🛡️ مراحل هجوم القراصنة (هام للمُدافعين)

شرح منهجي للمراحل التي يمر بها المهاجم عادةً — مع إجراءات كشف ووقاية لكل مرحلة. (محتوى دفاعي/توعوي فقط)

ملاحظة مهمة: المعلومات التالية تهدف لتوعية المدافعين وتحسين الجهوزية الأمنية. لا تتضمن تعليمات تنفيذية، أو أوامر تقنية، أو تفاصيل تساعد في تنفيذ هجمات.

📈 المخطط العام لمراحل الهجوم

الاستطلاع (Reconnaissance)
الوصول المبدئي (Initial Access)
رفع الامتيازات (Privilege Escalation)
الحركة الجانبية (Lateral Movement)
الإخفاق والبقاء (Persistence)
جمع المعلومات & الاستخراج (Collection & Exfiltration)
التأثير / التحرش (Impact / Actions on Objective)

1. الاستطلاع (Reconnaissance)

ما يفعله المهاجم: يجمع معلومات علنية عن الهدف (مواقع، أسماء موظفين، خدمات شبكية، واجهات عامة). هذا يساعده في تصميم هجوم مخصص.

كيف تكشف وتمنع: تقليل المعلومات المتاحة علنًا، مراجعة إعدادات الخصوصية على مواقع الشركات، مراقبة الوصول للمعلومات الحساسة، واستخدام تحليلات السلوك لاكتشاف استطلاع غير عادي.

2. الوصول المبدئي (Initial Access)

ما يفعله المهاجم: يحاول دخول الشبكة أو النظام — عبر تصيد، استغلال ثغرة معلنة، أو عبر طرف ثالث (مورد).

كيف تكشف وتمنع: تطبيق تحديثات التصحيح بانتظام، استخدام سياسات وصول صارمة، تفعيل MFA، وفحص البريد والروابط باستخدام أدوات تصفية متقدمة.

3. رفع الامتيازات (Privilege Escalation)

ما يفعله المهاجم: يسعى للحصول على صلاحيات أعلى داخل النظام لتمكين تحكم أوسع (مثل الوصول إلى قواعد البيانات أو إعدادات الشبكة).

كيف تكشف وتمنع: تطبيق مبدأ أقل الامتيازات (Least Privilege)، مراجعة صلاحيات المستخدمين دورياً، ونشر أنظمة مراقبة لسلوك الحسابات للقبض على نشاط غير اعتيادي.

4. الحركة الجانبية (Lateral Movement)

ما يفعله المهاجم: ينتقل بين أجهزة وشبكات داخل المؤسسة للوصول إلى أهداف ذات قيمة أعلى.

كيف تكشف وتمنع: تجزئة الشبكة (Network Segmentation)، استخدام مراقبة اتصال بين الأجهزة، قيود الوصول عبر الحسابات، وتفعيل أنظمة كشف التسلل (IDS/IPS).

5. البقاء (Persistence)

ما يفعله المهاجم: ينشئ طرقاً تضمن له الوصول المتكرر حتى بعد إعادة التشغيل أو محاولة تنظيف النظام.

كيف تكشف وتمنع: مراقبة التغييرات في إعدادات النظام، استخدام حلول إدارة التهيئة (CMDB)، واختبارات كشف التغيّرات غير المصرح بها بانتظام.

6. جمع المعلومات واستخراجها (Collection & Exfiltration)

ما يفعله المهاجم: يجمع بيانات حساسة (قواعد بيانات، مستندات، شهادات) ويحاول نقلها إلى خارج شبكة الضحية.

كيف تكشف وتمنع: تشفير البيانات الحساسة، مراقبة حركة المرور الصادرة (egress monitoring), إعداد قواعد لاكتشاف نقل كميات غير طبيعية من البيانات، وفحص نقاط النهاية (EDR).

7. التأثير أو الأهداف النهائية (Impact / Actions on Objective)

ما يفعله المهاجم: يحقق هدفه — قد يكون ذلك سرقة بيانات، تشفيرها (Ransomware)، تعطيل الخدمات، أو التجسس المستمر.

كيف تكشف وتمنع: وجود خطة استجابة للحوادث (IR Plan)، نسخ احتياطية مشفرة ومنفصلة، محاكاة استجابة دورية، والتعاون مع جهات التحقيق عند حدوث اختراق.

🗺️ ملخّص بسرعة — أدوات دفاعية مقابل كل مرحلة

الاستطلاع: مراقبة الويب العام، حماية بيانات المؤسسة على الإنترنت، وحظر جمع المعلومات المفرط.
الوصول المبدئي: إدارة التصحيحات، فلترة البريد، MFA، وEndpoint Protection.
رفع الامتيازات: مراجعة الصلاحيات، مراقبة سلوك الحسابات، واختبارات أمان منتظمة.
الحركة الجانبية: تجزئة الشبكات، مراقبة الاتصالات الداخلية، وسياسات الوصول الصارمة.
البقاء: مراقبة التهيئة، فحوصات تكوين آمنة، ومسح دوري للأنظمة.
الاستخراج: تشفير البيانات، مراقبة حركة الصادر، وقواعد منع تسرب البيانات (DLP).
التأثير: نسخ احتياطية، خطة استجابة للحوادث، وتأمين قنوات الاتصال مع مقدمي الخدمات والقانون.

مرجعية مختصرة: منهجيات معروفة

لفهم أكبر يمكنك الرجوع إلى أطر عمل معرفية مثل MITRE ATT&CK التي تصف تكتيكات وتقنيات المهاجمين بطريقة منهجية — مفيد جدًا لتخطيط الدفاعات وبناء حالات استخدام رصد متقدمة.

📋 خطوات استجابة سريعة عند الشك بحدوث هجوم

عزل الأنظمة المتأثرة (logical isolation) منعاً للانتشار.
جمع الأدلة (لوجز، لقطات شاشة، ملفات ذاكرة) بطريقة تحافظ على سلامتها.
تشغيل خطة الاتصالات: إعلام أصحاب القرار والفِرق المعنية ومقدمي الخدمات.
تشغيل إجراءات الاسترداد (استرجاع نسخ احتياطية آمنة) بعد التأكد من إزالة السبب الجذري.
إجراء مراجعة ما بعد الحادث (post-mortem) وتحديث الضوابط بناء على الدروس المستفادة.

مصادر موصى بها للمدافعين

MITRE ATT&CK (مرجع للتكتيكات والتقنيات).
دورات استجابة للحوادث (IR) ومختبرات التدريب العملي (Tabletop Exercises).
أدلة إعداد خوادم، قواعد الشبكة، وسياسات التحكم بالوصول.

⚠️ تحذير أخلاقي وقانوني

الشرح هنا للتوعية والدفاع فقط. لا أقدم تعليمات تنفيذية أو أدوات مُمكّنة للهجوم. تنفيذ أي هجوم أو محاولة قرصنة هو جريمة ويُعاقب عليها القانون.

📌 خلاصة

فهم منهجية المهاجم يساعدك على بناء دفاع متكامل. ابدأ بتقوية نقاط الضعف الأساسية (تحديث، MFA، نسخ احتياطية، وسياسات وصول) واجعل المراقبة والاكتشاف جزءًا يوميًا من عملك الأمني.

أمن المعلومات