التمرين الكلي

بناءً على التقرير الاستباقي الوارد من الشركة، والتي تفيد بوجود ثغرة على الانظمة الخاصة بالاتصال بالافتراضي VPN، وكما زودت الشركة بمؤشرات الاختراق وكذلك مجموعات الهجوم التي تستغل الانظمة المتأثرة بهذه الثغرة، ما هو الاجراء الاولي:

بناء على التقارير السابقة الحاصة بمجموعات الهجوم أي من تلك المجموعات من المرشح انها هي من يقف خلف استغلال مثل هذه الثغرات بناء على المعلومات الواردة حتى الان؟

من خلال اطلاعك على التقرير الاستباقي ومعرفة النظام المتأثر بالثغرة في أي مرحلة من مراحلة الهجوم من المتوقع ان يتم رصد الاستغلال والهجوم السيبراني من خلالها؟

اثناء عملية التحقق من مؤشرات الاختراق تبين ان فريق تقنية المعلومات لم يقم بتحديث المنتج وسد الثغرة في نفس الوقت الموصى به وذلك بسبب الاختبارات على البيئة الافتراضية وكذلك حساسية الاعمال والتي تم تأجيل وجدولة تطبيق التحديث وسد الثغرة في نهاية الأسبوع، قم بترتيب الإجراءات حسب اولويتها في الوقت الحالي؟

بعد التأكد من ان فريق تقنية المعلومات قام بعملية الإصلاح وسد الثغرة، تبين من نتائج المسح من خلال المؤشرات التي تمت مشاركتها في التقرير وجود بعض الاتصالات الصادرة و الواردة منها من احد الأنظمة التابعة لاحد المستخدمين في الشبكة ولم يتم تحديد عددها بعد، ما هو الاجراء المتبع في هذه الحالة؟

بعد حصر الأنظمة وبدا اعمال التحليل مع فريق الاستجابة للحوادث السيبرانية تبين ان الاتصالات الصادرة من تلك الأنظمة بالفعل هي تابعه للمهاجمين من مجموعة الهجوم المتقدم APTZ  وان تلك الأنظمة كذلك لديها اتصالات مشبوهة مع احد الأنظمة الخارجية وهو عبارة عن خادم ويب للموقع الرسمي للمنظمة ما هو الاجراء المناسب في تلك الحالة؟

تبين بعد عملية التحليل من قبل فريق الاستجابة للحوادث لخادم الويب ان هناك أبواب خلفية ””WebShells يستخدمها المهاجم لأعمال التحكم والسيطرة على الخادم وكذلك كخطة بديلة في حال تم رصده من خلال تحليل الأنظمة المرتبطة بخدمة الاتصال الافتراضي VPN، ما هو الاجراء التالي في هذه الحالة؟