الصفحة الرئيسية › SOC‑Simulator
الـ SOC‑Simulator: تدرَّب كما في فريق أمن
في الـ SOC‑Simulator يظهر إنذار على شاشتك، وعليك أن تقرر ما الذي يجب فعله الآن. تشرح هذه الصفحة بكلمات بسيطة ما هو الـ SOC، وكيف تجري الحالة، وما الذي يُقاس فيها. وتبيّن أين يكون مدرّسك حاضرًا معك.
جرّبه · يستغرق دقيقة واحدة
وصل إنذار. ماذا تفعل؟
هكذا يبدو العمل: يصل بلاغ إلى قائمة الانتظار، وأنت تقرر إن كان خلفه هجوم حقيقي أم إنذار كاذب. هذا بالضبط ما تتدرب عليه في الـ SOC‑Simulator – هناك بأدوات حقيقية، وهنا للمشاهدة فقط.
- المستخدم
- [email protected]
- الوقت
- 03:14، بتوقيت برلين المحلي
- IP المصدر
- 41.203.88.17 — نيجيريا
- النتيجة
- نجح تسجيل الدخول، من المحاولة الأولى
- الجهاز
- لم يُشاهَد من قبل على هذا الحساب
- بعد ذلك
- أُنشئت 14 قاعدة في صندوق البريد، وكلها تعيد التوجيه
من وثائق الشركة: Nordwerk GmbH، هندسة ميكانيكية. مواقعها في ألمانيا وبولندا فقط. والموظفون الميدانيون يسافرون داخل أوروبا. أما السفر إلى أفريقيا فغير وارد.
حكمك في تقرير الحالة (Case Report):
صحيح — True Positive
قريب، لكن ليس هذا الجواب — إنه True Positive
ثلاثة أمور مجتمعة هي ما يصنع الحالة: تسجيل دخول الساعة 3 ليلًا من بلد لا تعمل فيه الشركة؛ وجهاز لم يُشاهَد من قبل على هذا الحساب؛ وبعد ذلك مباشرةً 14 قاعدة إعادة توجيه في صندوق البريد. كل أمر بمفرده يمكن تفسيره. أما مجتمعة فهي استيلاء على الحساب — والقواعد تجعل المهاجم يواصل قراءة الرسائل.
تفكيرك صحيح: كثير مما يبدو غير معتاد يكون غير خطير. لكن هنا تجتمع ثلاث علامات لافتة — الساعة 3 ليلًا، وبلد لا علاقة له بالشركة، وجهاز لم يُشاهَد من قبل. ثم 14 قاعدة إعادة توجيه بعد ذلك مباشرةً. هذه ليست مصادفة، بل استيلاء على الحساب.
في المحاكي تكتب بعد ذلك Case Report وتقرر ما إذا كانت الحالة ستُصعَّد. ويُقاس من بين أمور أخرى الوقت الذي تحتاجه للوصول إلى الحل — ويُسمى هذا المؤشر MTTR، أي Mean Time to Resolve.
المحاكي الحقيقي يعمل في المتصفح، مع SIEM مدمج وجهاز Analyst-VM. جزء من السيناريوهات متاح أيضًا دون دفع رسوم، في نسخة مختصرة — أي أنه يمكنك إلقاء نظرة عليه مسبقًا. TryHackMe شركة مستقلة؛ المحاكي ليس ملكًا لنا، نحن نستخدمه في التدريس. إلى SOC‑Simulator لدى TryHackMe →
كيف يجري التدريب هنا
العمل في فريق الأمن يُمارَس هنا، لا يُوصَف
كثير من برامج التدريب المستمر التي تُموَّل بـ Bildungsgutschein تعتمد على الشرائح والتمارين واختبار في النهاية. عندنا تعمل اعتبارًا من الأسبوع 24 ولمدة سبعة أسابيع في SOC‑Simulator من TryHackMe، بأدوات حقيقية وإنذارات حقيقية. أما إن كان مقدّمون آخرون يفعلون الشيء نفسه، فهذا ما لا يمكننا قوله عن السوق كله.
تدريس بالشرائح
- شرائح وتمارين
- شهادة واحدة في النهاية
- العمل في فريق الأمن يُوصَف
هكذا نُدرّس نحن
- سبعة أسابيع من الورديات في المحاكي، اعتبارًا من الأسبوع 24
- ثلاث شهادات أثناء المسار: SEC0، SEC1، SAL1
- العمل في فريق الأمن يُمارَس – بأدوات حقيقية وإنذارات حقيقية ومؤشر يقيس سرعتك
لا يمكننا الحكم على ما إذا كان برنامج تدريبي آخر يعمل بطريقة مشابهة. ففي ألمانيا عدة مئات من الجهات التعليمية المعتمدة، ونحن لم نطّلع على جميع المناهج.
الإطار المحيط بذلك
وردية في فريق الأمن، من الساعة 8 حتى الساعة 16
الإنذار الذي رأيته قبل قليل كان واحدًا من كثير. هكذا يبدو اليوم الذي ينتمي إليه – وهذا اليوم بالذات هو ما تتدرب عليه في المحاكي، أسبوعًا بعد أسبوع.
التسليم من وردية الليل
ما الذي ما زال مفتوحًا، وما الذي جرى تصعيده، وما الذي يجب الانتباه إليه اليوم.
أول إنذار يصل إلى قائمة الانتظار
هو نفسه الإنذار المذكور أعلاه. تُسنده إلى نفسك – ومن هذه اللحظة يبدأ الوقت.
كان هذا اختباركالتحقق مما حدث فعلًا
في SIEM سجلات الحساب. وفي Analyst VM فحص عنوان الـ IP. وفي Documentation الاطّلاع على مواقع الشركة أصلًا.
الـ Playbook يحدد ما ينبغي فعله الآن
لكل نوع من الإنذارات مسار ثابت – كما في فرق الأمن الحقيقية. أنت تتبعه بدل أن تخمّن.
Case Report والتصعيد
True Positive. تكتب ما وجدته، وتُحيل الحالة إلى المستوى التالي. الوقت حتى هنا: 30 دقيقة.
MTTR 00:30الإنذار التالي. ثم الذي يليه.
بعضها يُنجَز في دقيقتين، وبعضها يستغرق ساعة. معظمها إنذارات كاذبة – وتمييزها هو المهارة الحقيقية.
ما الذي ستعمل به
ستة أقسام، كما في فريق أمن حقيقي
هذه ليست أسماء اخترعناها – هكذا تُسمى الأقسام في المحاكي، وبأسماء مشابهة تُسمى في العمل.
النظرة العامة
كم إنذارًا ما زال مفتوحًا، وما هو العاجل، وأين يقف الفريق مقارنةً بغيره.
قائمة الانتظار
هنا تصل البلاغات. تأخذ واحدًا منها وتصبح من تلك اللحظة مسؤولًا عنه.
السجلات
نظام البحث في كل الأحداث. من سجّل الدخول ومتى، وأي جهاز أرسل إشارة وإلى أين.
الجهاز الخاص بك
مكان عمل معزول مزوّد بأدوات – من بينها أدوات لفحص العناوين والملفات دون التقاط شيء ضار.
ملف الشركة
ماذا تعمل هذه الشركة، وأين مواقعها، وأي برمجيات تُعد طبيعية لديها. بدون ذلك لا يمكن الحكم على أي إنذار.
المسار الثابت
لكل نوع من الإنذارات طريق محدد مسبقًا. هكذا تعمل فرق الأمن الحقيقية – حتى لا يرتجل أحد عند وقوع حالة حقيقية.
دقيقتان. بعدها تعرف أي قاعدة تنطبق عليك.
فحص قصير لإمكانية التمويل، دون تسجيل ودون التزام.