تكلفة التأخر في الكشف في مجال الرعاية الصحية
ظل قطاع الرعاية الصحية هو القطاع الأكثر تكلفةً من حيث تكاليف الاختراقات لمدة أربعة عشر عامًا متتالية. ووفقًا لتقرير «تكلفة اختراق البيانات لعام 2025» الصادر عن شركة IBM، يبلغ متوسط تكلفة الاختراق في قطاع الرعاية الصحية حاليًا 7.42 مليون دولار — أي ما يقارب ضعف المتوسط على مستوى جميع القطاعات — وتستغرق المؤسسات في المتوسط 279 يومًا لتحديد حادثة الاختراق واحتوائها. وتُعرّف «فجوة الكشف» هذه بالفترة الزمنية التي تفصل بين وقوع الاختراق واللحظة التي يدرك فيها فريق مركز العمليات الأمنية (SOC) أن هناك خطبًا ما.
نموذج كشف مصمم للاستجابة، وليس للوقاية
صُممت الأداة الأمنية الرئيسية للمنظمة على أساس الرؤية الشاملة لنقاط النهاية. ولم يتم الإبلاغ عن الملفات المشبوهة إلا بعد تشغيلها على جهاز المستخدم أو النظام السريري، مما يعني أن كل عملية كشف كانت تمثل بداية الاستجابة للحادث، وليس منعه. وفي شبكة يكون فيها اختراق الوصول إلى السجلات الصحية الإلكترونية (EHR) أو تعطل اتصالات الأجهزة الطبية له عواقب فورية على رعاية المرضى، كان هذا التسلسل غير مقبول من الناحية التشغيلية. وكان مركز العمليات الأمنية (SOC) يعمل باستمرار على إدارة الأضرار بدلاً من وقف التهديدات في مهدها.
كشف حجم الملف عن حدود التحليل القائم على الأجهزة الافتراضية
مع تزايد التهديدات القائمة على الملفات عبر مرفقات البريد الإلكتروني والوثائق المشتركة وتبادل الملفات الخارجية، اعتمد الفريق بشكل أكبر على قدرات «التفجير» التي توفرها الأداة. وتطلبت سير العمل القائمة على الأجهزة الافتراضية إنشاء بيئات افتراضية متعددة لكل عملية تحليل، وأصبح وقت المعالجة غير قابل للتنبؤ به مع زيادة الحجم.
حددت أبحاث شركة IBM التصيد الاحتيالي باعتباره أهم وسيلة للهجوم في قطاع الرعاية الصحية على وجه التحديد، مما يعني أن الملفات الخبيثة التي يتم إرسالها عبر البريد الإلكتروني تمثل الخطر الرئيسي، وليست مجرد خطر متزايد. ولم يكن لدى مركز عمليات الأمن (SOC) أي وسيلة موثوقة للتنبؤ بالمدة التي سيستغرقها فحص الملف، وفي البيئات السريرية حيث يُعد الوصول إلى الملفات أساسًا لسير عمل المرضى، شكّلت هذه عدم القدرة على التنبؤ عبئًا لم يتمكن الفريق من التغلب عليه.
كان التوسع عبر الأجهزة الافتراضية مشكلة تفاقمت من تلقاء نفسها
تطلبت الأحجام المتزايدة للملفات موارد أكثر للآلات الافتراضية. وكانت كل زيادة في الطلب على السعة التمريرية تُترجم مباشرةً إلى أعباء إضافية على البنية التحتية، وخلال فترات الذروة، تراكمت الأعمال المتأخرة وتكدست قوائم انتظار التحقيقات. وواجه مركز العمليات الأمنية (SOC)، الذي كان يعمل بالفعل بطاقم محدود، عقبات في التحليل بالإضافة إلى ذلك. وبالنسبة لشبكة تضم آلاف المستخدمين ونقل مستمر للملفات عبر المستشفيات ومرافق العيادات الخارجية وبيئات البحث، فقد وصلت المؤسسة إلى الحد الأقصى العملي لما يمكن أن يوفره التوسع القائم على الآلات الافتراضية.
المعايير التي لا يمكن التنازل عنها
بدأت لجنة المراقبة التشغيلية (SOC) عملية التقييم بأربعة متطلبات تم تحديدها بشكل مباشر استنادًا إلى أوجه القصور التي ظهرت على الصعيد التشغيلي. وكان كل متطلب منها يعالج ثغرة لم تتمكن الأداة الحالية من سدها.
- أوقف التهديدات قبل تنفيذها
- الحفاظ على الدقة في التعامل مع التهديدات المجهولة والمتملصة
- توفير سرعة تحليل ثابتة بغض النظر عن الحجم
- التوسع دون الحاجة إلى توسيع البنية التحتية للآلات الافتراضية
تم نقل عملية الكشف إلى مرحلة مبكرة
اختارت المؤسسة منتج «Aether» من شركة « OPSWAT» ( MetaDefender ). وخلال الأسابيع الأولى من النشر، حدث أمر لم يشهده الفريق منذ سنوات: تم إيقاف الملفات قبل أن تصل إلى نقطة النهاية. فقد تم إيقاف التهديدات التي كانت تُحدث في السابق تنبيهات على نقاط النهاية قبل أن تصل إلى تلك المرحلة. وكان هذا التحول معماريًّا بقدر ما كان تشغيليًّا. Endpoint أدوات ظلت هذه الأنظمة قائمة لتوفير الرؤية والاستجابة، لكنها لم تعد تشكل خط الدفاع الأول. فقد انتقل هذا الدور إلى المحيط الخارجي.
أزالت تقنية المحاكاة العائق الذي كان يواجهه الجهاز الظاهري
في حين أن التحليل القائم على الأجهزة الافتراضية (VM) كان يتطلب إنشاء بيئات افتراضية لكل عملية تفجير، فإن بيئة الاختبار التكيفية القائمة على المحاكاة من Aether ( MetaDefender ) تعمل على تنفيذ الملفات على مستوى التعليمات. ويستغرق التحليل في المتوسط عشر ثوانٍ، أي أسرع بـ 40 ضعفًا من بيئات الاختبار التقليدية، كما تدعم المنصة أكثر من 50,000 عملية تحليل للملفات يوميًا لكل خادم.
ونظرًا لأن المحاكاة تعمل على مستوى التعليمات، فإن اكتشافها يصبح أصعب بكثير من قبل البرامج الضارة المصممة للتعرف على بيئات الحماية (sandbox). فالتهديدات التي كانت ستتوقف أو تتصرف بشكل مختلف في ظل تحليل الأجهزة الافتراضية (VM) تُنفَّذ كما هو متوقع، مما يكشف عن سلوكيات كانت العينات المُصممة للتحايل ستخفيها لولا ذلك. وقد حقق مركز العمليات الأمني (SOC) سرعة تحليل متسقة ويمكن التنبؤ بها، وذلك على مستوى الأحجام التي تولدها شبكة تضم عدة مستشفيات، مع معدل كشفبلغ 99.5٪ ودون الحاجة إلى إضافة بنية تحتية للأجهزة الافتراضية لتحقيق ذلك.
حالات الكشف التي وصلت جاهزة للتصرف بشأنها
ما أحدث تغييرًا في عبء العمل الاستقصائي للفريق هو سرعة الكشف وما يصاحب كل عملية كشف. فبدلاً من مجرد إشارة تتطلب إجراء بحث متابعة، كانت كل نتيجة تأتي مرفقةً ببيانات السمعة، والتحليل السلوكي، ودرجة مخاطر قائمة على الثقة، وسياق البحث عن التهديدات.
تقوم ميزة «معلومات التهديدات المدمجة» بفحص عناوين URL و نظام منع التطفل والنطاقات باستمرار وفقًا لمؤشرات في الوقت الفعلي، حيث تقوم بتمييز الملفات المشبوهة قبل بدء التحليل الديناميكي. وقد مكّن البحث عن تشابه التهديدات المدعوم بالتعلم الآلي مركز عمليات الأمن (SOC) من تحديد المتغيرات ذات الصلة للبرامج الضارة، وكشف التهديدات المعدلة أو التي لم يسبق رؤيتها من قبل، وربط الملفات المشبوهة بالأنماط الخبيثة المعروفة، مما خفف من عبء الفرز اليدوي على المحللين الذين يعملون بالفعل بفريق محدود العدد.
الطريق من الاستجابة إلى الوقاية
اسأل أي محلل في مركز العمليات الأمنية (SOC) عن أول ما تغير، وستكون الإجابة واحدة: قائمة الانتظار. فقد تمت معالجة الملفات، ولم تتراكم الأعمال المتأخرة، وأصبحت التحقيقات التي وصلت بالفعل مصحوبة بسياق مرفق مسبقًا، مثل بيانات السمعة والتحليل السلوكي ودرجة المخاطر، بدلاً من مجرد إشارة تنبيهية كان يتعين تتبعها.
العمليات الأمنية قبل وبعد ظهور « MetaDefender Aether»
القدرة | قبل | بعد |
توقيت الكشف | بعد التنفيذ، يعتمد على نقطة النهاية | قبل التنفيذ، عند الحدود الخارجية |
سرعة التحليل | متغير، ولا يمكن التنبؤ به تحت الحمل | ثابت، بمتوسط يبلغ حوالي 10 ثوانٍ |
قابلية التوسع | يعتمد على وحدة المعالجة الافتراضية (VM)، ويحدث اختناق عند الأحجام الكبيرة | أكثر من 50,000 ملف يوميًا لكل خادم، دون أي أعباء إضافية على الآلة الافتراضية |
حجم العمل في SOC | دورات متكررة من الأشعة تحت الحمراء، وفرز يدوي | انخفاض حوادث النقاط النهائية، والأحكام السياقية |
تغطية التهديدات | الاستجابة للتهديدات المعروفة | البرامج الضارة المراوغة، والثغرات الأمنية من نوع «يوم الصفر»، والمتغيرات المعدلة |
أمن مصمم خصيصًا لتلبية متطلبات سرعة تقديم الرعاية للمرضى
قام هذا المزود لخدمات الرعاية الصحية بتغيير النقطة التي يتم فيها تطبيق الإجراءات الأمنية ضمن سير العمل. فقد حلت الوقاية على مستوى الشبكة محل الاستجابة التفاعلية على مستوى النقاط الطرفية؛ وتلاشت تراكمات التحليلات لتفسح المجال لإنتاجية متسقة، وأصبحت التحقيقات التي كانت تتطلب في السابق فرزًا يدويًّا تُجرى الآن مع توفر السياق المرفق مسبقًا.
بالنسبة لفرق الأمن في قطاع الرعاية الصحية، فإن الطريق إلى الأمام هو نفسه الذي سلكته هذه المؤسسة: نقل عملية الكشف إلى مرحلة مبكرة، وإزالة البنية التحتية التي تبطئ عملية التحليل، وبناء نظام أمني يعمل بالسرعة التي تتطلبها البيئات السريرية.
