التغذية ليست استخبارات. والسؤال هو من سيقرؤها.

يمكن أن يُباع اشتراكان تحت اسم استخبارات التهديدات، وأن يراقب كلاهما المنتديات والأسواق نفسها، وأن ينتج كلاهما نتائج صحيحة. والفرق بينهما يظهر بعد توقيع العقد. من سيفتح المنصة، ومن سيقرر إن كان البند الوارد يشير إلى مؤسستك، ومن سيحوله إلى خطوة ينفذها إنسان. هذا العمل إما أن يكون قد أُنجز قبل أن تصلك النتيجة، وإما أن يتحول إلى مهمة على جانبك من الخط.

المادة الخام والقرار عمليتا شراء مختلفتان

تغذية المؤشرات قائمة وقائع عن الإنترنت. عنوان استضاف لوحة قيادة وسيطرة الأسبوع الماضي، وبصمة ملف شوهدت في حملة، ونطاق سُجّل قبل ساعة بنمط تسمية يطابق طقم تصيد. كل واحدة من هذه الوقائع قد تكون صحيحة، ولا واحدة منها قرار. القرار هو هل يمس البند أصولك، وما الذي ينبغي أن يغيره أحدهم بسببه.

بين الواقعة والقرار يقف إنسان. والمركز الوطني للأمن السيبراني في المملكة المتحدة يذكر هذا الارتباط صراحة في إرشاده حول بناء مركز عمليات أمنية. فإن كنت تكتب حالات الرصد الخاصة بك، فاستخبارات التهديدات جزء أساسي من العمل، وإن كنت تشتري أداة رصد تجارية فالمورّد هو من يؤدي ذلك الجزء. ويقول الإرشاد نفسه إن المحللين يحتاجون وقتا لقراءة تقارير الاستخبارات واستيعابها حتى تتحول تلك التقارير إلى حالات رصد أفضل. ووقت القراءة مسألة ملاك وظيفي، والملاك الوظيفي هو الجزء الذي لا يظهر أبدا في عرض السعر.

حصر المراقبة بأصولك فرق تجاري وليس تسهيلا

الحصر يعني أن تخبر المنصة بما أنت عليه قبل أن تطلب منها أن تنظر. النطاقات التي تملكها، والعلامات التي تتاجر بها، وأسماء التنفيذيين الذين يُنتحَلون، وأسماء الموردين الذين يظهرون على فواتيرك. عندها تعمل المراقبة مقابل تلك القائمة، وتصلك النتيجة مرتبطة بأصل تعرفه. ومن دون حصر تعمل المراقبة نفسها مقابل الإنترنت عموما، ويصبح ربط النتائج بأصولك مهمة لها مالك ونوبة عمل وطابور انتظار.

وحجم تلك المهمة يحدده السوق الذي يوجد فيه الدليل، لا شركتك. تقرير ENISA Threat Landscape 2025، الذي حلل 4875 حادثة بين 1 يوليو 2024 و30 يونيو 2025، يذكر أن 68.6 في المئة من عمليات الاختراق المسجلة انتهت بتسريب البيانات المسروقة للبيع في منتديات الجريمة السيبرانية. وإعلان المنتدى يكتبه بائع يريد مشترين ولا يريد محققين، فيستطيع الإعلان أن يصف الضحية بالقطاع والحجم والدولة دون تسميتها. وتمييز ما إذا كان الإعلان يخصك عمل قراءة، وهو العمل نفسه لمصرف لديه فريق استخبارات خاص به ولمصنع يتولى فيه مدير تقنية المعلومات الأمن أيضا.

والاعتراض البديهي هنا أن القراءة صارت رخيصة. وقد صارت كذلك بالفعل. فالنموذج اللغوي يلخص تقريرا طويلا، ويترجم منشور منتدى، ويجمّع الإعلانات شبه المكررة، ويحوّل تغذية أسبوع كامل إلى صفحة واحدة. أما الحصر فلم يصر رخيصا. فمعرفة أن بيانات اعتماد مسربة تخص مديرك المالي لا شخصا يحمل الاسم نفسه، وأن نطاقا شبيها يستهدف علامتك لا نظيرا لها في بلد آخر، وأن منشور منتدى يتعلق بسجلات عملائك لا بشركة تشبهها في الاسم، كل ذلك يتطلب معرفة ما تملكه ومن يعمل لديك. والنموذج الموجّه إلى تغذية عالمية يعيد تغذية عالمية أقصر، لا تغذيتك أنت. ولهذا فإن ما تقدمه للنموذج يقرر أكثر مما يقرره اختيار النموذج نفسه.

ما الذي يتغير حين يكون لديك محلل

الفريق الذي لديه محلل خاص به يواجه المشكلة المعاكسة. النتائج مطلوبة، لكن الواجهة مكان خاطئ لتلقيها، لأن القارئ خط رصد آلي لا شخص ينظر إلى لوحة. ولهذا وُجد المعياران اللذان تنشرهما OASIS.

STIX هو، بعبارة المواصفة نفسها، لغة للتعبير عن التهديد السيبراني والمعلومات القابلة للرصد. وهو يعرّف أنواع كائنات منها المؤشر والحملة ومجموعة الاختراق والبرمجية الخبيثة والجهة المهاجمة وإجراء المواجهة، ويعرّف كائنات علاقة تربط بينها، فتصل النتيجة حاملة الحملة التي تنتمي إليها والجهة التي تُنسب إليها بدل أن تصل عنوانا مجردا. وTAXII هو البروتوكول الذي ينقلها. تعرّف المواصفة المجموعة بأنها تجميع منطقي لاستخبارات التهديدات يُتبادل بين عميل وخادم بأسلوب طلب واستجابة، وتعرّف مرشحات منها المطابقة بنوع الكائن ومرشح يعيد الكائنات المضافة بعد طابع زمني يحدده العميل وحدها. وهكذا يسحب العميل الجديد فقط بدل تنزيل المجموعة كاملة من جديد.

ووجود هذين الاختصارين في ورقة المنتج يغيّر ما يُشترى فعليا. المنصة التي تصدّر CSV وPDF تترك للمحلل ملفا يفككه وأداة تفكيك يصونها. والمنصة التي تنشر مجموعة TAXII تترك لأدوات المحلل نقطة نهاية تُستعلم وفق جدول زمني وصيغة تعرفها مرحلة الإثراء أصلا. وتسلّم Recorded Future وIntel 471 استخباراتهما على افتراض وجود محلل يقرأ ويوجّه، وهو افتراض صحيح لذلك المشتري وخاطئ لفريق لا يوجد فيه هذا الشخص.

خمسة أسئلة تفصل بينهما أثناء التقييم

كلا النوعين يقدم عرضا تجريبيا مقنعا، لأن العرض يقوده محلل المورّد نفسه. وهذه الأسئلة تنقل العرض إلى الأرض التي ستعمل عليها أنت.

• اسأل ما الذي كانت المنصة تراقبه قبل أن تعطيها شيئا. إن كان الجواب الإنترنت، فالحصر عمل تُرك لك.
• اسأل ماذا تسمي النتيجة الواحدة. النتيجة التي تسمي نطاقك الفرعي أو تنفيذيك أو موزعك جرى ردها إلى أصولك، والنتيجة التي تسمي عنوانا لم يجر ردها.
• اسأل كيف تُحسب درجة الخطورة ومقابل أي قائمة. الدرجة المحسوبة دون الرجوع إلى جرد أصولك حُسبت قبل أن تصبح عميلا.
• اطلب المخرج الآلي أثناء التجربة لا بعدها. اطلب عنوان مجموعة TAXII ومفتاح API وكائن STIX واحدا، وانظر هل يصل.
• اسأل من يتلقى التنبيه في الثانية صباحا وما المتوقع أن يفعله بعدها. الجواب يسمي الفريق الذي يجب أن يوجد كي ينتج الاشتراك شيئا.

وإذا جاءت هذه الأجوبة عبارات قدرات بدل نتيجة عن نطاقك أنت، فما يُعرض عليك مادة خام، والتحليل لم يُشترَ بعد.

أين يتوقف هذا وأين تبدأ إدارة التعرض

يتداخل الاثنان في السطح. كلاهما يبدأ من خارج المحيط، وكلاهما يعدّد النطاقات الفرعية والشهادات والمنافذ المفتوحة، وكلاهما يجد أصولا لم تدخل جرد أحد. وسبب بقائهما عمليتي شراء منفصلتين هو ما يحدث للمخرج.

إدارة التعرض تراقب الأصول الخارجية لتخبرك بما تصلحه، وكل نتيجة تنتجها تنتهي بتغيير يستطيع أحدهم تنفيذه. أغلق المنفذ، وجدد الشهادة، وأكمل سجل DMARC، وأوقف الخادم الذي ظل يعمل بعد انتهاء المشروع. ولبطاقة العمل مالك في عمليات تقنية المعلومات، وتُغلق حين يتغير إعداد.

واستخبارات التهديدات ترسم الأصول الخارجية لتعرف ما الذي تترقبه، والأشياء التي تجدها تقع على بنية لا تملكها. النطاق الشبيه مسجل بحساب شخص آخر. وبيانات الاعتماد صارت في يد شخص آخر. والتنفيذي يُنتحَل على منصة مراسلة لا تديرها. ولذلك تختلف الإجراءات في نوعها، ومنها طلب إزالة، وإعادة تعيين إجبارية لكلمة المرور، وتحذير للإدارة المالية بشأن فاتورة على وشك الوصول. والتقييم الذي يعامل الاثنين على أنهما شيء واحد يمضي حتى نهايته، لأن كليهما يجيب سؤال ما يوجد في الخارج إجابة صحيحة. والفجوة تظهر لاحقا، حين تصل نتيجة ولا يكون أحد قد سُمي للتصرف بها.

المنتج الذي تشير إليه هذه المقالة

استخبارات التهديدات في محفظتنا يغطيها Cyberthint. تُعرَّف أولا النطاقات والعلامات والتنفيذيون، ثم تعمل مراقبة الويب السطحي والعميق والمظلم مقابل تلك القائمة، فتصل النتيجة مصنفة مقابل أصل سميته أنت لا بندا في تغذية عالمية. وحيث يوجد محلل، تخرج النتائج نفسها بصيغة STIX وTAXII وعبر الـ API، فتغذي المنصة عملية قائمة بدل أن تحل محلها. التفاصيل في صفحة المنتج وفي مجال استخبارات التهديدات.