مثال توضيحي. لا شيء هنا يصف اختراقاً فعلياً في مؤسسة فعلية.
Osiris-IX سيناريو مركّب بُني من أنماط شوهدت في مشاريع حقيقية. الجهة المهاجمة والأصول المذكورة وكل رقم أدناه غير حقيقية، والغرض منها عرض شكل تقرير المعلومات لدى سايبيرا.
الملخص التنفيذي
رصدت وحدة جمع المعلومات في سايبيرا حملة متعددة المراحل تستهدف بنى مالية محصّنة في آسيا والمحيط الهادئ، أُطلق عليها Osiris-IX، ويستخدم البروتوكول حمولة متحوّلة غير موثّقة تتفادى التحليل الاستدلالي التقليدي بمحاكاة عمليات نظام شرعية على مستوى النواة.
ما يميّز هذه الحملة ليس جدّتها بل صبرها. احتفظ المهاجمون بالوصول أسابيع قبل التحرّك، وكان لكل إجراء اتخذوه تفسير شرعي محتمل في السجلات.
تحليل متجه الهجوم
يستغل متجه الدخول الأولي ثغرة يوم صفر في طبقة المُحاكي، ما يتيح الحركة الجانبية قبل أن يهيّئ نظام التشغيل وحدات الحماية. وحين تبدأ أدوات الحماية بالعمل تكون الحمولة مستقرة أصلاً.
الزمن المضاف خلال فترة الاختراق
أوضح إشارة مبكرة لم تكن بصمة، بل زمن الاستجابة. بقي الزمن المضاف على القطاع المتأثر دون 50 مللي ثانية لأسبوع، ثم بلغ ذروته عند 412 مللي ثانية في اليوم الثالث عشر مع بدء سحب البيانات.
ذروة اليوم 13: 412 مللي ثانية.
أوزان الحمولة حسب البروتوكول
ثلاث قنوات نقل حملت الهجوم، اختيرت كل واحدة لأنها تبدو عادية تماماً داخل شبكة مزدحمة.
حمل نفق SSL نحو ثلاثة أرباع الحجم.
مصفوفة الأثر على الشبكة
قيست خلال الأيام الأربعة عشر بين أول وصول والاحتواء.
