كيف تعيد تشغيل نظامك المعلوماتي بعد برنامج فدية؟
يُعاد تشغيل نظام المعلومات بعد برنامج فدية عبر استعادة نسخة سابقة للاختراق على أجهزة جديدة أو أُعيد بناؤها، بعد سحب صلاحيات وصول المهاجم. ولا يُفكّ التشفير في المكان نفسه بحثًا عن السرعة ما دامت الشبكة والحسابات لم تُطهَّر بعد: فالهدف خدمة نظيفة، لا أسرع عودة إلى الحالة المصابة.
الأساسي
- غيّروا كلمات مرور الحسابات ذات الامتيازات من جهاز سليم، قبل إعادة تشغيل أي شيء.
- اختاروا نسخة أقدم من أول مؤشر على الاختراق؛ وعند الشك، اختاروا نسخة أقدم منها.
- الترتيب: شبكة الإدارة، ثم الهوية، ثم النسخ الاحتياطية، ثم البيانات والتطبيقات، ثم محطات العمل، ثم البريد الإلكتروني، ثم المستخدمون.
- تحذّر ANSSI (الوكالة الفرنسية للأمن السيبراني): نواة ثقة (الدليل) أُعيد بناؤها بشكل سيئ تؤدي إلى دورة اختراق قد تستمر لأشهر.
- لا يُفصل النظام الاحتياطي إلا بعد نسخ احتياطي ناجح للحالة الجديدة.
قبل إعادة تشغيل أي شيء
- تبقى شبكة الإنتاج المخترقة معزولة.
- تُغيَّر كلمات مرور الحسابات ذات الامتيازات وشبكات VPN والبريد الإلكتروني والنسخ الاحتياطي وجدران الحماية من جهاز سليم، لا من محطة عمل لا تزال موضع شك.
- يُحدَّد التاريخ المرجّح لبداية النشاط غير الطبيعي (حسابات منشأة، مهام مجدولة، حجم التشفير). وتكون النسخة المراد استعادتها أقدم من هذا التاريخ. وعند الشك، تُختار نسخة أقدم، ولو أدى ذلك إلى فقدان مزيد من البيانات المُدخلة.
- يُتحقَّق من أن هذه النسخة تُفتح: ملف أولًا، ثم قاعدة بيانات، قبل الشروع في الاستعادة الشاملة.
- تُقدَّم الشكاية قبل إعادة تثبيت الأجهزة، حتى تظل الأدلة التقنية متاحة: إذ يوصي المرجع الصادر عن المديرية العامة لأمن نظم المعلومات (DGSSI) بجمعها وتخزينها بطريقة آمنة.
دفع الفدية للحصول على أداة فك التشفير لا يُعفي من أي من هذه الخطوات. فأداة فك التشفير، حين تعمل، لا تسحب صلاحيات الوصول التي تركها المهاجم.
مراحل المعالجة الأربع
تقسّم ANSSI الخروج من الأزمة إلى أربع مراحل، تُلخَّص بالاختصار «E3R»:
| المرحلة | الهدف | مثال على الإجراء |
|---|---|---|
| الاحتواء | إيقاف الانتشار | قطع الإنترنت، وعزل الأجزاء المصابة |
| الطرد | إخراج المهاجم | إلغاء الحسابات والجلسات، وتغيير جميع الأسرار |
| الاستئصال | إزالة أدواته وأبوابه الخلفية | إعادة التثبيت بدلًا من التنظيف |
| إعادة البناء | إعادة تشغيل نظام معلومات سليم | استعادة البيانات على قاعدة نظيفة |
تنتمي استعادة النسخ الاحتياطية إلى المرحلة الأخيرة. والقيام بها قبل ذلك يعني في الغالب الاستعادة لصالح المهاجم.
ترتيب إعادة البناء
- شبكة إدارة جديدة، منفصلة، يُعمل انطلاقًا منها.
- الهوية: دليل أو حسابات محلية يُعاد بناؤها، لا نسخة من الدليل كما هي إذا كان من الممكن أن تحتوي على حسابات أنشأها المهاجم. وهذه نقطة تحكيم مع مزوّد خدمات الاستجابة للحوادث. وتؤكد ANSSI أن الإخفاق في إعادة بناء نواة الثقة هذه يقود إلى دورة من الاختراق والمعالجة قد تمتد لأشهر.
- النسخ الاحتياطية نفسها: التحقق من أنها لا تزال غير قابلة للوصول من الحسابات القديمة.
- البيانات والتطبيقات المهنية، وفق ترتيب الاعتماديات (قاعدة البيانات قبل التطبيق). وتطلب ANSSI أن يُحدَّد ترتيب الاستعادة هذا مسبقًا، مع مراعاة خدمات البنية التحتية (DNS، NTP، الدليل) ودرجة حساسية التطبيقات.
- محطات العمل، تُعاد تثبيتها بدلًا من «تنظيفها» عند غياب اليقين. فإعادة ربط محطة لا تزال مصابة تعيد إطلاق الهجوم.
- البريد الإلكتروني، وغالبًا ما يُعالج على حدة (Microsoft 365 أو Google Workspace). وتوصي Microsoft، بالنسبة إلى حساب مخترق، بإعادة تعيين كلمة المرور، وإلغاء جميع الجلسات المفتوحة، وحذف قواعد صندوق البريد وعمليات التحويل المشبوهة، ثم فرض المصادقة متعددة العوامل.
- عودة المستخدمين، على دفعات، مع إجراء تحقق مهني. ويطلب مرجع DGSSI الاستعادة انطلاقًا من نسخة احتياطية سليمة؛ وتتم إعادة التشغيل تدريجيًا وتحت المراقبة، مع تطبيق التحديثات الأمنية قبل إعادة الربط.
أين تُعاد الأنظمة إلى العمل
ثلاثة خيارات، من الأبطأ إلى الأكثر جاهزية:
- إعادة تثبيت خوادم جديدة في المقر، ثم استعادة النسخ: RTO طويل، ويتوقف على توفر العتاد؛
- تشغيل مثيلات احتياطية انطلاقًا من الصور المنسوخة احتياطيًا (PRA): يُعمل خارج الموقع طوال مدة إعادة البناء، على إصدار مختار؛
- الانتقال إلى خطة PCA مُشغَّلة مسبقًا: فقط إذا لم يكن هذا النظام الاحتياطي قد نسخ التشفير. وإن كان قد فعل، يُرجع إلى PRA وإلى إصدار أقدم.
العودة إلى الوضع الطبيعي
عندما يصبح المقر جاهزًا، تُنقل البيانات من النظام الاحتياطي إلى بيئة الإنتاج، بما في ذلك ما أُدخل خلال فترة التشغيل الاحتياطي. وتُستأنف دورة النسخ الاحتياطي في اليوم نفسه. ولا يُفصل النظام الاحتياطي إلا بعد نسخ احتياطي ناجح للحالة الجديدة. ثم يُصحَّح باب الدخول ويُجرى اختبار استعادة جديد: راجعوا كيف تحمي نسخك الاحتياطية من برامج الفدية؟.
لدى WeDoBack
صُمّم عرض PRA لإعادة التشغيل هذه تحديدًا: اختيار الإصدار، وإعادة تشغيل الخوادم على مثيلات احتياطية، وعناوين IP عامة (0,54 يورو بدون ضريبة لكل عنوان شهريًا) إذا كان يجب الوصول إلى بعض الخدمات من الخارج، والتفعيل عند وقوع الكارثة مُفوتَر باليوم. ويمكن أن تشمل الاستعادة الخادم كاملًا، انطلاقًا من صورة نظام، أو الملفات وحدها. مفتاح التشفير يحتفظ به العميل ويجب أن يكون متاحًا: فبدونه تبقى النسخ غير مقروءة، سواء كانت ثابتة أم لا. ويضمن عرض ثابت (IMMUABLE) أن الإصدار المختار لا يزال موجودًا. لكنه لا يحدد، بدلًا من الفريق، أي تاريخ يسبق الاختراق. يمكن التواصل مع الدعم على الرقم +33 9 72 50 78 28، من 9:00 إلى 13:00 ومن 14:00 إلى 17:30 (بتوقيت باريس).
الأسئلة الشائعة
هل يمكن ببساطة استعادة نسخة الأمس الاحتياطية؟
نادرًا. فالاختراق كثيرًا ما يسبق التشفير بعدة أيام أو أسابيع. وقد تحتوي نسخة الأمس على الحسابات أو المهام المجدولة أو الأدوات التي تركها المهاجم. لذا يجب أولًا تحديد تاريخ بداية النشاط غير الطبيعي، ثم استعادة نسخة سابقة له، على بيئة جرى تطهيرها.
هل يجب استعادة Active Directory من النسخة الاحتياطية؟
هذا قرار يُتخذ بالتشاور مع مزوّد خدمات الاستجابة للحوادث. فنسخة الدليل قد تحتوي على حسابات أو صلاحيات أنشأها المهاجم. وتخصّص الوكالة الوطنية الفرنسية لأمن نظم المعلومات (ANSSI) دليلًا كاملًا لإعادة بناء «نواة الثقة» هذه، لأن الإخفاق فيها يعيد إطلاق الاختراق.
كم تستغرق إعادة التشغيل الكاملة؟
يمكن إعادة تشغيل الخدمات الحيوية في غضون أيام قليلة على بيئة نظيفة أو احتياطية. أما المعالجة الكاملة، بحسب ANSSI، فقد تمتد لعدة أسابيع بل لعدة أشهر بعد حادث كبير. لذلك يجب أن تتضمن الخطة نمط تشغيل منقوص لفترة طويلة.
للتعمق أكثر
المصادر
وثائق اطُّلع عليها في أكتوبر 2026.
- الهجمات السيبرانية والمعالجة: مفاتيح اتخاذ القرار (الإصدار 1.0، ديسمبر 2023) — ANSSI
- المرجع الخاص بتدبير حوادث الأمن السيبراني — DGSSI
- النسخ الاحتياطي لنظم المعلومات – الأساسيات (ANSSI-BP-100، الإصدار 1.1، 27 نوفمبر 2025) — ANSSI
- الاستجابة لحساب بريد إلكتروني سحابي مخترق — Microsoft Learn
- عرض PRA: استئناف النشاط بعد الكوارث — WeDoBack
هل لديك مشروع نسخ احتياطي أو PRA أو PCA؟
أكثر من 20 عامًا من الخبرة في حماية بيانات الشركات.
طلب عرض أسعار+33 9 72 50 78 28احمِ بياناتك مع WeDoBack
نسخ احتياطي مشفّر خارج الموقع، وتخزين ثابت غير قابل للتعديل، وخطة PRA وخطة PCA: صِف لنا خوادمك، ونقترح عليك التركيبة المناسبة.