، أو تثبيت برمجيات خبيثة مثل برمجيات الفدية. وفقًا لتقارير الصناعة التاريخية (مثل تقارير Mandiant M-Trends بين 2017 و2019) بلغ متوسط مدة البقاء عالميًا نحو 199-200 يومًا، أي أن المؤسسات كانت تكتشف الهجمات المتقدمة بعد أشهر من بدايتها؛ أما في التقارير الأحدث فقد انخفض المتوسط إلى عشرات الأيام في الشركات التي توظّف EDR وSIEM ناضجين، بينما بقي الوسيط أعلى بكثير في المؤسسات الصغيرة غير المراقَبة، فاقرأ الرقم في سياق سنة التقرير وحجم المؤسسة. لذلك، يعد تقليل مدة البقاء هدفًا استراتيجيًا لفرق الأمن، ويتطلب تحسين أدوات الكشف مثل SIEM وEDR، وتسريع عمليات الاستجابة عبر أتمتة سير العمل (SOAR) وتدريب الفريق. باستخدام هذه الآلة الحاسبة، يمكن للمؤسسات قياس أدائها الحالي وتحديد المجالات التي تحتاج تحسينًا سواء في الكشف أو الاستجابة.

فجوة الكشف هي الوقت بين بدء الهجوم واكتشافه. لتقليلها، يمكن تطبيق عدة استراتيجيات: (1) تحسين جمع السجلات (Logging) من جميع المصادر (الشبكة، الخوادم، نقاط النهاية، التطبيقات) وربطها بنظام SIEM مركزي. (2) استخدام التحليل السلوكي (UEBA) للكشف عن الشذوذات في سلوك المستخدمين أو الأجهزة. (3) اعتماد حلول كشف على نقاط النهاية (EDR) للكشف عن الأنشطة الخبيثة في الوقت الحقيقي. (4) إنشاء قواعد كشف (Detection Rules) مخصصة مبنية على أطر عمل مثل MITRE ATT&CK لتحديد تقنيات المهاجمين المعروفة. (5) تفعيل خدمات الصيد عن التهديدات (Threat Hunting) بشكل استباقي للبحث عن مؤشرات الاختراق (IOCs) داخل البيئة. (6) إجراء اختبارات اختراق منتظمة وفرق حمراء (Red Teaming) لاختبار قدرات الكشف. تحتاج المؤسسات أيضًا إلى تقييم الفجوة بين وقت حدوث الهجوم ووقت تسجيله في النظام، وأتمتة التنبيهات لتقليل التأخير البشري.

نعم، مدة بقاء المهاجم مؤشر قابل للتطبيق على جميع المؤسسات بغض النظر عن حجمها، لكنه يكتسب أهمية خاصة في المؤسسات الكبيرة ذات البيئات المعقدة حيث يصعب اكتشاف الهجمات بسرعة. في المؤسسات الصغيرة، غالبًا ما تكون فجوة الكشف أقصر بسبب قلة عدد الأنظمة وسهولة المراقبة، ولكن فجوة الاستجابة قد تكون أطول بسبب نقص الموارد البشرية المخصصة للاستجابة للحوادث. أما في المؤسسات الكبيرة، فغالبًا ما يكون هناك فريق متخصص للاستجابة (CSIRT) يمكنه تقليل فجوة الاستجابة، لكن فجوة الكشف قد تطول بسبب ضخامة السجلات وتنوعها. العامل الأساسي هو توزيع فرق الأمن: إذا كان فريق الأمن يعمل في نوبات متعددة أو على مدار الساعة (24/7)، يمكن تقليل فجوة الاستجابة بشكل كبير. كما أن وجود عمليات آلية (مثل الحجر التلقائي للأجهزة المشبوهة) يقلل بشكل كبير من وقت الاستجابة دون الحاجة لتدخل بشري. استخدام إطار عمل مثل NIST Incident Response يمكن أن يساعد في توحيد الإجراءات وتقصير المدة.

مدة بقاء المهاجم (Dwell Time) تشمل الفترة الكاملة من بداية الهجوم حتى طرد المهاجم، أي أنها مجموع فجوة الكشف (Detection Gap) وفجوة الاستجابة (Response Gap). أما متوسط وقت الاستجابة (MTTR) فيركز فقط على الوقت المستغرق لاحتجاز الحادث واستعادته بعد اكتشافه، أي أنه جزء من فجوة الاستجابة. الفرق الجوهري هو أن dwell time يعطي نظرة شاملة لفعالية الأمن، بينما MTTR يقيس جزءًا واحدًا فقط. بالإضافة إلى ذلك، dwell time يركز على وجود المهاجم داخل البيئة، بينما MTTR قد يتضمن أيضًا وقت الإصلاح بعد الإبعاد. من المهم استخدام كلا المؤشرين: dwell time لقياس فعالية الكشف والاستجابة معًا، وMTTR لقياس سرعة الاستجابة بعد الاكتشاف. الآلة الحاسبة هنا تركز على dwell time لأنها تجمع بين الكشف والاستجابة، وهو مؤشر أكثر شمولاً للأداء الأمني.