الفريق البنفسجي ومحاكاة الخصوم
درس 3 من 5
3الفريق البنفسجي ومحاكاة الخصوم
الصورة الكبيرةتخيّل أن فريق الدفاع بنى خمسمئة قاعدة كشف ولم يجرب أحد منها على هجوم حقيقي. هل تعمل؟ لا أحد يعرف. وفي المقابل، فريق أحمر يخترق الشركة كل سنة ويسلّم تقريرًا يُقرأ ثم يُنسى. الفريق البنفسجي يكسر هذا: المهاجم ينفّذ تقنية واحدة، والمدافع ينظر في شاشته فورًا: هل رآها؟ إن لا، يُصلح القاعدة الآن، والمهاجم يعيد. في يوم واحد تتحول تقنيات كثيرة من «نتمنى أن نراها» إلى «نراها، ولدينا الدليل».
ماذا تشاهد في الرسم: الدورة تُعاد لكل تقنية: الأحمر ينفذ، والأزرق يتحقق، ومعًا يصلحان الكشف حتى يعمل، ثم ينتقلان للتقنية التالية.
خارطة هذا الجزء
المفاهيم بالترتيب، اضغط أيًّا منها للقفز إليه:
طريقان إلى نفس الفكرة
فكّر في تدريب الدفاع المدني. اختبار الاختراق مثل مفتش يمر على المبنى ويكتب: هذا الباب لا يُغلق، وهذا الطفاية منتهية. الفريق الأحمر مثل حريق تمثيلي مفاجئ لا يعرف به الحراس: هل لاحظوا؟ هل أخلوا المبنى؟ الفريق البنفسجي مثل تدريب مشترك: المدرب يشعل دخانًا في غرفة، ويقف مع الحراس: هل رن الإنذار؟ لا؟ لنصلح الحساس الآن ونجرب مرة أخرى.
اختبار الاختراق: أكبر عدد من الثغرات في نطاق محدد ووقت قصير. الفريق الأحمر: هدف محدد (مثل الوصول لنظام المدفوعات) بتخفٍّ ولمدة أطول، لاختبار الكشف والاستجابة، والدفاع لا يعرف غالبًا. محاكاة الخصم: تقليد مجموعة بعينها بتقنياتها الموثقة في تقارير التهديد، مرتبة في خطة محاكاة (مكتبة CTID تنشر خططًا جاهزة مثل FIN6 وAPT29). الفريق البنفسجي: الأحمر والأزرق معًا، بشفافية، لكل تقنية: تنفيذ، ثم تحقق من السجل والتنبيه، ثم إصلاح، ثم إعادة. الأدوات: Atomic Red Team (من Red Canary، اختبارات صغيرة لكل تقنية في ATT&CK)، وMITRE Caldera (منصة محاكاة آلية)، وATT&CK Navigator لرسم التغطية. النتيجة لكل تقنية: منعت، أو نبّهت، أو سُجلت فقط، أو لم تُرَ. في القطاع المالي: إطار TIBER-EU في أوروبا، وإطار SAMA للفريق الأحمر الأخلاقي في السعودية، يحددان تمارين بقيادة استخبارات التهديد بإشراف الجهة التنظيمية.
قبل أن تبدأ
🔎هندسة الكشف
تكتب قواعد Sigma وتختبرها.
🎯منهجية اختبار الاختراق
الإذن وقواعد الاشتباك.
الفكرة الجوهرية
1ثلاثة أنواع من «المهاجم الطيب»
الأسماء تختلط في سوق العمل، لكن الهدف يختلف. اختر النوع حسب السؤال الذي تريد إجابته:
| اختبار الاختراق | الفريق الأحمر | الفريق البنفسجي | |
|---|---|---|---|
| السؤال | ما الثغرات الموجودة؟ | هل نكشف هجومًا حقيقيًا ونوقفه؟ | كيف نجعل كشفنا يعمل لكل تقنية؟ |
| الدفاع يعرف؟ | غالبًا نعم | لا، عادة | نعم، يعملون معًا |
| المدة | أيام إلى أسابيع | أسابيع إلى أشهر | أيام مركزة متكررة |
| النتيجة | قائمة ثغرات وإصلاحات | قصة الهجوم وأين فشل الكشف | كشوفات مُثبتة وخريطة تغطية |
2من الاستخبارات إلى خطة المحاكاة
لا تحاكِ «أي مهاجم». اختر الخصوم الذين يستهدفون قطاعك ومنطقتك فعلًا (من تقارير التهديد ومراكز تبادل المعلومات القطاعية)، واستخرج تقنياتهم من ATT&CK، ورتبها كما يفعلونها في الواقع. هذه خطة المحاكاة. ثم نفّذها بشكل آمن في بيئة مصرح بها.
يوم بنفسجي: أربع تقنيات من خطة محاكاة
الخصم مجموعة جرائم مالية تبدأ بالتصيد، ثم تجمع بيانات الدخول، ثم تتنقل، ثم تشفّر. التمرين على أجهزة اختبار في بيئة الإنتاج بإذن مكتوب.
الفكرة: كل تقنية تنتهي بواحدة من أربع نتائج: منعت، أو نبّهت، أو سُجلت فقط، أو لم تُرَ. والهدف أن تتحرك كل تقنية نحو «نبّهت» أو «منعت» قبل نهاية اليوم.
1 · التنفيذ الأولي
الأحمر يشغل أمر PowerShell مشفرًا بـ Base64 كما يفعل الخصم بعد فتح المرفق. النتيجة: سُجل في السجلات، لكن لا تنبيه. الإصلاح: قاعدة Sigma لـ -EncodedCommand من عملية Office.
2 · إعادة
الأحمر يعيد التقنية نفسها بتنويع بسيط. النتيجة: نبّهت خلال دقيقة. التقنية تتحول للأخضر وتُضاف للاختبارات الآلية التي تُعاد كل أسبوع.
3 · سرقة بيانات الدخول
محاولة قراءة ذاكرة LSASS. النتيجة: EDR منعها ونبّه. ممتاز، لكن الأزرق يتحقق أن التنبيه وصل للمحلل المناوب فعلًا لا لصندوق بريد مهجور.
4 · الحركة الأفقية
اتصال بمشاركة الإدارة ADMIN$ على خادم آخر. النتيجة: لم تُرَ، لأن سجلات تسجيل الدخول من الخوادم لا تصل SIEM. الإصلاح: ليس قاعدة بل مصدر سجلات ناقص، يُسجّل كمهمة للفريق.
5 · التشفير
حذف النسخ الظلية بـ vssadmin قبل التشفير، كما يفعل الخصم. النتيجة: نبّهت. وفي التقرير: تقنيتان أصلحتا اليوم، وواحدة تحتاج مصدر سجلات، وواحدة كانت تعمل.
3قياس التغطية
بعد كل تمرين، حدّث خريطة التغطية: لكل تقنية من خطة الخصم، ما أفضل نتيجة وصلت إليها؟ وهذا الرقم، لا عدد القواعد، هو ما تعرضه على الإدارة. شغّل الحساب:
«سُجل فقط» ليس نجاحًا: السجل موجود لكن لا أحد ينظر إليه. هذه التقنيات هي عمل الربع القادم.
SCORE = {"blocked": 3, "alerted": 2, "logged": 1, "none": 0}
results = { # technique -> outcome after this quarter's purple exercises
"T1566.001 Spearphishing attachment": "blocked",
"T1059.001 PowerShell": "alerted",
"T1003.001 LSASS memory": "blocked",
"T1021.002 SMB admin shares": "none",
"T1078 Valid accounts": "logged",
"T1486 Data encrypted for impact": "alerted",
"T1490 Inhibit system recovery": "alerted",
"T1567 Exfiltration to web service": "logged",
}
for tech, outcome in results.items():
print(f"{'#' * SCORE[outcome]:<4}{outcome:<8} {tech}")
detected = sum(1 for o in results.values() if SCORE[o] >= 2)
print(f"\ndetected or blocked: {detected}/{len(results)} = {detected / len(results):.0%}")
gaps = [t for t, o in results.items() if SCORE[o] < 2]
print("next quarter's work:", "; ".join(g.split(" ", 1)[1] for g in gaps))ATT&CK Navigator يرسم هذا الجدول كخريطة ملونة فوق مصفوفة ATT&CK، وهي من أوضح الصور التي تعرضها على مجلس الإدارة: أين نرى، وأين نحن عميان، وماذا سنصلح.
مثال محلول
المسألة: بنك يريد تمرين فريق أحمر لأن الجهة التنظيمية طلبته، لكن مركز العمليات الأمنية عمره ستة أشهر فقط وقواعده قليلة. كيف ترتب الأمر؟
الحل: اقترح ثلاث خطوات. أولًا (شهران): أيام بنفسجية شهرية على الخصوم الذين يستهدفون البنوك في المنطقة، بخطة محاكاة من تقارير التهديد ومكتبة CTID، حتى تصل التغطية لنسبة مقبولة للتقنيات الأهم. ثانيًا: أتمتة اختبارات Atomic Red Team لما تم إصلاحه حتى لا يتراجع. ثالثًا: تمرين الفريق الأحمر بقيادة استخبارات التهديد ضمن إطار الجهة التنظيمية، بهدف واضح مثل الوصول لنظام التحويلات، وفريق أبيض صغير يعرف ويدير المخاطر. هكذا يقيس الأحمر دفاعًا حقيقيًا، ونتيجته تقول شيئًا جديدًا.
خرافة مقابل حقيقة
| الخرافة | الحقيقة |
|---|---|
| الفريق الأحمر والبنفسجي اسمان لاختبار الاختراق. | الهدف مختلف: الاختبار يجد ثغرات، والأحمر يقيس الكشف والاستجابة، والبنفسجي يبني الكشف. |
| كثرة قواعد الكشف تعني أمانًا أكثر. | القاعدة التي لم تُختبر على هجوم حقيقي قد لا تعمل. التغطية المُثبتة هي المقياس. |
| إن لم يُكشف الفريق الأحمر فقد فشل الدفاع كله. | النتيجة خريطة: أين رأينا وأين لم نرَ. هذا ما يجعل الإصلاح ممكنًا. |
أين تقابله في العمل
🏦القطاع المالي
تمارين فريق أحمر بقيادة الاستخبارات بإشراف تنظيمي.
🛡️مركز العمليات
أيام بنفسجية شهرية تحوّل القواعد النظرية إلى كشف مُثبت.
📊مجلس الإدارة
خريطة تغطية ATT&CK تشرح الوضع في صورة واحدة.
اختبر فهمك
ما الهدف الأساسي للفريق الأحمر؟
الأحمر يحاكي هجومًا حقيقيًا بتخفٍّ ليعرف هل يراه الدفاع ويوقفه.
ما الذي يميز الفريق البنفسجي؟
الشفافية تسمح بإصلاح الكشف فورًا وإعادة التجربة.
تقنية نتيجتها «سُجلت فقط». ماذا يعني ذلك؟
لا أحد ينظر للسجل في الوقت المناسب، فالمهاجم يمر.
ما Atomic Red Team؟
من Red Canary، ويستخدم في التمارين البنفسجية والاختبار الآلي للكشف.
كيف تختار الخصوم الذين تحاكيهم؟
المحاكاة المفيدة تقلد من سيهاجمك على الأرجح.
بطاقات مراجعة سريعة
تحقق من فهمك
لماذا لا تبدأ بفريق أحمر إن كان كشفك ضعيفًا؟
لأنه سيدخل بسهولة ويخبرك بما تعرفه؛ البنفسجي يبني الكشف أولًا.
ما النتائج الأربع الممكنة لتقنية في التمرين؟
منعت، أو نبّهت، أو سُجلت فقط، أو لم تُرَ.
ماذا تفعل بتقنية أصلحت كشفها في التمرين؟
تضيفها لاختبارات آلية تُعاد دوريًا حتى لا يتراجع الكشف.
مصادر هذا الدرس
مرتّبة بالنوع. ابدأ بالتوثيق الرسمي إذا تبي المرجع الدقيق، وبالمقال أو الفيديو إذا تبي الشرح أولًا.
أدوات2
خلّصت الدرس؟
سجّل الدخول ليُحفظ تقدّمك.