اعرف اللي قصادك. احمي أرضك.
YoriSecCyber Operationsالصفحة الرئيسية
العمليات والتقصي

Pentester Toolkit — العدّة كلها (Red و Blue)

Kali و Burp و Wazuh و ELK — اللي بتشتغل بيه فعلاً

المستوى
متقدم
المدة
30m
الترتيب
الدرس 10 من 85
KaliBurpWazuhELK

قبل ما تفتح أي أداة

أي pentester بيفتح لاب جديد، أول 10 دقايق بيركّب نفس الـ stack. ليه؟

لأن الأدوات دي مش "اختيارات".

هي عضلات الذراع.

- طب يا حضرتك، ما أركّب Black Arch كله أحسن وأبقى مغطّي؟

كنت مستنيك تسأل السؤال ده يا مستجد. متوقّع كالعادة.

طب فيه ناس بتركّب 200 أداة وعمرها ما هتفتح نص الموجود. وفيه ناس عندها 8 أدوات بس ومخرّبة كل CTF. الفرق بينهم في السكة فين بالظبط؟

الفرق مش في العدد. اللي عنده 8 بيتقنهم. اللي عنده 200 بيستعرض. بس.

تشبيه يقرّب الفكرة
صندوق العدّة بتاع الميكانيكي القديم في الورشة — مش هتلاقي فيه 50 مفتاح. هتلاقي 8 أو 10 صدئت من كتر الشغل، عارف كل واحد فيهم بيعمل ايه، وعارف الـ trick بتاعته. الميكانيكي الجديد هو اللي كل أسبوع يشتري طقم جديد من الصين، ويرميه بعد شهر.
الـ toolkit بتاعك نفس الفكرة.

صندوق أدوات Red Team

اللي جاي مش "كل أدوات الـ red team". ده اللي هتشتغل بيه فعلاً في 95% من الـ engagements. لو لقيت أداة مش هنا، اسأل نفسك: محتاجها فعلاً ولا بتجمّع؟

استطلاع — Reconnaissance
  • subfinder, amass, assetfinder, findomain
  • httpx, naabu, dnsx, tlsx
  • Shodan, Censys, FOFA, ZoomEye
  • crt.sh, GoBuster, gau, waybackurls, katana
  • trufflehog, gitleaks, GitHound
مسح — Scanning
  • nmap + NSE, masscan, rustscan
  • nuclei, nikto, OpenVAS, Nessus
  • ffuf, feroxbuster, dirsearch
  • whatweb, wappalyzer, retire.js
استغلال ويب
  • Burp Suite Pro, Caido, OWASP ZAP
  • sqlmap, NoSQLMap, dalfox, kxss
  • wpscan, joomscan, droopescan
  • XSStrike, commix, tplmap
استغلال شبكة و سيرفر
  • Metasploit Framework, exploit-db
  • CrackMapExec / NetExec, Impacket suite
  • responder, mitm6, ntlmrelayx
  • BloodHound, SharpHound, PowerView
  • Mimikatz, Rubeus, Certify, Certipy
C2 و post-exploitation
  • Cobalt Strike, Sliver, Mythic, Havoc
  • Empire, Covenant, Brute Ratel
  • Chisel, ligolo-ng, sshuttle, proxychains
  • LinPEAS, WinPEAS, PEASS-ng, PrivescCheck
السحابة و الحاويات
  • Pacu, CloudFox, ScoutSuite, Prowler
  • enumerate-iam, weirdAAL, AWSGoat, CloudGoat
  • peirates, kube-hunter, kubeletctl
  • trivy, grype, dockle
  • ROADtools, AADInternals, MicroBurst

صندوق أدوات Blue Team

الـ red team بيلعب بأدوات. الـ blue team بيشتغل بـ منصات. الفرق؟ الأداة بتفتحها وتقفلها. المنصة بتشتغل 24/7 وبتولّد alerts إنت لازم ترد عليها.

لو SOC analyst جديد، اعرف الـ stack بتاع شركتك الأول، وبعدين زوّد. مفيش لازمة تتعلم Splunk وانت في شركة شغّالة Sentinel.

SIEM / Log management
  • Splunk, Microsoft Sentinel, Chronicle, QRadar
  • ELK / OpenSearch, Wazuh, Graylog, Security Onion
EDR / Host
  • CrowdStrike, SentinelOne, Defender for Endpoint
  • Wazuh agent + Sysmon, osquery, Velociraptor
  • Falco, Tracee (eBPF)
NDR / IDS
  • Suricata, Snort, Zeek, Arkime (Moloch)
  • RITA, JA3/JA4 fingerprinting
Threat Intelligence
  • MISP, OpenCTI, TheHive + Cortex
  • VirusTotal, ANY.RUN, Joe Sandbox, Hatching Triage
  • CISA KEV, AlienVault OTX, Abuse.ch
Forensics / DFIR
  • Volatility 3, Rekall, FTK Imager
  • Autopsy, plaso/log2timeline, KAPE, UAC
  • Chainsaw, Hayabusa, EVTX-ATTACK-SAMPLES
Hardening / Audit
  • Lynis, OpenSCAP, CIS-CAT, kube-bench
  • Wazuh SCA, Tenable Nessus / Qualys
  • Wiz, Prisma Cloud, AWS Security Hub
Honeypots & Deception
  • Canarytokens.org, Thinkst Canary
  • cowrie, dionaea, t-pot
  • honeyd, opencanary
Detection Content
  • Sigma + sigmac/uncoder, Atomic Red Team
  • Elastic detection-rules, Splunk security-content
  • MITRE D3FEND, ATT&CK Navigator

سيناريوهات شغل حقيقية — الأدوات في سياقها

الـ tools list فوق ميتة من غير context. خليني أوريك إزاي بتشتغل في الـ workflow الحقيقي:

  • External recon (يوم 1): subfinder + amass عشان الـ subdomains، dnsx للـ resolution، httpx للـ live hosts، nuclei templates للـ low-hanging fruit. كل ده pipe واحد، نتيجته ملف JSON بتدخّله الخطوة اللي بعديها.
  • Web app testing (الأسبوع الأول): Burp Pro فاتح ع الـ workspace، ffuf شغّال في tab تاني للـ content discovery، sqlmap في tab تالت لو لقيت parameter مشكوك فيه. مش 4 أدوات ويب مع بعض — أداتين نظيفين بتشتغل بيهم بسرعة.
  • AD pentest (داخل الشبكة): NetExec يعمل initial sweep، responder/mitm6 بيلتقط hashes في الخلفية، BloodHound بيرسم الـ graph، Certipy/Rubeus بيسحبوا التذاكر. الترتيب ده مش عشوائي — كل خطوة بتطعّم اللي بعدها.
  • Blue side — alert triage: alert في Sentinel، بتفتح Velociraptor عشان timeline على الـ host، بتعدّي الـ hash على VirusTotal و ANY.RUN، بتلاقي C2 IP، بتدخّله TheHive كـ IOC. الأدوات بتاكل في بعض، مش جزر منفصلة.
  • DFIR — incident حقيقي: KAPE بيشيل الـ artifacts من الـ host، plaso/log2timeline بيبني الـ super-timeline، Chainsaw بيسحب الـ Sigma matches من الـ EVTX، Volatility 3 بيقرا الـ memory dump. ده مش "أدوات" — ده pipeline.

أدوات مش محتاجها (وحد قالك العكس)

كل سنة بيظهر تنين أدوات جديدة في تويتر. كل واحد بيعمل thread "the only X you need in 2024". بعد سنة؟ ماحدش فاكر اسمها.

اللي بيستحمل هو اللي مش بيكسرك — مش اللي مكتوب عنه أكتر.

  • كل wrapper جديد لـ nmap. nmap نفسه شغّال من 1997. الـ wrapper بتاعك بيضيف emoji في الـ output — وبس.
  • الـ "all-in-one" frameworks اللي بتظهر فجأة على GitHub. 12 ستار، README فيه gif، وبعد 6 شهور الـ repo archived. ابعد.
  • أدوات الـ telegram/discord الـ "leaked". دي مش أدوات، دي backdoors بتشتغل ضدك. اوعى تنزّل "Cobalt Strike cracked". أنا شفت ناس infected من اللعبة دي أكتر مما شفت ضحايا حقيقيين.
  • الـ AI-powered scanners اللي بتعد لك الفلوس. 90% منها wrapper حوالين nuclei + GPT API. ادفع لـ nuclei مباشرة، ووفّر فلوسك.
  • Kali tools اللي ما فتحتهاش من سنة. لو ما استخدمتهاش، احذفها. الـ disk بتاعك مش متحف.

مسارات تعلّم موصى بها

الأدوات من غير مسار = لعب. المسار من غير أدوات = فلسفة. الاتنين مع بعض = شغل.

  • Web: PortSwigger Web Academy (مجاناً) — مفيش أحسن منه. لو خلّصته كله، انت فعلاً في top 10% web pentesters.
  • Pentest: HackTheBox Academy, TryHackMe, OSCP. الـ OSCP مش "شهادة"، ده اختبار صبر.
  • AD / Red Team: CRTO, CRTP, OSEP. لو شغلك federal/government، الـ AD knowledge مش رفاهية.
  • Cloud: flaws.cloud, CloudGoat, AWSGoat, AzureGoat. ابدأ بـ flaws.cloud — مجاني وبيعلّمك إزاي تفكر cloud.
  • Blue Team: BTL1/BTL2, SOC-200, SANS GIAC (GCIA, GCFA). لو هتشتغل SOC حقيقي، GCIA + GCFA كفاية لـ 5 سنين.
  • DFIR: 13Cubed, DFIR.training, SANS FOR-508. 13Cubed مجاني وأحسن من كورسات بـ 5 آلاف دولار.
خلّصت الدرس؟

علّمه علشان تفضل عارف انت فين على السكة.