الاستجابة للحوادث السيبرانية

المرحلة 1: استلام الرسالة

تنبيه: تلقيت رسالة بريد إلكتروني من "بنك الأمان" تطالبك بالنقر على رابط وتحديث معلوماتك الشخصية.

من: security@bank-aman.com

الموضوع: تحديث عاجل لمعلومات حسابك

عزيزي العميل،

تم اكتشاف نشاط غير عادي على حسابك. يرجى النقر على الرابط أدناه وتحديث معلوماتك فوراً:

http://bank-aman-update.com/login

إذا لم تقم بالتحديث خلال 24 ساعة، سيتم تجميد حسابك.

المرحلة 2: تحليل الرسالة

تحليل عنوان المرسل: security@bank-aman.com

النتيجة: النطاق bank-aman.com غير مسجل رسمياً

تحليل الرابط: http://bank-aman-update.com/login

النتيجة: النطاق غير مرتبط بالبنك الرسمي

التحقق من شهادة SSL: غير موجودة

تحذير: هذه رسالة تصيد احتيالي! الرابط يؤدي إلى موقع مزيف مصمم لسرقة بياناتك.

المرحلة 3: الاستجابة الصحيحة

ممتاز! لقد تعرفت على هجوم التصيد الاحتيالي وتعاملت معه بشكل صحيح.

الخطوات الصحيحة للتعامل مع رسائل التصيد:

لا تنقر أبداً على الروابط المشبوهة
تحقق دائماً من عنوان المرسل
استخدم خدمات التحقق من الروابط
أبلغ عن الرسائل المشبوهة
احذف الرسالة فوراً

المرحلة 1: اكتشاف الهجوم

طوارئ: جميع ملفاتك على الجهاز تم تشغيلها وأصبحت غير قابلة للوصول!

!!! ملفاتك تم تشفيرها !!!
لإستعادة ملفاتك، يجب عليك دفع 0.5 بيتكوين
العنوان: 1A1Z6MEAnqvhwxc9u3Uuu62W8AQu2D9UuC
لديك 72 ساعة فقط

$ ls -la /home/user/documents

-rw-r--r-- 1 user user 2048 Jan 1 12:00 report.crypted

-rw-r--r-- 1 user user 4096 Jan 1 12:00 photos.crypted

-rw-r--r-- 1 user user 8192 Jan 1 12:00 financial.crypted

المرحلة 2: الاحتواء والاستعادة

$ sudo ifconfig eth0 down

تم فصل الجهاز عن الشبكة بنجاح

$ sudo systemctl stop network-manager

تم إيقاف خدمات الشبكة

ملاحظة: لقد قمت بعزل الجهاز لمنع انتشار البرمجية الخبيثة.

الآن يجب البحث عن النسخ الاحتياطية:

$ ls /backup/

documents_2023-12-31.tar.gz

$ tar -tzf /backup/documents_2023-12-31.tar.gz

documents/report.pdf

documents/photos/

documents/financial/

المرحلة 3: التعافي والوقاية

نجاح! تم استعادة جميع الملفات من النسخة الاحتياطية بنجاح.

$ tar -xzf /backup/documents_2023-12-31.tar.gz -C /home/user/

تم استعادة 150 ملف بنجاح

$ sudo apt update && sudo apt upgrade

تم تحديث النظام

إجراءات وقائية مستقبلية:

تفعيل النسخ الاحتياطي التلقائي يومياً
تثبيت برنامج مكافحة الفيروسات
تحديث النظام بانتظام
عدم فتح مرفقات البريد الإلكتروني المشبوهة

المرحلة 1: اكتشاف الاختراق

تنبيه أمني: تم اكتشاف نشاط غير عادي في قاعدة بيانات العملاء. قد يكون هناك اختراق!

$ sudo tail -f /var/log/mysql/mysql.log

2024-01-01 12:00:01 [Warning] Aborted connection 1234 to db: 'customers'

2024-01-01 12:00:02 [Warning] Large number of SELECT queries from IP: 192.168.1.100

$ sudo netstat -an | grep 192.168.1.100

tcp 0 0 192.168.1.50:3306 192.168.1.100:54321 ESTABLISHED

يوجد اتصال غير مصرح به من IP 192.168.1.100 يقوم باستعلامات مكثفة على قاعدة بيانات العملاء.

المرحلة 2: تقييم الضرر

$ sudo iptables -A INPUT -s 192.168.1.100 -j DROP

تم حظر IP المهاجم

$ mysql -u root -p -e "SELECT COUNT(*) FROM customers WHERE last_access > '2024-01-01 11:00:00'"

+----------+

| COUNT(*) |

+----------+

| 5000 |

+----------+

تحذير: تم الوصول إلى بيانات 5000 عميل! قد تكون البيانات الشخصية قد سربت.

البيانات التي قد تكون سربت تشمل:

الأسماء الكاملة
عناوين البريد الإلكتروني
أرقام الهواتف
العناوين

المرحلة 3: التعافي والتحسين

تمت إدارة الأزمة بنجاح! لقد اتخذت جميع الإجراءات اللازمة لحماية العملاء وتحسين الأمان.

الإجراءات التي تم اتخاذها:

حظر IP المهاجم فوراً
إبلاغ جميع العملاء المتأثرين
تغيير كلمات المرور لجميع الحسابات
إصلاح ثغرة SQL Injection
تفعيل المراقبة الأمنية المتقدمة

$ sudo systemctl restart mysql

$ sudo mysql_secure_installation

تم تأمين قاعدة البيانات

المرحلة 1: اكتشاف الهجوم

طوارئ شبكية: موقعك الإلكتروني بطيء جداً وغير متاح للمستخدمين!

$ sudo netstat -an | grep :80 | wc -l

50000

$ sudo tail -f /var/log/nginx/access.log

192.168.1.100 - - [01/Jan/2024:12:00:01] "GET / HTTP/1.1" 200

192.168.1.101 - - [01/Jan/2024:12:00:01] "GET / HTTP/1.1" 200

192.168.1.102 - - [01/Jan/2024:12:00:01] "GET / HTTP/1.1" 200

...

يوجد 50,000 اتصال نشط على المنفذ 80! هذا يشير إلى هجوم حجب خدمة موزع (DDoS).

المرحلة 2: التخفيف من الهجوم

$ sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP

تم تحديد عدد الاتصالات لكل IP

$ sudo iptables -A INPUT -p tcp --dport 80 -m recent --name ddos --set

$ sudo iptables -A INPUT -p tcp --dport 80 -m recent --name ddos --update --seconds 60 --hitcount 10 -j DROP

تم حظر IPs التي تطلب أكثر من 10 اتصالات في الدقيقة

ملاحظة: تم تطبيق قواعد iptables للحد من عدد الاتصالات.

الآن سنقوم بتوجيه حركة المرور عبر خدمة التخفيف من DDoS:

$ sudo apt install cloudflared

$ cloudflared tunnel create mysite

تم إنشاء نفق Cloudflare

المرحلة 3: التعافي والوقاية

تم حماية الموقع بنجاح! عاد الموقع للعمل بشكل طبيعي.

$ sudo netstat -an | grep :80 | wc -l

500

$ curl -I http://mysite.com

HTTP/1.1 200 OK

Server: cloudflare

إجراءات وقائية مستقبلية:

الاشتراك في خدمة حماية DDoS احترافية
تفعيل CDN لتوزيع حركة المرور
مراقبة حركة المرور بشكل مستمر
إعداد خطة استجابة للطوارئ

المرحلة 1: اكتشاف النشاط المشبوه

تنبيه: تم اكتشاف نشاط غير عادي من حساب موظف في قسم تكنولوجيا المعلومات.

$ sudo grep "ahmed.ali" /var/log/auth.log

Jan 1 11:00:01 server sshd[1234]: Accepted password for ahmed.ali from 192.168.1.50

$ sudo grep "ahmed.ali" /var/log/syslog

Jan 1 11:30:00 server sudo: ahmed.ali : TTY=pts/0 ; PWD=/home/ahmed.ali ; USER=root ; COMMAND=/bin/cat /etc/shadow

$ sudo ls -la /tmp/transfer/

-rw-r--r-- 1 ahmed.ali ahmed.ali 1048576 Jan 1 11:45 customer_data.sql

الموظف أحمد علي يقوم بنقل ملفات حساسة خارج النظام!

المرحلة 2: التحقيق وجمع الأدلة

$ sudo tcpdump -i any -w evidence.pcap host 192.168.1.50

جمع حزم الشبكة كدليل

$ sudo find /home/ahmed.ali -name "*.sql" -type f

/home/ahmed.ali/Documents/customer_data.sql

$ sudo strings /home/ahmed.ali/Documents/customer_data.sql | head -10

INSERT INTO customers VALUES (1, 'John Doe', 'john@example.com', ...)

تأكيد: تم العثور على أدلة قوية تشير إلى أن الموظف يقوم بنقل بيانات العملاء.

البيانات التي تم نسخها تشمل:

بيانات 10,000 عميل
معلومات بطاقات الائتمان
سجلات الشراء

المرحلة 3: التعامل مع التهديد

تم التعامل مع التهديد بنجاح! تم حماية البيانات واتخاذ الإجراءات اللازمة.

الإجراءات التي تم اتخاذها:

تعليق حساب الموظف فوراً
إبلاغ الإدارة العليا والموارد البشرية
جمع جميع الأدلة الرقمية
مراجعة سجلات الوصول للبيانات
تحديث سياسات الأمن الداخلي

$ sudo usermod -L ahmed.ali

تم تعليق حساب المستخدم

$ sudo chmod 000 /home/ahmed.ali

تم حظر الوصول إلى ملفات الموظف

الاستجابة للحوادث السيبرانية

هجوم التصيد الاحتيالي

هجوم برامج الفدية

اختراق البيانات

هجوم حجب الخدمة

تهديد داخلي

الاستجابة للحوادث السيبرانية

هجوم التصيد الاحتيالي

هجوم برامج الفدية

اختراق البيانات

هجوم حجب الخدمة

تهديد داخلي

محاكاة: هجوم التصيد الاحتيالي

محاكاة: هجوم برامج الفدية

محاكاة: اختراق البيانات

محاكاة: هجوم حجب الخدمة

محاكاة: تهديد داخلي