التحليل الجنائي الرقمي والاستجابة للحوادث

يقوم التحليل الجنائي الرقمي والاستجابة للحوادث على جمع الأدلة الرقمية وفحصها بعد أي هجوم سيبراني، لاكتشاف كيف حدث الاختراق ومن قام به، بالتزامن مع خطوات الاحتواء والعلاج السريع لتقليل الأضرار وحماية الأنظمة. انظر إلى متصفح الويب في جهازك؛ حين يتم فحص ملفات السجل الخاصة به بواسطة أدوات مثل متصفح دي بي إِس كيولايت، يستطيع المحقق قراءة جدول عناوين مواقع الإنترنت التي زارها المستخدم وعدد مرات زيارتها ووقت آخر زيارة عبر أختام زمنية دقيقة لمعرفة الأنشطة المشبوهة.

الفكرة الأساسية

حين يقع اختراق سيبراني في مؤسسة ما، فأنت بحاجة إلى علم وخطوات عملية تماماً مثل التحقيق الجنائي العادي في مسرح الجريمة. انظر إلى الأجهزة الرقمية والشبكات: لو دخل مخترق وسرق بيانات، فأنت لا تعتمد على التخمين، بل تجمع الأدلة الرقمية، وتفحص ملفات السجل في المتصفحات مثل كروم، وتتبع سلسلة الحيازة لكل دليل حتى تعرف كيف دخل المهاجم وماذا فعل بالضبط وتمنع تكرار ذلك.

الشرح

ينقسم العمل إلى شقين أساسيين: التحليل الجنائي الرقمي الذي يركز على جمع الأدلة الرقمية وتحليلها من أجهزة الحاسب أو الهواتف أو الشبكات، والاستجابة للحوادث التي تركز على معالجة الحوادث الأمنية والاحتواء والتعافي. تمر عملية التحليل الجنائي الرقمي بخطوات نموذجية تبدأ بالتعريف لتحديد الأدلة المحتملة، ثم المحافظة لحمايتها من التلف أو الضياع بعمل نسخ مطابقة وعزل الأنظمة، ثم التحليل عبر فحص الأدلة وكشف الأنماط، ثم التوثيق لكل الخطوات، وأخيرا الإبلاغ بتقديم النتائج. أما عملية الاستجابة للحوادث فتمر بتحديد النطاق لتقييم شدة الحادث ومعرفة مؤشرات الاختراق، ثم التحقيق لاستخدام أنظمة متقدمة لاكتشاف التهديدات، ثم التأمين لمراقبة الأنظمة واستئصال الثغرات، ثم الدعم والإبلاغ لتقديم تقارير مفصلة، وأخيرا التحول لتقديم المشورة لتحسين وضع المؤسسة الأمني.

عندما تفتح ملف سجل متصفح الويب باستخدام أداة مثل متصفح دي بي إِس كيولايت، فإنك تتعامل مع قواعد بيانات تحتوي على جداول رئيسية. جدول عناوين مواقع الإنترنت يضم أعمدة أساسية: عمود عنوان موقع المورد الموحد الذي يخزن روابط المواقع التي تمت زيارتها، وعمود العنوان الذي يحتوي على أسماء أو عناوين صفحات الويب، وعمود عداد الزيارة الذي يسجل عدد المرات التي زار فيها المستخدم عنوانا محددا، وعمود وقت آخر زيارة الذي يوفر ختام الوقت لأحدث زيارة لعنوان محدد. أما ختم الوقت فيقصد به قيمة رقمية تمثل نقطة زمنية محددة تستخدم في قواعد البيانات لتسجيل الأحداث وتتبعها، وغالبا ما يتم تخزين أختام الوقت على هيئة رقم يمثل الثواني أو الملي ثانية منذ نقطة مرجعية محددة تعرف باسم الحقبة.

مثال محلول خطوة بخطوة

لو كان لديك ختم وقت مخزن في قاعدة بيانات المتصفح بقيمة $13328701691011671$ وتريد معرفة تاريخ ووقت هذه الزيارة بالوقت المحلي للمستخدم، فأنت تستخدم برنامج SQL النصي الموجود في أداة متصفح دي بي إِس كيولايت. تكتب الأمر التالي في تبويب تنفيذ اسكيوال:

SELECT datetime (timestamp/1000000 + (strftime('%s', '1601-01-01')), 'unixepoch', 'localtime')

حين تضغط على زر التشغيل، يقوم البرنامج بتحويل هذا الرقم الضخم المقاس بالميكروثانية منذ نقطة حقبة ويندوز في عام 1601 ميلادي إلى صيغة مقروءة، فيظهر لك الناتج هكذا: 2023-05-16 12:08:11، وبهذا تحدد بدقة متناهية متى زار المستخدم ذلك الموقع المشبوه.

أخطاء شائعة

• الاعتقاد بأن التحليل الجنائي الرقمي يقتصر على استعادة الملفات المحفوضة أو المحذوفة فقط، بينما هو يشمل فحص الذاكرة والشبكات وسجلات النظام.
• تدمير الأدلة الرقمية أو عدم عزل الأنظمة المتاثرة عن الشبكة في خطوة المحافظة، مما يؤدي إلى ضياع سلامة الأدلة.
• عدم توثيق خطوات التحليل بدقة، مما يمنع مراجعة التحليل الجنائي أو تكراره أو عرضه في القضايا القانونية بشكل صحيح.

سؤالان للتدريب مع الإجابة

السؤال الأول: ما هو الدور الذي يلعبه عمود عداد الزيارة في جدول عناوين مواقع الإنترنت أثناء التحقيق الجنائي الرقمي؟ الإجابة: يسجل عدد المرات التي زار فيها المستخدم عنوان URL محدد، ويسمح للمحققين بتحديد وتيرة ومستوى استخدام المستخدم لموقع ويب معين، ومساعدة التحليل في تحديد الموارد التي تم الوصول إليها بشكل متكرر، وتحديد أولويات جهود التحقيق وتحديد أنماط أو اتجاهات سلوك المستخدم.

السؤال الثاني: اذكر الخطوات النموذجية لعملية التحليل الجنائي الرقمي بترتيبها الصحيح. الإجابة: التعريف، المحافظة، التحليل، التوثيق، الإبلاغ.