Hacker Mindset — إزاي بيفكر اللي هيخترقك

ايه اللي بيفرّق الـ Hacker الحقيقي عن أي حد تاني؟

تعالى نتفاهم من الأول.

هو الـ hacker بيكتب أوامر؟
ولا بيحفظ payloads؟
ولا بيشغّل Metasploit ويستنى الميركل تحصل؟

لا. ولا واحدة من دول.

الـ hacker الحقيقي بيفكّر بطريقة مختلفة. ده mindset، مش toolset. الأدوات بتتغيّر كل ست شهور. التفكير بيفضل.

أنا عملت الغلط ده لما كنت بادي. قعدت أسبوعين أحفظ أوامر nmap. وبعدين دخلت أول engagement حقيقي ولقيت نفسي مش عارف من أنهي ناحية أبدأ. الأوامر معايا. التفكير لأ.

الواقع vs المفروض

في فرق كبير بين الواقع وبين المفروض، ولازم تفهم ده من اليوم الأول.

المفروض: المهاجم يدوّر على الـ exploit الجديد، يطلّع zero-day، يكسر الـ firewall.

الواقع: المهاجم بيدوّر على واحد كاتب password "Welcome123!" على account فيه domain admin، ومش ملغيه من سنتين.

المدافع المبتدئ بيقعد يفكّر إزاي يقفل APT بحزام نووي.
المدافع الشاطر بيسأل: مين فاتح RDP على الإنترنت من غير MFA؟

الهجمات الحقيقية مش أفلام. اللي بيدخل الشركات في 2026 — وفي 2024، و2020، وعلى أيامنا — هو نفسه: phishing، credentials مسرّبة، patch فايت من سنة، ومسؤول كسلان حاطط الـ backup على نفس الـ domain.

أنواع القبعات — مين بيلبس ايه؟

الناس بتحب تحط الـ hackers في خانات. وكل خانة لها لون.

بُص الأنواع، بس ما تاخدهاش حرفياً قوي — الواقع أعقد من ده.

سلسلة الهجوم — Cyber Kill Chain

طلعت Lockheed Martin النموذج ده علشان توصف مراحل أي هجوم متقدم (APT). والكلام ده مش نظري — ده اللي بيحصل في كل حادثة كبيرة بتقراها في الأخبار.

1. الاستطلاع — Reconnaissance — جمع أي حاجة عن الهدف.
2. التسليح — Weaponization — تجهيز الـ payload.
3. التوصيل — Delivery — توصيله (بريد، USB، لينك، supply chain).
4. الاستغلال — Exploitation — تشغيل الثغرة.
5. التثبيت — Installation — backdoor يثبت في النظام.
6. القيادة والتحكم — C2 — قناة بين المهاجم والجهاز المخترق.
7. الفعل على الهدف — Actions on Objectives — سرقة، تشفير، تخريب، تجسس.

القصة الحقيقية — SolarWinds وKill Chain على الأرض

تعالى نمشي على حادثة حقيقية، حلقة حلقة. SolarWinds، 2020. اللي عملوا APT29 (Cozy Bear، اللي بيتنسبوا للاستخبارات الروسية SVR).

MITRE ATT&CK — اللغة اللي بيتكلّمها كله

تخيّل إن المهاجمين والمدافعين بيتكلّموا لغتين مختلفتين.

المهاجم بيقول: "عملت persistence بـ scheduled task".
المدافع بيقول: "شفت process مش طبيعي بيتشغّل في الساعة 3 صباحاً".

الاتنين بيتكلّموا عن نفس الحاجة. بس مفيش مفردات مشتركة. النتيجة؟ سوء فهم، تقارير ما بتتفهمش، وفرق Red وBlue بتقعد تتخانق على لا حاجة.

MITRE ATT&CK هو القاموس المشترك. موسوعة عملية لكل Tactics, Techniques & Procedures (TTPs) المشاهدة في الواقع، مرتّبة، ومسمّاة بأسماء ثابتة. الـ Red بيستخدمه يخطّط. الـ Blue بيستخدمه يكشف. الاتنين بيتكلّموا بنفس اللغة.

• Tactic = الهدف. ليه المهاجم بيعمل اللي بيعمله؟ (مثلاً TA0003 — Persistence).
• Technique = الأسلوب. إزاي بيحقّق الهدف ده؟ (مثلاً T1053 — Scheduled Task/Job).
• Sub-technique = التفصيل. أي variant بالظبط؟ (T1053.005 — Scheduled Task على Windows).
• Procedure = التنفيذ الفعلي لمجموعة معيّنة. APT29 بتعملها كده، Lazarus بتعملها كده.

سيناريو ATT&CK كامل — هجوم Conti على Costa Rica

تعالى نمشي على حادثة تانية، بس بعدسة MITRE.

أبريل 2022. عصابة Conti شنّت هجوم ransomware على حكومة Costa Rica. الرئيس أعلن حالة طوارئ وطنية. أوّل مرة في التاريخ دولة تعلن طوارئ بسبب هجوم سيبراني.

إزاي حصل ده؟ خلّينا نمشي بـ ATT&CK:

• Initial Access (TA0001) — T1078: Valid Accounts. credentials مسرّبة من employee في وزارة المالية. مفيش zero-day. مفيش phishing فاخم. حساب وكلمة سر.
• Execution (TA0002) — T1059.001: PowerShell. شغّلوا scripts على المحطة الأولى.
• Persistence (TA0003) — T1547: Boot or Logon Autostart Execution. ضمنوا إن الـ access يعيش بعد reboot.
• Privilege Escalation (TA0004) — T1068: Exploitation for Privilege Escalation. ثغرة في Windows مش متّعمل لها patch.
• Defense Evasion (TA0005) — T1562: Impair Defenses. قفلوا الـ Windows Defender. مفيش ادارة مركزية للـ security policies. كل سيرفر شغل لوحده.
• Credential Access (TA0006) — T1003: OS Credential Dumping. شغّلوا Mimikatz، طلّعوا hashes من LSASS.
• Discovery (TA0007) — T1018: Remote System Discovery. مسحوا الشبكة الداخلية، لقوا 800+ سيرفر.
• Lateral Movement (TA0008) — T1021: Remote Services. SMB، RDP، WinRM. الشبكة flat — لو دخلت محطة، انت دخلت كله.
• Collection (TA0009) — T1560: Archive Collected Data. لمّوا 672 GB بيانات في ملفات مضغوطة.
• Exfiltration (TA0010) — T1567: Exfiltration Over Web Service. سحبوا الداتا قبل ما يشفّروا. ابتزاز مزدوج.
• Impact (TA0040) — T1486: Data Encrypted for Impact. شغّلوا الـ ransomware على كل السيرفرات في يوم واحد.

بناء معمل التدريب — Lab Setup

قاعدة مفيش حد بيسمعها كفاية: ما تجرّبش حاجة برّه معملك.

مفيش "هجرّبه على شبكة المكتب علشان أتأكد". مفيش "السيرفر بتاع صحبي وافق". الكلام ده آخره مشاكل قانونية، ومشاكل شغل، ومشاكل سُمعة.

الإعداد اللي ينفعك:

الأخلاقيات والقانون — اللي مش معاه ورق، ما يلمسش

- بس يا حضرتك أنا كنت بحاول أساعدهم؟؟

يا نجم الجيل.. لأ. مفيش قاضي هيقبلها.

هل ينفع تختبر سيرفر شركة من غير إذن؟
لا.
لا ما ينفعش.

أنا شفت بنفسي ناس راحت سجن أسابيع علشان "كانت بتجرّب". مفيش حد ساعدهم. لا الكورس اللي اتعلموا منه، ولا الجروب اللي بيشجعهم.

• كل engagement بيبتدي بـ Rules of Engagement (RoE) موقّعة من الجهة.
• وثيقة Scope بتحدّد بالظبط ايه اللي بيتختبر، ايه اللي ممنوع، والـ time window.
• كل أداة وكل أمر بتشغّله، بيتسجّل في Engagement Log. علشان لو حصل أي مشكلة، انت معاك dossier كامل.
• لو الجهة طلبت تجربة على نظام إنتاج: غيّر الـ engagement letter. مفيش "بكلمة بيني وبينك".

الـ professional pentester مش اللي بيلاقي ثغرات أكتر.
ده اللي ما بيتسببش في مشكلة قانونية لشركته ولا لعميله.
الفرق ده هو اللي بيخلّيك تشتغل في المجال 20 سنة، مش 6 شهور.

اوعى تلمس هدف من غير ورق. اوعى تصدّق "صاحبي وافق". اوعى. أنت ونصيبك لو غلطت.