أطلقنا اليوم Flarehawk على Product Hunt، ونرى أن الوقت مناسب لمشاركة القصة وراءه: ما الذي لاحظناه، وما الذي بنيناه، ولماذا.
المشكلة التي لم نتمكن من تجاهلها
في Vigilbase، أمضينا سنوات في إدارة أمن الشركات في أوروبا والشرق الأوسط وأفريقيا. نعمل عن قرب مع Cloudflare، وننشر منظومات أمن مؤسسية، ونساعد الشركات على إعداد WAF وتطبيق انعدام الثقة وتشديد سياسات الوصول.
وشاهدنا الأمر نفسه يتكرر مرة بعد أخرى.
قد تستثمر شركة مبالغ كبيرة في الأدوات الأمنية. ويكون إعدادها متينًا، ومنتجاتها من الأفضل في فئتها. ثم لا يراقبها أحد. تتراكم التنبيهات في لوحات لا يفتحها أحد، وتتدفق السجلات إلى مخازن لا يستعلم عنها أحد، وتمر تغييرات الإعدادات من دون مراجعة. وعندما يقع خلل في النهاية، سواء كان اختراقًا أو حادثة كادت تقع أو ملاحظة امتثال، يكون السؤال الأول دائمًا هو نفسه: كيف فاتنا ذلك؟
لم تكن الإجابة، في معظم الحالات، أن الأدوات أخفقت؛ فقد كانت تعمل جيدًا. كانت المشكلة أن أحدًا لم يملك الوقت أو الفريق أو السياق اللازم لفهم ما تخبره به الأدوات.
تلك هي الفجوة التي بنينا Flarehawk لسدها.
ما الذي سعينا إلى بنائه
لم نرد بناء لوحة تحكم أخرى؛ فالعالم مليء بها. ولم نرد بناء نظام SIEM آخر يستغرق نشره ستة أشهر ويولّد ضجيجًا أكثر من المعلومات المفيدة. ولم نرد منتجًا لا يعمل إلا إذا كان لديكم بالفعل مركز عمليات أمنية من 20 شخصًا لتشغيله.
أردنا بناء ما تمنينا وجوده لعملائنا: منتج يتصل خلال دقائق، ويفهم البيئة التي يراقبها، ويحقق في التهديدات ذاتيًا، ويخبركم بدقة بما ينبغي فعله بلغة واضحة. وقد وجّهت عملنا ثلاثة مبادئ:
دون تعقيد مفتعل. إذا كانت أداة أمنية تحتاج إلى فريق مخصص لمجرد تشغيلها، فقد أخفقت في مهمتها. يجب أن يفيد Flarehawk نائب رئيس الهندسة الذي يتولى الأمن ضمن مسؤوليات أوسع، لا محللي مركز العمليات الأمنية ذوي الخبرة فقط.
السياق أهم من الحجم. تجيد معظم الأدوات الأمنية إخبارك شيء ما حدث. وقليل جدًا منها يخبرك بأهمية ذلك في بيئتك تحديدًا. قد يشكّل تسجيل الدخول من موقع غير معتاد تهديدًا لشركة، ويكون طبيعيًا تمامًا لشركة أخرى. ومن دون سياق، تبدو جميع التنبيهات متشابهة.
قابل للتنفيذ من البداية. يرفق Flarehawk كل نتيجة يعرضها بتفسير لما حدث، وأهميته، وإجراء تصحيحي بنقرة واحدة متى أمكن. لا يكتفي بعبارة «تابع التحقيق» أو «راجع الأحداث ذات الصلة»، بل يقدّم إجابة فعلية.
بناء بنية Flarehawk Fabric
لم يكن أصعب تحدٍ تقني هو الكشف؛ فالكشف وحده مشكلة مفهومة جيدًا. كانت الصعوبة في السياق. وكان بناء السياق على نطاق واسع، عبر بيئات عملاء متنوعة تنتج كل منها ملايين الأحداث يوميًا، يتطلب بنية تحتية قوية.
وهذا ما دفعنا إلى بناء Flarehawk Fabric.
طبقة استقبال البيانات
يستقبل Flarehawk البيانات من بيئات Cloudflare في الوقت الفعلي، بما يشمل أحداث HTTP ومحفزات WAF، وقريبًا سجلات الوصول عبر انعدام الثقة واستعلامات DNS ونشاط Gateway وتغييرات الإعدادات. وقد يعني ذلك مئات الآلاف من الأحداث في الساعة لعميل واحد من الشركات المتوسطة. وعبر قاعدة عملائنا، نعالج ملايين الصفوف في الثانية.
للتعامل مع هذا التدفق، نشغّل مسار استقبال بيانات موزعًا على مجموعات Kubernetes تتوسع آليًا وفق حجم الأحداث. يُعزل تدفق بيانات كل عميل في طبقة الاستقبال، ويُوسم ويوجّه عبر مراحل إثراء قبل وصوله إلى مسار التحليل. صُمم النظام بحيث لا يُسقط الأحداث، حتى أثناء ارتفاع حركة المرور أو موجات الهجمات التي قد تضاعف حجم السجلات مرات كثيرة خلال دقائق.
مسار التحليل
بعد استقبال الأحداث، تمر عبر مسار تحليل متعدد المراحل. تتولى المرحلة الأولى توحيد الصيغ وإثراء البيانات، بربط الأحداث الخام بمصادر معلومات التهديدات وبيانات الموقع الجغرافي والسياق التاريخي لذلك العميل. وفي المرحلة الثانية يعمل نموذج Fabric.
Fabric هو محرك تعلم آلي مستقل لكل عميل، يبني نموذجًا سلوكيًا فريدًا له. يتعلم أنماط حركة المرور وسلوك المستخدمين وأعراف الإعداد وإيقاع الوصول الخاصة بتلك البيئة. ومع الوقت، ينشئ خط أساس ديناميكيًا لما يبدو «طبيعيًا» لكل عميل على حدة.
لا يتطابق نموذجان من Fabric، لأن أي شركتين لا تتطابقان.
عندما ينحرف شيء عن خط الأساس، سواء كان تغييرًا في قاعدة WAF لا يطابق الأنماط التاريخية، أو محاولة وصول في سياق غير معتاد، أو ارتفاعًا في المرور ذا بصمة شاذة، لا يكتفي Fabric بالإشارة إليه. بل يبدأ تحقيقًا آليًا، ويربط الحالة عبر مصادر بيانات متعددة، ويقيّم شدتها مقارنة بخط أساس العميل نفسه لا بحدود عامة، ويصدر نتيجة مع تفسير واضح ومفهوم وإجراء موصى به.
أمضينا أشهرًا في تحسينه، وتشغيله في بيئات عملاء حقيقية ضمن النسخة التجريبية الخاصة، وضبط النماذج وتقليل الإنذارات الكاذبة، والتأكد من أن ما يخبركم Flarehawk بأهميته يستحق الاهتمام فعلًا.
تخزين طويل الأجل على ClickHouse Cloud
يُكتب كل حدث يمر عبر مسار معالجة البيانات أيضًا في التخزين طويل الأجل على ClickHouse Cloud. اخترنا ClickHouse لأن أداء الاستعلامات على نطاق عملنا لا يُضاهى لأحمال التحليل. فعندما يحتاج العميل إلى البحث في مليارات الأحداث التاريخية للتحقيق في حادثة أو إجراء تدقيق امتثال، يجب أن تأتي الاستجابة خلال ثوانٍ لا دقائق.
يوفر لنا ClickHouse Cloud التخزين العمودي والضغط اللازمين للاحتفاظ بسجلات كل عميل لمدة تصل إلى خمس سنوات من دون أن تصبح تكلفة التخزين باهظة. كما يتيح لنا توفير واجهة قابلة للاستعلام بالكامل، يستطيع العملاء عبرها تنفيذ استعلامات مخصصة وبناء تقارير خاصة وتصدير البيانات بالصيغ التي يتوقعها المدققون والجهات التنظيمية.
كان قرار إدراج الاحتفاظ بالبيانات مباشرة في المنتج، بدلًا من اعتباره إضافة، قرارًا مقصودًا. فمن خبرتنا في إدارة أمن المؤسسات، نادرًا ما تكون اللحظة التي تحتاج فيها إلى السجلات أكثر من غيرها هي لحظة وقوع الحدث. بل تكون بعد أسابيع أو أشهر، عندما يطلب المدقق دليلًا، أو يحتاج تقرير حادثة إلى تسلسل زمني، أو يتطلب إطار امتثال إثباتًا. ومعظم الفرق إما لا تحتفظ بالسجلات مدة كافية، أو تخزنها بصيغ يصعب الاستعلام عنها. أردنا إزالة هذه المشكلة بالكامل.
من النسخة التجريبية الخاصة إلى النسخة التجريبية المفتوحة
شغّلنا Flarehawk في نسخة تجريبية خاصة مع مجموعة مختارة من العملاء. وشكّلت ملاحظاتهم كل جانب من المنتج، من طريقة عرض النتائج، إلى آلية الإصلاح، إلى تجربة بدء الاستخدام.
دعمت النتائج المبكرة فرضيتنا. أخبرنا العملاء أن Flarehawk كشف في الأسبوع الأول تهديدات حقيقية لم يلاحظها أحد، وقواعد أسيء إعدادها وظلت تعمل لأسابيع من دون اكتشافها، وأنماط وصول غير معتادة لم تتجاوز الحدود العامة لكنها برزت مقارنة بخط الأساس السلوكي الخاص بالعميل الذي بناه Fabric.
ومنحنا ذلك الثقة لإتاحته للجميع.
لماذا Product Hunt، ولماذا اليوم
اخترنا الإطلاق على Product Hunt لأن Flarehawk صُمم لنوع محدد من الفرق: مؤسسات هندسية صغيرة تهتم بشدة بالأمن، لكنها لا تملك العدد الكافي من الموظفين لتشغيل منظومة أمن كاملة. وعلى Product Hunt تكتشف هذه الفرق أدوات تحل مشكلات حقيقية من دون إضافة تعقيد.
إذا كان هذا يصف فريقكم، فسنسعد بدعمكم. صوّت لصالح Flarehawk على Product Hunt وأخبرونا برأيكم. فذلك يحدث فرقًا حقيقيًا لفريق صغير يطلق منتجًا يؤمن به.
ما الخطوة التالية
إطلاق اليوم هو البداية فقط. سنعلن خلال الأيام المقبلة عن إمكانات وتكاملات جديدة ومزيد من الطرق لجعل Flarehawk الفريق الأمني الذي تستحقه بنيتكم التحتية.
إذا كنت مستعدًا لمعرفة ما يحدث داخل بيئتك، فابدأ اليوم عبر Vigilbase.
وإذا أردتم متابعة رحلتنا، فتواصلوا معنا عبر LinkedIn أو تواصلوا معنا مباشرة. نحن نطوّر هذا المنتج الآن بصورة علنية، ونتطلع إلى سماع آرائكم.
طوّر Flarehawk فريق Vigilbase، وهو مزوّد لخدمات الأمن المُدارة متخصص في حلول Cloudflare في أوروبا والشرق الأوسط وأفريقيا والسوق الأمريكية.
