تقدم سلسلة الهجوم السيبراني

الخطوة الأولى: إدخال حالة كل مرحلة من مراحل سلسلة القتل السيبراني. يتكون النموذج من ستة مدخلات رقمية تمثل مراحل: الاستطلاع (Reconnaissance)، التسلح (Weaponization)، التسليم (Delivery)، الاستغلال (Exploitation)، القيادة والتحكم (C2)، والإجراءات على الأهداف (Actions on Objectives). يجب تحديد كل مرحلة بنعم إذا كانت مكتملة (أي أن المهاجم نجح في تنفيذها، وهي ما تعادل القيمة 1)، ولا إذا لم تكتمل (القيمة 0). هذه المدخلات تعكس التقدم الفعلي للهجوم بناءً على الأدلة المتاحة من أنظمة الكشف والمراقبة. على سبيل المثال، إذا تم رصد محاولات مسح للشبكة، فقد تكون مرحلة الاستطلاع قد بدأت. إذا تم تسليم ملف ضار عبر البريد الإلكتروني، فهذا يشير إلى اكتمال مرحلة التسليم. فهم هذه المراحل يساعد في تحديد مدى تقدم الهجوم واتخاذ إجراءات استباقية.

الخطوة الثانية: حساب عدد المراحل المكتملة. تقوم الحاسبة بجمع قيم المدخلات الستة (كل منها إما 0 أو 1) للحصول على عدد إجمالي يتراوح بين 0 و 6. هذا الرقم يمثل عدد المراحل التي تجاوزها المهاجم بنجاح. على سبيل المثال، إذا كانت المدخلات: الاستطلاع=1، التسلح=1، التسليم=0، الاستغلال=0، C2=0، الإجراءات=0، فإن المجموع هو 2. هذا يعني أن المهاجم قد أكمل مرحلتين فقط (الاستطلاع والتسلح) ولم ينتقل بعد إلى مرحلة التسليم. كلما زاد العدد، زاد تقدم الهجوم وارتفع مستوى التهديد.

الخطوة الثالثة: حساب النسبة المئوية للتقدم. تقوم الحاسبة بقسمة عدد المراحل المكتملة على العدد الإجمالي للمراحل (6) ثم ضرب الناتج في 100 للحصول على النسبة المئوية، أي النسبة = (عدد المراحل ÷ 6) × 100، فتكون القيم الممكنة 0، 16.67، 33.33، 50، 66.67، 83.33، 100 بالضبط. هذه النسبة تعطي مقياسًا كميًا لتقدم المهاجم. على سبيل المثال، إذا اكتملت 4 مراحل، تكون النسبة 4÷6 × 100 ≈ 66.67%. هذه النسبة تساعد في تصنيف شدة الهجوم: نسبة 0-33% تعتبر منخفضة (الهجوم في مراحله المبكرة)، 34-66% متوسطة (المهاجم تجاوز نصف الطريق)، 67-100% عالية (الهجوم شبه مكتمل ويحتاج إلى استجابة فورية). وبما أن النسب الممكنة هي فقط 0 و16.67 و33.33 و50 و66.67 و83.33 و100، تُربط هذه النطاقات بعدد المراحل مباشرة: مرحلتان فأقل = منخفض، ثلاث أو أربع = متوسط، خمس أو ست = عالٍ؛ حتى لا تبقى القيم الكسرية خارج النطاقات. تُعرض هذه التصنيفات في تفصيل 'Threat level' و 'Recommended response'.

الخطوة الرابعة: تفسير النتيجة وتحديد الإجراءات. بعد الحصول على النسبة المئوية، يجب ربطها بسياق الهجوم. على سبيل المثال، إذا كانت النسبة 16.67% (مرحلة واحدة فقط مكتملة)، فهذا يشير إلى هجوم في مراحله الأولى مثل الاستطلاع، ويمكن اتخاذ إجراءات مثل تعزيز جدران الحماية أو حظر عناوين IP المشبوهة. إذا كانت النسبة 83.33% (5 مراحل مكتملة)، فهذا يعني أن المهاجم وصل إلى مرحلة الإجراءات على الأهداف تقريبًا، مما يتطلب استجابة فورية مثل عزل الأنظمة المصابة أو إغلاق قنوات الاتصال مع خوادم C2. تفسير النتيجة يجب أن يكون جزءًا من عملية تحليل أوسع تشمل معلومات إضافية عن الهجوم.