الأمن السيبراني وأمن المعلومات

فريق Purple Team: كيف يربط PT لتحسين قدرات مركز العمليات الأمنية (SOC)

6 دقيقة قراءةتاريخ النشر: 5 أغسطس 2026

توضيح بصري احترافي لموضوع Purple Team في مجال Threat Hunting والكشف

إجابة سريعة

يبدأ Purple Team بسؤال أو سلوك يراد اكتشافه، ثم ينتقل إلى تحديد Telemetry والمنطق، وينتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المراقَب. تُقاس الجودة بالتغطية والقدرة على التحقيق.

يقوم Threat Hunting و Detection Engineering بتحويل المعرفة حول سلوك المهاجم إلى أسئلة قابلة للقياس، ومصادر بيانات، وقواعد كشف. الهدف ليس توليد المزيد من التنبيهات، بل تحسين التغطية وجودة القرار. تركز هذه المقالة على Purple Team ومخصصة لأخصائيي SOC و PT والمديرين. الهدف هو توفير منهجية عمل يمكن تطبيقها في التدريب، في المقابلات المهنية، وفي بيئة العمل، دون الاكتفاء بتعريف معجمي.

التحدي الرئيسي هو أن البيانات شبه كاملة دائمًا. يمكن لـ emulation objective, telemetry validation, detection gap أن تشير إلى اتجاه، ولكن معناها يعتمد على الوقت، الأصول، المستخدم، والنشاط المتوقع. لذلك سنبني الاختبار حول سؤال تحقيق، أدلة مطلوبة ومعيار واضح للانتهاء.

السيناريو العملي في المقالة هو: Tabletop لتمرين تقنية واحدة. جميع الأمثلة هي بيانات معملية أو وصف للعمليات. عندما يتعلق الأمر بـ Penetration Testing, Web أو Cloud، يجب العمل فقط بموافقة صريحة، نطاق محدد، والقدرة على إيقاف الاختبار.

ما هو Purple Team

موضوع 'ما هو Purple Team' هو جزء أساسي من العمل على Purple Team. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، أي قرار تريد اتخاذه، وأي دليل كافٍ لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

في التدريب، قم بتسجيل emulation objective, telemetry validation, detection gap, tuning, retest، قارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للاختبار بواسطة محلل إضافي، بما في ذلك القيود وخطوات المتابعة.

اختيار التقنية والنطاق (Scope)

تُبنى عملية Purple Team من مراحل تتخللها نقاط توقف. يتم تحديد الهدف، النطاق (Scope)، المصادر، الإجراءات المسموح بها، الأدلة المطلوبة، أصحاب الأدوار، ومعيار الانتهاء. في البيئات الهجومية، تُضاف شروط التوقف (Stop conditions) وقناة طوارئ.

في كل مرحلة، يجب أن يكون هناك مُخرَج واضح: خريطة أصول، خط زمني (Timeline)، اكتشاف (Finding)، قاعدة (Rule)، دليل إجرائي (Playbook) أو تقرير. لا يتم الانتقال إلى المرحلة التالية إلا عندما يكون المُخرَج كافيًا وموثوقًا؛ وبهذه الطريقة نتجنب العمل العشوائي أو توسيع النطاق (Scope) دون إذن.

تخطيط Telemetry ومعايير النجاح (Success criteria)

التنفيذ المراقَب وتحليل الفجوات (Gap analysis)

موضوع 'التنفيذ المراقَب وتحليل الفجوات' هو جزء أساسي من العمل على Purple Team. يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخلات، أي قرار تريد اتخاذه، وأي دليل كافٍ لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

تحسين الكشف (Detection improvement) وإعادة الاختبار (Retest)

يبدأ الاختبار الاحترافي لـ Purple Team بشروط النجاح وشروط الفشل. يتم تحديد حالة إيجابية (Positive Case)، حالة سلبية (Negative Case)، حالة حدية (Boundary Case)، ونشاط مشروع مشابه. بهذه الطريقة يمكن تحديد كل من False Negative و False Positive.

في بيئة مرخصة، تُستخدم أقل إجراء يثبت الادعاء دون التسبب في ضرر. تُحفظ المدخلات (Input)، والمخرجات (Output)، والوقت، والإصدار (Version)، وبعد التصحيح، تُجرى إعادة اختبار (Retest) في نفس السيناريو وتُفحص أيضًا الانحدار (Regression) على الوظائف المجاورة.

نقاط اختبار فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقًا. نقاط الاختبار المركزية هي: emulation objective, telemetry validation, detection gap, tuning, retest, evidence. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، إجراء، ووقت أو يشرح سلوكًا مشروعًا.

emulation objective: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.
telemetry validation: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.
detection gap: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.
tuning: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.
retest: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.
evidence: حدد القيمة المتوقعة، وما سيعتبر شاذًا، وأي مصدر إضافي سيؤكد النتيجة.

عندما لا يكون أحد النقاط المركزية متاحًا، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن الاستعانة بالوقت، المضيف (Host)، المستخدم (User) والأصل (Parent)؛ إذا كان Payload مشفرًا، تُستخدم البيانات الوصفية (Metadata)، الحجم، التردد، وسياق TLS/DNS.

عملية عمل موصى بها

حدد النطاق (Scope) وسؤال عمل واحد حول موضوع Purple Team.
سجل مصادر البيانات والأدلة المطلوبة: emulation objective, telemetry validation, detection gap, tuning.
أنشئ خطًا أساسيًا (Baseline) قصيرًا للسلوك الطبيعي أو النتيجة المتوقعة.
قم بإجراء الاختبار الأدنى في بيئة معملية واحتفظ بالوقت، المدخلات، والمخرجات.
أنشئ جدولًا زمنيًا (Timeline) أو جدول مقارنة وافصل بين الحقيقة والتفسير.
قم بنقطة محورية (Pivot) إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
لخص القرار، القيود، الإجراء الموصى به، ومعيار إعادة الاختبار (Retest).

سيناريو عملي

السيناريو المختار هو Tabletop لتمرين تقنية واحدة. لا يهدف التمرين إلى إثبات القدرة الهجومية، بل إلى التدرب على الجمع، المقارنة، والتوثيق بطريقة آمنة. قبل بدء العمل، تُحدد البيانات الوهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم ناتج يمكن لمحلل أو مختبر آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيد، وتوصية. عندما لا يكون الدليل كافيًا، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

المرحلة	ما الذي يتم تنفيذه	الناتج
الإعداد	حدد النطاق (Scope) والوقت والهدف. سجل الحقول أو الأدلة المتوقعة من emulation objective, telemetry validation, detection gap.	خطة اختبار قصيرة
إنشاء البيانات	نفذ إجراءً آمنًا ووهميًا يتعلق بـ Purple Team، دون معلومات حقيقية أو تأثير على نظام الإنتاج.	حدث/طلب/تدفق مراقب
الجمع	اجمع الدليل الخام والسياق من مصدر إضافي. تأكد من المنطقة الزمنية، المعرفات، والكمال.	دليلان مرتبطان
التحليل	اكتب ما يثبته كل دليل، وما لا يثبته، وما هو التفسير الشرعي الممكن.	استنتاج مؤقت
الانتهاء	اختر إغلاقًا، تصعيدًا، اكتشافًا (Finding) أو ضبطًا (Tuning)؛ أضف توصية وإعادة اختبار (Retest).	ناتج موثق

قائمة مراجعة عملية

تحقق ووثق: Hypothesis.
تحقق ووثق: تقنية ATT&CK.
تحقق ووثق: Data sources.
تحقق ووثق: Detection logic.
تحقق ووثق: Expected benign behavior.
تحقق ووثق: Test cases و coverage.
اذكر المنطقة الزمنية، إصدار الأداة، ووقت التجميع.
احفظ البيانات الخام قبل التصفية أو التعديل.
اكتب ما تثبته النتيجة وما هو غير معروف حتى الآن.
حدد المالك والإجراءات اللاحقة مع الموعد النهائي.

أخطاء شائعة

البدء من IOC عشوائي بدون Hypothesis.
ربط ATT&CK بالاسم فقط.
كتابة Rule بدون Test cases.
تجاهل السلوك المشروع.
قياس Rules بدلاً من Coverage.
عدم إدارة الإصدارات.

الخلاصة و CTA

Purple Team: كيف يربط PT لتحسين قدرات SOC هو موضوع يربط المعرفة التقنية بالانضباط العملي. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI في HPI، يتم ممارسة هذه المبادئ من خلال الأنظمة، والسجلات، والمختبرات. الاستمرارية الطبيعية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ الناتج كجزء من محفظة عمل مهنية.