الأمن السيبراني وأمن المعلومات
أدلة مهنية عن الأمن السيبراني وأمن المعلومات: مسارات دخول المجال، دور SOC، شهادات Security+ وeJPT، الرواتب في إسرائيل والتحضير العملي — في مركز المعرفة HPI.
دورة الأمن السيبراني للمبتدئين: ما الذي يجب التحقق منه قبل التسجيل
تبدأ دورة الأمن السيبراني الجيدة للمبتدئين بأساسيات الشبكات وأنظمة التشغيل ولينكس، وتتضمن تدريبًا عمليًا في المختبرات، وتعد لشهادات دولية معترف بها، وتقدم دعمًا وظيفيًا حقيقيًا دون وعد بالتوظيف أو اجتياز الامتحانات.
كيفية دخول مجال الأمن السيبراني بدون خبرة سابقة
يمكن دخول مجال الأمن السيبراني حتى بدون خبرة سابقة: تعلم أساسيات أجهزة الكمبيوتر والشبكات، إتقان Windows و Linux، فهم مبادئ أمن المعلومات، التدرب في المختبرات وباستخدام أدوات مثل SIEM، وبناء حافظة مشاريع وحساب LinkedIn قبل البحث عن وظيفة دخول.
ماذا يفعل محلل مركز عمليات الأمن (SOC Analyst) في يوم عمل حقيقي؟
يراقب محلل SOC التنبيهات من نظام SIEM، ويقوم بالفرز الأولي، ويحقق مع المستخدمين ومحطات العمل، ويكتشف الإيجابيات الخاطئة (False Positive)، ويوثق كل حادث، ويصعد الحوادث حسب الحاجة إلى فرق متقدمة، ويعمل وفقًا لخطط عمل (Playbooks) محددة. يتطلب الدور فهمًا للشبكات وأنظمة التشغيل وعمليات الاستجابة للحوادث.
ما هو الأمن السيبراني؟ دليل كامل للمبتدئين
الأمن السيبراني (Cybersecurity) هو التخصص المهني الذي يعنى بحماية أنظمة الحوسبة والشبكات والبيانات والمستخدمين من الاستغلال أو التعطيل أو الوصول غير المصرح به. يرتكز في أساسه على إدارة المخاطر بناءً على الأصول والتهديدات ونقاط الضعف والضوابط، وفي جوهره المبادئ الثلاثة لـ CIA: السرية والنزاهة والتوافر.
هل سيحل الذكاء الاصطناعي محل متخصصي الأمن السيبراني؟ هكذا سيبدو هذا المجال في السنوات القليلة المقبلة
من غير المتوقع أن يحل الذكاء الاصطناعي محل متخصصي الأمن السيبراني، لكنه يغير بالفعل طبيعة عملهم. فهو يسرع مهام مثل تلخيص السجلات، والفرز الأولي، والاستعلامات، والتوثيق — لكن المهام التي تتطلب سياقًا ومسؤولية وحكمًا لا تزال في أيدي البشر. سيكون متخصصو الأمن السيبراني الذين يتعلمون العمل مع الذكاء الاصطناعي بطريقة آمنة يتمتعون بميزة.
ما هي المهن المتوفرة في الأمن السيبراني؟ الأدوار، مجالات التخصص، ومسارات الوظيفي
يشمل عالم الأمن السيبراني مجموعات وظيفية واضحة: SOC/Cyber Defense، Security Engineering، DFIR، Penetration Testing، Cloud Security، AppSec، GRC، و Threat Intelligence. الدخول الأكثر شيوعاً هو عبر SOC، ومن هناك يمكن التطور في اتجاهات مختلفة حسب الشخصية والخبرة المهنية.
كم تكلفة دورة الأمن السيبراني في إسرائيل؟ الأسعار، المسارات وما الذي تحصل عليه حقاً
يختلف سعر دورة الأمن السيبراني في إسرائيل بين الكليات، وجهات التدريب والبرامج الخاصة، ويعتمد على عوامل مثل عدد الساعات، الدروس الحية مقابل المسجلة، المختبرات، الدعم المهني وما يشمله من شهادات. بدلاً من مقارنة الأرقام فقط، من الأفضل مقارنة القيمة: ما الذي تحصل عليه بالضبط، ما الذي لا يشمله السعر، وما هي تكلفة إكمال الدراسة حتى دخول سوق العمل.
كم يستغرق تعلم الأمن السيبراني للوصول إلى الوظيفة الأولى؟
للمبتدئ بدون خلفية تكنولوجية، النطاق الزمني الواقعي عادة ما يكون حوالي 6 إلى 12 شهرًا من بداية الدراسة حتى الاستعداد الجيد للوظيفة الأولى، وأحيانًا أكثر حسب وتيرة الدراسة ومدة البحث عن العمل. قد يتقدم ذوو الخلفية في تكنولوجيا المعلومات أو الشبكات أو الدعم الفني بشكل أسرع. من المهم الفصل بين وقت الدراسة، والوقت اللازم للتدريب العملي، والوقت الذي يستغرقه الحصول على وظيفة – هذه ثلاث مراحل مختلفة، ولا يوجد مسار يضمن وظيفة في تاريخ محدد.
دورة الأمن السيبراني عبر الإنترنت مقابل الدورة الحضورية: المزايا والعيوب ولمن تناسب كل مسار
لا يوجد نمط واحد يناسب الجميع. دورة الأمن السيبراني المباشرة عبر الإنترنت يمكن أن تكون خيارًا ممتازًا لمن يستطيع التعلم بشكل مستقل، ولديه بيئة عمل هادئة ويريد توفير عناء التنقلات. الدورة الحضورية تناسب أكثر من يحتاج إلى إطار عمل مادي، وتواصل مباشر مع الصف ووجود عدد أقل من المشتتات في المنزل. جودة البرنامج، المحاضر، المختبرات، التغذية الراجعة والمواظبة هي أكثر أهمية من مجرد الاختيار بين الشاشة والصف.
خطة الدخول إلى الأمن السيبراني في 5 أشهر: ماذا تتعلم في كل مرحلة
يمكن بناء أساس وظيفي مهم في الأمن السيبراني خلال خمسة أشهر، ولكن فقط إذا تم الجمع بين الدراسة المنظمة والتدريب الأسبوعي. في الشهر الأول، يتم بناء أساسيات في الشبكات وأنظمة التشغيل؛ وفي الشهرين الثاني والثالث، يتم تعلم الأمان، السجلات، و SOC؛ وفي الشهر الرابع، يتم العمل على السيناريوهات والأدوات؛ وفي الشهر الخامس، يتم بناء مشروع، سيرة ذاتية، والاستعداد للمقابلات.
هل تريد العمل في مجال الأمن السيبراني؟ 5 أخطاء قد تؤخر دخولك المجال
الأخطاء الخمسة الأكثر شيوعًا هي تخطي الشبكات وأنظمة التشغيل، مطاردة الشهادات دون تدريب، التركيز على أدوات الهجوم فقط، الانتظار حتى الشعور بالجاهزية التامة قبل التقديم، وتوقع أن الدورة وحدها ستوفر وظيفة. الطريقة الصحيحة هي بناء أساس، التدريب، توثيق المشاريع، والبدء في دخول السوق مبكرًا.
ماذا تتعلم في دورة الأمن السيبراني؟ مواضيع، أدوات، مختبرات، وشهادات
يجب أن تعلم دورة الأمن السيبراني الشاملة للمبتدئين الشبكات، Windows، Linux، أساسيات الأمن، السحابة، جدران الحماية، المراقبة وSOC، تحليل السجلات، الاستجابة للحوادث، Python الأساسي، والتدريب في بيئات مرخصة. الدورة الجيدة لا تكتفي بالعروض التقديمية: بل تشمل مختبرات، مشاريع، ملاحظات، وإعداد للوظائف الأولية والشهادات ذات الصلة.
هل تحتاج إلى معرفة البرمجة لدراسة الأمن السيبراني والعمل فيه؟
لا يلزم أن تكون لديك معرفة بالبرمجة لبدء دراسة الأمن السيبراني أو الدخول إلى بعض الأدوار المبتدئة، خاصة في مراكز العمليات الأمنية (SOC)، والدعم الفني، ومراكز عمليات الشبكة (NOC)، وإدارة الصلاحيات، وتأمين البنية التحتية. ومع ذلك، فإن الإلمام بـ Python أو Bash أو PowerShell يحسن القدرة على الأتمتة، وفهم الأدوات، وتحليل البيانات، والتقدم إلى أدوار تقنية أكثر.
أسئلة مقابلة عمل لمحلل SOC – تتضمن أمثلة للإجابات
في مقابلة SOC للمبتدئين، يتم عادةً اختبار أساسيات الشبكات والأنظمة، والقدرة على قراءة السجلات، وفهم التصيد الاحتيالي والبرمجيات الخبيثة، وعملية التحقيق في التنبيهات، والقدرة على شرح القرارات. الإجابة الجيدة ليست مجرد تعريف: إنها تُظهر ترتيب الفحص، والبيانات التي كنت ستجمعها، والإجراءات الاحترازية، ومتى كنت ستقوم بالتصعيد.
كيف تبني مختبر أمن سيبراني منزلي للمبتدئين؟ دليل خطوة بخطوة
لبناء مختبر أمن سيبراني منزلي، تحتاج إلى جهاز كمبيوتر بذاكرة وتخزين مناسبين، وبرنامج افتراضي، وجهاز Linux وجهاز Windows أو نظام ضعيف مخصص. يجب إعداد شبكة داخلية معزولة، وإنشاء Snapshots، والعمل فقط على الأجهزة التي تملكها أو المنصات التي منحت إذنًا صريحًا.
راتب محلل SOC في إسرائيل: كم يكسب المبتدئون وذوي الخبرة في عام 2026؟
في عام 2026، تتراوح الرواتب الشائعة في إسرائيل لوظائف SOC/SIEM حوالي 11-13 ألف شيكل إسرائيلي جديد شهريًا إجماليًا للموظفين الذين لديهم خبرة تصل إلى سنة واحدة، و14-16 ألف شيكل إسرائيلي جديد بعد سنة إلى سنتين، و17-21 ألف شيكل إسرائيلي جديد لأصحاب الخبرة من ثلاث إلى خمس سنوات. في الواقع، يختلف الراتب حسب التحولات، والخبرة السابقة في تكنولوجيا المعلومات، وأدوات SIEM و EDR، ومستوى اللغة الإنجليزية، والتصنيف الأمني، والموقع، ونوع المنظمة.
محلل مركز العمليات الأمنية (SOC Analyst) مقابل مختبر الاختراق (Penetration Tester): ما الفرق وأي دور يناسبك؟
يحمي محلل SOC المنظمة في الوقت الفعلي من خلال المراقبة، والتحقيق في السجلات، وتحديد أولويات التنبيهات، والاستجابة للحوادث. يقوم مختبر الاختراق بفحص الأنظمة بشكل مخطط ومرخص لتحديد نقاط الضعف قبل أن يستغلها المهاجم. يناسب SOC من يحب التحقيق المستمر والعمليات والعمل الجماعي؛ بينا يناسب Pentest من يحب البحث الفني، والتجريب، وكتابة التقارير، والتعمق في الثغرات الأمنية.
هل يمكن الحصول على وظيفة Penetration Tester بعد الانتهاء من دورة السايبر؟
يمكن الحصول على وظيفة Penetration Tester بعد الدورة، ولكن الدورة وحدها غالبًا لا تكون كافية. يحتاج المرشح المبتدئ (Junior) إلى إظهار أساسيات في الشبكات، Linux، Windows، و Web، تدريب عملي في بيئات مرخصة، القدرة على كتابة التقارير، وحافظة أعمال تثبت طريقة تفكيره. أحيانًا يكون المسار الأسرع يمر عبر SOC، IT، الدعم الفني، أو وظيفة أمن فني أخرى.
أفضل شهادات الأمن السيبراني للمبتدئين: دليل مقارن
لا توجد شهادة واحدة تناسب الجميع للمبتدئين. Linux Essentials مناسبة لأساسيات Linux، وNetwork+ لأساسيات الشبكات، وCCST Cybersecurity لمدخل سهل إلى مبادئ الدفاع، وSecurity+ لأساس واسع ومعترف به أكثر، وeJPT لمن يرغب في التدريب الهجومي. يجب أن يتوافق الاختيار مع فجوة المعرفة والدور المستهدف.
شهادة eJPT: دليل شامل للاختبار، مواد الدراسة، والتحضير
eJPT هي شهادة Penetration Testing عملية ومبتدئة من INE Security. تناسب من يفهم أساسيات الشبكات، Linux، الخدمات وWeb ويريد التدرب على منهجية الاختبار في بيئة قانونية. يجب أن يشمل التحضير المختبرات، التوثيق، العمل المنظم وإدارة الوقت — وليس فقط مشاهدة الدروس.
Security+ مقابل eJPT: أي شهادة تناسبك؟
Security+ هي شهادة أوسع وأكثر نظرية تناسب أساسيات الأمن، عمليات SOC، والأدوار الدفاعية العامة. eJPT هي شهادة عملية وأكثر تركيزًا على اختبار الاختراق. لمن لا يزال يبني أساسه أو يستهدف SOC، غالبًا ما تكون Security+ أكثر ملاءمة؛ لمن يفهم الشبكات و Linux و Web ويستهدف Pentest، قد تكون eJPT أكثر ملاءمة.
CCST Cybersecurity مقابل Security+: ما الفرق وبماذا تبدأ؟
CCST Cybersecurity هي شهادة دخول أكثر سهولة تهدف إلى بناء الأساسيات. Security+ أوسع وأعمق وتتطلب فهمًا أفضل للشبكات والأنظمة والهندسة المعمارية والاستجابة للحوادث. بالنسبة للمبتدئ تمامًا، قد يكون من الأفضل أحيانًا البدء بـ CCST، الممارسة، ثم الانتقال إلى Security+.
هل Network+ ضرورية للمهنة في مجال الأمن السيبراني؟
شهادة Network+ ليست إلزامية رسمياً لمعظم وظائف الأمن السيبراني، لكن المعرفة التي تغطيها ضرورية تقريباً. يحتاج محلل SOC، أو أخصائي أمان السحابة، أو مختبر الاختراق إلى فهم عناوين IP، TCP و UDP، DNS، DHCP، التوجيه، Switching، VPN، Firewall واستكشاف الأخطاء وإصلاحها. يمكن اكتساب المعرفة أيضاً بدون امتحان.
شهادة Linux Essentials لمتخصصي الأمن السيبراني: ماذا تتعلم وهل تستحق؟
Linux Essentials هي شهادة أساسية من LPI تغطي نظام Linux، سطر الأوامر، الملفات، المستخدمين، الأذونات، العمليات، البرامج والشبكة الأساسية. إنها مناسبة للمبتدئين الذين يرغبون في إطار عمل منظم. الشهادة ليست إلزامية، لكن المعرفة مهمة جدًا لـمحللي SOC و السحابة و DevSecOps و Penetration Testing.
كيفية التحقيق في تنبيه أمني في مركز عمليات الأمن (SOC) من البداية إلى النهاية
التحقيق في تنبيه أمني في مركز عمليات الأمن (SOC) هو عملية منظمة يتم فيها التحقق من مصدر التنبيه، وتحديد المستخدم والأصل المعنيين، وجمع السياق من مصادر إضافية، وبناء جدول زمني، والبحث عن تفسيرات مشروعة، وتحديد ما إذا كان الحدث حقيقيًا. ينتهي التحقيق الجيد بقرار مبرر، وإجراء استجابة مناسب، وتوثيق يسمح لشخص آخر بإعادة بناء الاستنتاج.
تصنيف الإنذارات في مركز العمليات الأمنية (SOC): كيف يتم تحديد أولوياتها دون تفويت حدث حقيقي
تصنيف الإنذارات في مركز العمليات الأمنية (SOC) هو عملية فحص وتقييم أولية للإنذار لتحديد ما هو عاجل، وما يتطلب تحقيقًا معمقًا، وما يمكن إغلاقه. لا يستند القرار فقط إلى مستوى الخطورة الذي أظهره النظام، بل إلى مزيج من حرج الأصل، وحساسية المستخدم، وموثوقية الإشارة، والتقنية المكتشفة، ونطاق النشاط، والتأثير المحتمل.
الإيجابية الكاذبة في SOC: كيفية التحديد والتوثيق والتقليل
الإيجابية الكاذبة في SOC هي حالة تم فيها إنشاء تنبيه بسبب منطق خاطئ أو بيانات غير دقيقة، على الرغم من أن السلوك الخطير الذي كانت القاعدة تهدف إلى اكتشافه لم يحدث. لإغلاق التنبيه بشكل صحيح، يجب إثبات السبب، والتمييز بين النشاط المشبوه ولكنه مصرح به، وتوثيق Root Cause، وتقديم ملاحظات تقلل من التنبيهات المماثلة دون إنشاء Blind Spot.
دليل عمل لمركز عمليات الأمن (SOC): كيف تبني عملية استجابة متسقة للتنبيهات
دليل عمل لمركز عمليات الأمن (SOC) هو عملية موثقة تحدد كيفية التعامل مع نوع معين من التنبيهات: ما هي المدخلات، وما هي الاختبارات التي يتم إجراؤها، وما هي الأدلة التي يتم جمعها، وما هي نقاط القرار، ومتى يتم التصعيد، وما هي الإجراءات المسموح بها. دليل العمل الجيد يخلق اتساقًا دون إلغاء التفكير التحليلي، ويتم اختباره وتحديثه وفقًا للنتائج الحقيقية والتغييرات في البيئة.
كيف تبني جدولًا زمنيًا للتحقيق في حادثة سيبرانية
الجدول الزمني للتحقيق في حادثة هو جدول زمني يجمع الأحداث من مصادر مختلفة إلى وقت موحد، ويربط بينها من خلال المستخدمين، المحطات، عناوين IP، العمليات، والجلسات. يتضمن البناء الصحيح الحفاظ على الوقت الأصلي، التحويل إلى التوقيت العالمي المنسق (UTC)، تحديد المصدر والموثوقية، تحديد الفجوات، والفصل بين الحقيقة والتفسير والافتراض.
متى يجب على محلل مركز عمليات الأمن (SOC) تصعيد حادثة إلى المستوى الثاني (Tier 2) أو فريق الاستجابة للحوادث (IR)
يجب على محلل SOC تصعيد حادثة عندما تتجاوز مستوى المخاطر أو عدم اليقين أو نطاق الإجراءات المطلوبة سلطة وقدرة Tier 1. التصعيد الجيد ليس 'تحويل مشكلة'، بل تسليم حزمة تحقيق منظمة تتضمن الحقائق والأدلة والجدول الزمني والتأثير المتوقع والإجراءات التي تم تنفيذها بالفعل وسؤالاً واضحًا للفريق التالي. في حالة وجود اختراق نشط أو أصل حرج أو اشتباه في تسريب، يتم إشراك فريق الاستجابة للحوادث (IR) بسرعة وفقًا للإجراءات.
كيف تكتب تذكرة تحقيق احترافية في مركز عمليات الأمن السيبراني (SOC)
يجب أن تسمح تذكرة التحقيق الاحترافية في مركز العمليات الأمنية (SOC) لمحلل آخر بفهم ما حدث، وما هي البيانات التي تم فحصها، وما تم العثور عليه، وما هو غير معروف حتى الآن، وما هي الخطوة التالية — دون الحاجة إلى محادثة إضافية. يتضمن الهيكل الجيد ملخصًا، نطاقًا، جدولًا زمنيًا، أدلة، تحليلًا، قرارًا، إجراءات استجابة، وتوصيات. يجب الفصل بوضوح بين الحقيقة والتفسير والافتراض، واقتباس حقول السجل ذات الصلة فقط.
Severity مقابل الأولوية: كيف تصنف أحداث الأمن
Severity تصف التأثير المحتمل وشدة الحدث؛ الأولوية تحدد ترتيب وسرعة المعالجة الفعلية. قد يكون الحدث خطيرًا ولكنه ليس عاجلاً إذا كان معزولًا ومحتوى، أو ذا شدة متوسطة ولكنه ذو أولوية عالية إذا كان نشطًا على أصل حرج. التصنيف المهني يجمع بين الموثوقية، النطاق (Scope)، حرجية الأصل، الهوية، التعرض التجاري، حالة الاحتواء، والوقت.
Alert, Event, Incident و Offense: الفروقات التي يجب أن يعرفها كل محلل
Event هو سجل أو نشاط تمت ملاحظته؛ Alert هو إشعار يتم إنشاؤه عندما تجد آلية الكشف تطابقًا أو شذوذًا؛ Incident هو مجموعة من النتائج التي تقرر أنها تتطلب تحقيقًا واستجابة؛ Offense هو كائن التحقيق في IBM QRadar، يتم إنشاؤه من خلال ربط الأحداث والتدفقات وفقًا للقواعد. المصطلحات ليست متطابقة بين المنتجات، لذلك يجب على المحلل فهم المعنى العام ونموذج البيانات للأداة التي يعمل بها.
مقاييس SOC: المقاييس التي تعمل حقًا على تحسين الاكتشاف والاستجابة
تربط مقاييس SOC الجيدة بين السرعة والجودة والتغطية والتأثير. بالإضافة إلى متوسطات MTTD و MTTR، يجب قياس وقت الفرز والإغلاق حسب النسب المئوية، ومعدل الإيجابيات الكاذبة / الحميدة، والوقت بدون مالك، وجودة التصعيدات، وتوافر مصادر السجلات، وتغطية حالات الاستخدام، والحوادث المتكررة، وعبء العمل لكل محلل. يجب أن يؤدي كل مؤشر أداء رئيسي إلى اتخاذ قرار؛ المقياس الذي يمكن "تحسينه" دون تحسين الحماية هو مقياس خطير.
ما هو SIEM وكيف يعمل من جمع السجلات إلى الحوادث
SIEM — Security Information and Event Management — هو نظام يجمع بيانات الأمان من مصادر متعددة، ويحول السجلات المختلفة إلى معلومات قابلة للبحث والمقارنة، ويشغل منطق الكشف، وينظم النتائج كتنبيهات أو حوادث للتحقيق. القيمة لا تكمن في مجرد حفظ السجلات، بل في القدرة على ربط الوقت والمستخدم والأصل وعنوان IP والسلوك معًا في قصة يمكن للمحلل التحقق منها والتصرف بناءً عليها.
KQL للمبتدئين: استعلامات أولية للتحقيق في الحوادث
KQL — Kusto Query Language — هي لغة استعلامات لقراءة وتحليل البيانات في منتجات مثل Azure Monitor و Microsoft Sentinel. يبدأ الاستعلام عادة بجدول ويستمر عبر "أنبوب" من الأوامر: تصفية الوقت والأحداث، اختيار أو إنشاء حقول، تلخيص حسب المستخدم أو الأصل، وعرض النتائج ذات الصلة بالتحقيق. مفتاح التعلم هو البدء بسؤال واحد وبناء الاستعلام خطوة بخطوة.
Microsoft Sentinel: دليل التحقيق في الحوادث لمحلل مبتدئ
يبدأ التحقيق في الحوادث في Microsoft Sentinel بفهم سياق الحالة: أي التنبيهات تم تجميعها، من هي الكيانات، ما هي درجة الخطورة، وما هو مصدر الكشف. بعد ذلك، يقوم المحلل بالتحقق من المستخدمين والأصول، وفحص الأدلة والجدول الزمني، وتشغيل KQL تكميلي، وتوثيق القرارات، والتصعيد أو الاستجابة. الحادث هو ملف عمل – وليس دليلاً على نجاح الهجوم – وبالتالي يجب أن يعتمد التصنيف على الأدلة والسياق.
كيفية كتابة Analytics Rule في Microsoft Sentinel
تبدأ Analytics Rule الجيدة في Microsoft Sentinel بالسلوك الذي ترغب في تحديده والمصادر التي يمكن أن تثبته. ثم تقوم بكتابة KQL يعيد وحدة تحقيق واضحة، تحدد التردد وLookback، ترسم Entities، تحدد Severity وMITRE، تختار Grouping وتقوم بالاختبار والضبط. الهدف من القاعدة ليس توليد الكثير من التنبيهات، بل إنشاء Incidents يمكن فهمها والتحقق منها والعمل بناءً عليها.
SPL للمبتدئين: البحث والتحقيق في Splunk
SPL — Search Processing Language — هي لغة البحث في Splunk. يبدأ البحث باختيار البيانات حسب الوقت، index، sourcetype والمصطلحات، ويستمر بأوامر Pipe التي تقوم بتصفية، إنشاء حقول، تلخيص وعرض النتائج. لمحلل SOC، من المهم أولاً تعلم البحث الدقيق، stats و eval، ثم الاستعلامات المعقدة. كل نتيجة هي نقطة تحقيق يجب التحقق منها مقابل الأحداث الخام.
Splunk Enterprise Security: من عملية الكشف حتى التحقيق
يبدأ التحقيق في حادثة بـ Splunk Enterprise Security بفهم الـ Detection والكيان الذي يشير إليه، ثم يستمر في التحقق من الأحداث المساهمة، وإثراء Asset و-Identity، وبناء Timeline والبحث عن نشاط ذي صلة، وينتهي بـ Disposition، التوثيق والتغذية الراجعة للـ Detection. في إصدارات Splunk ES 8، المصطلحات Finding و-Analyst Queue أكثر شيوعًا؛ في الإصدارات السابقة قد تجد أحيانًا Notable و-Incident Review.
تحقيق في Offense بـ QRadar: كيفية قراءة والتحقيق في Offense
Offense في QRadar هو حالة ذات أولوية تنشأ عندما يربط محرك القواعد المخصص (Custom Rules Engine) الأحداث (Events) أو التدفقات (Flows) وفقًا لقاعدة. التحقيق الاحترافي لا يبدأ وينتهي بالـ Magnitude: يجب فهم القاعدة التي تم إطلاقها، فتح الأحداث والتدفقات المساهمة، التحقق من المصدر (Source) والوجهة (Destination) والأصول والوقت والسياق التجاري، ثم توثيق القرار وسبب الإغلاق (Closing Reason).
قواعد QRadar ومكونات البناء: دليل عملي
في QRadar، القاعدة (Rule) هي مجموعة من الاختبارات التي تؤدي إلى استجابة عندما تتحقق الشروط. يستخدم مكون البناء (Building Block) نفس الاختبارات لوصف مجموعة أو منطق متكرر، لكنه لا يقوم بتشغيل استجابة بنفسه. يبدأ التخطيط الجيد بحالة الاستخدام والبيانات، ويرتب الاختبارات من الأقل تكلفة والأكثر تقييدًا إلى الأكثر تكلفة، ويستخدم الحالة ومجموعات المراجع بحذر، ويتم اختباره قبل التشغيل في بيئة الإنتاج.
Elastic Security: إنشاء قاعدة اكتشاف ودليل التحقيق
تبدأ قاعدة الاكتشاف الجيدة في Elastic Security من السلوك الذي يجب تحديده ومن البيانات المتاحة، وليس من اختيار لغة عشوائية. يتم اختيار نوع القاعدة المناسب، والتحقق من ECS والحقول، وكتابة الاستعلام، وتحديد الجدول الزمني والبحث التاريخي، والمخاطر والخطورة، والكبت والاستثناءات، ويتم إرفاق دليل تحقيق يوجه المحلل خلال الفرز والتحليل والاستجابة.
EQL مقابل ES|QL: متى تستخدم كل لغة في تحقيقات الأمن
EQL مناسبة عندما يكون ترتيب الأحداث والعلاقة بينها هي جوهر السؤال: بدأ Process، ثم حدث اتصال، أو لم يظهر حدث متوقع. ES|QL مناسبة عندما يتطلب الأمر Pipeline للتصفية، الحساب، تغيير الحقول، التجميع والإحصائيات. إذا كانت المطابقة لحقل واحد كافية، فقد تكون Custom query أبسط من كليهما.
كيفية ربط مصدر السجلات بـ SIEM والتأكد من موثوقية المعلومات
ربط مصدر السجلات بـ SIEM هو عملية يتم فيها تحديد حالة الاستخدام (Use Case)، والتحقق من صحة مصدر البيانات، واختبار التحليل (Parsing) والتطبيع (Normalization)، وإجراء اختبارات الجودة، والتأكد من أن المخرجات تسمح بالتحقيق وليس فقط عرض التنبيهات (Alerts).
ضبط SIEM: كيف تقلل من إجهاد التنبيهات دون المساس بالتغطية
ضبط SIEM هي عملية يتم فيها تحديد حالة الاستخدام، والتحقق من صحة مصدر البيانات، واختبار التحليل والتطبيع، وإجراء اختبارات الجودة، والتأكد من أن الإخراج يسمح بالتحقيق وليس مجرد عرض للتنبيه.
Windows Event Logs لمحلل مركز العمليات الأمنية (SOC): من أين تبدأ
يتطلب Windows Event Logs لمحلل SOC قراءة الحدث بالكامل وليس فقط Event ID: الوقت، الكمبيوتر، المستخدم، Logon ID، العملية، مصدر الشبكة والسياق التنظيمي. يتم استنتاج الخلاصة من الارتباط بين عدة مصادر.
معرف الحدث 4624 و 4625: التحقيق في عمليات تسجيل الدخول الناجحة والفاشلة
يتطلب معرف الحدث 4624 و 4625 قراءة الحدث بالكامل وليس فقط معرف الحدث: الوقت، الكمبيوتر، المستخدم، معرف تسجيل الدخول، العملية، مصدر الشبكة والسياق التنظيمي. يتم استخلاص النتيجة من الارتباط بين عدة مصادر.
معرّف الحدث 4688: تحليل إنشاء العمليات في Windows
يتطلب معرّف الحدث 4688 قراءة الحدث بالكامل وليس فقط معرّف الحدث: الوقت، الحاسوب، المستخدم، معرّف تسجيل الدخول، العملية، مصدر الشبكة، والسياق التنظيمي. يتم التوصل إلى الاستنتاج من خلال الارتباط بين عدة مصادر.
PowerShell Logging: كيف تكتشف الأنشطة المشبوهة
يتطلب PowerShell Logging قراءة الحدث الكامل وليس فقط Event ID: الوقت، الكمبيوتر، المستخدم، Logon ID، العملية، مصدر الشبكة، والسياق التنظيمي. يتم استخلاص النتيجة من الارتباط بين عدة مصادر.
Sysmon للمبتدئين: التثبيت، الأحداث والدمج في SIEM
Sysmon للمبتدئين يتطلب قراءة الحدث الكامل وليس فقط Event ID: الوقت، الجهاز، المستخدم، Logon ID، العملية، مصدر الشبكة والسياق التنظيمي. يتم التوصل إلى الاستنتاج من خلال الارتباط بين عدة مصادر.
معرف حدث Sysmon 1: بناء شجرة العمليات للتحقيق
يتطلب Sysmon Event ID 1 قراءة الحدث كاملاً وليس فقط Event ID: الوقت، الكمبيوتر، المستخدم، Logon ID، العملية، مصدر الشبكة والسياق التنظيمي. يتم استخلاص الاستنتاج من خلال الارتباط بين عدة مصادر.
Sysmon Event ID 3 و 22: اتصالات الشبكة واستعلامات DNS
يتطلب Sysmon Event ID 3 و 22 قراءة الحدث بالكامل وليس فقط Event ID: الوقت، الكمبيوتر، المستخدم، Logon ID، العملية، مصدر الشبكة، والسياق التنظيمي. يتم استخلاص الاستنتاج من الارتباط بين عدة مصادر.
سجلات Active Directory: أهم مصادر المعلومات للتحقيق
تتطلب سجلات Active Directory قراءة الحدث الكامل وليس فقط معرف الحدث (Event ID): الوقت، الحاسوب، المستخدم، معرف تسجيل الدخول (Logon ID)، العملية (Process)، مصدر الشبكة، والسياق التنظيمي. يتم التوصل إلى الاستنتاج من خلال الترابط بين عدة مصادر.
التحقيق في هجمات Password Spray في Active Directory و Entra ID
يتطلب التحقيق في هجمات Password Spray قراءة الحدث الكامل وليس فقط Event ID: الوقت، الكمبيوتر، المستخدم، Logon ID، العملية، مصدر الشبكة والسياق التنظيمي. يتم بناء الاستنتاج من الارتباط بين عدة مصادر.
تحقيق القوة الغاشمة: كيف نميز بين الخطأ والهجوم
يتطلب تحقيق القوة الغاشمة قراءة الحدث بالكامل وليس فقط معرف الحدث (Event ID): الوقت، الحاسوب، المستخدم، معرف تسجيل الدخول (Logon ID)، العملية، مصدر الشبكة، والسياق التنظيمي. يتم التوصل إلى الاستنتاج من خلال الارتباط بين عدة مصادر.
التحقيق في تصعيد الامتيازات في Windows باستخدام السجلات
يتطلب التحقيق في تصعيد الامتيازات في Windows قراءة الحدث بالكامل وليس فقط معرف الحدث: الوقت، الكمبيوتر، المستخدم، معرف تسجيل الدخول، العملية، مصدر الشبكة والسياق التنظيمي. يتم استخلاص الاستنتاج من الارتباط بين عدة مصادر.
التحقيق في الحركة الجانبية في بيئة Windows Domain
يتطلب التحقيق في الحركة الجانبية قراءة الحدث بالكامل وليس فقط معرف الحدث (Event ID): الوقت، الحاسوب، المستخدم، معرف تسجيل الدخول (Logon ID)، العملية (Process)، مصدر الشبكة، والسياق التنظيمي. يتم تشكيل الاستنتاج من خلال الارتباط بين عدة مصادر.
Wireshark للمبتدئين: عملية منظمة لتحليل ملف PCAP
يتم تحليل PCAP في Wireshark من خلال رسم خرائط للتدفق، الأوقات، البروتوكولات، DNS/TLS/HTTP والاتصال بالأصل. الحزمة أو الاتصال الفردي هو دليل جزئي، ولذلك يتم بناء تسلسل وتأكيده مقابل مصادر إضافية.
عوامل تصفية العرض في Wireshark: فلاتر مفيدة للتحقيق في الحوادث
يتم تنفيذ Wireshark Display Filters من خلال تعيين التدفق، الأوقات، البروتوكولات، DNS/TLS/HTTP، والعلاقة بالأصول. الحزمة الفردية أو الاتصال الواحد هي دليل جزئي، لذلك يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
Follow TCP Stream: كيفية استعادة محادثة مشبوهة
يتم تنفيذ Follow TCP Stream من خلال تخطيط التدفق (Flow)، التوقيتات، البروتوكولات، DNS/TLS/HTTP والصلة بالأصل. الحزمة الواحدة أو الاتصال الواحد دليل جزئي، ولذلك يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
تحليل DNS الخبيث: الأنفاق (Tunneling)، وخوارزميات إنشاء النطاقات (DGA)، واختلالات النطاق (Domain Anomalies)
يتم تحليل DNS الخبيث من خلال رسم خرائط التدفق، والأوقات، والبروتوكولات، وDNS/TLS/HTTP، وعلاقتها بالأصل. Packet أو الاتصال الفردي هو دليل جزئي، لذلك يتم بناء تسلسل وتأكيده مقابل مصادر إضافية.
تحليل حركة مرور HTTP المشبوهة في Wireshark
يتم تحليل HTTP في Wireshark من خلال رسم خرائط التدفق، الأوقات، البروتوكولات، DNS/TLS/HTTP والسياق للأصل. الحزمة أو الاتصال الفردي هو دليل جزئي، لذلك يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
سجلات Zeek: كيفية فحص conn.log, dns.log, و http.log
يتم تحليل سجلات Zeek من خلال تخطيط التدفقات، الأوقات، البروتوكولات، DNS/TLS/HTTP، وربطها بالأصول. تعتبر حزمة أو اتصال واحد دليلًا جزئيًا، لذا يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
Suricata EVE JSON: من ربط التنبيه بـ PCAP وتدفق الشبكة
يتم تنفيذ Suricata EVE JSON من خلال تعيين التدفق، الأوقات، البروتوكولات، DNS/TLS/HTTP والسياق للأصل. الحزمة أو الاتصال الفردي هو دليل جزئي، لذلك يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
IDS مقابل IPS مقابل NDR: ما الفرق وأي معلومات يتلقاها مركز العمليات الأمنية (SOC)
يتم تحليل IDS مقابل IPS مقابل NDR عن طريق رسم خرائط التدفقات، الأوقات، البروتوكولات، DNS/TLS/HTTP، والعلاقة بالأصل. الحزمة أو الاتصال الفردي هو دليل جزئي، ولذلك يتم بناء تسلسل والتحقق منه مقابل مصادر إضافية.
كيفية التعرف على أوامر وتحكم (Command and Control) في حركة مرور الشبكة
يتم التعرف على أوامر وتحكم من خلال تخطيط التدفق، والأوقات، والبروتوكولات، وDNS/TLS/HTTP، وعلاقتها بالموارد. الحزمة أو الاتصال الواحد هو دليل جزئي، ولذلك يتم بناء تسلسل وتأكيده بمصادر إضافية.
بناء مخطط زمني للشبكة من اتصالات TCP و DNS و HTTP و TLS
يتم إنشاء Network Timeline عن طريق رسم خرائط التدفق والأوقات والبروتوكولات و DNS/TLS/HTTP والارتباط بالأصل. حزمة واحدة أو اتصال واحد يمثل دليلًا جزئيًا، لذلك يتم بناء تسلسل والتحقق منه من مصادر إضافية.
الاستجابة للحوادث وفقًا لمعيار NIST SP 800-61r3: دليل عملي
الاستجابة للحوادث وفقًا لمعيار NIST هي عملية محكومة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، وحفظ الـ Hash، وبناء جدول زمني (Timeline)، والفصل بين الحقيقة والتفسير والقرار.
خطة الاستجابة للحوادث مقابل كتيب الإجراءات: ما الفرق؟
خطة الاستجابة للحوادث مقابل كتيب الإجراءات هي عملية مُتحكّم فيها توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، ويتم حفظ الهاش، وبناء جدول زمني، والفصل بين الحقائق والتفسيرات والقرارات.
جمع الأدلة الرقمية دون المساس بسلامتها
جمع الأدلة الرقمية هو عملية مضبوطة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأداة، حفظ الهاش (Hash)، بناء جدول زمني (Timeline)، والفصل بين الحقيقة، التفسير والقرار.
ترتيب التقلب في التحقيق الرقمي: ماذا نجمع أولاً ولماذا
ترتيب التقلب هو عملية محكمة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأداة، حفظ الهاش، بناء الخط الزمني والفصل بين الحقيقة، التفسير والقرار.
تشريح الذاكرة للمبتدئين: ماذا يمكن أن نتعلم من ذاكرة الكمبيوتر
تشريح الذاكرة للمبتدئين هو عملية مضبوطة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأداة، حفظ الهاش، بناء الخط الزمني والفصل بين الحقيقة، التفسير والقرار.
تحليل الأقراص للمبتدئين: الملفات، البيانات الوصفية، والجدول الزمني
تحليل الأقراص للمبتدئين هو عملية محكمة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، وحفظ الهاش، وبناء جدول زمني، والفصل بين الحقيقة والتفسير والقرار.
Malware Triage: فحص أولي آمن لملف مشبوه
Malware Triage هو عملية منظمة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأداة، حفظ الـ Hash، بناء الخط الزمني والفصل بين الحقيقة والتفسير والقرار.
التحليل الساكن مقابل التحليل الديناميكي للبرامج الضارة: ما يتم فحصه في كل طريقة
التحليل الساكن مقابل التحليل الديناميكي للبرامج الضارة هو عملية محكومة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، والوقت، والأداة، وحفظ الهاش، وبناء جدول زمني، والفصل بين الحقيقة، والتفسير، والقرار.
كتابة أول قاعدة YARA للكشف عن ملف مشبوه
كتابة قاعدة YARA هي عملية مضبوطة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأداة، حفظ الهاش، بناء جدول زمني، والفصل بين الحقيقة، التفسير والقرار.
التحقيق في التصيد الاحتيالي من البداية إلى النهاية
التحقيق في التصيد الاحتيالي هو عملية منظمة توازن بين منع الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، ويتم حفظ الـ Hash، وبناء جدول زمني، والفصل بين الحقيقة والتفسير والقرار.
تحليل رؤوس البريد الإلكتروني: SPF, DKIM, DMARC و-Received
تحليل رؤوس البريد الإلكتروني هو عملية محكمة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر، الوقت والأدوات، حفظ الهاش، بناء الخط الزمني والفصل بين الحقيقة، التفسير والقرار.
التحقيق في اختراق البريد الإلكتروني التجاري وقواعد البريد الوارد
التحقيق في BEC هو عملية مضبوطة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، وحفظ الهاش، وبناء جدول زمني، والفصل بين الحقيقة والتفسير والقرار.
تحقيق برامج الفدية (Ransomware): أول 60 دقيقة
تحقيق برامج الفدية (Ransomware) هو عملية محكمة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، والاحتفاظ بـ Hash، وبناء خط زمني، والفصل بين الحقائق والتفسيرات والقرارات.
كيفية بناء مراجعة ما بعد الحادث والدروس المستفادة
مراجعة ما بعد الحادث (Post-Incident Review) هي عملية مُراقَبة توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، ويتم حفظ الهاش (Hash)، وبناء جدول زمني (Timeline)، والفصل بين الحقيقة والتفسير والقرار.
سلسلة الحفظ (Chain of Custody): توثيق الأدلة في تحقيقات الأمن السيبراني
سلسلة الحفظ (Chain of Custody) في الأمن السيبراني هي عملية مُتحكم بها توازن بين احتواء الضرر والحفاظ على الأدلة. يتم توثيق المصدر والوقت والأداة، ويتم حفظ الهاش (Hash)، وبناء جدول زمني (Timeline)، والفصل بين الحقيقة والتفسير والقرار.
البحث عن التهديدات للمبتدئين: من الفرضية إلى النتائج
البحث عن التهديدات للمبتدئين يبدأ بسؤال أو سلوك يرغب المرء في تحديده، ويستمر إلى تحديد Telemetry والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق والنشر المتحكم فيه. تُقاس الجودة بالتغطية والقدرة على التحقيق.
IOC مقابل IOA: ما الفرق وكيفية استخدامهما
يبدأ IOC مقابل IOA بسؤال أو سلوك نريد تحديده، ثم ينتقل إلى تعريف القياسات المنفصلة (Telemetry) والمنطق، وينتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
MITRE ATT&CK لمحللي مركز العمليات الأمنية (SOC): ربط التنبيه بالتقنية
يبدأ MITRE ATT&CK لمحللي SOC بسؤال أو سلوك يراد تحديده، ثم ينتقل إلى تعريف القياس المن بعد والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
Detection Engineering: كيف نحول السلوك الخبيث إلى قاعدة اكتشاف
يبدأ Detection Engineering بسؤال أو سلوك نريد اكتشافه، ثم ينتقل إلى تعريف القياس عن بعد والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
قواعد Sigma: الكتابة، الاختبار، والتحويل إلى SIEM
تبدأ كتابة قواعد Sigma بسؤال أو سلوك نريد تحديده، وتستمر بتحديد القياس عن بُعد (Telemetry) والمنطق، وتنتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
الكشف كتعليمات برمجية: إدارة قواعد الكشف في Git
يبدأ الكشف كتعليمات برمجية بسؤال أو سلوك نرغب في تحديده، ثم ينتقل إلى تحديد القياس عن بعد والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق والنشر الخاضع للرقابة. تُقاس الجودة بالتغطية والقدرة على التحقيق.
دورة حياة معلومات التهديد: من الجمع إلى العمل
تبدأ دورة حياة معلومات التهديد بسؤال أو سلوك نريد تحديده، وتستمر في تحديد Telemetry والمنطق، وتنتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
STIX و-TAXII: كيف تشارك معلومات التهديدات
يبدأ STIX و-TAXII بسؤال أو سلوك نريد تحديده، ثم ينتقل إلى تعريف Telemetry والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
البحث عن التهديدات في Windows باستخدام Sysmon
يبدأ البحث عن التهديدات باستخدام Sysmon بسؤال أو سلوك نرغب في تحديده، ثم ينتقل إلى تعريف Telemetry والمنطق، وينتهي بالاختبارات، والضبط، والتوثيق، والنشر المتحكم فيه. تُقاس الجودة بالتغطية والقدرة على التحقيق.
فريق Purple Team: كيف يربط PT لتحسين قدرات مركز العمليات الأمنية (SOC)
يبدأ Purple Team بسؤال أو سلوك يراد اكتشافه، ثم ينتقل إلى تحديد Telemetry والمنطق، وينتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المراقَب. تُقاس الجودة بالتغطية والقدرة على التحقيق.
منهجية اختبار الاختراق: من النطاق إلى إعادة الاختبار
يجب إجراء منهجية Penetration Testing فقط ضمن نطاق (Scope) وقواعد اشتباك (Rules of Engagement) معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار (Retest).
قواعد الاشتباك (Rules of Engagement) والنطاق (Scope) في اختبار الاختراق
يجب إجراء Rules of Engagement في اختبار الاختراق فقط ضمن نطاق (Scope) وRules of Engagement معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار (Retest).
الاستطلاع السلبي مقابل النشط في اختبار الاختراق المصرح به
يجب إجراء الاستطلاع السلبي مقابل النشط فقط ضمن نطاق وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار.
العد: كيف يتم رسم خرائط الخدمات والمستخدمين في بيئة المختبر
يجب إجراء العد (Enumeration) في اختبار الاختراق فقط ضمن نطاق وقواعد اشتباك (Rules of Engagement) معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم فيه، الأدلة، تقييم المخاطر، التصحيح وإعادة الاختبار (Retest).
تقييم الثغرات الأمنية مقابل اختبار الاختراق: ما الفرق؟
يجب أن يتم تقييم الثغرات الأمنية مقابل اختبار الاختراق فقط ضمن نطاق عمل وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح وإعادة الاختبار.
اختبار اختراق الشبكات: عملية اختبار كاملة في المختبر
يجب إجراء اختبار اختراق الشبكات فقط ضمن نطاق عمل (Scope) وقواعد اشتباك (Rules of Engagement) معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار (Retest).
اختبار اختراق Active Directory: خريطة الاختبار والحماية
يجب أن يتم اختبار اختراق Active Directory فقط ضمن نطاق عمل وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار.
تصعيد الامتيازات في Windows في مختبر مرخص: منهجية الاختبار
يجب أن يتم تصعيد الامتيازات في Windows فقط ضمن نطاق وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم به، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار.
تصعيد الامتيازات في Linux في مختبر معتمد: منهجية الاختبار
يجب أن يتم تصعيد الامتيازات في Linux فقط ضمن نطاق عمل وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم فيه، الأدلة، تقييم المخاطر، الإصلاح وإعادة الاختبار.
كتابة تقرير اختبار الاختراق الذي يؤدي إلى الإصلاح
يجب أن يتم إعداد تقرير اختبار الاختراق فقط ضمن نطاق عمل وقواعد اشتباك معتمدة. تتضمن العملية جمع المعلومات، التحقق المتحكم فيه، الأدلة، تقييم المخاطر، الإصلاح، وإعادة الاختبار.
منهجية اختبار اختراق تطبيقات الويب (Web Application Penetration Testing) وفقًا لمعيار OWASP WSTG
يتم اختبار Web Application Penetration Testing فقط في المختبر أو على نظام مصرح به. يتم فحص Request/Response، وسلوك الخادم، والأدوار، والحالة، والتأثير، باستخدام اختبارات حد أدنى لا تلحق ضررًا بالبيانات.
OWASP Top 10:2025 — دليل لمختبري الاختراق
يتم اختبار OWASP Top 10 2025 فقط في المختبر أو في نظام مرخص. يتم فحص Request/Response، سلوك الخادم، الأدوار، الحالة، والتأثير، باستخدام اختبارات دنيا لا تضر بالبيانات.
Burp Suite للمبتدئين: الوكيل، المكرر، والمتطفل في المختبر
يتم اختبار Burp Suite للمبتدئين فقط في المختبر أو في نظام مرخص. يتم فحص الطلب/الاستجابة، سلوك الخادم، الأدوار، الحالة، والتأثير، باستخدام الحد الأدنى من الاختبارات التي لا تضر بالبيانات.
كسر التحكم في الوصول: كيف تتحقق من الأذونات في التطبيق
يتم اختبار كسر التحكم في الوصول فقط في المختبر أو في نظام مرخص. يتم فحص Request/Response، وسلوك الخادم، والأدوار (Roles)، والحالة (State)، والتأثير، باستخدام اختبارات بسيطة لا تضر بالبيانات.
IDOR و-BOLA: اختبار الصلاحيات على مستوى الكائن
يتم اختبار IDOR BOLA فقط في المختبر أو في نظام مرخص. يتم فحص الطلب/الاستجابة، وسلوك الخادم، والأدوار، والحالة، والتأثير، باستخدام الحد الأدنى من الاختبارات التي لا تضر بالبيانات.
Authentication Failures: فحص آليات تسجيل الدخول
يتم فحص إخفاقات المصادقة فقط في المختبر أو نظام مرخص. يتم فحص الطلب/الاستجابة، سلوك الخادم، الأدوار، الحالة والتأثير، باستخدام اختبارات دنيا لا تضر بالبيانات.
أمن الجلسة: ملفات تعريف الارتباط والرموز وتثبيت الجلسة
يتم اختبار أمن الجلسة فقط في المختبر أو في نظام مرخص. يتم فحص الطلب/الاستجابة، وسلوك الخادم، والأدوار، والحالة، والتأثير، باستخدام اختبارات محدودة لا تضر بالبيانات.
حقن SQL: تحديد والتحقق الآمن في المختبر
يتم اختبار حقن SQL فقط في المختبر أو في نظام مرخص. يتم فحص Request/Response، سلوك الخادم، الأدوار، الحالة، والتأثير، مع استخدام اختبارات بسيطة لا تؤثر على البيانات.
Cross-Site Scripting: المخزن، المنعكس و DOM
يتم اختبار XSS فقط في المختبر أو في نظام مرخص. يتم فحص Request/Response، سلوك الخادم، الأدوار، الحالة والتأثير، باستخدام اختبارات دنيا لا تضر بالبيانات.
SSRF: كيف يتم الكشف والتحقق الآمن
يتم اختبار SSRF فقط في المختبر أو في نظام مرخص. يتم فحص الطلب/الاستجابة، سلوك الخادم، الأدوار، الحالة، والتأثير، باستخدام اختبارات حد أدنى لا تضر بالبيانات.
نقاط ضعف تحميل الملفات: الاختبار والمخاطر
يتم اختبار تحميل الملفات في المختبر أو في نظام مصرح به فقط. يتم فحص الطلب/الاستجابة، سلوك الخادم، الأدوار، الحالة، والتأثير، باستخدام اختبارات دنيا لا تضر بالبيانات.
Path Traversal و Local File Inclusion: كيف تختبر بأمان
يتم اختبار Path Traversal فقط في المختبر أو في نظام مصرح به. يتم فحص الطلب/الاستجابة، سلوك الخادم، الأدوار، الحالة، والتأثير، باستخدام اختبارات بسيطة لا تضر بالبيانات.
حقن الأوامر (Command Injection): الكشف، والتحقق، والوقاية
يتم اختبار Command Injection فقط في المختبر أو في نظام مرخص. يتم فحص Request/Response، وسلوك الخادم، والأدوار، والحالة، والتأثير، باستخدام اختبارات بسيطة لا تضر بالبيانات.
اختبار اختراق API: سير عمل كامل
يتم اختبار اختراق API فقط في المختبر أو في نظام مرخص. يتم فحص الطلب/الاستجابة، وسلوك الخادم، والأدوار، والحالة، والتأثير، باستخدام الحد الأدنى من الاختبارات التي لا تضر بالبيانات.
OWASP API Security Top 10: 2023 لاختبار الاختراق
يتم اختبار OWASP API Security Top 10 2023 فقط في المختبر أو في نظام مرخص. يتم التحقق من Request/Response، سلوك الخادم، Roles، State والتأثير، باستخدام اختبارات دنيا لا تضر بالبيانات.
التحقيق في حساب Microsoft 365 مشبوه: Entra، وMailbox، وDefender
يتطلب التحقيق في حساب Microsoft 365 ربط الهوية، وسجلات التدقيق، وإجراءات واجهة برمجة التطبيقات (API actions)، والموارد، والمناطق (Regions)، والجلسات (Sessions). نبدأ بالحفاظ على الأدلة وبناء جدول زمني (Timeline) ثم نقوم بالاحتواء الموثق.
التحقيق في بيانات اعتماد AWS المشبوهة باستخدام CloudTrail و GuardDuty
يتطلب التحقيق في بيانات اعتماد AWS ربط الهوية وسجلات التدقيق وإجراءات واجهة برمجة التطبيقات والموارد والمناطق والجلسات. ابدأ بحفظ الأدلة وبناء جدول زمني، ثم قم بالاحتواء الموثق.
التحقيق في حادثة أمنية في Azure: Sentinel، Entra و Defender
يتطلب التحقيق في حادثة أمنية في Azure ربط الهوية، سجلات التدقيق، إجراءات API، الموارد، المناطق، والجلسات. نبدأ بالحفاظ على الأدلة وبناء جدول زمني ثم نقوم بالاحتواء الموثق.
التحقيق في الحوادث في Google Cloud باستخدام سجلات التدقيق ومركز الأوامر الأمنية
يتطلب التحقيق في الحوادث في Google Cloud ربط الهوية، سجلات التدقيق، إجراءات API، الموارد، المناطق، والجلسات. نبدأ بالحفاظ على الأدلة وبناء جدول زمني، ثم ننفذ الاحتواء الموثق.
الذكاء الاصطناعي لمحلل SOC: استخدام آمن لتلخيص السجلات وKQL والتوثيق
يمكن للذكاء الاصطناعي لمحلل SOC تحسين السرعة والنظام، لكنه لا يحل محل الخبرة أو الرؤية. يجب تقليل المعلومات، وإزالة الأسرار، والتحقق من المخرجات مقابل المصدر، وتوثيق Prompt، وترك القرار النهائي بيد المحترف.
الذكاء الاصطناعي لاختبار الاختراق: التخطيط والتحليل والتقرير بدون كشف معلومات حساسة
يمكن للذكاء الاصطناعي لاختبار الاختراق تحسين السرعة والنظام، ولكنه لا يحل محل الخبرة أو الرؤية. يجب تقليل المعلومات، إزالة الأسرار، التحقق من المخرجات مقابل المصدر، توثيق Prompt، وترك القرار النهائي للمختص.