ما هي استخبارات التهديدات (Threat Intelligence)؟

عندما تسمع مصطلح استخبارات التهديدات Threat Intelligence قد يبدو في البداية وكأنه مفهوم معقد مخصص للجهات الأمنية الكبرى أو فرق الأمن السيبراني المتقدمة فقط، لكن الفكرة الأساسية أبسط من ذلك بكثير. تخيل أن لديك شركة، وتعرف أن مجموعة من المهاجمين بدأت تستهدف شركات تعمل في المجال نفسه، وأنها تستخدم رسائل تصيد محددة، ونوعًا معينًا من البرمجيات الخبيثة، ومسارات معروفة للوصول إلى الأنظمة. هذه المعرفة وحدها ليست مجرد "معلومة"؛ عندما يتم تحليلها وربطها ببيئتك ثم استخدامها لتحسين الحماية، تصبح استخبارات تهديدات.

بمعنى آخر، استخبارات التهديدات لا تهدف إلى جمع أكبر كمية ممكنة من البيانات عن الهجمات، بل إلى تحويل المعلومات المبعثرة إلى معرفة قابلة للاستخدام في اتخاذ قرار أمني. قد يكون القرار تحديث نظام معين بسرعة، أو إضافة قاعدة كشف جديدة داخل مركز العمليات الأمنية، أو تنبيه الموظفين إلى حملة تصيد تستهدف قطاعهم، أو حظر نطاقات وعناوين IP مرتبطة بنشاط ضار، أو تعديل أولويات فريق الأمن بالكامل.

وهنا يظهر الفرق الحقيقي بين المعلومات الخام والاستخبارات. وجود قائمة تحتوي على ألف عنوان IP مشبوه لا يعني أنك تمتلك Threat Intelligence جيدة. السؤال الأهم هو: أي من هذه العناوين يمثل خطرًا فعليًا على مؤسستك؟ من يستخدمه؟ وما التكتيكات التي يتبعها؟ وهل يستهدف قطاعك؟ وكيف تستطيع استخدام هذه المعرفة لمنع الهجوم أو اكتشافه مبكرًا؟

في هذا المقال سنفهم ما هي استخبارات التهديدات، وكيف يتم جمعها وتحليلها، وما أنواعها، وكيف تستخدمها الشركات وفرق SOC، وما المشكلات التي يمكن أن تظهر عندما تتحول العملية إلى مجرد تكديس للبيانات بدل إنتاج معرفة أمنية حقيقية.

ما هي استخبارات التهديدات (Threat Intelligence)؟

ما المقصود باستخبارات التهديدات؟

يمكن تعريف استخبارات التهديدات ببساطة بأنها معلومات مرتبطة بالتهديدات السيبرانية تم جمعها وتحليلها وإثراؤها بالسياق حتى تصبح مفيدة لاتخاذ القرارات الأمنية.

كلمة السياق هنا مهمة جدًا.

إذا قلت لك إن عنوان IP معين ظهر في هجوم، فهذه معلومة. لكن إذا قلت إن هذا العنوان مرتبط ببنية تستخدمها مجموعة تهديد معروفة، وأن المجموعة تستهدف شركات في قطاع معين، وأن نشاطها يعتمد على سرقة حسابات البريد ثم الحركة الجانبية داخل الشبكة، فقد أصبحت لديك صورة أكثر فائدة.

الهدف إذن ليس معرفة "ما حدث فقط"، وإنما الإجابة عن مجموعة أسئلة:

من هو التهديد المحتمل؟

ماذا يريد؟

كيف يعمل؟

ما الأنظمة التي يستهدفها؟

ما المؤشرات التي يمكن اكتشافها؟

وما الإجراءات التي يمكن اتخاذها قبل أن يصل إلينا؟

ما الفرق بين Threat Data وThreat Information وThreat Intelligence؟

هذه المصطلحات تُستخدم أحيانًا وكأنها شيء واحد، لكنها تمثل درجات مختلفة من النضج.

بيانات التهديدات Threat Data

هي البيانات الخام، مثل:

• عنوان IP مشبوه.

• اسم نطاق.

• Hash لملف خبيث.

• عنوان بريد إلكتروني.

• توقيت اتصال غير طبيعي.

• اسم برمجية خبيثة.

هذه البيانات قد تكون صحيحة، لكنها بدون تفسير قد لا تعني الكثير.

معلومات التهديد Threat Information

هنا تبدأ البيانات في الحصول على معنى.

مثلًا: عنوان IP معين ظهر في عدة هجمات خلال أسبوع، أو ملف خبيث مرتبط بحملة تصيد تستهدف مؤسسات مالية.

استخبارات التهديد Threat Intelligence

في هذه المرحلة يتم تحليل المعلومات وإضافة السياق حتى تصبح قابلة لاتخاذ قرار.

على سبيل المثال:

"هناك حملة تستهدف قطاعًا مشابهًا لنا، وتستخدم رسائل تصيد تحمل ملفات معينة، وقد لاحظنا أن إحدى تقنيات الهجوم يمكن أن تؤثر في نظام نستخدمه. لذلك يجب تحديث النظام، وإضافة قواعد كشف، وتوعية المستخدمين."

هذه هي القيمة الحقيقية.

لماذا تحتاج الشركات إلى استخبارات التهديدات؟

لأن الدفاع دون معرفة الخصم يشبه حراسة مبنى وأنت لا تعرف من يحاول دخوله أو أي باب يفضله.

يمكن أن تشتري الشركة أفضل الأدوات الأمنية، لكن إذا لم تعرف أنواع التهديدات التي تستهدفها، فقد تهدر مواردها على أشياء أقل أهمية.

استخبارات التهديدات تساعد المؤسسة على الانتقال من موقف رد الفعل إلى موقف أكثر استباقية.

بدل انتظار وقوع الهجوم ثم محاولة فهمه، يمكن الاستفادة من النشاط الذي تم رصده في أماكن أخرى للتحضير مسبقًا.

هل كل الشركات تواجه التهديدات نفسها؟

لا.

وهذه نقطة جوهرية.

بنك كبير يواجه مجموعة مخاطر تختلف عن شركة ناشئة صغيرة، وشركة تعمل في الطاقة قد تكون هدفًا لأنواع مختلفة من المهاجمين مقارنة بمتجر إلكتروني.

لذلك لا توجد استخبارات تهديدات مفيدة بنفس الدرجة للجميع.

المشكلة: جمع كل شيء

بعض المؤسسات تشترك في عشرات مصادر التهديدات وتحصل على ملايين المؤشرات، ثم تعتقد أن ذلك يعني أن لديها برنامج Threat Intelligence قويًا.

لكن الكم الهائل قد يتحول إلى ضوضاء.

الحل

يجب أن تبدأ من سؤال: ما التهديدات المهمة بالنسبة لنا؟

حدد قطاعك، وأصولك المهمة، والتقنيات التي تستخدمها، ونوع البيانات التي تحميها، ثم اجمع المعلومات المرتبطة بهذه المخاطر.

الجودة أهم من الكمية.

ما هي أنواع استخبارات التهديدات؟

يمكن تقسيم Threat Intelligence إلى عدة مستويات حسب نوع القرار الذي تخدمه.

الاستخبارات الاستراتيجية Strategic Threat Intelligence

هذا المستوى يهتم بالصورة الكبيرة.

من هم التهديدات التي تستهدف القطاع؟

ما الاتجاهات الجديدة في الهجمات؟

هل هناك تغير في دوافع المهاجمين؟

ما المخاطر التي قد تؤثر في المؤسسة خلال الأشهر أو السنوات القادمة؟

هذه المعلومات تكون مفيدة للإدارة وصناع القرار، لأنها تساعدهم على فهم المشهد العام وتحديد الأولويات والاستثمارات.

مثال

إذا لاحظت المؤسسة أن قطاعها أصبح يتعرض بشكل متزايد لهجمات ابتزاز رقمي تستهدف سلاسل الإمداد، فقد تقرر زيادة الاستثمار في تقييم الموردين والنسخ الاحتياطية والاستجابة للحوادث.

الاستخبارات التكتيكية Tactical Threat Intelligence

هذا النوع يركز على تكتيكات وتقنيات وإجراءات المهاجمين TTPs.

كيف يدخل المهاجم؟

كيف يحصل على صلاحيات؟

كيف يتحرك بين الأجهزة؟

كيف يسرق البيانات؟

كيف يخفي نشاطه؟

هذا المستوى مفيد جدًا لفرق الدفاع لأنه يساعدها على بناء وسائل كشف تعتمد على سلوك المهاجم وليس فقط على مؤشر بسيط يمكن تغييره بسهولة.

الاستخبارات التشغيلية Operational Threat Intelligence

تركز على حملات أو مجموعات أو عمليات تهديد فعلية.

قد تتضمن معلومات عن حملة تصيد جارية، أو مجموعة تستهدف قطاعًا معينًا، أو نوع من البنية التحتية التي تستخدمها.

هذا النوع من المعلومات يساعد الفرق الأمنية على التحضير لنشاط محدد قد يكون قريبًا أو مستمرًا.

الاستخبارات التقنية Technical Threat Intelligence

هذا هو المستوى الذي يتعامل مع المؤشرات الفنية مثل:

• عناوين IP.

• النطاقات.

• Hashes.

• URLs.

• مؤشرات البرمجيات الخبيثة.

• أنماط الشبكة.

هذه المعلومات يمكن استخدامها مباشرة في أدوات مثل SIEM أو EDR أو أنظمة الحماية الأخرى، لكنها عادةً قصيرة العمر نسبيًا لأن المهاجم يستطيع تغيير البنية التحتية بسرعة.

لماذا TTPs أهم أحيانًا من عنوان IP؟

لنفرض أن المهاجم يستخدم خادمًا بعنوان IP معين.

يمكنه تغيير هذا العنوان خلال دقائق.

لكن طريقته في العمل قد تكون أكثر ثباتًا: ربما يبدأ من بريد تصيد، ثم يستخدم أداة شرعية للوصول، ثم يبحث عن حسابات إدارية، ثم يحاول الحركة الجانبية.

هذا السلوك أصعب في التغيير بالكامل.

ولهذا تعتمد كثير من برامج Threat Intelligence الحديثة على فهم تكتيكات وتقنيات المهاجمين.

ما علاقة MITRE ATT&CK باستخبارات التهديدات؟

MITRE ATT&CK عبارة عن قاعدة معرفة تساعد فرق الأمن على تنظيم وفهم السلوكيات التي يستخدمها المهاجمون.

الفكرة ليست معرفة اسم المجموعة فقط، بل معرفة كيف تعمل.

يمكن للمحلل ربط تقرير تهديد بمجموعة من التكتيكات والتقنيات، ثم استخدام هذه المعرفة لمعرفة هل المؤسسة تستطيع اكتشاف هذه السلوكيات أم لا.

مثال عملي

إذا أظهر تقرير أن مجموعة تهديد تستخدم تقنية معينة للحصول على بيانات اعتماد المستخدمين، يستطيع فريق الأمن أن يسأل:

هل لدينا Log يكشف هذا النشاط؟

هل EDR يستطيع اكتشافه؟

هل لدينا تنبيه داخل SIEM؟

إذا كانت الإجابة لا، فهذه فجوة دفاعية يمكن تحسينها.

وهنا تتحول Threat Intelligence من تقرير يُقرأ إلى تحسين فعلي في الدفاع.

من أين تأتي استخبارات التهديدات؟

المصادر كثيرة جدًا، ويمكن تقسيمها إلى داخلية وخارجية.

المصادر الداخلية

هذه من أهم المصادر لأن المؤسسة تعرف من خلالها ما يحدث داخل بيئتها.

تشمل:

• سجلات الأنظمة.

• تنبيهات SIEM.

• بيانات EDR.

• رسائل التصيد التي تم الإبلاغ عنها.

• حوادث سابقة.

• سجلات الشبكة.

• تحقيقات فريق SOC.

هذه البيانات تمنح المؤسسة رؤية مرتبطة بواقعها الحقيقي.

المصادر الخارجية

قد تشمل تقارير شركات الأمن، وتحذيرات الجهات الرسمية، ومشاركة المعلومات بين المؤسسات، وقواعد البيانات المفتوحة، وأبحاث البرمجيات الخبيثة، ومصادر Threat Feeds.

المهم ليس الاشتراك في كل شيء، بل اختيار المصادر ذات الصلة.

ما هي Threat Feeds؟

Threat Feed عبارة عن تدفق من بيانات أو مؤشرات التهديدات يتم تحديثه بصورة مستمرة أو دورية.

قد يحتوي على عناوين IP ونطاقات وHashes ومعلومات أخرى.

المشكلة: الاعتقاد أن Threat Feed هي Threat Intelligence كاملة

ليست كذلك بالضرورة.

القائمة الخام قد تكون مجرد بيانات.

لكي تصبح استخبارات مفيدة يجب تحليلها وإضافة السياق وربطها ببيئة المؤسسة.

الحل

لا تقم بإدخال آلاف المؤشرات إلى أنظمة الحماية دون تقييم.

اسأل:

ما مصدر المؤشر؟

ما مدى حداثته؟

هل ما زال نشطًا؟

هل هو مرتبط بتهديد يهمنا؟

ما مستوى الثقة فيه؟

دورة حياة استخبارات التهديدات

Threat Intelligence ليست عملية جمع مستمرة بلا نهاية. توجد دورة عمل تساعد على تحويل الاحتياجات إلى نتائج.

المرحلة الأولى: تحديد المتطلبات

ابدأ بالأسئلة التي تريد الإجابة عنها.

مثلًا:

ما مجموعات التهديد التي تستهدف قطاعنا؟

هل حملة معينة يمكن أن تؤثر في أنظمتنا؟

ما أكثر طرق الدخول شيوعًا؟

ما مؤشرات الاختراق المرتبطة بحادث حديث؟

هذه الأسئلة تمنع الفريق من جمع بيانات عشوائية.

المرحلة الثانية: جمع البيانات

بعد معرفة ما تبحث عنه تبدأ عملية الجمع من المصادر المناسبة.

يمكن أن تكون البيانات من الشبكة الداخلية أو تقارير خارجية أو جهات مشاركة معلومات.

المرحلة الثالثة: المعالجة

قد تأتي البيانات بصيغ مختلفة وتحتاج إلى تنظيف وتوحيد وإزالة التكرار.

مثلًا، قد تحصل على النطاق نفسه من خمسة مصادر مختلفة.

المعالجة تمنع تضخم البيانات دون قيمة.

المرحلة الرابعة: التحليل

هذه أهم مرحلة.

يبدأ المحلل في ربط البيانات ببعضها، وتحديد الأنماط، وتقييم الثقة، وفهم ما يعنيه التهديد للمؤسسة.

هنا تتحول الأرقام إلى قصة أمنية.

المرحلة الخامسة: التوزيع

الاستخبارات يجب أن تصل إلى الشخص المناسب بالشكل المناسب.

الإدارة لا تحتاج إلى قائمة من ألف Hash.

وفريق SOC لا يحتاج إلى تقرير استراتيجي من 50 صفحة أثناء التحقيق في تنبيه عاجل.

يجب تخصيص المخرجات حسب الجمهور.

المرحلة السادسة: التغذية الراجعة

بعد مشاركة التقرير يجب معرفة هل أجاب عن الأسئلة؟

هل ساعد الفريق؟

هل توجد معلومات ناقصة؟

ثم تبدأ الدورة من جديد بناءً على الاحتياجات الجديدة.

كيف تستخدم فرق SOC استخبارات التهديدات؟

مركز العمليات الأمنية يعتمد على Threat Intelligence في عدة جوانب.

يمكن للمحللين استخدام المؤشرات لفحص التنبيهات، وربط نشاط معين بمجموعات معروفة، وتحسين قواعد الكشف، وتحديد أولوية الحوادث.

مثال

يظهر اتصال إلى نطاق غير معتاد.

بدون سياق قد يبدو مجرد اتصال غريب.

لكن Threat Intelligence تكشف أن النطاق مرتبط ببنية تحتية لحملة برمجيات خبيثة حديثة.

هنا ترتفع أولوية التنبيه فورًا.

كيف تساعد Threat Intelligence في Incident Response؟

أثناء حادث حقيقي، الوقت مهم جدًا.

إذا وجد فريق الاستجابة ملفًا خبيثًا، يمكن استخدام استخبارات التهديد لمعرفة:

هل هذا الملف معروف؟

ما السلوك المرتبط به؟

ما المؤشرات الأخرى التي يجب البحث عنها؟

هل هناك بنية تحتية إضافية؟

هل توجد تقنيات معينة يستخدمها المهاجم بعد الإصابة؟

هذا يساعد على توسيع التحقيق بدل التركيز على جهاز واحد فقط.

كيف تساعد في Threat Hunting؟

Threat Hunting هو البحث الاستباقي داخل البيئة عن نشاط خبيث ربما لم ينتج تنبيهًا واضحًا.

استخبارات التهديدات توفر نقطة بداية ممتازة.

إذا علم الفريق أن مجموعة معينة تستخدم تقنية معينة، يمكنه البحث داخل السجلات عن علامات هذا السلوك.

هذا مثال قوي على التحول من انتظار الإنذار إلى البحث النشط عن التهديد.

المشكلة: التركيز على IOC فقط

IOC أو Indicator of Compromise مفيد، لكنه ليس كل شيء.

إذا اعتمد الفريق فقط على Hash أو IP، يمكن للمهاجم تغييرها بسهولة.

الحل

ادمج المؤشرات مع تحليل السلوك وTTPs.

ابنِ وسائل كشف تستهدف الطريقة التي يعمل بها المهاجم، لا الاسم الذي يستخدمه اليوم فقط.

ما معنى مستوى الثقة في Threat Intelligence؟

ليس كل تقرير موثوقًا بالدرجة نفسها.

قد يكون المصدر معروفًا بجودة عالية، أو قد يكون منشورًا مجهولًا على الإنترنت.

وقد يظهر مؤشر في مصدر واحد فقط أو في عشرات المصادر.

لذلك يجب أن يكون هناك تقييم للثقة.

المشكلة: التعامل مع كل مؤشر كحقيقة

قد يؤدي ذلك إلى حظر خدمات شرعية أو خلق آلاف التنبيهات الكاذبة.

الحل

ضع درجة ثقة، وراجع المصدر، وحداثة المعلومة، والسياق، ومدى ارتباطها ببيئتك.

ما مشكلة False Positives في Threat Intelligence؟

إذا كانت البيانات سيئة، قد تصنف عنوانًا شرعيًا بأنه خبيث.

هذا قد يؤدي إلى تعطيل مستخدمين أو خدمات حقيقية.

الحل

لا تحول Threat Feed مباشرة إلى قرارات حظر آلية دون ضوابط مناسبة.

استخدم مستويات ثقة، وقواعد زمنية، ومراجعة للبيانات المهمة.

الأتمتة مفيدة، لكن الأتمتة فوق بيانات سيئة تضاعف الخطأ بسرعة.

ما مشكلة المعلومات القديمة؟

في عالم التهديدات، البيانات تفقد قيمتها بسرعة.

عنوان IP كان يستخدمه مهاجم الأسبوع الماضي قد يكون اليوم تابعًا لمستخدم شرعي جديد.

الحل

يجب أن يكون للمؤشرات عمر زمني أو Expiration.

راجع البيانات واحذف أو خفّض ثقة المؤشرات القديمة إذا لم تعد هناك أدلة على نشاطها.

كيف تساعد Threat Intelligence الإدارة؟

الإدارة لا تحتاج عادة إلى تفاصيل فنية دقيقة، لكنها تحتاج إلى فهم المخاطر.

يمكن لتقرير استراتيجي أن يوضح:

ما التهديدات المتزايدة؟

أي قطاعات أو تقنيات تتعرض للهجوم؟

هل تحتاج المؤسسة إلى استثمار إضافي؟

هل يوجد خطر على سلسلة الإمداد؟

هذا يساعد على تحويل الأمن السيبراني من نقاش تقني إلى قرار أعمال.

استخبارات التهديدات في السعودية

في السعودية، يمثل رصد التهديدات والهجمات السيبرانية ومشاركة التنبيهات والتقارير جزءًا مهمًا من المنظومة الوطنية للأمن السيبراني، خصوصًا للجهات الوطنية والبنى التحتية الحساسة.

وجود هذه المنظومة مهم لأن الهجمات لا تتوقف عند حدود مؤسسة واحدة. معلومة تم اكتشافها في جهة يمكن أن تساعد جهة أخرى على منع الهجوم نفسه قبل أن يصل إليها.

وهذا يوضح لماذا تعتبر مشاركة المعلومات عنصرًا أساسيًا في Threat Intelligence.

لماذا مشاركة المعلومات مهمة؟

إذا تعرضت شركة لهجوم جديد واكتشفت مؤشراته وسلوكه، فإن مشاركة هذه المعرفة بطريقة مناسبة تساعد الآخرين.

بدل أن تواجه كل مؤسسة المهاجم وحدها، يصبح هناك دفاع جماعي.

لكن المشاركة تحتاج إلى قواعد واضحة؛ لأن التقارير قد تحتوي على بيانات حساسة أو تفاصيل لا ينبغي نشرها للجميع.

ما هي STIX وTAXII؟

في عالم استخبارات التهديدات توجد معايير تساعد على مشاركة البيانات بطريقة منظمة وقابلة للقراءة الآلية.

STIX يستخدم لتمثيل معلومات التهديدات في شكل منظم، بينما TAXII يستخدم لنقل ومشاركة هذه المعلومات بين الأنظمة.

الفكرة هي أن مشاركة Threat Intelligence لا تعتمد فقط على ملفات PDF يقرأها البشر، بل يمكن أن تتحول إلى عملية آلية تتبادل فيها الأنظمة المعلومات.

هل الأتمتة يمكن أن تستبدل محلل Threat Intelligence؟

الأتمتة ممتازة في معالجة الأحجام الكبيرة، وإزالة التكرار، وإثراء المؤشرات، وربط بعض البيانات.

لكنها لا تلغي دور المحلل.

المحلل يفهم السياق، ويقيّم النية، ويربط التهديد بطبيعة المؤسسة، ويحدد أهمية المعلومة.

الأتمتة مثل آلة فرز سريعة، لكنها تحتاج إلى عقل يحدد ما الذي يستحق الاهتمام.

أبرز مشكلة: جمع البيانات دون سؤال واضح

قد يمتلك فريق Threat Intelligence عشرات الأدوات، لكنه لا يعرف ما الذي يريد الإجابة عنه.

النتيجة تكون تقارير جميلة لكنها لا تغير أي قرار.

الحل

ابدأ بما يسمى Intelligence Requirements.

اسأل الإدارة وSOC والاستجابة للحوادث:

ما الذي تحتاجون إلى معرفته؟

بعد ذلك ابنِ عملية الجمع والتحليل حول هذه الأسئلة.

أبرز مشكلة: تقارير لا يمكن استخدامها

قد يكتب المحلل تقريرًا ممتازًا عن مجموعة تهديد لكنه لا يوضح ماذا يجب أن يفعل الفريق.

هذا يجعل التقرير معرفة نظرية فقط.

الحل

أضف قسمًا عمليًا:

ما الأنظمة المتأثرة؟

ما التقنيات المستخدمة؟

ما عمليات الكشف المقترحة؟

ما إجراءات الوقاية؟

ما المؤشرات التي يجب البحث عنها؟

بهذا يتحول التقرير إلى أداة تشغيلية.

كيف يبدأ المبتدئ في تعلم Threat Intelligence؟

إذا كنت طالبًا في الأمن السيبراني، لا تبدأ بمحاولة حفظ أسماء عشرات مجموعات التهديد.

ابدأ بفهم الأساسيات:

كيف تعمل الشبكات؟

كيف تعمل أنظمة التشغيل؟

ما هي Logs؟

ما الفرق بين IOC وTTP؟

كيف تستخدم MITRE ATT&CK؟

كيف تقرأ تقريرًا أمنيًا؟

بعد ذلك تدرب على أخذ تقرير عن حملة ما وتحويله إلى عناصر واضحة.

تمرين عملي للمبتدئ

اختر تقريرًا عامًا عن حملة تهديد، ثم حاول استخراج:

• من المستهدف؟

• ما نقطة الدخول؟

• ما البرمجية المستخدمة؟

• ما التكتيكات؟

• ما المؤشرات؟

• ما وسائل الكشف؟

• ما إجراءات الوقاية؟

هذا التمرين يعلمك التفكير كمحلل بدل حفظ المصطلحات.

كيف تعرف أن برنامج Threat Intelligence لديك ناجح؟

ليس بعدد المؤشرات التي جمعتها.

ولا بعدد التقارير التي كتبتها.

النجاح يقاس بالقيمة.

هل اكتشفت الهجمات أسرع؟

هل قل وقت التحقيق؟

هل تم تحسين قواعد الكشف؟

هل أصبح الفريق يعرف أي التنبيهات أهم؟

هل تم إغلاق فجوات بناءً على التقارير؟

إذا لم تغير الاستخبارات أي قرار، فهناك مشكلة في البرنامج.

أخطاء شائعة في استخبارات التهديدات

هناك مجموعة من الأخطاء تتكرر كثيرًا:

• جمع كل Feed متاح دون تحديد الحاجة.

• التعامل مع البيانات الخام كأنها Intelligence.

• الاعتماد فقط على IOC.

• تجاهل TTPs.

• عدم تقييم الثقة.

• عدم حذف المؤشرات القديمة.

• إرسال التقرير نفسه لكل جمهور.

• عدم ربط التهديد ببيئة المؤسسة.

• غياب التغذية الراجعة.

• استخدام الأتمتة دون مراجعة جودة البيانات.

• التركيز على أسماء مجموعات التهديد أكثر من سلوكها.

تجنب هذه الأخطاء يجعل البرنامج أصغر أحيانًا، لكنه أكثر فائدة.

ما العلاقة بين Threat Intelligence وإدارة المخاطر؟

إدارة المخاطر تسأل: ما الذي قد يحدث؟ وما احتمال حدوثه؟ وما أثره؟

Threat Intelligence تضيف جزءًا مهمًا: ما الذي يحدث فعليًا في الخارج؟

إذا كانت المؤسسة تعتقد أن هجومًا معينًا احتمالُه منخفض، ثم تظهر تقارير متكررة عن استهداف قطاعها بالطريقة نفسها، فقد تحتاج إلى إعادة تقييم الخطر.

وهكذا تساعد الاستخبارات على جعل تقييم المخاطر أكثر ارتباطًا بالواقع.

ما العلاقة بينها وبين إدارة الثغرات؟

إذا كان لديك عشرة آلاف ثغرة، فمن أين تبدأ؟

الدرجة الفنية للثغرة مهمة، لكنها ليست العامل الوحيد.

Threat Intelligence يمكن أن تخبرك أن ثغرة معينة يتم استغلالها فعليًا من مهاجمين يستهدفون قطاعك.

هنا ترتفع أولوية إصلاحها.

وهذا مثال ممتاز على Threat-Informed Vulnerability Management.

هل تحتاج كل شركة إلى فريق Threat Intelligence مستقل؟

ليس بالضرورة.

الشركة الصغيرة قد تستفيد من تقارير خارجية وخدمات مدارة ودمج معلومات التهديدات داخل SOC أو فريق الأمن.

أما المؤسسات الكبيرة فقد تحتاج إلى فريق مخصص يقوم بالجمع والتحليل والتوزيع.

الهدف ليس إنشاء قسم لمجرد وجود المصطلح، بل الحصول على قيمة فعلية تناسب حجم المؤسسة ومخاطرها.

كيف تتجنب الغرق في كمية المعلومات؟

هذه مشكلة حقيقية.

عالم الأمن السيبراني ينتج آلاف التقارير والمؤشرات يوميًا، ولا يستطيع أي فريق قراءتها كلها.

الحل هو الأولوية والتصفية.

ركز على:

قطاعك.

الأنظمة التي تستخدمها.

المناطق التي تعمل فيها.

المهاجمين الذين يستهدفون جهات مشابهة.

الأصول الأكثر قيمة.

بهذا تتحول كمية ضخمة من المعلومات إلى مجموعة أصغر يمكن العمل عليها.

الخلاصة: ما هي استخبارات التهديدات Threat Intelligence؟

استخبارات التهديدات هي عملية تحويل معلومات الهجمات والمهاجمين إلى معرفة تساعد المؤسسة على اتخاذ قرارات أمنية أفضل.

ليست قائمة من عناوين IP، وليست تقريرًا طويلًا عن مجموعة اختراق، وليست اشتراكًا في عشرات Threat Feeds.

قيمتها الحقيقية تظهر عندما تجيب عن سؤال مهم وتؤدي إلى فعل واضح.

ربما تساعد فريق SOC على رفع أولوية تنبيه.

أو تساعد مهندس الأمن على بناء قاعدة كشف جديدة.

أو تساعد إدارة الثغرات على تحديد Patch يجب تثبيته بسرعة.

أو تساعد الإدارة على الاستثمار في حماية قطاع أصبح مستهدفًا بشكل متزايد.

أفضل برامج Threat Intelligence لا تحاول معرفة كل شيء عن كل مهاجم؛ بل تعرف ما المعلومات التي تحتاج إليها المؤسسة، وتجمعها من المصادر المناسبة، وتحللها، ثم تحولها إلى قرار.

تخيل استخبارات التهديدات مثل نشرة جوية للأمن السيبراني. لا يكفي أن تعرف أن هناك عاصفة في مكان ما من العالم؛ تحتاج إلى معرفة هل تتجه نحو مدينتك، ومتى تصل، ومدى شدتها، وما الذي يجب أن تفعله قبل وصولها.

هذا هو الفرق بين البيانات والاستخبارات: البيانات تخبرك أن شيئًا موجود، أما الاستخبارات فتساعدك على معرفة ماذا يعني ذلك بالنسبة لك، وما الذي يجب أن تفعله الآن.