البحث عن التهديدات في Windows باستخدام Sysmon

اختيار الفرضية (Hypothesis)

موضوع "اختيار الفرضية" هو جزء أساسي في العمل على Threat Hunting باستخدام Sysmon. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبرير ذلك. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل hypothesis وdata requirements وquery وfindings وpivot، قارنها بالسلوك المتوقع وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للتحقق من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

تغطية البيانات (Data coverage) في Sysmon

موضوع "تغطية البيانات في Sysmon" هو جزء أساسي في العمل على Threat Hunting باستخدام Sysmon. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبرير ذلك. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل hypothesis وdata requirements وquery وfindings وpivot، قارنها بالسلوك المتوقع وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للتحقق من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

عمليات البحث في Process وCommandLine

موضوع "عمليات البحث في Process وCommandLine" هو جزء أساسي في العمل على Threat Hunting باستخدام Sysmon. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبرير ذلك. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل hypothesis وdata requirements وquery وfindings وpivot، قارنها بالسلوك المتوقع وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للتحقق من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

محاور الشبكة/DNS (Network/DNS pivots)

موضوع "محاور الشبكة/DNS" هو جزء أساسي في العمل على Threat Hunting باستخدام Sysmon. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبرير ذلك. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل hypothesis وdata requirements وquery وfindings وpivot، قارنها بالسلوك المتوقع وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للتحقق من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

النتائج والتحويل إلى كشف

موضوع "النتائج والتحويل إلى كشف" هو جزء أساسي في العمل على Threat Hunting باستخدام Sysmon. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، وما هو القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبرير ذلك. هذه الأسئلة تمنع الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل hypothesis وdata requirements وquery وfindings وpivot، قارنها بالسلوك المتوقع وحدد نقطة Pivot واحدة على الأقل. يجب أن تكون النتيجة قابلة للتحقق من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

نقاط فحص فريدة

في هذا الموضوع، يُنصح ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: hypothesis, data requirements, query, findings, pivot, detection opportunity. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، وعمل، ووقت أو يشرح سلوكًا شرعيًا.

• hypothesis: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• data requirements: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• query: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• findings: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• pivot: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• detection opportunity: حدد ما هي القيمة المتوقعة، وما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما يكون أحد هذه النقاط غير متوفر، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان Process identifier غير مستقر، يمكن الاستعانة بالوقت، والمضيف (Host)، والمستخدم (User)، والأصل (Parent)؛ وإذا كانت الحمولة مشفرة (Payload)، يتم استخدام Metadata، والحجم، والتكرار، وسياق TLS/DNS.

سير العمل الموصى به

1. حدد النطاق وسؤال عمل واحد في موضوع Threat Hunting باستخدام Sysmon.
2. سجل مصادر البيانات والأدلة المطلوبة: hypothesis, data requirements, query, findings.
3. أنشئ خط أساس قصير للسلوك السليم أو النتيجة المتوقعة.
4. قم بإجراء الحد الأدنى من الاختبار في بيئة معملية واحفظ الوقت والمدخلات والمخرجات.
5. قم ببناء جدول زمني أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بإجراء Pivot إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، والقيود، والإجراء الموصى به، ومعيار Retest.

سيناريو عملي

السيناريو المختار هو بحث محاكاة حول LOLBin غير عادي. الهدف من التمرين ليس إثبات قدرة هجومية، بل ممارسة الجمع والمقارنة والتوثيق بطريقة آمنة. قبل البدء، يتم تعريف بيانات وهمية، ونافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو فاحص آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيود وتوصية. عندما لا يكون هناك دليل كافٍ، تكون النتيجة الصحيحة هي أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓تحقق ووثق: الفرضية (Hypothesis).
• ✓تحقق ووثق: تقنية ATT&CK.
• ✓تحقق ووثق: مصادر البيانات (Data sources).
• ✓تحقق ووثق: منطق الكشف (Detection logic).
• ✓تحقق ووثق: السلوك الطبيعي المتوقع (Expected benign behavior).
• ✓تحقق ووثق: حالات الاختبار (Test cases) والتغطية (coverage).
• ✓اذكر المنطقة الزمنية، وإصدار الأداة، ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التعديل.
• ✓اكتب ما يثبته الاكتشاف وما هو غير معروف حتى الآن.
• ✓حدد المالك والإجراءات اللاحقة مع موعد.

أخطاء شائعة

• البدء من IOC عشوائي بدون فرضية (Hypothesis).
• ربط ATT&CK بالاسم فقط.
• كتابة Rule بدون حالات اختبار (Test cases).
• تجاهل السلوك الشرعي.
• قياس Rules بدلاً من التغطية (Coverage).
• عدم إدارة الإصدارات.

ملخص ودعوة للعمل (CTA)

Threat Hunting في Windows باستخدام Sysmon هو موضوع يربط المعرفة التقنية بانضباط العمل. ابدأ بسؤال، اجمع الأدلة ذات الصلة فقط، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI في HPI، يتم ممارسة هذه المبادئ من خلال الأنظمة، والسجلات، والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ المنتج كجزء من ملف عمل مهني.

الأسئلة الشائعة