هل تشتبه في اختراق جارٍ؟ أبلغ عنه فوراً — الرد خلال ساعة واحدة.الإبلاغ عن حادث
تُبنى قواعد الكشف انطلاقاً من حوادث موثقة وقعت لدى مؤسسات مماثلة، وليس انطلاقاً من كتالوج عام.
الكشف والمراقبة
تأتي معظم قواعد الكشف المتوفرة في السوق من كتالوجات عامة يوفرها موردو حلول الأمن. وهي مصممة لتطبَّق على أكبر عدد ممكن من العملاء، دون مراعاة قطاع النشاط أو المنطقة الجغرافية أو التقنيات المُلاحظة فعلياً لدى مؤسسات مماثلة.
تعكس PIBD هذا المنطق. تُبنى قواعد الكشف المنشورة لدى العميل انطلاقاً من حوادث موثقة أثّرت على مؤسسات ضمن مجموعة أقرانه — نفس القطاع، وحجم مماثل، ونفس المنطقة الجغرافية، وتعرّض مشابه. وبذلك يستهدف الكشف التقنيات التي ثبت استخدامها فعلياً ضد هذا النوع من المؤسسات، بدلاً من المجموعة النظرية الكاملة للتقنيات المُدرجة.
تُطبَّق PIBD عبر سبع خطوات، من تحديد مجموعة الأقران إلى إعادة التقييم الدورية.
تحديد مجموعة الأقران
تُحدَّد مجموعة المقارنة وفق قطاع النشاط، وحجم المؤسسة، والمنطقة الجغرافية، ومستوى التعرض (سطح الهجوم، الظهور، أهمية الأصول).
جمع الحوادث الموثقة
تُجمع الحوادث المعلنة أو الموثقة التي أثّرت على مجموعة الأقران هذه من مصادر مفتوحة، وتقارير الموردين والهيئات القطاعية، ومن معلومات التهديدات التي تتابعها EBH Security.
إعادة بناء سلاسل الهجوم
تُفكَّك كل حادثة تم جمعها إلى سلسلة هجوم ثم تُربط بإطار MITRE ATT&CK، تقنية تلو الأخرى.
المقارنة مع القدرات الحالية
تُقارَن التقنيات المحددة بهذه الطريقة مع قواعد الكشف المنشورة فعلياً لدى العميل، لتحديد حالة التغطية الفعلية.
تحديد التقنيات غير المغطاة
تُعزل وتُرتَّب حسب الأولوية التقنيات الموثقة لدى الأقران والتي لا يمكن كشفها في بيئة العميل.
بناء القواعد الناقصة ونشرها وتوثيقها
تُكتب قاعدة كشف وتُختبر ثم تُنشر لكل تقنية ذات أولوية غير مغطاة، مع توثيقها (المنطق، مصدر البيانات، الإيجابيات الكاذبة المتوقعة).
التحقق عبر المحاكاة، ثم إعادة التقييم كل ثلاثة أشهر
تُتحقَّق كل قاعدة منشورة حديثاً عبر سيناريو محاكاة. تُعاد الدورة الكاملة — الجمع، المقارنة، النشر — كل ثلاثة أشهر لمتابعة تطور التهديدات التي تستهدف مجموعة الأقران.
تُقاس التغطية المحققة عبر معدل تقنيات MITRE ATT&CK القابلة للكشف على النطاق الخاضع للمراقبة — أي نسبة التقنيات ذات الصلة بمجموعة أقران العميل والتي تتوفر لها قاعدة كشف منشورة وموثقة فعلياً. يُتابَع هذا المؤشر باستمرار ويُدرج في كل تقرير مراقبة شهري.
PIBD مدمجة أصلاً في خدمة مركز العمليات الأمنية المُدار وخدمة الكشف والاستجابة المُدارة، ويمكن تطبيقها أيضاً بشكل مسبق لتقييم تغطية الكشف الحالية لبيئة خاضعة للمراقبة بالفعل.
