الاستجابة للحوادث والتحقيق الرقمي على Linux
خروج

الدرس 1 من 12 · الأساسيات

دورة الاستجابة للحوادث والتحضير

40 د Debian 12

الهدف

معرفة ترتيب التصرف عند اختراق خادم Linux، ومن يقوم بماذا في الفريق، وما الذي يجب أن يكون جاهزًا قبل الأزمة حتى لا يُرتجَل شيء يوم وقوعها.

الأساسيات

  • تتبع الاستجابة للحوادث دورة: التحضير، الكشف والتحليل، الاحتواء، الإزالة، الاستعادة، الدروس المستفادة. تخطّي مرحلة مكلف (تُعيد التثبيت قبل أن تفهم، فيعود المهاجم من الباب نفسه).
  • القاعدة الأولى هي عدم إتلاف الأدلة: لا تُطفئ الخادم، لا «تنظّف» يدويًا، لا تشغّل أداة تكتب فوق القرص.
  • يُدوَّن كل إجراء في سجل وقائع (logbook) بطابع زمني بتوقيت UTC، مع اسم صاحبه.
  • يجري التحضير على البارد: جهات الاتصال، صلاحيات الوصول الطارئة، السجلات المركزية، حقيبة أدوات موثوقة مع بصماتها، أدلة التشغيل، التمارين.
  • تجيب عن سؤال يخص العمل لا عن سؤال تقني فقط: أي بيانات؟ أي عملاء؟ أي التزامات قانونية؟

1. المراحل الست

النموذج الأكثر استعمالًا في الميدان يقسّم الاستجابة إلى ست خطوات. تجمّعها الأدلة الرسمية أحيانًا بشكل مختلف (دليل NIST الأمريكي، في نسخته لعام 2025، يربطها بوظائف إطار الأمن السيبراني CSF 2.0: الحوكمة، التحديد، الحماية، الكشف، الاستجابة، الاستعادة)، لكن العمل على الأرض يبقى نفسه.

المرحلة السؤال مثال على ml-web-01
التحضير هل نحن جاهزون؟ السجلات مُرسَلة إلى ml-log-01، النسخ الاحتياطية مُختبَرة، حقيبة الأدوات جاهزة
الكشف والتحليل ما الذي يحدث فعلًا؟ تنبيه عن ارتفاع المعالج، ثم اتصال root مجهول في auth.log
الاحتواء كيف نوقف النزيف دون محو الآثار؟ سحب الخادم من الشبكة العامة، إبقاؤه مشتغلًا، حظر عنوان IP
الإزالة ماذا ترك المهاجم؟ حذف مفتاح SSH المُضاف، الحساب المخفي، مهمة cron، وإصلاح الثغرة
الاستعادة كيف نعود للخدمة بثقة؟ إعادة البناء من صورة سليمة، استعادة بيانات موثوقة، مراقبة لصيقة
الدروس المستفادة ماذا نتعلّم؟ مراجعة بلا بحث عن مذنب، خطة عمل مؤرَّخة، تحديث الأدلة

ليست خطًا مستقيمًا: أثناء الإزالة تكتشف غالبًا آلة ثانية مُصابة، فتعود إلى التحليل.

احتواء قصير وطويل

  • قصير المدى: قطع وصول المهاجم بأسرع ما يمكن (قاعدة جدار ناري، مجموعة أمان سحابية، كابل الشبكة، تعطيل حساب).
  • طويل المدى: مواصلة خدمة العملاء أثناء التحقيق (خادم بديل نظيف، صفحة صيانة).

قطع الكهرباء خطأ في أغلب الأحيان: الذاكرة الحية (العمليات، الاتصالات، مفاتيح التشفير، الملفات المحذوفة التي ما زالت مفتوحة) تختفي. نعزل عن الشبكة، نُبقي الآلة مشتغلة، ثم نجمع (الدرس 1.2).

2. الفريق والأدوار

حتى في بنية صغيرة، لكل دور اسم قبل الأزمة:

الدور المهمة
مسؤول الحادث يقرّر، يرتّب الأولويات، يمسك سجل الوقائع، يحدّث الإدارة
المحللون يجمعون، يحللون، يقترحون التدابير التقنية
مسؤولو النظام ينفّذون إجراءات الاحتواء والاستعادة
التواصل الرسائل الداخلية، العملاء، الصحافة (الدرس 4.1)
القانوني / مسؤول حماية البيانات الالتزامات القانونية، الشكاية، التبليغات
الإدارة تحسم الخيارات المكلفة (إيقاف خدمة، رفض فدية، التواصل العلني)

في المغرب، للإدارات العمومية والبنيات التحتية ذات الأهمية الحيوية التزام إضافي بالتبليغ لدى DGSSI (الدرس 4.1). يجب أن يكون جهة الاتصال في البطاقة قبل الحادث.

3. سجل الوقائع

يمتد التحقيق أيامًا؛ بلا سجل، لا أحد يعرف من أعاد تشغيل ماذا ومتى. سطر واحد لكل إجراء:

# التنسيق البسيط: وقت UTC | الفاعل | الإجراء
date -u +%Y-%m-%dT%H:%M:%SZ          # 2026-10-20T08:15:00Z
echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) | ops | ml-web-01 retiré du groupe de sécurité public" >> logbook.txt

القواعد:

  • دائمًا UTC (الخادم والجدار الناري وSIEM ليست بالضرورة في المنطقة نفسها؛ وقد غيّر المغرب توقيته عدة مرات)؛
  • الإضافة (>>) لا الكتابة فوقه أبدًا؛ فالسجل نفسه قطعة من الملف؛
  • دوّن أيضًا القرارات وأسبابها («قرار عدم الإطفاء: مقرَّر التقاط الذاكرة»).

4. حقيبة الأدوات الموثوقة

على آلة مخترقة، قد تكون ls أو ps أو netstat قد استُبدِلت لإخفاء المهاجم. لذا تُجهَّز على البارد ملفات تنفيذية سليمة وبصماتها:

mkdir -p /media/cle-ir/outils && cd /media/cle-ir/outils
cp /usr/bin/{ls,find,grep,stat,sha256sum,ps,ss,lsof} .   # depuis une machine saine de même version
sha256sum * > SHA256SUMS
# يوم الحادث، على الخادم المشبوه، نشغّل الأدوات من المفتاح:
/media/cle-ir/outils/sha256sum -c /media/cle-ir/outils/SHA256SUMS
/media/cle-ir/outils/ls -la /tmp

نضيف إليها: قرص جمع فارغًا ومهيَّأً، كابل شبكة، أدلة التشغيل مطبوعة، لائحة جهات الاتصال، سكربتات جمع مُختبَرة (الدرس 1.2)، وصلاحيات الطوارئ (حساب احتياطي، وصول إلى وحدة التحكم لدى مزوّد السحابة).

5. التحضير، عمليًا

  • الجرد: أي آلات، أي بيانات، من المسؤول عنها.
  • السجلات: دائمة، متزامنة التوقيت (NTP)، منسوخة خارج الخادم.
  • النسخ الاحتياطية: غير متصلة أو غير قابلة للتعديل، مع اختبار الاستعادة.
  • أدلة التشغيل: «حساب مخترق»، «خادم ويب مشوَّه»، «برنامج فدية»، «تسريب بيانات».
  • تمارين على الطاولة: ساعتان كل ثلاثة أشهر، سيناريو واحد، كل يلعب دوره.

الأخطاء الشائعة

  • الإطفاء أو إعادة التشغيل «للاطمئنان»: نصف الأدلة يرحل مع الذاكرة.
  • إعادة التثبيت فورًا دون فهم مدخل المهاجم: يعود من الثغرة نفسها الأسبوع المقبل.
  • إبلاغ الفريق عبر البريد الذي قد يكون مخترقًا: استعمل قناة منفصلة (هاتف، مراسلة خارج النطاق).
  • خلط التوقيتات المحلية: خط زمني خاطئ بساعة يقود إلى استنتاجات خاطئة.

التطبيق العملي (Lab)

تُحضّر الاستجابة للحادث INC-2026-0007:

  1. فتح سجل الوقائع بسطر أول بطابع زمني UTC؛
  2. إضافة سطر ثانٍ دون الكتابة فوق الأول؛
  3. تكوين حقيبة الأدوات الموثوقة وملف بصماتها؛
  4. ترتيب الإجراءات المتخذة أثناء الحادث في المرحلة الصحيحة من الدورة.

اختبار قصير

  1. اذكر المراحل الست بالترتيب.
  2. لماذا يجب عدم إطفاء خادم مخترق؟
  3. ما الفرق بين الاحتواء والإزالة؟
  4. لماذا نُدوّن الأوقات بتوقيت UTC في سجل الوقائع؟
  5. ما فائدة ملف SHA256SUMS الخاص بحقيبة الأدوات؟
الأجوبة
  1. التحضير، الكشف والتحليل، الاحتواء، الإزالة، الاستعادة، الدروس المستفادة.
  2. الذاكرة الحية (العمليات، الاتصالات، الملفات المحذوفة المفتوحة، المفاتيح) تختفي عند الإطفاء؛ وهي غالبًا أفضل دليل.
  3. الاحتواء يمنع المهاجم من المضي؛ الإزالة تحذف ما ثبّته وتصلح الثغرة المستعملة.
  4. لمقارنة مصادر من مناطق زمنية مختلفة (الخادم، الجدار الناري، SIEM، مزوّد السحابة) دون خطأ.
  5. للتحقق، يوم الحادث، من أن أدوات الحقيبة لم تُعدَّل.

تمارين تطبيقية

تُنجَز على Debian 12

أنجز هذا التطبيق العملي على جهازك

الطرفية طرفيتك: آلة افتراضية بنظام لينكس (VirtualBox أو VMware أو Hyper-V أو WSL…) أو Docker/Podman. أداة ml تحضّر التمرين وتصحّح عملك، ويُؤكَّد الدرس هنا تلقائيًا.

أنشئ حسابًا مجانيًا للحصول على أمرك الشخصي وتصحيح تطبيقاتك العملية تلقائيًا.

إنشاء حسابي

المهام المطلوبة

  1. افتح سجل وقائع الحادث: أنشئ /root/ir/journal-de-bord.txt يبدأ سطره الأول بوقت UTC الحالي بالصيغة 2026-10-20T08:15:00Z، متبوعًا بـ" | ops | " ثم نص (مثلًا فتح INC-2026-0007).
    عرض تلميحdate -u +%Y-%m-%dT%H:%M:%SZ يعطي وقت UTC بالصيغة الصحيحة؛ استعمله في echo.
    عرض الحل
    echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) | ops | ouverture INC-2026-0007" > /root/ir/journal-de-bord.txt

    التحقق : head -n 1 /root/ir/journal-de-bord.txt 2>/dev/null | grep -Eq "^20[0-9]{2}-[01][0-9]-[0-3][0-9]T[0-2][0-9]:[0-5][0-9]:[0-5][0-9]Z \| ops \| .+"

  2. أضف إلى سجل الوقائع سطرًا ثانيًا بالصيغة نفسها (وقت UTC، " | ops | "، نص): السجل لا يُكتَب فوقه أبدًا، بل يُضاف إليه.
    عرض تلميحاستعمل >> (الإضافة) لا > (الكتابة فوقه).
    عرض الحل
    echo "$(date -u +%Y-%m-%dT%H:%M:%SZ) | ops | serveur isolé, collecte des preuves en cours" >> /root/ir/journal-de-bord.txt

    التحقق : f=/root/ir/journal-de-bord.txt; test "$(grep -Ec "^20[0-9]{2}-[01][0-9]-[0-3][0-9]T[0-2][0-9]:[0-5][0-9]:[0-5][0-9]Z \| ops \| .+" $f)" -ge 2 && sort -c $f

  3. حضّر حقيبة الأدوات الموثوقة: انسخ ls وfind وgrep وstat وsha256sum (من /usr/bin) إلى /root/ir/outils/، ثم أنشئ /root/ir/outils/SHA256SUMS ببصمات الأدوات الخمس (أسماء الملفات بلا مسار).
    عرض تلميحcd /root/ir/outils ثم sha256sum ls find grep stat sha256sum > SHA256SUMS
    عرض الحل
    mkdir -p /root/ir/outils && cd /root/ir/outils && for o in ls find grep stat sha256sum; do cp /usr/bin/$o .; done && sha256sum ls find grep stat sha256sum > SHA256SUMS

    التحقق : cd /root/ir/outils 2>/dev/null && for o in ls find grep stat sha256sum; do test -x $o && grep -Eq "^[0-9a-f]{64} $o$" SHA256SUMS || exit 1; done && sha256sum -c --quiet SHA256SUMS

  4. صنّف الإجراءات الستة في /root/ir/actions.txt حسب المرحلة: أنشئ /root/ir/phases.txt بسطر لكل إجراء، «رقم المرحلة»، والمرحلة كلمة من بين preparation وdetection وconfinement وeradication وreprise وretour.
    عرض تلميحالعزل دون إطفاء احتواء؛ حذف ما تركه المهاجم إزالة؛ إعادة البناء استعادة.
    عرض الحل
    printf "%s\n" "1 confinement" "2 retour" "3 reprise" "4 eradication" "5 detection" "6 preparation" > /root/ir/phases.txt

    التحقق : test "$(sed "s/é/e/g;s/É/e/g" /root/ir/phases.txt 2>/dev/null | tr -d "\r" | tr A-Z a-z | awk "NF>=2{print \$1\":\"\$2}" | sort | tr "\n" " ")" = "1:confinement 2:retour 3:reprise 4:eradication 5:detection 6:preparation "