بعد توقيع مشتبه به، حدّد payload والموافقات والجلسات وحركات الأصول قبل إتلاف الأدلة أو توقيع أي شيء جديد.
هذا المفهوم مهم لأن الخطر الأساسي: لا تتعامل مع حدد أولاً الصلاحية التي ربما مُنحت كتفصيل ثانوي.
افحص حقول البروتوكول الدقيقة التي تنشئ صلاحية أو تغير التنفيذ. قارن هذه الحقول بنية المستخدم المعلنة وبحد الأمان المتوقع.
افحص حقول البروتوكول الدقيقة التي تنشئ صلاحية أو تغير التنفيذ.
على مستوى البروتوكول والتنفيذ يجب فحص detect و scope و contain و preserve و prioritize. لا تُترجم معرفات البروتوكول لأنها جزء من الـpayload التقني.
detectنقاط الفحص التقنية
scopeنقاط الفحص التقنية
containنقاط الفحص التقنية
preserveنقاط الفحص التقنية
prioritizeنقاط الفحص التقنية
اعتبر التناقضات والصلاحيات المفرطة والاعتماديات غير المفسرة إشارات فشل جوهرية.
النتيجة العملية هي أن الإجراء: تحقّق من الأدلة التقنية المتعلقة بـحدد أولاً الصلاحية التي ربما مُنحت قبل التفويض. المجهول لا يعني الآمن.
اربط كل إشارة جوهرية بنتيجتها المحددة على الأصول أو الصلاحيات أو الثقة.
النتيجة العملية هي أن الإجراء: تحقّق من الأدلة التقنية المتعلقة بـحدد أولاً الصلاحية التي ربما مُنحت قبل التفويض.
صعّد الحالة عندما تكون الأدلة متناقضة أو ناقصة أو تتجاوز النتيجة السياسة الروتينية.
تحقق من الطلب بأدلة مستقلة قبل أي تفويض غير قابل للعكس.
افحص حقول البروتوكول الدقيقة التي تنشئ صلاحية أو تغير التنفيذ.
قارن هذه الحقول بنية المستخدم المعلنة وبحد الأمان المتوقع.
تحقق من الطلب بأدلة مستقلة قبل أي تفويض غير قابل للعكس.
سجل الحقائق والافتراضات والمجهولات والقرار بحيث يستطيع محلل آخر إعادة إنتاج المراجعة.
صعّد الحالة عندما تكون الأدلة متناقضة أو ناقصة أو تتجاوز النتيجة السياسة الروتينية.
سجل الحقائق والافتراضات والمجهولات والقرار بحيث يستطيع محلل آخر إعادة إنتاج المراجعة.
الخطر الأساسي: لا تتعامل مع حدد أولاً الصلاحية التي ربما مُنحت كتفصيل ثانوي. و الإجراء: تحقّق من الأدلة التقنية المتعلقة بـحدد أولاً الصلاحية التي ربما مُنحت قبل التفويض.
الخطر الأساسي: لا تتعامل مع حدد أولاً الصلاحية التي ربما مُنحت كتفصيل ثانوي.
identify suspicious eventwhat accounts/sessions/approvals affectedstop further authorityretain evidenceassets at immediate risk firstpanic transactions
evidence deleted
wallet remains connected
active approvals unknown
compromised device reused
freeze risky activity
capture transaction/signature evidence
disconnect sessions
enumerate approvals/assets
choose containment actions by exposure
الحقائق ← الأدلة الجوهرية
الأدلة ← الأثر / السلطة
الأثر ← قرار واضح + الإجراء التالي
incident triage worksheetincident / triage
في 22 أغسطس 2023 كشفت Balancer عن ثغرة حرجة في بعض pools. كانت Emergency SubDAO قد خففت أكثر من 80% من السيولة المتأثرة وفعّلت عمليات خروج نسبية.
critical vulnerability in selected poolsmore than 80% of affected liquiditypause + proportional exitapproximately 4% of Balancer TVL at disclosureالاستجابة للحوادث تبدأ قبل الاستغلال عندما تتوفر أدلة موثوقة.
ما عتبة الأدلة التي تفعّل ضوابط الطوارئ، وكيف تفصل بين الأصول المخففة والقابلة للإيقاف والتي ما زالت معرضة للخطر؟
unexpected Permit2 signatureunknownyespossiblenot enumeratedURL + timestamp + signature availableقبل الإجابة حدّد الصلاحية التي يتم منحها وحد الثقة الذي قد يفشل والنتيجة التي تصبح غير قابلة للتراجع.
افصل الهوية والصلاحية والتنفيذ والسياق قبل اتخاذ القرار الأمني.
من أو ما الذي يطلب أو يستقبل أو يمثل الصلاحية؟
yesما القدرة التي يمكن منحها أو الاحتفاظ بها أو ممارستها؟
not enumeratedماذا سيفعل الـ payload أو المسار أو النظام فعلياً؟
ما الحقائق المحيطة التي قد تغيّر القرار مادياً؟
unexpected Permit2 signatureunknownpossibleURL + timestamp + signature availableلا تجب من الذاكرة. استخدم الحالة وحقول البروتوكول وإجراء التحقق أعلاه لكتابة نتيجة قابلة لإعادة الإنتاج.
الخطر الأساسي: لا تتعامل مع حدد أولاً الصلاحية التي ربما مُنحت كتفصيل ثانوي.
الإجراء: تحقّق من الأدلة التقنية المتعلقة بـحدد أولاً الصلاحية التي ربما مُنحت قبل التفويض.
سجّل تحليلك قبل نقطة التحقق وأنهِه بقرار أو إجراء تالٍ واضح. تبقى الملاحظات على هذا الجهاز.
طوّر الأقسام الثلاثة قبل الإكمال.
تتعمق هذه الوحدة في الاستجابة لحوادث المحافظ عبر نظرية تطبيقية ومختبر قرار مستقل.