كشف الحرائق. أنتجت الحاوية الموجودة على عقدة Kubernetes للإنتاج غلافًا. يفتح محلل SOC الخاص بك التنبيه – ولكن بحلول الوقت الذي يصلون فيه إلى هناك، تكون الحاوية قد اختفت. تُظهر شجرة العملية الأصل. البرنامج النصي الذي تم تشغيله بالفعل؟ لا يمكن العثور عليها في أي مكان.
هل كان هذا مهاجمًا؟ مشرف؟ أدوات مشروعة؟ بدون الدليل، كل إجابة هي تخمين.
يعد هذا تحديًا كبيرًا في التحقيق الأمني السحابي. أعباء العمل تدور وتختفي في دقائق. يتم تنفيذ الهجمات الخالية من الملفات بالكامل في الذاكرة، دون ترك أي شيء على القرص. بحلول الوقت الذي يبدأ فيه محلل مركز العمليات الأمنية (SOC) بالفرز – أو عندما يتولى فريق علاقات المستثمرين مهمة التصعيد – تكون العناصر التي قد تجيب على الأسئلة المهمة قد تبخرت مع عبء العمل الذي ولّدها.
واليوم يتغير ذلك. أصبح Wiz Forensics متاحًا بشكل عام الآن وممكّنًا لعملاء Wiz Runtime Sensor، مما يمنح فرق الأمن الأدلة التي يحتاجونها في الوقت الأكثر أهمية – وتحليل الذكاء الاصطناعي لفهمها على الفور.
فجوة الأدلة عبر رحلة التهديد
يؤثر التحدي المتمثل في فقدان الأدلة على كل مرحلة من مراحل كيفية استجابة فرق الأمن للتهديدات. عندما يتم الكشف، فإن مهمة محلل SOC هي تحديد ما إذا كان التنبيه حقيقيًا وعاجلًا ويستحق التصعيد. لكن التنبيهات تصل بشكل روتيني دون العناصر اللازمة لتأكيد النطاق والنية. النص الدقيق الذي تم تنفيذه، والملف الثنائي الذي تم تحميله، والملفات التي تم الوصول إليها – إذا انتهى عبء العمل، فذلك هو الدليل. ما تبقى هو البيانات الوصفية: اسم العملية، والعملية الأصلية، والطابع الزمني. يكفي لتوليد تنبيه. لا يكفي للتحقق من صحة واحدة. والنتيجة هي تصعيد المحللين للإشارات الجزئية، وقضاء ساعات في البحث يدويًا عن السياق عبر الأدوات والفرق، أو الأسوأ من ذلك تجاهل التهديدات التي لم يتمكنوا من التحقيق فيها بشكل كامل.
بالنسبة لفرق الأشعة تحت الحمراء، تتفاقم المشكلة عند التصعيد. بحلول الوقت الذي تصل فيه التذكرة، غالبًا ما يتم إعادة تدوير عبء العمل بالفعل. حمولات الذاكرة التي لم تمس القرص مطلقًا، وعمليات الحاويات قصيرة العمر، والثنائيات التي تعمل مرة واحدة وتخرج – لا يبقى أي منها على قيد الحياة. إن إعادة بناء ما حدث تصبح تخمينًا قضائيًا: هل تم إثبات الإصرار؟ هل حدث التسرب قبل تدمير الحاوية؟ وبدون الأدلة من وقت وقوع الحدث، لا يمكن الإجابة على هذه الأسئلة بثقة.
الرابط المفقود ليس المزيد من تغطية الكشف أو التنبيه الأسرع. إنها عملية جمع أدلة تلقائية واعية بالسياق – يتم التقاطها في اللحظة التي يتم فيها اكتشاف التهديد، ونطاقها لتشمل ما يهم فعليًا لهذا التهديد المحدد، وتحليل العناصر قبل أن يفتح المحلل التنبيه.
الأدلة التي يتم جمعها في لحظة الكشف – تلقائيا
تعالج Wiz Forensics هذه المشكلة عن طريق عكس نموذج التحقيق التقليدي. بدلاً من انتظار المحلل لسحب العناصر يدويًا بعد إطلاق التنبيه، يقوم Wiz Runtime Sensor تلقائيًا بجمع حزمة الطب الشرعي في لحظة حدوث الاكتشاف – التقاط البرنامج النصي أو الثنائي، وشجرة العملية، وتاريخ الصدفة، وتكوين SSH، وطبقة انحراف الحاوية، وسجلات النظام قبل أن تتاح الفرصة لأعباء العمل للاختفاء.
يتم تشغيل المجموعة تلقائيًا استنادًا إلى قواعد اكتشاف التهديدات (TDRs)، والتي يتم تحديد نطاقها وفقًا للسياق المحدد للتهديد، وتكون متاحة في وحدة تحكم Wiz قبل أن ينتهي المحلل من قراءة التنبيه.
الفرق في نتائج التحقيق كبير. قم بإجراء اكتشاف يتم تشغيله عندما تنتج عملية قاعدة بيانات قذيفة bash – وهو انحراف أساسي شائع لا يخبرك إلا بالقليل جدًا. بدون حزمة الطب الشرعي، الحكم هو ثقة منخفضة، غير حاسمة لأنه خارج الكشف، لا توجد معلومات أخرى متاحة.
باستخدام حزمة الاستشعار الجنائي، يقوم Wiz Blue Agent بتحليل القطع الأثرية التي تم جمعها والعثور على شيء مختلف: تُظهر سجلات Postgres دليلاً على استغلال حقن SQL بما يتوافق مع حملة تعدين العملات المشفرة Soco404 – بالإضافة إلى مؤشرات استخراج البيانات النشطة من قاعدة البيانات. ينقلب الحكم إلى High Confidence Malicious، مع جدول زمني للهجوم مُعاد بناؤه ونطاق هجوم محدد، جاهز لتسليم IR.
نفس التنبيه. نفس الكشف. نتيجة معاكسة – لأن الأدلة كانت موجودة.
الذكاء الاصطناعي الذي يحول الأدلة إلى أحكام
إن جمع الأدلة الصحيحة ليس سوى نصف المشكلة. أما النصف الآخر فهو التحليل – وفي معظم المنظمات، يقع هذا العبء بالكامل على عاتق المحلل.
تقوم Wiz Forensics بتغيير هذا الأمر باستخدام Forensics AI Engine، الذي يقوم تلقائيًا بتحليل حزم أجهزة الاستشعار الجنائية لحظة جمعها. تتم معالجة البرامج النصية وبيانات التنفيذ والسجلات وسياق أحداث وقت التشغيل معًا لتسليط الضوء على أهم الأفكار من الحزمة – كل منها مدعوم بأدلة جنائية محددة – قبل أن يضطر المحلل إلى فتح ملف واحد.
تغذي هذه الأفكار مباشرة تحقيقات العميل الأزرق وحكمه. والنتيجة ليست تفريغ القطع الأثرية الخام ليقوم المحلل بتحليلها. إنها نتيجة عملية: ما حدث، وما هي الأدلة التي تدعمه، وما هي الخطوات التالية الموصى بها.
ضع في اعتبارك اكتشافًا يتم تشغيله على عبء عمل وكيل الذكاء الاصطناعي: سطر أوامر عكسي مشتبه به يتم تنفيذه على databot-vm. تحكي شجرة العملية جزءًا من القصة – أنشأ app.py نصًا مؤقتًا، والذي نفذ system_report.sh، والذي أطلق في النهاية غلاف Python العكسي الذي يتصل بـ openai-gpt-5.com:9001 كجذر. لكن شجرة العملية وحدها لا تستطيع أن تخبرك بالأحداث التي حدثت كجزء من system_report.sh والتي أدت إلى تنفيذ الغلاف العكسي وما إذا كانت ضارة حقًا.
يقوم Forensics AI Engine بتحليل system_report.sh من الحزمة التي تم جمعها وربط محتوياتها بأدلة وقت التشغيل – مما يؤكد الغلاف العكسي المضمن، وخط أنابيب استخراج قاعدة بيانات RDS، ونشاط استمرار المهاجم من خلال سجلات وكيل SSM. ما وصفته شجرة العملية بأنه مشبوه، أكده وكيل الطب الشرعي على أنه هجوم منسق ومتعدد المراحل – مع وجود أدلة تدعمه.
يتم تمرير هذا الدليل تلقائيًا إلى Blue Agent – وكيل تحقيق الذكاء الاصطناعي التابع لـ Wiz الذي يربط بين الاكتشافات والسياق السحابي ونتائج الهوية وأدلة الطب الشرعي لإصدار حكم كامل بالتهديد – ويصنف التهديد على أنه ضار عالي الثقة: سلسلة هجوم متعددة المراحل أعيد بناؤها بالكامل بدءًا من الحقن الفوري الأولي وحتى تصفية البيانات، وتم تأكيدها قبل أن يقوم المحلل بمراجعة الاكتشاف يدويًا.
ابدأ مع Wiz Forensics
أصبح Wiz Forensics متاحًا بشكل عام وممكّنًا لجميع عملاء Wiz Runtime Sensor. إذا كنت أحد عملاء Wiz Runtime Sensor الحاليين، فيمكنك البدء في رؤية مجموعات الأدلة الجنائية اليوم كجزء من الاكتشافات المجمعة في صفحة التهديدات الخاصة بك (يلزم تسجيل الدخول). لمعرفة المزيد قم بزيارة مستندات الطب الشرعي (يلزم تسجيل الدخول).
إذا كنت مستخدمًا جديدًا لـ Wiz، فاطلب عرضًا توضيحيًا لمعرفة كيف يمكن لـ Wiz Forensics مساعدة فرق SOC وIR في التحقيق في التهديدات والاستجابة لها بشكل أسرع.
