كمحلل بيانات أمني، أول شيء أتعلمه في أي بيئة عمل جديدة ليس "ما هي الأدوات المتوفرة عندنا؟"، بل سؤال أبسط وأخطر:
هل نقدر فعلاً نجاوب على: من دخل، وش سوى، من وين، كيف اتصل، ومتى؟
يبدو السؤال بديهي، لكن أغلب الحوادث الأمنية اللي حللتها لم تكن بسبب نقص أدوات، بل بسبب فجوة في الإجابة على واحد من هذي الأسئلة الخمسة. الشبكة اللي ما تقدر تجاوب عليها كلها، هي شبكة "عمياء" جزئيًا، حتى لو فيها أحدث الحلول.
خلوني أشرح كل سؤال من منظور تشغيلي، وايش الأدوات اللي فعليًا نعتمد عليها كمحللين للإجابة عليه.
من؟ (Who)
أول شيء نحتاج نعرفه عن أي اتصال هو: مين هذا فعليًا؟
مو كافي إننا نشوف IP يتصل بالشبكة، لازم نربطه بهوية حقيقية. هنا يجي دور بروتوكولات المصادقة مثل 802.1X وRADIUS، اللي تتكامل غالبًا مع Active Directory للتأكد إن الجهاز أو المستخدم مصرّح له فعلاً بالدخول.
من الناحية التحليلية، أهم خطوة هي ربط الـ IP address والـ MAC address بهوية مستخدم واضحة. بدون هذا الربط، أي تحليل لاحق للحادث يصير تخمين لا تحقيق.
ماذا؟ (What)
بعد ما نعرف الهوية، نحتاج نفهم: وش يسوي هذا المستخدم أو الجهاز على الشبكة؟
هنا نعتمد على بروتوكولات تحليل التدفق مثل NetFlow / IPFIX / sFlow، اللي تعطينا صورة عامة عن حجم ونوع الترافيك بدون ما نفتح كل حزمة على حدة.
لكن لما نحتاج تفاصيل أدق، خصوصًا في التحقيقات الحساسة، ننتقل إلى Deep Packet Inspection (DPI)، اللي يسمح لنا نشوف محتوى الحزمة نفسها، مو بس عنوانها. الفرق بين الاثنين هو الفرق بين "أعرف إنه في حركة بيانات" و"أعرف بالضبط وش يُرسَل".
من أين؟ (Where)
السؤال الثالث يهتم بمصدر الاتصال: من أي جزء من الشبكة جاء هذا النشاط؟
تقسيم الشبكة إلى VLANs وSubnets ليس مجرد تنظيم إداري، هو أداة أمنية بالدرجة الأولى. لما تكون الشبكة مقسّمة بشكل منطقي، يصير أسهل نحدد مصدر أي نشاط مشبوه ونحصره.
نضيف على هذا فحص Source IP وقواعد Ingress Interface على مستوى الفايروول، اللي تساعدنا نفهم من أي واجهة دخل الاتصال أصلًا، وهل هذا المصدر منطقي بالنسبة لدور الجهاز أو المستخدم.
كيف؟ (How)
نفس المستخدم، ممكن يتصل بأكثر من طريقة، وكل طريقة لها مستوى ثقة مختلف.
هل الاتصال جا عبر Wi-Fi (وأي SSID بالتحديد)؟ عبر VPN باستخدام IPsec أو SSL؟ أو اتصال سلكي مباشر عبر Ethernet Port؟
هذا التمييز مهم جدًا، لأن اتصال VPN من خارج المكتب له سياق مختلف تمامًا عن اتصال سلكي داخلي، حتى لو كانت الهوية نفسها. أي تحليل أمني جيد يربط "الهوية" بـ"وسيلة الوصول" قبل ما يحكم على مستوى الخطورة.
متى؟ (When)
آخر سؤال، وأكثرها إهمالًا، هو التوقيت.
بدون تزامن دقيق للوقت عبر NTP (Network Time Protocol)، أي تحقيق أمني يتحول إلى كابوس. تخيّل تحاول تربط حدث من سيرفر بحدث من فايروول، وفرق التوقيت بينهم دقيقتين بسبب ساعة غير متزامنة، النتيجة سلسلة أحداث مشوّهة تقودك لاستنتاج خاطئ.
الدقة الزمنية مو تفصيل تقني بسيط، هي أساس أي timeline تحليلي موثوق.
ليش هذا الإطار مهم؟
الجميل في هذي الأسئلة الخمسة إنها مو مجرد قائمة تحقق، هي إطار تفكير. أي أداة أو حل أمني تقيّمه، تقدر تسأل نفسك: هل يجاوبني بوضوح على Who, What, Where, How, When؟
لو الإجابة "لا" على أي واحد منهم، عندك فجوة رؤية (visibility gap)، وفجوات الرؤية هي أول مكان يختبئ فيه أي تهديد.
كمحللين، شغلنا مو بس نجمع بيانات، شغلنا نبني صورة كاملة تجاوب على هذي الأسئلة الخمسة بثقة، وقت الحادث، لا بعده بأيام.
إذا حاب تبني أساس قوي في هذا المجال وتفهم أعمق للمفاهيم اللي تكلمنا عنها اليوم من مصادقة، وتحليل ترافيك، وتقسيم شبكات، إلى تحقيق رقمي كامل.
أنصحك تبدأ بدورة أمن سيبراني موثوقة على Udemy:
🔗 [رابط الدورة اضغط هنا ]
