الأمن السيبراني وأمن المعلومات

كيف تبني جدولًا زمنيًا للتحقيق في حادثة سيبرانية

6 دقيقة قراءةتاريخ النشر: 5 أغسطس 2026

توضيح مرئي احترافي لموضوع بناء الجدول الزمني للتحقيق في حادثة في مجال SOC والعمليات

إجابة سريعة

الجدول الزمني للتحقيق في حادثة هو جدول زمني يجمع الأحداث من مصادر مختلفة إلى وقت موحد، ويربط بينها من خلال المستخدمين، المحطات، عناوين IP، العمليات، والجلسات. يتضمن البناء الصحيح الحفاظ على الوقت الأصلي، التحويل إلى التوقيت العالمي المنسق (UTC)، تحديد المصدر والموثوقية، تحديد الفجوات، والفصل بين الحقيقة والتفسير والافتراض.

نادرًا ما تظهر حادثة سيبرانية في سجل واحد. يظهر الاتصال في نظام الهوية، وتشغيل العملية في EDR أو Windows، وطلب النطاق في DNS، والاتصال الخارجي في Firewall. يصف كل مصدر جزءًا مختلفًا، بتنسيق زمني مختلف ومعرفات مختلفة. بدون جدول زمني، يرى المحقق مجموعة من الإشارات؛ باستخدام جدول زمني، يمكنه رؤية تسلسل سببي محتمل.

الجدول الزمني ليس مجرد ترتيب زمني. إنه عملية توحيد وربط وتقييم الموثوقية. قد يؤدي انحراف الساعة، أو المنطقة الزمنية الخاطئة، أو تأخير الاستلام إلى قلب الترتيب وإنشاء استنتاج خاطئ. يعرف NIST إدارة السجلات بأنها عملية تتضمن الإنشاء، النقل، التخزين، والوصول؛ تؤثر كل مرحلة على القدرة على استعادة حدث.

في هذه المقالة، سنقوم ببناء جدول زمني من سيناريو يتضمن Windows و DNS و Firewall و EDR. الأمثلة لا تعتمد على منتج معين ويمكن تطبيقها في جدول بيانات، SIEM، Notebook، أو أداة DFIR.

لماذا يعتبر الجدول الزمني جوهر التحقيق

يجيب الجدول الزمني على أسئلة لا يمكن حلها بحدث واحد: ما هو Initial Access، ما هي العملية التي أنشأت الاتصال، هل سبق الاتصال التشغيل، ماذا حدث بعد العزل، وهل قام نفس المستخدم بالعمل في أصول إضافية.

كما يكشف عن الفجوات. إذا أظهر EDR تشغيل ملف ولكن لا يوجد حدث إنشاء عملية في Windows، فربما لم يتم تمكين التدقيق (Auditing)، أو تم حذف السجل، أو سقط الحدث في التصفية، أو أن معرفات الوقت غير متزامنة. الفجوة نفسها هي اكتشاف.

في التحقيق المعقد، من المستحسن الاحتفاظ بجدولين زمنيين: Master Timeline يتضمن الأحداث الرئيسية، وجدول زمني مفصل لكل أصل أو مصدر. وبهذه الطريقة يظل التقرير قابلاً للقراءة دون فقدان البيانات.

توحيد الأوقات والمصادر

احفظ دائمًا حقلين: Original Timestamp كما ظهر في المصدر، و Normalized Timestamp بتوقيت UTC. اذكر المنطقة الزمنية الأصلية، انحراف الساعة المعروف، ووقت الاستلام في SIEM. لا تكتب فوق الوقت الأصلي، لأنه مطلوب للمراجعة وحل التناقضات.

ميز بين وقت الحدث ووقت Ingestion. قد يرسل Firewall سجلًا متأخرًا، وقد يكون Agent غير متصل بالإنترنت ويقوم بتحميل البيانات لاحقًا، وقد يحسب منتج سحابي Detection بعد الحدث. الترتيب حسب وقت الاستلام فقط قد يكون خاطئًا.

تحقق من مزامنة NTP، إعدادات Daylight Saving، التنسيقات مع/بدون Offset، المللي ثانية، والحقول التي تحتوي على وقت الإنشاء مقابل وقت التحديث. عند تغيير وقت النظام، وثق الانحراف ولا تحاول "تصحيحه" بصمت.

ربط المستخدمين، المضيفين، IP، والعمليات

ترتبط الأحداث من مصادر مختلفة عبر Pivot Keys. الهوية: UPN, SID, Object ID, Session ID. المحطة: hostname, Device ID, Agent ID, عنوان MAC. الشبكة: IP, NAT translation, port, protocol. العملية: PID, Parent PID, Process GUID, hash وسطر الأوامر.

PID وحده ليس معرفًا مستقرًا بمرور الوقت لأن نظام التشغيل يمكن أن يعيد استخدامه. في Windows، يساعد Process GUID الخاص بـ Sysmon أو مزيج Host + PID + الوقت بشكل أفضل. يمكن أن ينتقل عنوان IP داخلي بين المحطات في DHCP، لذلك يجب التحقق من ذلك باستخدام Lease أو Telemetry إضافية.

في كل سطر، أضف حقل "Entity Link": ما الذي يربط الحدث بالذي سبقه. على سبيل المثال: "تم إنشاء استعلام DNS بواسطة PID 4120، وهو فرع من powershell.exe من السطر السابق". يمنع الرابط الصريح القارئ من افتراض اتصال لم يتم إثباته.

الفصل بين الحقيقة والتفسير والافتراض

حقيقة: "في الساعة 10:14:22، وثق EDR وجود powershell.exe مع Parent winword.exe." تفسير: "يتوافق التسلسل مع إمكانية تشغيل التعليمات البرمجية من مستند." افتراض: "ربما قام المستخدم بفتح ملف Phishing." هذا الفصل بالغ الأهمية حتى لا يقدم التقرير افتراضًا كما لو كان دليلًا.

يمكن إضافة عمود Confidence: مرتفع عندما تدعم عدة مصادر مستقلة؛ متوسط عندما يدعم مصدر واحد عالي الجودة؛ منخفض عندما تكون البيانات جزئية أو تعتمد على افتراض. مستوى الثقة ليس درجة رياضية ملزمة، بل وسيلة للتعبير عن عدم اليقين.

يمكن إضافة MITRE ATT&CK بعد فهم الحدث لوصف التقنيات، ولكن لا ينبغي استخدام التعيين لملء الفجوات. حقيقة وجود PowerShell لا تثبت Initial Access أو Persistence.

تحديد الفجوات والتناقضات

ابحث عن الثقوب الزمنية، الأحداث التي تظهر في مصدر واحد فقط، العناوين التي لا تتوافق مع NAT، المستخدمين بتنسيقات مختلفة، والنتائج المعاكسة. قد تحتوي فجوة مدتها خمس دقائق قبل الاتصال الأول على أهم إجراء.

عندما يظهر مصدران أوقاتًا مختلفة، تحقق من Clock Skew، Time Zone، وقت الكتابة مقابل وقت الاستقبال، rounding، و cache. احتفظ بكلا الإصدارين واذكر أيهما تم استخدامه للترتيب ولماذا.

أنشئ "قائمة النواقص": سجلات Proxy لم يتم حفظها، Process Creation لم يتم تفعيله، EDR كان غير متصل بالإنترنت، أو لا يوجد وصول إلى Mailbox Audit. تساعد القائمة على فهم قيود الاستنتاج وتحسين Logging لاحقًا.

عرض الجدول الزمني في التقرير

يجب أن يتضمن الجدول الزمني في التقرير الإداري فقط الأحداث التي تغير فهم الحادثة: الوصول الأولي، التنفيذ، الثبات، الحركة الجانبية، الوصول إلى المعلومات، الاحتواء، والاسترداد. يمكن أن يتضمن الملحق الفني السجلات الكاملة.

لكل سطر يوصى بعرض: UTC، الوقت الأصلي، المصدر، الكيان، الحدث، الدليل/المعرف، التفسير، ومستوى الثقة. استخدم لغة متسقة وأفعال دقيقة: "تم الإنشاء"، "تم الحظر"، "فشل"، "تمت ملاحظته" - وليس "تم اختراقه" بدون دليل.

أرفق جدولًا زمنيًا مختصرًا أيضًا بالتذكرة حتى يتمكن المحلل التالي من المتابعة دون قراءة جميع الملاحظات.

سيناريو: Windows, DNS, Firewall و EDR

UTC	المصدر	الكيان	الحدث	الرابط والتفسير
08:41:03	Windows Security	WS-17 / user1	تسجيل دخول تفاعلي ناجح	بداية الجلسة؛ يجب التحقق من المصدر و Logon ID
08:43:18	EDR	WINWORD.EXE	إنشاء powershell.exe	شجرة العمليات تشير إلى التشغيل من مستند
08:43:20	EDR	powershell.exe	سطر أوامر مشفر	مطلوب فك التشفير في بيئة آمنة وحفظ المصدر
08:43:22	DNS	WS-17	استعلام لـ new-example-domain.tld	نفس المضيف، بعد ثانيتين من التشغيل
08:43:23	Firewall	10.0.4.17	اتصال TLS إلى IP خارجي	IP يتطابق مع استجابة DNS؛ تم التحقق من NAT
08:44:01	EDR	powershell.exe	إنشاء ملف في مجلد Temp	تم حفظ Hash؛ لم يتم تحديد ما إذا كان خبيثًا بعد
08:47:55	Microsoft Sentinel	user1 / WS-17	تم إنشاء Incident	وقت الكشف متأخر عن وقت الأحداث
09:02:11	EDR	WS-17	عزل المحطة بنجاح	نقطة احتواء؛ يجب فحص الاتصالات بعدها

قائمة التحقق العملية

لقد حفظت الوقت الأصلي ووقت UTC.
لقد ميزت بين Event Time و Ingestion Time.
وثقت المصدر وحقل المعرف.
ربطت الكيانات باستخدام معرفات موثوقة.
فصلت الحقيقة عن التفسير.
ذكرت الفجوات والتناقضات.
أضفت Confidence.
أنشأت جدولًا زمنيًا مختصرًا وملحقًا مفصلاً.

أخطاء شائعة

الفرز حسب وقت الاستلام فقط.
تحويل الوقت دون حفظ القيمة الأصلية.
ربط الأحداث بناءً على IP ديناميكي فقط.
كتابة افتراض وكأنه حقيقة.
تحميل آلاف الأحداث على Master Timeline دون تصفية.

ملخص و CTA

خذ سيناريو مختبري واحد وقم ببناء جدول زمني يدوي له من أربعة مصادر. ثم قارنه بعملية التحقيق في المقالة الأولى وتحقق من الحقول التي يجب إضافتها إلى Playbook للفريق. في دورة Cybersecurity & AI من HPI، يتم تدريس مهارات السجلات والشبكات و SIEM كجزء من التدريب العملي على التحقيق في الحوادث.