اعرف اللي قصادك. احمي أرضك.
YoriSecCyber Operationsالصفحة الرئيسية
الفرق الزرقاء — الدفاع

Incident Response — الحادثة وقعت، بتعمل إيه

Playbook و Forensics — قرارات تحت الضغط

المستوى
خبير
المدة
80m
الترتيب
الدرس 59 من 85
IRForensicsMemoryVolatility

حصل اختراق — تعمل إيه؟ — NIST IR Lifecycle

تشبيه يقرّب الفكرة
التليفون رنّ الساعة 3 الفجر. الـ SOC بيقولك "فيه حاجة بتحصل".

- طب يا حضرتك.. أعمل reboot للسيرفر بسرعة؟ أقفل الإنترنت كله؟ أصحّى المدير؟

يا مستجد.. كنت مستنيك تقول ده. متوقّع.

كل واحدة من اللي قلتهم هتحرقلك أدلة ما تتعوّضش. الـ IR هو خطة الإطفاء اللي اتكتبت قبل ما الحريق يبتدي — عشان وقت الحريق مفيش مجال تفكّر.

هو إحنا بنعمل ست مراحل ليه؟ علشان كل مرحلة قرار مختلف. اللي بيخلط بين "افهم" و"اتصرف" بيخرب القضية بإيده.

الفرق بين فريق محترم وفريق "بيعك" مش في الأدوات. الفرق في إنه عارف يقف 3 ثواني قبل ما يلمس حاجة.

  1. Preparation — جهّز قبل الكارثة، مش وقتها.
  2. Detection & Analysis — أكّد إن فيه حادثة فعلاً، وحدد نطاقها.
  3. Containment — احتواء قصير الأجل، وبعدين طويل.
  4. Eradication — اقلع الجذور، مش بس قص الورق.
  5. Recovery — رجّع الخدمة وانت واثق.
  6. Lessons Learned — تمنع التكرار، مش تلوم حد.

Preparation — قبل أن يحدث شيء

  • فريق CSIRT معروف الأدوار + قائمة اتصال خارج النطاق.
  • Runbooks لكل سيناريو (ransomware, account takeover, data leak).
  • صناديق jump kits: لابتوب نظيف، write blockers، FTK Imager.
  • اتفاقيات مع جهات خارجية (DFIR retainer, legal, PR).
  • تمارين tabletop كل ربع.

Detection & Analysis — تأكيد الحادثة

1
فرز التنبيه — Triage
هل هذا تنبيه حقيقي؟ ما المضيف؟ ما المستخدم؟ ما المؤشرات؟
2
بناء خط زمني — Timeline
استخدم SIEM لجمع كل الأحداث المرتبطة بالـ IP / user / host.
3
جمع الأدلة قبل اللمس
$ # نسخة من الذاكرة قبل أي شيء
$ sudo /opt/avml memory.lime # على Linux
$ winpmem.exe memory.raw # على Windows
$ dd if=/dev/sda of=/mnt/usb/disk.img bs=4M status=progress conv=noerror,sync
$ kape.exe --target !SANS_Triage # Windows
$ uac -a ir_triage.yaml # Linux/Mac/AIX

Containment — احتواء

الفرق بين containment محترم وcontainment عبيط: التوقيت. لو قطعت بدري، حرقت العملية. لو قطعت متأخر، خسرت بيانات. القرار ده هيبة المنصب لمدير الـ IR — مش هندسي.

قصير المدى (دقائق)
عزل الجهاز عن الشبكة (EDR isolate)، تعطيل الحساب، إبطال tokens / sessions، حظر IOCs.
طويل المدى (أيام)
إعادة بناء الأنظمة من image نظيفة، تدوير كل الأسرار، تعديل القواعد لمنع الوصول الأولي مجدداً.

Forensics — التحليل الجنائي

الذاكرة — Memory

volatility3
vol -f memory.raw windows.pslist
vol -f memory.raw windows.netscan
vol -f memory.raw windows.malfind
vol -f memory.raw windows.cmdline
vol -f memory.raw windows.dlllist | grep -i suspicious.dll

القرص — Disk

  • Autopsy / The Sleuth Kit لاستعراض النظام.
  • plaso/log2timeline لبناء خط زمني فائق التفصيل.
  • EVTXtract / Chainsaw / Hayabusa لتحليل سجلات Windows.

السحابة

  • CloudTrail + Athena لاستعلامات سريعة.
  • أداة aws_ir / cloudgrep / Cado.

Eradication & Recovery

  1. إعادة بناء الأنظمة من golden image — لا تكتفِ بـ cleanup.
  2. تدوير كل: كلمات المرور، SSH keys, API tokens, Kerberos krbtgt (مرتين).
  3. سدّ ثغرة الدخول الأصلية.
  4. راقب لـ 30-90 يوم لرصد عودة المهاجم.

Lessons Learned — التقرير النهائي

  • خط زمني واضح للهجوم.
  • Root cause + الفجوات اللي سمحت بالهجوم.
  • قائمة إجراءات وقائية مع مالك وموعد لكل بند.
  • تحديث الـ playbooks وقواعد الكشف.
خلّصت الدرس؟

علّمه علشان تفضل عارف انت فين على السكة.