محلل SOC مع Wazuh: كشف الهجمات والاستجابة لها
خروج

الدرس 1 من 11 · مركز SOC وWazuh

مهنة محلل SOC: المستويات، SIEM، الحوادث وMITRE ATT&CK

35 د Debian 12

الهدف

فهم ما يقوم به المحلل فعليًا داخل SOC (مركز العمليات الأمنية، Security Operations Center)، وكيف يتحوّل التنبيه إلى حادث، والتحدّث باللغة المشتركة للمهنة: SIEM وXDR والمستويات N1-N2-N3 وMITRE ATT&CK. يضع هذا الدرس الإطار العام للتكوين بأكمله.

أهم النقاط

  • SOC هو الفريق (والقاعة) الذي يراقب أنظمة المؤسسة بشكل متواصل من أجل كشف الهجمات والاستجابة لها بسرعة.
  • يُنظَّم المحللون في مستويات: يفرز N1 التنبيهات، ويحقّق N2 ويحتوي، ويطارد N3 التهديدات ويعالج الحالات المعقّدة.
  • يجمع SIEM السجلات (journaux) ويربط بينها؛ ويحمي EDR كل جهاز؛ ويربط XDR بين الاثنين. Wazuh منصة حرّة تؤدي دور SIEM ودور XDR.
  • يتبع الحادث دورة حياة: التحضير، الكشف والتحليل، الاحتواء، الاستئصال، الاستعادة، استخلاص الدروس.
  • MITRE ATT&CK فهرس عمومي لسلوكيات المهاجمين: تكتيكات (الـ« لماذا ») وتقنيات مرقّمة (الـ« كيف »)، مثلًا T1110 للقوة الغاشمة (brute force).

يوم في مركز SOC

تخيّل مركز SOC لبنك في الدار البيضاء. الساعة 8:05 صباحًا. على الشاشة، تعرض لوحة القيادة 1 240 تنبيهًا منذ منتصف الليل. لا أحد يستطيع قراءتها كلها واحدًا تلو الآخر: العمل هنا هو الفرز.

تفتح سارة، المحللة من المستوى N1، الطابور. معظم التنبيهات مجرد ضجيج: تحديثات مضاد الفيروسات، تدوير السجلات، اتصالات عادية. لكنها تلاحظ سطرًا: 48 محاولة فاشلة لكلمة مرور SSH على خادم ويب، من عنوان أجنبي، تليها محاولة اتصال ناجحة. لم يعد هذا ضجيجًا. تصنّف التنبيه، وتدوّن ملاحظاتها الأولى في التذكرة (ticket)، ثم تُصعّده إلى N2.

يتسلّم يوسف، المحلل من المستوى N2، التذكرة. ينظر إلى ما فعله الحساب بعد الاتصال، ويعزل الخادم، ويحظر العنوان، ويُخبر فريق الأنظمة. عند الظهر، يكون التهديد قد احتُوي؛ فيحرّر التقرير.

ستعيد تنفيذ هذا السيناريو من البداية إلى النهاية في هذا التكوين، على جهازك الخاص.

مستويات المحللين

المستوى الدور الرئيسي أمثلة على المهام
N1 — الفرز مراقبة الطابور، تصنيف التنبيهات استبعاد الإيجابيات الكاذبة، فتح تذكرة، التصعيد
N2 — الاستجابة التحقيق والاحتواء إعادة بناء التسلسل الزمني، حظر IP، عزل جهاز
N3 — الخبرة المطاردة والتحسين threat hunting (مطاردة التهديدات)، تحليل البرمجيات الخبيثة، قواعد كشف جديدة
مسؤول SOC القيادة المؤشرات، المداومة، العلاقة مع الإدارة ومسؤول أمن نظم المعلومات (RSSI)

في المغرب، توجد هذه المناصب في البنوك وشركات التأمين، ولدى مشغّلي الاتصالات، وفي الوزارات والمؤسسات العمومية الكبرى، ولدى مزوّدي الخدمات الأمنية المُدارة (MSSP) الذين يراقبون عدة زبائن انطلاقًا من الدار البيضاء أو الرباط، وغالبًا لصالح زبائن أوروبيين أيضًا. منصب N1 هو بوابة الدخول التقليدية.

مؤشّران يجب معرفتهما

  • MTTD (Mean Time To Detect): متوسط الوقت بين بداية الهجوم وكشفه.
  • MTTR (Mean Time To Respond): متوسط الوقت بين الكشف والاحتواء.

يُخفّض الـ SOC الجيد كلا المؤشّرين. قاعدة كشف مكتوبة جيدًا (الدرس 2.2) تقلّل الـ MTTD؛ واستجابة نشطة مضبوطة جيدًا (الدرس 3.1) تقلّل الـ MTTR.

SIEM وEDR وXDR وSOAR: من يفعل ماذا؟

الاختصار الاسم ما يقدّمه
SIEM Security Information and Event Management جمع السجلات من كل مكان، وتوحيد صيغتها، وربطها ببعضها، وإطلاق التنبيهات
EDR Endpoint Detection and Response وكيل (agent) على كل جهاز يراقب العمليات والملفات، ويمكنه التصرّف
XDR Extended Detection and Response جمع SIEM وEDR (وغيرهما) في كشف واحد
SOAR Security Orchestration, Automation and Response أتمتة الاستجابات (الحظر، الإشعار، فتح تذكرة)

يجمع Wazuh بين وكيل مثبّت على الأجهزة (مراقبة السجلات، وسلامة الملفات، والثغرات، والاستجابة النشطة) وخادم مركزي يحلّل ويربط الأحداث: فهو يغطّي إذن دور SIEM ودور XDR في آن واحد. وهو حرّ (رخصة GPLv2) ومجاني، مما يجعله أداة ممتازة للتعلّم، وخيارًا حقيقيًا لكثير من المقاولات الصغرى والمتوسطة والإدارات.

مفردات الفرز

  • الحدث (événement): سطر في سجل (« اتصال SSH ناجح »). ملايين يوميًا.
  • التنبيه (alerte): حدث (أو مجموعة أحداث) اعتبرته قاعدة (rule) مهمًّا. في Wazuh، لكل تنبيه مستوى من 0 إلى 15.
  • الحادث (incident): تنبيه مؤكَّد يمسّ (أو يهدّد بالمساس) بالسرية أو السلامة أو التوفّر.
  • إيجابي صحيح (vrai positif): التنبيه يطابق هجومًا حقيقيًا.
  • إيجابي كاذب (faux positif): انطلق التنبيه خطأً (مدير نظام أخطأ في كلمة المرور ثلاث مرات).
  • سلبي كاذب (faux négatif): هجوم حقيقي دون أي تنبيه. وهو الأخطر لأنه غير مرئي.

يقضي محلل N1 جزءًا كبيرًا من وقته في استبعاد الإيجابيات الكاذبة. والمحلل الجيد من المستوى N2 أو N3 يقلّل عددها بتدقيق القواعد.

دورة حياة الحادث

المرجع الأكثر استشهادًا هو دليل NIST SP 800-61. نحتفظ منه بهذه المراحل:

  1. Préparation ──► 2. Détection et analyse ──► 3. Confinement ──► 4. Éradication ──► 5. Rétablissement
        ▲                                                                                     │
        └──────────────────────── 6. Retour d'expérience (leçons apprises) ◄──────────────────┘
المرحلة السؤال مثال من بنكنا
التحضير هل نحن مستعدّون؟ Wazuh مثبّت، وكلاء على جميع الخوادم، إجراءات مكتوبة
الكشف والتحليل ماذا يحدث فعلًا؟ 48 محاولة فاشلة ثم نجاح: إيجابي صحيح
الاحتواء كيف نوقف الانتشار؟ حظر الـ IP، تعطيل الحساب deploy
الاستئصال كيف نُخرج المهاجم؟ حذف الحساب المُضاف، إزالة مفتاح SSH المزروع
الاستعادة كيف نعود إلى الوضع الطبيعي؟ استرجاع الملفات، مراقبة دقيقة لمدة 15 يومًا
استخلاص الدروس ما الذي يجب تغييره؟ منع كلمة المرور على SSH، إضافة قاعدة

في المغرب، تحتضن DGSSI (المديرية العامة لأمن نظم المعلومات) مركز maCERT، وهو المركز الوطني لليقظة والاستجابة للحوادث. وتخضع الإدارات والمشغّلون ذوو الأهمية الحيوية لالتزامات أمنية ولواجب التصريح بالحوادث (القانون 05-20 المتعلق بالأمن السيبراني). وإذا مسّ الحادث معطيات شخصية، يدخل أيضًا القانون 09-08 وCNDP (اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي) على الخط. سترى هذه الجوانب في الدرس الخاص بتقرير الحادث.

MITRE ATT&CK: اللغة المشتركة

MITRE ATT&CK قاعدة معارف عمومية ومجانية، مبنية انطلاقًا من هجمات لوحظت فعلًا. وهي تصنّف ما يفعله المهاجمون إلى:

  • تكتيكات (tactiques): هدف المهاجم في مرحلة ما (الحصول على وصول، البقاء، سرقة بيانات الاعتماد…). معرّفاتها على شكل TA00xx.
  • تقنيات (techniques): طريقة تحقيق هذا الهدف. معرّفاتها على شكل Txxxx، وTxxxx.yyy للتقنيات الفرعية.

بعض تكتيكات مصفوفة Enterprise، بترتيب هجوم نموذجي:

التكتيك المعرّف سؤال المهاجم
Initial Access TA0001 كيف أدخل؟
Execution TA0002 كيف أشغّل شيفرتي؟
Persistence TA0003 كيف أبقى بعد إعادة التشغيل؟
Privilege Escalation TA0004 كيف أصبح root؟
Defense Evasion TA0005 كيف أختبئ؟
Credential Access TA0006 كيف أسرق كلمات المرور؟
Discovery TA0007 ماذا يوجد حولي؟
Lateral Movement TA0008 كيف أنتقل إلى جهاز آخر؟
Exfiltration TA0010 كيف أُخرج البيانات؟
Impact TA0040 كيف أُخرّب أو أُشفّر؟

والتقنيات التي ستصادفها أكثر في هذا التكوين:

التقنية الاسم مثال ملموس
T1110 Brute Force آلاف كلمات المرور المجرَّبة على SSH
T1110.001 Password Guessing حساب واحد، كلمات مرور كثيرة
T1110.003 Password Spraying كلمة مرور شائعة واحدة، حسابات كثيرة
T1078 Valid Accounts المهاجم يتصل بحساب حقيقي مسروق
T1136.001 Create Account: Local Account useradd support2 للحفاظ على الوصول
T1098 Account Manipulation إضافة مفتاح في authorized_keys
T1059.004 Unix Shell أوامر يطلقها سكربت bash خبيث
T1486 Data Encrypted for Impact برنامج فدية (rançongiciel)

يربط Wazuh مسبقًا كثيرًا من قواعده بتقنيات ATT&CK: عندما يظهر تنبيه في لوحة القيادة، ترى مباشرة T1110 بجانبه. وهذا يسمح بالتحدّث باللغة نفسها مع زميل من SOC آخر، أو مع maCERT، أو مع تقرير تهديد دولي.

# داخل تنبيه Wazuh (بصيغة JSON)، يبدو الجزء الخاص بـ MITRE هكذا:
#   "rule": { "id": "5763", "level": 10,
#             "mitre": { "id": ["T1110"], "tactic": ["Credential Access"] } }

الفرز: طريقة بسيطة

أمام طابور من التنبيهات، يطرح محلل N1 دائمًا الأسئلة نفسها، بهذا الترتيب:

  1. الخطورة: ما المستوى؟ المستويات من 10 إلى 15 تُعالَج قبل الباقي.
  2. الأصل المتضرّر: خادم الأداء أهمّ من جهاز اختبار.
  3. السياق: هل العنوان داخلي (10.x) أم خارجي؟ هل الحساب حساب خدمة؟
  4. التسلسل: هل تروي عدة تنبيهات القصة نفسها (محاولات فاشلة، ثم نجاح، ثم إنشاء حساب)؟
  5. القرار: إيجابي كاذب (نوثّق ونُغلق)، إيجابي صحيح (نُصعّد)، شكّ (نُصعّد أيضًا).
# لمحة عمّا ستفعله في سطر الأوامر خلال التطبيق العملي:
awk -F';' 'NR>1 && $2>=10' alertes.csv          # التنبيهات من المستوى 10 فما فوق
sort -t';' -k2,2nr alertes.csv | head           # الترتيب حسب المستوى تنازليًا
grep '203.0.113.45' alertes.csv                 # التمحور حول عنوان IP

أخطاء متكررة

  • الحكم على تنبيه بمعزل عن غيره: 48 محاولة فاشلة لكلمة المرور أمر عادي على الإنترنت؛ أما 48 محاولة فاشلة يليها نجاح فهي حادث. انظر دائمًا إلى ما يسبق وما يلي.
  • إغلاق تنبيه دون أثر: حتى الإيجابي الكاذب يُوثَّق في جملة واحدة. وإلا سيعيد زميل الفترة الليلية العمل نفسه.
  • الخلط بين التكتيك والتقنية: « Credential Access » تكتيك (TA0006)، و« Brute Force » تقنية (T1110).
  • الاعتقاد بأن الأداة تفعل كل شيء: ينتج Wazuh تنبيهات؛ والمحلل هو من يحوّلها إلى تشخيص.

التطبيق العملي (Lab)

تتسلّم أول منصب لك كمحلل N1. يحتوي الملف /root/soc/alertes.csv على عشرة تنبيهات من الليلة الماضية. ستقوم بما يلي:

  1. ربط تنبيه كلمات المرور المتتالية بتقنية MITRE الخاصة به؛
  2. فعل الشيء نفسه بالنسبة للحساب المُنشأ دون ترخيص؛
  3. عدّ التنبيهات ذات المستوى 10 أو أكثر؛
  4. تجهيز طابور المعالجة، من الأخطر إلى الأقل خطورة.

شغّل التطبيق العملي على جهاز عملك بالأمر sudo ml demarrer wazuh-1-1، ثم تحقّق بالأمر sudo ml verifier.

اختبار قصير

  1. ما الفرق بين دور محلل N1 ودور محلل N2؟
  2. ما هو السلبي الكاذب، ولماذا هو أخطر من الإيجابي الكاذب؟
  3. اذكر مراحل دورة حياة الحادث حسب NIST.
  4. هل T1110 تكتيك أم تقنية؟ وماذا عن TA0006؟
  5. لماذا يوصف Wazuh بأنه SIEM وXDR في آن واحد؟
الأجوبة
  1. يراقب N1 الطابور، ويفرز التنبيهات، ويستبعد الإيجابيات الكاذبة ويُصعّد؛ أما N2 فيحقّق بعمق، ويعيد بناء ما حدث ويحتوي الحادث (الحظر، العزل).
  2. هجوم حقيقي لا يُطلق أي تنبيه. وهو أخطر لأن لا أحد يراه: يتصرّف المهاجم بكل هدوء.
  3. التحضير؛ الكشف والتحليل؛ الاحتواء والاستئصال والاستعادة؛ أنشطة ما بعد الحادث (استخلاص الدروس).
  4. T1110 (Brute Force) تقنية؛ وTA0006 (Credential Access) تكتيك، أي هدف.
  5. لأنه يجمع سجلات الحظيرة المعلوماتية كلها ويربط بينها (دور SIEM)، ولأنه يملك وكيلًا على كل جهاز قادرًا على المراقبة والتصرّف، مثل حظر عنوان (دور EDR، والاثنان معًا يشكّلان XDR).

المراجع: توثيق Wazuh (CC BY-SA 4.0)، MITRE ATT&CK، NIST SP 800-61، DGSSI/maCERT. نص أصلي من MasterLinux.

تمارين تطبيقية

تُنجَز على Debian 12

أنجز هذا التطبيق العملي على جهازك

الطرفية طرفيتك: آلة افتراضية بنظام لينكس (VirtualBox أو VMware أو Hyper-V أو WSL…) أو Docker/Podman. أداة ml تحضّر التمرين وتصحّح عملك، ويُؤكَّد الدرس هنا تلقائيًا.

أنشئ حسابًا مجانيًا للحصول على أمرك الشخصي وتصحيح تطبيقاتك العملية تلقائيًا.

إنشاء حسابي

المهام المطلوبة

  1. يصف التنبيه A02 عشرات المحاولات الفاشلة لكلمة مرور SSH من العنوان نفسه. اكتب فقط معرّف تقنية MITRE ATT&CK المقابلة (مثلًا T1234) في /root/soc/A02.txt
    عرض تلميحإنها تقنية « Brute Force » (القوة الغاشمة)، ضمن التكتيك Credential Access.
    عرض الحل
    echo T1110 > /root/soc/A02.txt

    التحقق : grep -Eqix " *T1110(\.00[1-4])? *" /root/soc/A02.txt

  2. يُبلغ التنبيه A03 عن إنشاء حساب محلي غير متوقَّع. اكتب معرّف تقنية MITRE المقابلة في /root/soc/A03.txt
    عرض تلميحالتقنية « Create Account » (التقنية الفرعية Local Account)، التكتيك Persistence.
    عرض الحل
    echo T1136.001 > /root/soc/A03.txt

    التحقق : grep -Eqix " *T1136(\.001)? *" /root/soc/A03.txt

  3. في /root/soc/alertes.csv (الفاصل ;)، احسب عدد التنبيهات ذات المستوى 10 أو أكثر واكتب هذا العدد فقط في /root/soc/critiques.txt
    عرض تلميحالأمر awk -F';' 'NR>1 && $2>=10' يختار الأسطر الصحيحة (NR>1 يتخطّى سطر العناوين).
    عرض الحل
    awk -F";" "NR>1 && \$2>=10 {n++} END {print n+0}" /root/soc/alertes.csv > /root/soc/critiques.txt

    التحقق : test "$(tr -d " \n" < /root/soc/critiques.txt)" = "$(awk -F";" "NR>1 && \$2>=10 {n++} END {print n+0}" /root/soc/alertes.csv)"

  4. جهّز طابور المعالجة: اكتب في /root/soc/file.txt معرّفات التنبيهات ذات المستوى 10 أو أكثر، معرّفًا واحدًا في كل سطر، من الأخطر إلى الأقل خطورة
    عرض تلميحawk للتصفية، وsort -t';' -k2,2nr للترتيب حسب المستوى تنازليًا، وcut -d';' -f1 للاحتفاظ بالمعرّف فقط.
    عرض الحل
    awk -F";" "NR>1 && \$2>=10" /root/soc/alertes.csv | sort -t";" -k2,2nr -k1,1 | cut -d";" -f1 > /root/soc/file.txt

    التحقق : f=/root/soc/file.txt; c=/root/soc/alertes.csv; test "$(tr -d " \r" < $f | sort)" = "$(awk -F";" "NR>1 && \$2>=10 {print \$1}" $c | sort)" && tr -d " \r" < $f | awk -F";" "NR==FNR {n[\$1]=\$2; next} FNR>1 && n[\$1]>p {e=1} {p=n[\$1]} END {exit e}" $c -

المراجع الرسمية المعتمدة: Wazuh documentation — Getting started, Components — https://documentation.wazuh.com/current/getting-started/components/index.html ; Wazuh documentation — Use cases — https://documentation.wazuh.com/current/getting-started/use-cases/index.html ; MITRE ATT&CK — Enterprise Tactics — https://attack.mitre.org/tactics/enterprise/ ; MITRE ATT&CK — T1110 Brute Force — https://attack.mitre.org/techniques/T1110/ ; MITRE ATT&CK — T1136 Create Account — https://attack.mitre.org/techniques/T1136/ ; NIST SP 800-61 — Computer Security Incident Handling Guide — https://csrc.nist.gov/pubs/sp/800/61/r3/final ; DGSSI / maCERT — Centre marocain de veille, détection et réponse aux attaques informatiques — https://www.dgssi.gov.ma. نص أصلي من MasterLinux.