سجلات Active Directory: أهم مصادر المعلومات للتحقيق

ما هي الأنظمة التي تولد بيانات Telemetry

موضوع 'ما هي الأنظمة التي تولد بيانات Telemetry' هو جزء أساسي من العمل على سجلات Active Directory. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الغرض.

في التدريب، سجل 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة، وسجل خدمة الدليل (Directory Service log)، قارن بالسلوك المتوقع وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

المصادقة وKerberos

في سجلات Active Directory، الهوية والترخيص هما سؤالان مختلفان: من هو العميل، وماذا يُسمح له بالقيام به على المورد. يتم فحص الأدوار (Roles)، والمطالبات (Claims)، والجلسة (Session)، وملكية الكائن (Object ownership)، والتغييرات على مدار دورة الحياة، ولا يكتفى بأن المستخدم 'متصل'.

تتضمن مصفوفة الاختبار مستخدماً مجهولاً، ومستخدماً عادياً، ومالك كائن، ومستخدماً آخر، ومديراً. لكل عملية، تتم مقارنة الاستجابة والتأثير على جانب الخادم. تغيير المعرف أو الرأس هو مجرد وسيلة اختبار؛ الدليل هو أن الخادم سمح أو رفض عملية تتعارض مع السياسة.

تغييرات الحساب والمجموعة

موضوع 'تغييرات الحساب والمجموعة' هو جزء أساسي من العمل على سجلات Active Directory. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الغرض.

في التدريب، سجل 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة، وسجل خدمة الدليل (Directory Service log)، قارن بالسلوك المتوقع وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

خدمة الدليل وDNS

موضوع 'خدمة الدليل وDNS' هو جزء أساسي من العمل على سجلات Active Directory. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الغرض.

في التدريب، سجل 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة، وسجل خدمة الدليل (Directory Service log)، قارن بالسلوك المتوقع وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

الترابط بين DC وEndpoint

موضوع 'الترابط بين DC وEndpoint' هو جزء أساسي من العمل على سجلات Active Directory. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، ما هو القرار الذي نريد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الغرض.

في التدريب، سجل 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة، وسجل خدمة الدليل (Directory Service log)، قارن بالسلوك المتوقع وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للمراجعة من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

نقاط فحص فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقاً. نقاط الفحص الرئيسية هي: 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة، سجل خدمة الدليل (Directory Service log). القائمة ليست قائمة تحقق تلقائية؛ تم اختيار كل عنصر لأنه يمكن أن يربط بين الكيان، والعملية، والوقت أو يفسر سلوكاً مشروعاً.

• 4768/4769 Kerberos: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وأي مصدر إضافي سيؤكد النتيجة.
• 4771 حالات فشل: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وأي مصدر إضافي سيؤكد النتيجة.
• 4740 قفل: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وأي مصدر إضافي سيؤكد النتيجة.
• 4728/4732 تغييرات المجموعة: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وأي مصدر إضافي سيؤكد النتيجة.
• سجل خدمة الدليل (Directory Service log): حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وأي مصدر إضافي سيؤكد النتيجة.

عندما لا يكون أحد المحاور متاحاً، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان معرف العملية (Process identifier) غير مستقر، يمكن استخدام الوقت، والمضيف (Host)، والمستخدم (User)، والعملية الأصلية (Parent)؛ إذا كانت الحمولة (Payload) مشفرة، يتم استخدام البيانات الوصفية (Metadata)، والحجم، والتكرار، وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد النطاق وسؤال عمل واحد بخصوص سجلات Active Directory.
2. سجل مصادر البيانات والأدلة المطلوبة: 4768/4769 Kerberos، 4771 حالات فشل، 4740 قفل، 4728/4732 تغييرات المجموعة.
3. قم بإنشاء خط أساس قصير للسلوك السليم أو النتيجة المتوقعة.
4. نفذ الحد الأدنى من الفحص في بيئة معملية واحفظ الوقت والمدخلات والمخرجات.
5. قم ببناء جدول زمني أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بتحويل نقطة التركيز (Pivot) إلى مصدر آخر لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، والقيود، والإجراء الموصى به، ومعايير إعادة الاختبار (Retest).

سيناريو عملي

السيناريو المختار هو جدول حالات الاستخدام (Use Case) مقابل معرفات الأحداث (Event IDs) والمصدر. الغرض من التمرين ليس إثبات القدرة على الهجوم، بل التدرب على جمع البيانات ومقارنتها وتوثيقها بطريقة آمنة. قبل البدء بالعمل، يتم تعريف بيانات وهمية، ونافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مختبر آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيود، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓تحقق ووثّق: معرف الحدث (Event ID) والمزود (Provider).
• ✓تحقق ووثّق: الحاسوب (Computer)، والمستخدم (User)، ومعرف تسجيل الدخول (Logon ID).
• ✓تحقق ووثّق: العملية (Process)، والعملية الأصلية (Parent)، وسطر الأوامر (Command Line).
• ✓تحقق ووثّق: عنوان IP المصدر (Source IP)، ومحطة العمل (Workstation)، ونوع تسجيل الدخول (Logon Type).
• ✓تحقق ووثّق: تغييرات المجموعة/الامتيازات (Group/Privilege changes).
• ✓تحقق ووثّق: معرف عملية Sysmon (ProcessGuid) أو معرف الجلسة (SessionGuid).
• ✓اذكر المنطقة الزمنية (Time zone)، وإصدار الأداة، ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التعديل.
• ✓اكتب ما تثبته النتيجة وما هو غير معروف بعد.
• ✓حدد المالك والإجراءات التالية مع الموعد.

أخطاء شائعة

• الاعتماد على معرف الحدث (Event ID) بدون حقول.
• الخلط بين تسجيل الدخول (Logon) ومصدر الهجوم.
• تجاهل نوع تسجيل الدخول (Logon Type).
• ربط العمليات بواسطة PID فقط.
• افتراض أن كل PowerShell ضار.
• إغلاق حدث دون فحص وحدة تحكم المجال (Domain Controller).

الخلاصة والدعوة إلى اتخاذ إجراء

سجلات Active Directory: أهم مصادر المعلومات للتحقيق هو موضوع يربط المعرفة التقنية بالانضباط العملي. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI في HPI، يتم ممارسة هذه المبادئ من خلال الأنظمة والسجلات والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ المنتج كجزء من محفظة عمل احترافية.

الأسئلة الشائعة