اكتشفوا نقاط ضعفكم قبل أن يسعّرها غيركم.

أقصر طريق لفهم سطح هجومكم الحقيقي هو أن يهاجمه أحد. الأمن الهجومي المُصرّح به ينفّذ مهمات فريق أحمر ضد بيئات إنتاج حية، وهي البيئات نفسها التي سيستهدفها الخصم، لكشف نقاط الضعف قبل استغلالها فعلاً. وهذا ليس مسحاً نظرياً. إنه مشغّلون مهرة يحاولون، تحت ضوابط قانونية وحوكمية صارمة، فعل ما سيفعله مهاجم حقيقي، ويقدّمون تقريراً بمدى ما بلغوه وكيف.

وما يمنح ذلك الاختبار ثقله هو النسب الذي خلفه. فالمهمات مدعومة بأبحاث ثغرات أُفصح عنها بمسؤولية عبر الأنظمة البحرية والسكك الحديدية وأنظمة التحكم الصناعي، بما في ذلك اكتشافات بأعلى درجات الخطورة في أساطيل عاملة ومُدخلات معتمدة في سجل NIST الأمريكي. والمؤسسة التي يختبرها باحثون يجدون ثغرات حقيقية وجديدة في العالم الواقعي تُختبر وفق معيار لا يبلغه مورّد امتثال.

والانضباط الحاسم هو الحوكمة. فالقدرة الهجومية المُصرّح بها يجب أن تخضع للمؤسسة التي تملكها، لا لجهاز أجنبي أو طرف ثالث غير خاضع للمساءلة، وكل مهمة هنا تُنفَّذ تحت ضوابط قانونية صارمة مع تغذية كل اكتشاف مباشرة في الدفاع. تلك الحوكمة هي ما يجعل الاختبار الهجومي أصلاً أمنياً لا عبئاً، أي تقييماً تكلّفون به وتتحكمون فيه، ومخرجه الوحيد مؤسسة أقدر على الدفاع عن نفسها.

السطح المُختبَر لا يقوى إلا بقوة من يدافعون عنه، والمدافعون يُصنعون تحت الضغط لا في قاعة محاضرات. الميادين السيبرانية تتيح لفرق الأمن التدرّب على هجمات حية على نسخ واقعية من بيئاتها الخاصة، بمناهج مُهيكلة وتصميم تمارين للفريقين الأحمر والأزرق ومسارات اعتماد. والأثر هو ذاته لأي طاقم: التعرّض المتكرر لهجوم واقعي يبني الذاكرة العضلية التي تصمد حين يقع حادث حقيقي ويكون الضغط فعلياً.

وتأتي القيمة من الواقعية. فمختبرات التدريب العامة تعلّم دروساً عامة؛ أما ميدان مبني حول نسخة من أنظمة المدافع نفسه، بمكتبات سيناريوهات مضبوطة على التهديدات التي تواجهها تلك المؤسسة فعلاً، فيتمرّن على الحوادث التي يُرجَّح أن تراها حقاً. ويحوّل ذلك التدريب، في سياق وظيفة أمن مؤسسي، من تمرين مجرّد إلى تمرين على اليوم السيئ المحدّد الذي يُدفَع للفريق كي ينجو منه.

والميادين تُغلق الحلقة أيضاً مع الاختبار الهجومي. فنقاط الضعف التي تكشفها مهمة الفريق الأحمر تصبح السيناريوهات التي يتدرّب عليها المدافعون، فلا تكتفي المؤسسة بمعرفة وجود ثغرة بل تتمرّن على الاستجابة لها. الاختبار يجد المشكلة؛ والميدان يبني ردّ الفعل الذي يعالجها.

لا قدر من الاختبار يلغي احتمال الاختراق، والأمن الناضج يخطّط لذلك بدل التظاهر بغيره. الاستجابة للحوادث ومحاكاة الخصوم توفّر شقّي هذا الاستعداد: مهمات تحتوي الاختراقات الحية وتستأصلها حين تقع، وعمليات فريق أحمر تتمرّن على الخصم قبل وصوله. والفرق التي تقدّمها هي الباحثون أنفسهم الذين اخترقوا قانونياً سفناً وأنظمة سكك حديدية وشبكات مدفوعات، فيصلون وهم يعرفون كيف يفكّر المهاجم فعلاً وكيف يتحرّك.

والسرعة هي كل شيء حين يكون التسلّل حياً، لأن زمن المكوث هو حيث يتحوّل حادث محتوى إلى حادث كارثي. فالاستجابة التي تحتوي وتستأصل بسرعة توقف المهاجم قبل أن يتوغّل أعمق في الأنظمة الحرجة، وكل مهمة تترك المنظومة أقدر على الدفاع، إذ تغذّي اكتشافاتها مباشرة في التحصين كي لا يتكرّر الاختراق نفسه. والاستجابة التي جرى التمرّن عليها مع عقد استبقاء قائم هي الفرق بين أسبوع سيئ وأسبوع وجودي.

وفي المؤسسات العاملة بالقطاع المالي، تمتد الغريزة نفسها إلى المال ذاته. تحليلات الجرائم المالية ومكافحة غسل الأموال تتعقّب التدفقات غير المشروعة عبر شبكات المدفوعات والولايات القضائية، وقد بناها الفريق الذي يؤمّن أصلاً أنظمة خلف مليارات الحسابات. وهي تحوّل بيانات المعاملات الخام إلى سلسلة أدلة تستطيع الجهات التنظيمية وأجهزة الإنفاذ التصرّف بناءً عليها، فترى المؤسسة النشاط غير المشروع المتحرّك عبر مؤسساتها وتتصرّف حياله بدل الاعتماد على تسجيل نقاط بصندوق أسود من مورّد أجنبي.

تجمع Unstrat هذه القدرات في قناة واحدة مستقلة غير منحازة، أي اختبار هجومي، وتدريب بالذخيرة الحية، واستجابة جرى التمرّن عليها، واستخبارات جرائم مالية، تُقدَّم تحت حوكمة صارمة من الإحاطة الأولى حتى تنفيذ المهمة. والمؤسسات التي تخرج سليمة من هجوم جسيم نادراً ما تكون الأوفر حظاً. إنها التي وجدت نقاط ضعفها أولاً، وسعّرتها قبل أن يستطيع خصم ذلك.