التحقيق السيبراني هو تخصص تتبع الجرائم الرقمية إلى مصدرها — تحديد الجهات المهددة، ورسم خريطة بنيتها التحتية، وتوثيق طرقها، وبناء السجل الإثباتي الذي يمكّن من اتخاذ الإجراءات. تعمل فرق التحقيق في كارن آي تي في قضايا حقيقية بالتعاون مع وكالات إنفاذ القانون، وشهادات الطوارئ الوطنية (CERTs)، ومسجلي النطاقات، والوحدات الدولية لمكافحة الجرائم السيبرانية.
غالباً ما يتم الخلط بين هذه القدرات الثلاث. إنها ليست الشيء نفسه، ويؤدي الخلط بينها إلى تحقيقات إما بطيئة جداً، أو ضيقة جداً، أو غير مقبولة قانونياً.
الاستجابة للحوادثتركز على إيقاف النزيف. عندما يكون هناك شيء خاطئ بشكل نشط — شبكة مخترقة، أو برمجية فدية تنتشر، أو خدمة معطلة — تكون الاستجابة للحوادث هي الرد العملياتي الفوري. الهدف هو الاحتواء والتعافي. الوقت هو المتغير الأساسي. → [تعرف على استجابتنا للحوادث] | التحليل الجنائي الرقميتركز على ما حدث وإثباته. التحليل الجنائي هو جمع وتحليل الأدلة الرقمية بشكل منهجي — صور الأقراص، ولقطات الذاكرة، وسجلات الشبكة. الهدف هو سجل موثق وقابل للدفاع عنه قانونياً للأحداث. الدقة والسلامة هما المتغيران الأساسيان. → [تعرف على تحليلنا الجنائي الرقمي] | التحقيق السيبرانيتركز على من فعلها وكيف. يتجاوز التحقيق الأدلة الموجودة على نظام واحد. يربط النقاط عبر البنية التحتية، وسجلات المسجلين، وذكاء التهديدات لتحديد الجهات المهددة، ورسم عملياتها، وبناء صورة تدعم الإسناد. الذكاء هو المتغير الأساسي. |
تعمل التخصصات الثلاثة بالتوازي أثناء الحوادث الكبرى. التحقيق بدون تحليل جنائي ينتج إسناداً بدون إثبات. التحليل الجنائي بدون تحقيق ينتج أدلة بدون سياق. توفر كارن آي تي الثلاثة جميعها — وتنسقها كعملية موحدة عندما يتطلب نطاق القضية ذلك.
تختلف التحقيقات السيبرانية اختلافاً كبيراً في النطاق ونقطة البداية. بعضها يبدأ بنتيجة URL ضار واحدة. والبعض الآخر يبدأ بعد حدوث اختراق بالفعل. والبعض يُبدأ بشكل استباقي من قبل المنظمات التي تشك في استهدافها. ما يجمعهم هو الحاجة إلى تحليل منهجي مدعوم بالذكاء يتجاوز ما يمكن للأدوات الآلية إنتاجه.
إسناد الجهة المهددةتحديد الجهة المسؤولة عن هجوم سيبراني، أو حملة احتيال، أو عملية بنية تحتية ضارة. يتضمن ذلك تحليل المؤشرات الفنية — عناوين IP، والنطاقات، وشهادات SSL — مقابل قواعد بيانات الذكاء لبناء ملف تعريفي. | رسم خريطة البنية التحتيةنادراً ما تعمل الجهات المهددة من نطاق واحد. إنها تبني بنية تحتية مصممة لتكون مرنة وصعبة التتبع. باستخدام منصة ذكاء التهديدات الخاصة بنا، وبيانات DNS السلبية، وارتباط WHOIS، نقوم بتتبعها من المؤشرات المعروفة لكشف الشبكة الأوسع. | حملة التصيد الاحتيالينحن نتجاوز قوائم الحظر للـ URL. نحلل الحملة كاملة: الأدوات المستخدمة، وبنيتها التحتية للاستضافة، والنطاقات ذات الصلة، وأنماط الجهة. يتيح لنا مستودع KitWatch التعرف على إعادة استخدام الأدوات عبر الحملات التي يديرها الجهة نفسها. |
اختراق البريد الإلكتروني التجاريتُعد هجمات BEC من أكثر أشكال الجرائم السيبرانية إيذاءً مالياً. يغطي تحقيقنا سلسلة الهجوم الكاملة: الحساب المخترق، والبنية التحتية المستخدمة، والمسار المالي، ومؤشرات الإسناد. نرتب النتائج لتلبية معايير الإثبات. | إساءة استخدام النطاقات والعلامات التجاريةعند انتحال علامتك التجارية، يلزم إجراء تحقيق قبل الإزالة. نحقق في عدد النطاقات المعنية، وتفاصيل التسجيل، والبنية التحتية المشتركة، وتنسيق الحملة. يبني هذا أدلة للإجراءات القانونية. | بنية تحتية البرمجيات الضارةتمثل خوادم التحكم والإسقاط بنية تحتية يمكن رسم خريطتها وتعطيلها. نعمل من عينات البرمجيات الضارة ومؤشرات الشبكة لإعادة بناء البنية التشغيلية الكاملة للحملة لدعم الإجراءات الدفاعية. |
يبدأ كل تحقيق بنطاق وهدف محددين. لا نقوم بتمارين صيد مفتوحة. لكل مهمة سؤال واضح — أو مجموعة أسئلة — نعمل على الإجابة عنها.
| 01 | تحديد النطاق ووضع الأهدافقبل بدء أي تحليل، نحدد ما تحاولون معرفته وما ستفعلونه بالنتائج. هل تبنون إحالة إلى إنفاذ القانون؟ أم تدعمون مطالبة قانونية مدنية؟ يشكل الاستخدام النهائي المنهجية ومعيار التوثيق. |
| 02 | جمع المؤشرات والبذرنبدأ بما هو معروف: نطاق، أو عنوان IP، أو رأس بريد إلكتروني، أو عينة برمجية ضارة. يتم توسيع هذه البذور بشكل منهجي باستخدام منصة ذكاء التهديدات، وتغذيات الذكاء، وOSINT — دائماً بسلسلة موثقة من الاستدلال. |
| 03 | تحليل البنية التحتية والجهةمع نمو مجموعة المؤشرات، تظهر أنماط: مجموعات البنية التحتية، وتوقيت التسجيل، والاستضافة المشتركة. نحلل هذه الأنماط لبناء صورة عن منهجية عمل الجهة. توسع هذه المرحلة نطاق ما يمكن إسناده بشكل كبير. |
| 04 | المراجعة المتقاطعة والتحققيتم التحقق من كل استنتاج مقابل مصادر بيانات مستقلة. نوثق قاعدة الأدلة خلف كل نتيجة ونحدد مستوى الثقة لكل استنتاج — ثقة عالية، أو مقيم، أو تخميني. |
| 05 | التقرير والتسليمينتهي كل تحقيق بتقرير منظم. يعتمد الشكل على الجهة المستهدفة: نتائج فنية لفرق الأمان، أو ملخصات تنفيذية، أو حزم إثباتية للإجراءات القانونية، أو ذكاء منظم لإنفاذ القانون. |
العمل مع السلطات نعرف كيفية العمل مع إنفاذ القانون. | 🛡️ [رسم بياني: إنفاذ القانون / الدرع / الأدلة] نصيحة: إذا كنت تفكر في اتخاذ إجراء قانوني بعد حادث سيبراني أو احتيال، استعن بفريق تحقيق قبل البدء في إصلاح الحادث. قرارات حفظ الأدلة التي تُتخذ في الساعات الأولى تحدد ما سيكون متاحاً بعد أسابيع. |
تتعاقد المنظمات مع كارن آي تي للتحقيق السيبراني عندما تحتاج إلى فهم ليس فقط التفاصيل الفنية للهجوم، بل أصله، ونطاقه، وهوية المسؤولين عنه. من المحفزات الشائعة:
اكتشفنا أننا نتعرض لانتحال الهويةنطاقات مزيفة، أو مواقع إلكترونية مشابهة، أو ملفات شخصية احتيالية على وسائل التواصل تستخدم علامتك التجارية. تحتاج إلى معرفة عدد الموجودة، ومن سجلها، وما إذا كانت جزءاً من حملة منسقة قبل اتخاذ الإجراء. | تعرضنا لحملة تصيد احتياليتلقى عملاؤك، أو موظفوك، أو شركاؤك رسائل تصيد احتيالي. تحتاج إلى فهم البنية التحتية خلف الحملة، وتحديد الجهة، وبناء الذكاء للإزالة والإحالة إلى إنفاذ القانون. |
تعرضنا لاختراق ونريد معرفة منبعد الاقتحام، ترغب المنظمات في معرفة المسؤول لفهم ما إذا كانت لا تزال هدفاً، أو ما إذا كان قطاعها معرضاً للخطر، وما كان المهاجم يحاول تحقيقه في النهاية. | نتعرض لاحتيال منظمغالباً ما يرتبط الاحتيال المالي، أو تحويل المدفوعات، أو الاستيلاء على الحسابات على نطاق واسع بجهات معروفة أو شبكات إجرامية. فهم هذه الروابط يغير كلاً من الاستجابة الدفاعية والخيارات القانونية. |
نحتاج إلى دعم عملية قانونية أو تنظيميةتتطلب الدعاوى القضائية المدنية، والتحقيقات التنظيمية، ومطالبات التأمين نتائج فنية موثقة. يتم تنظيم مخرجات تحقيقنا منذ البداية لتلبية هذه المتطلبات. | نعتقد أن بنيتنا التحتية تُسيء استخدامهاتحتاج مسجلو النطاقات، ومقدمو الاستضافة، والمنصات التي تكتشف أن بنيتها التحتية تسهل الجرائم السيبرانية إلى تحقيق سريع لدعم قرارات الإزالة والاتصالات. |
التحقيق السيبراني عمل صعب ومستهلك للوقت ومتخصص. المنظمات التي تنجح في متابعته هي تلك التي تستعين بالقدرة المناسبة مبكراً — قبل تدهور الأدلة، وقبل نقل الجهة بنيتها التحتية، وقبل إغلاق النافذة لاتخاذ إجراء من إنفاذ القانون.