كيفية التعرف على أوامر وتحكم (Command and Control) في حركة مرور الشبكة

أنماط C2

موضوع 'أنماط C2' هو جزء أساسي من العمل على التعرف على أوامر وتحكم. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، وما هو القرار الذي يرغب المرء في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتدوين beacon interval، و jitter، و rare destination، و TLS fingerprint، و DNS pattern، وقارنها بالسلوك المتوقع، وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

Beaconing والتردد

موضوع 'Beaconing والتردد' هو جزء أساسي من العمل على التعرف على أوامر وتحكم. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، وما هو القرار الذي يرغب المرء في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتدوين beacon interval، و jitter، و rare destination، و TLS fingerprint، و DNS pattern، وقارنها بالسلوك المتوقع، وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

بيانات DNS و TLS الوصفية

الحقول المهمة ليست بالضرورة هي تلك التي تظهر في أعلى الشاشة. في التعرف على أوامر وتحكم، يجب تحديد معرفات مستقرة، ووقت، ومصدر، ووجهة، ونتيجة، وسياق. أمثلة مفيدة هي beacon interval، و jitter، و rare destination، و TLS fingerprint، و DNS pattern، و bytes in/out. الهدف هو تمكين الارتباط بين السجلات وليس مجرد قراءة حدث واحد.

يوصى بإنشاء قاموس بيانات صغير: اسم الحقل، المعنى، التنسيق، المصدر، القيم المتوقعة Null، وما إذا كان موثوقًا للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو الإصدار بتغيير Schema.

الوجهات والسمعة

موضوع 'الوجهات والسمعة' هو جزء أساسي من العمل على التعرف على أوامر وتحكم. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، وما هو القرار الذي يرغب المرء في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتدوين beacon interval، و jitter، و rare destination، و TLS fingerprint، و DNS pattern، وقارنها بالسلوك المتوقع، وحدد نقطة محورية واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

التحقق في نقطة النهاية وتحديد النطاق

يبدأ الفحص الاحترافي للتعرف على أوامر وتحكم بشروط النجاح وشروط الفشل. يتم تحديد حالة إيجابية، وحالة سلبية، وحالة حدية، ونشاط شرعي مماثل. وبهذه الطريقة يمكن تحديد كل من False Negative و False Positive.

في البيئة المرخصة، يتم استخدام الحد الأدنى من الإجراءات التي تثبت الادعاء دون التسبب في ضرر. يتم الاحتفاظ بالمدخلات والمخرجات والوقت والإصدار، وبعد التصحيح يتم إعادة الاختبار بنفس السيناريو وفحص الانحدار على الوظائف القريبة.

نقاط فحص فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: beacon interval، و jitter، و rare destination، و TLS fingerprint، و DNS pattern، و bytes in/out. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، وعملية، ووقت أو يشرح سلوكًا شرعيًا.

• beacon interval: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• jitter: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• rare destination: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• TLS fingerprint: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• DNS pattern: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• bytes in/out: حدد القيمة المتوقعة، وما سيعتبر غير طبيعي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما لا يكون أحد نقاط الفحص متاحًا، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن استخدام الوقت، والمضيف، والمستخدم، والعملية الأصل؛ إذا كانت Payload مشفرة، يتم استخدام البيانات الوصفية، والحجم، والتردد، وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد النطاق وسؤال عمل واحد حول التعرف على أوامر وتحكم.
2. دوّن مصادر البيانات والأدلة المطلوبة: beacon interval، و jitter، و rare destination، و TLS fingerprint.
3. أنشئ خطًا أساسيًا قصيرًا للسلوك السليم أو النتيجة المتوقعة.
4. قم بإجراء الحد الأدنى من الفحص في بيئة مختبرية واحفظ الوقت والمدخلات والمخرجات.
5. أنشئ جدولًا زمنيًا أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بإجراء Pivot إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، والقيود، والإجراء الموصى به، ومعيار إعادة الاختبار.

سيناريو عملي

السيناريو المختار هو التعرف على نمط من اتصالات الشبكة الوهمية. الهدف من التمرين ليس إثبات القدرة على الهجوم، بل التدرب على جمع البيانات، والمقارنة، والتوثيق بطريقة آمنة. قبل بدء العمل، يتم تحديد بيانات وهمية، ونافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مراجع آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيد، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓فحص وتوثيق: المكونات الخمسة للتدفق.
• ✓فحص وتوثيق: وقت البدء، المدة، والحجم.
• ✓فحص وتوثيق: اسم DNS وبيانات TLS الوصفية.
• ✓فحص وتوثيق: طريقة HTTP، والمضيف، و URI عند الكشف.
• ✓فحص وتوثيق: علامات TCP والتيار.
• ✓فحص وتوثيق: العلاقة بالمضيف والعملية.
• ✓اذكر المنطقة الزمنية، وإصدار الأداة، ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما يثبته الاكتشاف وما لا يزال غير معروف.
• ✓حدد المالك والإجراء التالي مع موعد.

أخطاء شائعة

• الخلط بين Capture Filter و Display Filter.
• استنتاج المحتوى عندما تكون حركة المرور مشفرة.
• تحليل IP بدون سياق DNS/TLS.
• تجاهل NAT أو Proxy.
• التركيز على حزمة واحدة.
• عدم حفظ Capture الأصلي.

ملخص و CTA

كيفية التعرف على أوامر وتحكم في حركة مرور الشبكة هو موضوع يربط المعرفة التقنية بانضباط العمل. ابدأ بسؤال، واجمع الأدلة ذات الصلة فقط، وحافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة فحصه.

في مسار Cybersecurity & AI في HPI، يتم التدرب على هذه المبادئ باستخدام الأنظمة، والسجلات، والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ المنتج كجزء من ملف عمل مهني.

الأسئلة الشائعة