كيف يفكر المهاجم: سلسلة الهجوم وMITRE ATT&CK
درس 3 من 6
3كيف يفكر المهاجم: سلسلة الهجوم وMITRE ATT&CK
الصورة الكبيرةاللص لا يقتحم البيت فجأة. أولًا يراقب الحي ويعرف متى تخرج، ثم يجهّز أدواته، ثم يجرّب الباب أو النافذة، وإذا دخل يحاول أن يبقى دون أن تلاحظ، ثم يأخذ ما يريد. كل خطوة من هذه فرصة لك: كاميرا تكشفه وهو يراقب، وقفل جيد عند الباب، وجرس إنذار وهو بالداخل.
ماذا تشاهد في الرسم: المهاجم (النقطة الحمراء) يتقدم مرحلة بعد مرحلة، حتى يصل إلى الاستغلال فيجد جهازًا محدّثًا وحسابًا عليه تحقق بخطوتين. السلسلة انكسرت، فلا تثبيت ولا تحكم ولا فدية.
خارطة هذا الجزء
المفاهيم بالترتيب، اضغط أيًّا منها للقفز إليه:
طريقان إلى نفس الفكرة
فكّر في الهجوم كقصة لها فصول: التجسس، ثم التجهيز، ثم الاقتحام، ثم الاختباء، ثم السرقة. المدافع لا يحتاج أن يوقف القصة كلها، يكفيه أن يمزّق فصلًا واحدًا فتتوقف بقية القصة. وكلما مزّق فصلًا أبكر، قلّت الخسارة.
Lockheed Martin Cyber Kill Chain: سبع مراحل خطية (Reconnaissance وWeaponization وDelivery وExploitation وInstallation وC2 وActions on Objectives)، ممتازة لتعليم المنطق العام. MITRE ATT&CK قاعدة معرفة مفتوحة مبنية على هجمات حقيقية: تكتيكات (لماذا) وتقنيات وتقنيات فرعية (كيف) وإجراءات مجموعات بعينها. تُستخدم لقياس تغطية الرصد ورسم خرائط الحرارة ومحاكاة الخصوم. في الإصدار v20 للمؤسسات 15 تكتيكًا، وحلّ Stealth وDefense Impairment محل Defense Evasion.
قبل أن تبدأ
🌐مشهد التهديدات 2026
تعرف أنواع المهاجمين وأشهر الهجمات.
🛰️المنافذ والـ VPN
من مسار الشبكات، لتفهم «خدمة مكشوفة» و«اتصال صادر».
الفكرة الجوهرية
1سلسلة القتل: سبع مراحل
قسّمت Lockheed Martin الهجوم إلى سبع مراحل متتالية. الفكرة الدفاعية بسيطة وقوية: يكفي أن توقف المهاجم في مرحلة واحدة ليفشل الهجوم كله. جرّب بنفسك: اختر مرحلة لترى ماذا يفعل المهاجم وكيف يرد المدافع.
تمرين: هجوم ودفاع في كل مرحلة
السيناريو: عصابة فدية تستهدف شركة متوسطة. اختر مرحلة لترى ماذا يفعل المهاجم فيها، وكيف يكشفه المدافع ويوقفه.
الفكرة الدفاعية: يكفي أن توقف المهاجم في مرحلة واحدة ليفشل الهجوم كله، وكلما أوقفته أبكر كانت الخسارة أقل. اضغط مرحلة لتعزلها.
المهاجم في مرحلة «الاستطلاع»
يجمع أسماء موظفي المالية من LinkedIn، ويفحص الإنترنت بحثًا عن خدمات الشركة المكشوفة مثل بوابة VPN.
المدافع: كيف يكشف ويوقف
تقليل المعلومات المنشورة، ومراقبة سطح الهجوم الخارجي، ورصد عمليات الفحص في سجلات الجدار الناري.
تكتيكات ATT&CK: Reconnaissance
المهاجم في مرحلة «التسليح»
يشتري بيانات دخول مسرّبة، ويجهّز ملفًا خبيثًا، أو يحصل على استغلال لثغرة معروفة في نوع الـ VPN المستخدم.
المدافع: كيف يكشف ويوقف
هذه المرحلة تحدث خارج شبكتك؛ أفضل دفاع هو معلومات التهديدات وترقيع الثغرات المستغلّة فعليًا أولًا.
تكتيكات ATT&CK: Resource Development
المهاجم في مرحلة «التوصيل»
يرسل بريد تصيّد لموظف المالية بعنوان «فاتورة متأخرة»، أو يجرّب بيانات الدخول المسروقة على الـ VPN.
المدافع: كيف يكشف ويوقف
تصفية البريد مع SPF وDKIM وDMARC، وتدريب الموظفين، وتحقق بخطوتين مقاوم للتصيّد على الـ VPN.
تكتيكات ATT&CK: Initial Access
المهاجم في مرحلة «الاستغلال»
الموظف يفتح المرفق فيُنفَّذ كود، أو يستغل المهاجم الثغرة في جهاز VPN غير محدّث.
المدافع: كيف يكشف ويوقف
الترقيع السريع، وحظر الماكرو القادم من الإنترنت، وEDR يكشف السلوك الغريب، وأقل صلاحية للمستخدمين.
تكتيكات ATT&CK: Execution
المهاجم في مرحلة «التثبيت»
يزرع بابًا خلفيًا، ويضيف مهمة مجدولة أو حسابًا جديدًا ليبقى حتى لو أُعيد التشغيل، ويرفع صلاحياته.
المدافع: كيف يكشف ويوقف
تنبيهات EDR على آليات البقاء، وقوائم السماح للتطبيقات، ومراقبة إنشاء الحسابات والصلاحيات العالية.
تكتيكات ATT&CK: PersistencePrivilege EscalationStealth
المهاجم في مرحلة «التحكم عن بعد»
الجهاز المصاب يتصل بخادم المهاجم عبر HTTPS، فيتحرك المهاجم أفقيًا ويسرق بيانات اعتماد المدير.
المدافع: كيف يكشف ويوقف
تصفية الاتصالات الصادرة وDNS، ومراقبة الشبكة، والتقسيم، وحماية حسابات المدراء بشكل منفصل.
تكتيكات ATT&CK: Command and ControlLateral MovementCredential Access
المهاجم في مرحلة «تحقيق الهدف»
يسحب البيانات الحساسة أولًا، ثم يحذف النسخ الاحتياطية ويشفّر الخوادم ويطلب الفدية (ابتزاز مزدوج).
المدافع: كيف يكشف ويوقف
نسخ احتياطية غير متصلة ومختبرة، وكشف التشفير الجماعي، ومنع تسرّب البيانات (DLP)، وخطة استجابة جاهزة.
تكتيكات ATT&CK: ExfiltrationImpactDefense Impairment
2MITRE ATT&CK: التكتيك والتقنية
سلسلة القتل خطية ومبسّطة، والهجمات الحقيقية تتفرع وتعود للخلف. لهذا بنت MITRE قاعدة معرفة مفتوحة من هجمات حقيقية. التكتيك هدف المهاجم في تلك اللحظة (لماذا): مثل الوصول الأولي أو سرقة بيانات الاعتماد. التقنية طريقته لتحقيقه (كيف): مثل التصيّد بمرفق، أو تفريغ ذاكرة نظام الدخول.
ستجد الاسم القديم Defense Evasion في كتب ومقالات كثيرة، فاعرف الاسمين.
فريق الدفاع يستخدم ATT&CK ليسأل: «لو استخدم المهاجم هذه التقنية، هل عندنا ما يكشفها؟» ويرسم خريطة ملوّنة بما يغطيه وما لا يغطيه. وفريق الاختبار يستخدمها ليحاكي مجموعة مهاجمين بعينها.
3فكّر كمهاجم لتدافع أفضل
أفضل سؤال يطرحه مدافع: «لو كنت أنا المهاجم، من أين أبدأ؟». غالبًا تكون الإجابة شيئًا مملًا: بوابة VPN قديمة، أو حساب موظف سابق لم يُعطَّل، أو كلمة مرور افتراضية. هذا ما يسمى سطح الهجوم: كل ما يستطيع المهاجم أن يلمسه.
مثال محلول
المسألة: وصلك تنبيه: «جهاز موظف يتصل كل 60 ثانية بعنوان مجهول عبر HTTPS، وظهر على الجهاز حساب مدير محلي جديد». في أي مرحلة من السلسلة أنت، وما خطوتك؟
الحل: الاتصال المنتظم بعنوان مجهول علامة التحكم عن بعد (Command and Control)، والحساب الجديد علامة التثبيت (Persistence). أي أن المهاجم تجاوز الاستغلال. الخطوة: اعزل الجهاز عن الشبكة، واحظر العنوان في الجدار والـ DNS، وعطّل الحساب الجديد، وابحث في بقية الأجهزة عن الاتصال نفسه قبل أن يصل لمرحلة الهدف.
خرافة مقابل حقيقة
| الخرافة | الحقيقة |
|---|---|
| الهجوم يحدث في دقائق ولا يمكن إيقافه. | أغلب الهجمات تأخذ أيامًا أو أسابيع عبر مراحل، وكل مرحلة تترك أثرًا يمكن رصده. |
| ATT&CK قائمة يحفظها المحلل. | هي لغة مشتركة وأداة لقياس التغطية؛ تبحث فيها عند الحاجة ولا تحفظها. |
أين تقابله في العمل
🖥️محلل SOC
يربط كل تنبيه بتكتيك ليعرف كم تقدّم المهاجم.
🎯مختبر اختراق
يخطط اختباره كمراحل ويكتب تقريره بلغة ATT&CK.
اختبر فهمك
أي تكتيك في ATT&CK يصف سحب البيانات خارج الشبكة؟
Collection جمعها داخل الشبكة، وExfiltration إخراجها للمهاجم.
ما الفرق بين التكتيك والتقنية في ATT&CK؟
مثال: الوصول الأولي تكتيك، والتصيّد بمرفق تقنية لتحقيقه.
في ATT&CK v20، ماذا حلّ محل Defense Evasion؟
قُسّم إلى تكتيكين: الاختباء عن الأنظار، وتعطيل أدوات الدفاع.
ما أول مرحلة في سلسلة Lockheed Martin؟
المهاجم يجمع المعلومات قبل أي شيء.
في ATT&CK، ما الفرق بين التكتيك والتقنية؟
مثال: الوصول للاعتمادات تكتيك، وBrute Force تقنية.
كسر السلسلة في أي مرحلة يعني:
كلما كسرتها أبكر قل الضرر.
بطاقات مراجعة سريعة
تحقق من فهمك
لماذا يكفي المدافع أن يكسر حلقة واحدة؟
لأن كل مرحلة تعتمد على التي قبلها؛ إذا فشل الاستغلال فلا تثبيت ولا تحكم ولا هدف.
لماذا لا تظهر مرحلة التسليح في سجلاتك غالبًا؟
لأنها تحدث عند المهاجم: يجهّز أدواته على أجهزته هو قبل أن يلمس شبكتك.
لماذا يفكر المدافع كمهاجم؟
ليعرف أين سيضرب أولًا، فيضع الضوابط والرصد في الطريق المتوقع لا في كل مكان بالتساوي.
مصادر هذا الدرس
مرتّبة بالنوع. ابدأ بالتوثيق الرسمي إذا تبي المرجع الدقيق، وبالمقال أو الفيديو إذا تبي الشرح أولًا.
مقالات1
خلّصت الدرس؟
سجّل الدخول ليُحفظ تقدّمك.