Incident Response: Six Phasesوەڵامدانەوەی ڕووداو: شەش قۆناغ

Firewalls, patches and training stop most attacks, but not all of them. One day a staff member will open the wrong attachment, or a criminal will use a flaw nobody knew about. Incident response is what an organisation does from the moment it notices an attack until it is safe again — and what it learns afterwards.

ئاگرەدیوارەکان (Firewall)، پینەکان (Patch) و ڕاهێنان زۆربەی هێرشەکان ڕادەگرن، بەڵام نەک هەموویان. ڕۆژێک کارمەندێک پاشکۆی هەڵە دەکاتەوە، یان تاوانبارێک خاڵێکی لاواز (Vulnerability) بەکار دەهێنێت کە کەس نەیدەزانی. وەڵامدانەوەی ڕووداو ئەوەیە کە ڕێکخراوێک دەیکات لەو ساتەوەی هێرشێک هەست پێ دەکات تا کاتێک دووبارە سەلامەت دەبێتەوە — هەروەها ئەوەی دواتر فێری دەبێت.

Not everything strange is an incident. NIST calls any observable occurrence on a computer or network an event: a login, a blocked packet, a full disk. An event becomes a security incident when it actually or nearly harms the confidentiality, integrity or availability of information or systems, or breaks the law or the organisation's security rules. Every incident is an event; most events are not incidents.

هەموو شتێکی نامۆ ڕووداوی ئاسایشی نییە. NIST هەر ڕوودانێکی بینراو لەسەر کۆمپیوتەر (Computer) یان ڕایەڵە (Network) بە ڕووداو ناو دەبات: هەوڵێکی چوونەژوورەوە (Log in)، پاکێتێکی (Packet) ڕاگیراو، دیسکێکی پڕ. ڕووداوێک دەبێتە ڕووداوی ئاسایشی کاتێک بە ڕاستی یان نزیکەی زیان بە بەنهێنی مانەوە، دروستی یان بەردەستبوونی زانیاری یان سیستەمەکان دەگەیەنێت، یان یاسا یان ڕێساکانی ئاسایشی ڕێکخراوەکە دەشکێنێت. هەموو ڕووداوێکی ئاسایشی ڕووداوێکە؛ بەڵام زۆربەی ڕووداوەکان ڕووداوی ئاسایشی نین.

The course gives two reasons why incident response matters:

کۆرسەکە دوو هۆکار دەدات بۆ ئەوەی بۆچی وەڵامدانەوەی ڕووداو گرنگە:

Lecture 4 already says what an incident response plan is for: during preparation, write a comprehensive plan with the steps to take when a breach happens; for response and recovery, the plan must include steps for containment, remediation (fixing the cause) and recovery. Lecture 5 then lists what a good plan brings:

وانەی 4 پێشتر دەڵێت پلانی وەڵامدانەوەی ڕووداو بۆ چییە: لە ئامادەکاریدا پلانێکی گشتگیر بنووسە بە ئەو هەنگاوانەی کاتی دزەکردن دەبێت بگیرێنە بەر؛ بۆ وەڵامدانەوە و گەڕاندنەوە، پلانەکە دەبێت هەنگاوەکانی سنووردارکردن، چاککردنەوە (چارەسەرکردنی هۆکارەکە) و گەڕاندنەوەی تێدا بێت. پاشان وانەی 5 ئەوە ڕیز دەکات کە پلانێکی باش دەیهێنێت:

The costs of a slow, unplanned response — downtime, fines, lost trust — are taught in The real cost of a cyber attack.

تێچووی وەڵامێکی هێواش و بێپلان — لەکارکەوتن، سزای دارایی، متمانەی لەدەستچوو — لە تێچووی ڕاستەقینەی هێرشێکی سایبەریدا فێر کراوە.

The course divides incident response into six phases. This six-step model was made popular by SANS, a security-training organisation, in its Incident Handler's Handbook; the first letters, PICERL, help to remember it.

کۆرسەکە وەڵامدانەوەی ڕووداو دابەش دەکات بۆ شەش قۆناغ. ئەم مۆدێلە شەش هەنگاوییە لەلایەن SANS، ڕێکخراوێکی ڕاهێنانی ئاسایش، لە ⁦Incident Handler's Handbook⁩دا ناسراو کرا؛ پیتە یەکەمەکانی بە ئینگلیزی، PICERL، یارمەتی لەبەرکردنی دەدەن.

Preparation happens long before any attack. The course lists four parts:

ئامادەکاری زۆر پێش هەر هێرشێک ڕوو دەدات. کۆرسەکە چوار بەش ناو دەبات:

Backups belong to preparation too: they are useless if they were never tested or if the attacker can delete them. How to plan them is taught in Backup and recovery.

باکئەپەکان سەر بە ئامادەکارین: ئەگەر هەرگیز تاقی نەکرابنەوە یان هێرشبەر (Attacker) بتوانێت بیانسڕێتەوە بێسوودن. چۆنیەتیی پلاندانانیان لە باکئەپ و گەڕاندنەوەدا فێر کراوە.

A plan says who does what in general. A playbook gives step-by-step tasks for one kind of incident, so nobody has to invent them under stress. Written as short checklists, procedures are easy to follow even under pressure. A ransomware playbook might begin like this:

پلان بە گشتی دەڵێت کێ چی دەکات. ڕێبەرنامەی وەڵامدانەوە ئەرکی هەنگاو بە هەنگاو بۆ یەک جۆری ڕووداوی ئاسایشی دەدات، بۆ ئەوەی کەس ناچار نەبێت لە ژێر فشاردا دایانبهێنێت. کاتێک ڕێکارەکان وەک لیستی پشکنینی کورت دەنووسرێن، تەنانەت لە ژێر فشاریشدا پەیڕەوکردنیان ئاسانە. ڕێبەرنامەیەکی وەڵامدانەوە نەرمەواڵەی بارمتەگر لەوانەیە بەم شێوەیە دەست پێ بکات:

Plans are tested in a tabletop exercise: the team sits around a table, a leader describes an imaginary incident step by step ("It is Monday 8 a.m.; the booking system shows a ransom note…"), and everyone says what they would do. Gaps appear safely — a missing phone number, an unclear decision — and are fixed before a real attack.

پلانەکان لە ڕاهێنانی سەر مێزدا تاقی دەکرێنەوە: تیمەکە لە دەوری مێزێک دادەنیشێت، سەرکردەیەک ڕووداوێکی خەیاڵی هەنگاو بە هەنگاو وەسف دەکات («دووشەممەیە، کاتژمێر 8ی بەیانی؛ سیستەمی حجزکردن نامەی بارمتە پیشان دەدات…») و هەمووان دەڵێن چی دەکەن. کەموکوڕییەکان بە سەلامەتی دەردەکەون — ژمارەی تەلەفۆنێکی ون، بڕیارێکی ناڕوون — و پێش هێرشێکی ڕاستەقینە چاک دەکرێن.

Identification means detecting that something is wrong, gathering evidence and confirming what kind of attack it is. The course names four sources of information:

ناسینەوە واتە دۆزینەوەی ئەوەی کە شتێک هەڵەیە، کۆکردنەوەی بەڵگە و پشتڕاستکردنەوەی ئەوەی کە چ جۆرە هێرشێکە. کۆرسەکە چوار سەرچاوەی زانیاری ناو دەبات:

Not every alert is an incident. A person first triages it: is it a real attack or a false positive? How serious is it, and which systems does it touch? Clues that a system has been attacked — a known malicious address, a strange new program, a file hash from a threat report — are called indicators of compromise. From the first minute, the team keeps a written log of what it sees and does, with times.

هەموو ئاگادارکردنەوەیەک ڕووداوی ئاسایشی نییە. کەسێک سەرەتا هەڵسەنگاندنی سەرەتایی (Triage) بۆ دەکات: هێرشێکی ڕاستەقینەیە یان ئەرێنیی هەڵە (False positive)؟ چەند جددییە و دەست لە کام سیستەمانە دەدات؟ ئەو سەرەداوانەی پیشان دەدەن سیستەمێک هێرشی کراوەتە سەر — ناونیشانێکی خراپەکاری ناسراو، بەرنامەیەکی نوێی نامۆ، نرخی هاشی (Hash value) فایلێک لە ڕاپۆرتێکی هەڕەشەوە — پێیان دەگوترێت نیشانەکانی دزەپێکردن (Indicator of compromise). لە یەکەم خولەکەوە، تیمەکە تۆمارێکی نووسراو هەڵدەگرێت بۆ ئەوەی دەیبینێت و دەیکات، لەگەڵ کاتەکان.

Containment stops the spread and limits further damage while the team works out how to remove the threat. The course lists three actions:

سنووردارکردن بڵاوبوونەوە ڕادەگرێت و زیانی زیاتر سنووردار دەکات، لە کاتێکدا تیمەکە دەیەوێت بزانێت چۆن هەڕەشەکە لاببات. کۆرسەکە سێ هەنگاو ناو دەبات:

Evidence answers the big questions later: how did the attacker get in, what did they take, and how long were they inside? It may also be needed by the police, a court or an insurer. NIST asks responders to record every action, protect those records, and collect incident data in a way that keeps its integrity (nobody changed it) and its provenance (where it came from).

بەڵگەکان دواتر وەڵامی پرسیارە گەورەکان دەدەنەوە: هێرشبەرەکە چۆن هاتە ژوورەوە، چی برد و چەند لە ناوەوە بوو؟ لەوانەیە پۆلیس، دادگا یان کۆمپانیای بیمەش پێویستیان پێی بێت. NIST داوا لە وەڵامدەرەوەکان دەکات هەموو هەنگاوێک تۆمار بکەن، ئەو تۆمارانە بپارێزن و دراوەی ڕووداوە ئاسایشییەکە بە شێوەیەک کۆ بکەنەوە کە دروستیی (کەس نەیگۆڕیوە) و سەرچاوەکەی (لە کوێوە هاتووە) بپارێزرێت.

Deep investigation of digital evidence is a profession of its own, digital forensics. A beginner's job is simpler: do not destroy what the specialists will need.

لێکۆڵینەوەی قووڵ لە بەڵگەی دیجیتاڵی پیشەیەکی سەربەخۆیە، لێکۆڵینەوەی دادوەریی دیجیتاڵی. ئەرکی تازەکار سادەترە: ئەوە لەناو مەبە کە پسپۆڕان پێویستیان پێی دەبێت.

Eradication removes the threat from the affected systems: the malware, the attacker's access and the weakness they used. The course lists three tasks:

ڕیشەکێشکردن هەڕەشەکە لادەبات لە سیستەمە تووشبووەکان: نەرمەواڵە زیانبەخشەکە، دەستڕاگەیشتنی هێرشبەر و ئەو لاوازییەی بەکاریان هێنا. کۆرسەکە سێ ئەرک ناو دەبات:

Attackers often leave several ways back in (backdoors). Before declaring the threat gone, the team searches all systems — not only the ones that raised alerts — for the same indicators of compromise.

هێرشبەرەکان زۆرجار چەند ڕێگایەک بۆ گەڕانەوە بەجێ دەهێڵن (پشتەدەرگاکان (Backdoor)). پێش ڕاگەیاندنی ئەوەی هەڕەشەکە لابراوە، تیمەکە هەموو سیستەمەکان دەپشکنێت — نەک تەنها ئەوانەی ئاگادارکردنەوەیان داوە — بۆ هەمان نیشانەکانی دزەپێکردن.

Recovery brings systems and data back to normal operation, so the business continues. The course lists three parts:

گەڕاندنەوە سیستەم و دراوە دەگەڕێنێتەوە بۆ کارکردنی ئاسایی، بۆ ئەوەی کارەکە بەردەوام بێت. کۆرسەکە سێ بەش ناو دەبات:

How far back you can restore, and how long it may take, are planned in advance as the RPO and RTO; backup types, the 3-2-1 rule and backups that ransomware cannot change are taught in Backup and recovery and Backups against ransomware.

تا کوێ دەتوانیت بگەڕێیتەوە و چەند کاتی دەوێت، پێشوەختە وەک ئامانجی خاڵی گەڕاندنەوە (RPO) و ئامانجی کاتی گەڕاندنەوە (RTO) پلانیان بۆ دادەنرێت؛ جۆرەکانی باکئەپ، ڕێسای باکئەپی 3-2-1 (3-2-1 backup rule) و ئەو جۆرە باکئەپەی کە نەرمەواڵەی بارمتەگر ناتوانێت بیگۆڕێت لە باکئەپ و گەڕاندنەوە و باکئەپ دژی نەرمەواڵەی بارمتەگردا فێر کراون.

The last phase turns a bad day into a stronger organisation. The course lists three steps:

دوا قۆناغ ڕۆژێکی خراپ دەکات بە ڕێکخراوێکی بەهێزتر. کۆرسەکە سێ هەنگاو ناو دەبات:

Here is the whole cycle in one story. Karwan Travel is a fictional travel agency with twenty staff. Watch which phase each action belongs to.

ئەمە هەموو خولەکەیە لە یەک چیرۆکدا. گەشتیاریی کاروان کۆمپانیایەکی خەیاڵیی گەشتە بە بیست کارمەندەوە. سەیر بکە هەر هەنگاوێک سەر بە کام قۆناغە.

An incident is also a communication problem. Who must hear what, and when? Incident communication falls into four kinds:

ڕووداوی ئاسایشی کێشەیەکی پەیوەندیکردنیشە. کێ دەبێت چی بزانێت و کەی؟ پەیوەندیکردن لە کاتی ڕووداوی ئاسایشیدا چوار جۆرە:

Some notifications are required by law and have deadlines: under the EU's GDPR, a personal-data breach must normally be reported to the authority within 72 hours (see Breach notification). That is why the plan names, in advance, who decides and who speaks. Sharing technical details with a national CERT or with partners helps others defend themselves — the idea behind Threat intelligence.

هەندێک ئاگادارکردنەوە یاسا داوایان دەکات و دوا وادەیان هەیە: بەپێی GDPRـی یەکێتیی ئەوروپا، دزەکردنی دراوەی کەسی بە ئاسایی دەبێت لە ماوەی ⁦72⁩ کاتژمێردا بە دەسەڵاتەکە ڕابگەیەنرێت (بڕوانە ئاگادارکردنەوەی دزەکردنی دراوە). بۆیە پلانەکە پێشوەختە ناوی ئەوە دەبات کە کێ بڕیار دەدات و کێ قسە دەکات. هاوبەشکردنی وردەکارییە تەکنیکییەکان لەگەڵ CERTـی نیشتیمانی یان هاوبەشەکان یارمەتی ئەوانی تر دەدات بەرگری لە خۆیان بکەن — ئەمە بیرۆکەی پشت هەواڵگریی هەڕەشەـە.

The six phases are not the only model. NIST's old incident handling guide (SP 800-61 Rev. 2, 2012) used four phases: Preparation; Detection and Analysis; Containment, Eradication and Recovery; and Post-Incident Activity. In April 2025 NIST replaced it with SP 800-61 Rev. 3, which places incident response inside the six functions of the NIST Cybersecurity Framework 2.0:

شەش قۆناغەکە تاکە مۆدێل نین. ڕێنماییە کۆنەکەی NIST بۆ مامەڵەکردن لەگەڵ ڕووداوە ئاسایشییەکان (⁦SP 800-61 Rev. 2⁩، ⁦2012⁩) چوار قۆناغی بەکار دەهێنا: ئامادەکاری؛ دۆزینەوە و شیکردنەوە؛ سنووردارکردن، ڕیشەکێشکردن و گەڕاندنەوە؛ هەروەها چالاکییەکانی دوای ڕووداو. لە نیسانی ⁦2025⁩دا NIST بە ⁦SP 800-61 Rev. 3⁩ گۆڕییەوە، کە وەڵامدانەوەی ڕووداو دەخاتە ناو شەش ئەرکەکەی NIST CSF ⁦2.0⁩: