كاسبركي تقيّم فعالية مراكز العمليات الأمنية والتعامل مع النقطة العمياء

الثلاثاء، 19 مايو 2026 02:56 م

شركة كاسبرسكي

أظهر تقرير عالمي حديث صادر عن خدمات كاسبرسكي الأمنية بعنوان «تشريح العالم السيبراني»، وجود نقطة عمياء غير ملحوظة في مراكز العمليات الأمنية (SOC) داخل المؤسسات، وبينما يتم قياس الأداء عادةً بناء على سرعة الكشف عن الهجمات السيبرانية والاستجابة لها، إلا أن المؤسسات نادراً ما تتحقق من كون أنظمتها ترصد أكثر التهديدات أهمية بالفعل أم لا، ونسبة كبيرة من بيانات القياس عن بُعد التي يتم جمعها لا تصل إلى أنظمة الكشف الفوري، مما يؤدي إلى ظهور فجوات خفية لا ترصدها التقييمات الداخلية بسهولة، الأمر الذي يعزز الحاجة إلى خدمات استشارية مستقلة لمراجعة كفاءة مراكز العمليات الأمنية وكشف أوجه القصور فيها.

استثمارات المؤسسات في مراكز العمليات الأمنية

ورغم تزايد استثمارات المؤسسات في مراكز العمليات الأمنية، إلا أن قياس الأداء الحقيقي لهذه الجهات ما يزال يشكل تحدياً كبيراً، ونجاح العمليات الأمنية لا يرتبط فقط بحجم البيانات التي يتم جمعها، وإنما بمدى الاستفادة من تلك البيانات في الكشف عن التهديدات، وبحسب استطلاع حديث أجرته كاسبرسكي، تعتمد المؤسسات عادةً على نطاق محدود من مؤشرات الأداء الرئيسية عند تقييم فعالية مراكز العمليات الأمنية، إذ يبرز متوسط زمن الاكتشاف (MTTD) ومتوسط زمن الاستجابة (MTTR) كمؤشرين أساسيين، وتتراجع أهمية بعض المؤشرات الأكثر عمقاً.

تشير نتائج التقرير العالمي الصادر عن خدمات كاسبرسكي الأمنية إلى نمط ثابت في عمل مراكز العمليات الأمنية؛ إذ يتم جمع بيانات أكثر بكثير مما يُستخدم فعلياً في الكشف عن التهديدات، ويبلغ متوسط تغطية قواعد الارتباط بين المؤسسات التي شملها التقييم 43%، أي أن أنظمة الكشف النشط تغطي أقل من نصف مصادر البيانات المُجمعة، وتبقى متاحة داخل النظام لاستخدامها لاحقاً في التحقيقات أو البحث عن التهديدات أو لغايات الامتثال، لكنها لا تُستثمر في الكشف الفوري عن التهديدات.

لا يمكن دائماً اعتبار هذه الفجوة غير مقصودة، إذ يتم جمع بعض البيانات بشكل متعمد خارج نطاق آليات الارتباط النشطة، بهدف دعم التحقيقات أو تلبية المتطلبات التنظيمية، غير أنه في العديد من الحالات الأخرى، يتم دمج مصادر البيانات دون وجود خطة محددة للكشف، أو مع تأجيل عملية تطوير القواعد إلى أجل غير مسمى، ومع أن هذا الوضع يُلاحظ عادة في مراكز العمليات الأمنية الأكثر نضجاً، فإن المراكز الأقل نضجاً تشهد غالباً جمعاً للبيانات دون استخدامها فعلياً.

إدخال مصادر بيانات قبل اكتمال تطوير قواعد الكشف

وتتعدد الأسباب وراء ذلك، ومن بينها إدخال مصادر بيانات قبل اكتمال تطوير قواعد الكشف، أو الاكتفاء بمتطلبات الامتثال دون وجود حاجة تشغيلية لربط البيانات وتحليلها، أو عدم وضوح المسؤولية الداخلية عن تطوير آلية الكشف، بالإضافة إلى محدودية الموارد التي تؤدي إلى تأجيل الأعمال الهندسية، وتظل أجزاء كبيرة من البيئة التقنية خارج نطاق المراقبة الفورية.

تزداد صعوبة معالجة هذه المشكلة كلما كبر حجم المؤسسة، إذ إن مراكز العمليات الأمنية التي تتعامل مع كميات كبيرة من البيانات لا تطبق آليات كشف فعّالة إلا على نحو 30% من مصادر البيانات لديها، ومع توسع البنية التحتية، لا تتطور قدرات فرق هندسة الكشف بالمعدل ذاته، وغالباً ما تكون البيانات المتنوعة للشبكات، وقواعد البيانات، وخوادم الويب من أكثر المصادر التي تُترك دون تغطية، رغم أنها تشكل عناصر محورية يجب أن تكون في صميم أي استراتيجية فعّالة للرصد والكشف الأمني.

يختلف نهج إعداد آلية الاكتشاف الأمني بصورة ملحوظة من مؤسسة إلى أخرى، إذ تعتمد نحو 50% من مراكز العمليات الأمنية التي خضعت للتقييم على قواعد جاهزة مقدمة من المورّدين، بينما يفضّل نحو 40% بناء آليات الكشف الخاصة بهم داخلياً من البداية، وغالباً ما تعاني الفرق التي تعتمد على حلول المورّدين من كثرة الإنذارات الخاطئة وفجوات في التغطية بسبب ضعف عمليات التهيئة والتخصيص، في حين تواجه المؤسسات التي تعتمد بشكل أساسي على تقنيات اكتشاف نقاط النهاية والاستجابة لها (EDR) من نقاط عمياء بسبب غياب الربط والتحليل بين مصادر البيانات المختلفة، كما أن العديد من المؤسسات تضع نطاق الاكتشاف الخاص بمركز العمليات الأمنية عند تأسيسه فقط، ثم لا تعيد تقييمه لاحقاً، مما يسمح بتراكم النقاط العمياء تدريجياً مع توسع البنية التحتية وتطورها.