Threat Intel — تعرف اللي قصادك

إيه هي الـ Threat Intelligence أصلاً؟

بُص.

الـ CTI مش لستة IPs. مش feed بتشتركه وتسيبه يولّع تنبيهات. مش جمع كل اللي على الإنترنت من IOCs. هو معرفة قابلة للتنفيذ بترد على: مين بيستهدفنا؟ إزاي؟ نعمل إيه؟ اللي بيخلط بين الـ data والـ intel بيدفن نفسه تحت feeds مفيش منها فايدة.

مستويات الـ Intel — كل واحد لجمهوره

The Pyramid of Pain — مش كل IOC زي التانية

الـ pyramid من David Bianco. بترتب الـ IOCs حسب صعوبة تغييرها على المهاجم:

            ┌─────────────┐
            │   TTPs      │  ← تغييرها يكلّف المهاجم أسابيع و إعادة بناء
            ├─────────────┤
            │   Tools     │  ← أيام–أسابيع
            ├─────────────┤
            │ Network/Host│  ← ساعات
            │  Artifacts  │
            ├─────────────┤
            │ Domain Names│  ← دقائق
            ├─────────────┤
            │ IP Addresses│  ← دقائق
            ├─────────────┤
            │ Hash Values │  ← ثواني (يغيّر byte واحد)
            └─────────────┘

Diamond Model — هيكل تحليل أي حادث

كل حادث بيتفك على 4 رؤوس في الـ Diamond:

              [Adversary]
                  |
                  |
   [Capability]──┼──[Infrastructure]
                  |
                  |
               [Victim]

• Adversary — مين؟ (APT29 / Lazarus / criminal group / unknown).
• Capability — إيه؟ (malware, exploits, social engineering).
• Infrastructure — منين؟ (C2 servers, phishing domains).
• Victim — على مين؟ (sectors, geographies, specific orgs).

في أي حادث، ابدأ بـ 3 رؤوس معروفة و pivot للرابع. مثال: عندك Capability (mimikatz) + Infrastructure (C2 IP) + Victim (شركتك). pivot على الـ Adversary عن طريق الـ CTI feeds.

STIX و TAXII — اللغة الموحدة

• STIX 2.1 — JSON schema لتمثيل الـ intel: indicators, malware, threat actors, attack patterns. هو المعيار اللي الكل بيشتغل بيه.
• TAXII 2.1 — protocol لنقل الـ STIX بين الأنظمة. RESTful API.

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--d81f86b9-975b-4c0b-875e-810c5ad45a4f",
  "created": "2026-04-30T14:00:00Z",
  "name": "APT29 C2 domain",
  "indicator_types": ["malicious-activity"],
  "pattern": "[domain-name:value = 'evil-c2.com']",
  "pattern_type": "stix",
  "valid_from": "2026-04-30T00:00:00Z",
  "labels": ["apt29", "cobalt-strike"]
}

MISP — منصة CTI مفتوحة المصدر

MISP (Malware Information Sharing Platform) هي أكتر منصة CTI منتشرة. CERT-EU و CIRCL و كتير من الـ ISACs بيشتغلوا بيها.

# pyMISP — استعلام برمجي
from pymisp import PyMISP
misp = PyMISP('https://misp.target.gov', api_key, ssl=True)

# ابحث عن hash
result = misp.search(controller='attributes', value='aabbccdd...')

# pivoting — events شاركت هذا الـ IP
result = misp.search(controller='events', value='1.2.3.4')

# tags بشكل آلي — Galaxy clusters (mitre-attack-pattern, threat-actor)

IOC Pivoting — فن السلسلة

بتبدأ بـ IOC واحد، و بتطلع منه اتنين، تلاتة، عشرة. دي أهم مهارة في الـ CTI كله.

بداية: phishing email
  ↓ extract
sender IP: 185.x.x.x
  ↓ VirusTotal passive DNS
hosted domains: evil-c2.com, evil-phish.org, drop-zone.xyz
  ↓ urlscan.io
SSL cert SHA1: ab12... (also seen on 5 other IPs)
  ↓ CT logs (crt.sh) — same cert subject pattern
6 more domains registered same day
  ↓ WHOIS — same registrant email (anonymous)
  ↓ reverse WHOIS — that email registered 23 domains in 6 months
  ↓ malware hash hosted on one of these
  ↓ VirusTotal — sandbox shows beacon to evil-c2.com (cycle detected)
  ↓ ATT&CK — beacon pattern matches APT-X profile

نتيجة: من إيميل واحد → 30+ IOCs + attribution + TTPs

OSINT للمحقق — Maltego

Maltego بيحوّل الـ pivoting من شغل يدوي لـ graph بصري. كل عنصر "Entity"، كل عملية pivoting "Transform". فيه Transforms جاهزة لـ VirusTotal و Shodan و PassiveTotal و DomainTools.

• Maltego Community Edition ببلاش (بحدود).
• Maltego CaseFile للتحقيقات الكبيرة.
• أمثلة: ابدأ بـ domain → اطلع registrant email → دور على flickr/twitter بنفس الإيميل → ابص على الصور و الـ geolocation.

Threat Actor Profiling — تقرى تقرير CTI إزاي

أحسن مصادر التقارير:

• Mandiant / Google TAG — APT focus.
• CrowdStrike Global Threat Report — سنوي مفصّل.
• Microsoft Threat Intelligence — قوي على هويات و cloud.
• CISA Advisories — رسمي، مع IOCs و mitigations.
• FBI FLASH / PIN reports — عبر InfraGard للقطاع الخاص.
• ISACs (FS-ISAC, MS-ISAC) — قطاعية، sharing community.
• Recorded Future, Flashpoint — تجارية، underground sources.

بناء برنامج CTI من الصفر

1. عرّف الـ PIRs (Priority Intelligence Requirements). أمثلة: "أنهي مجموعة بتستهدف قطاعنا؟"، "أي ثغرة جديدة في الأنظمة اللي بنشغلها؟". متجمعش حاجة مش هتستخدمها.
2. اختار مصادرك بعقل. 2-3 free + 1-2 paid feeds. مش كل feed مفيد.
3. ركّب الـ tooling. MISP/OpenCTI كمنصة مركزية. اربطها بالـ SIEM للـ matching.
4. اكتب تقارير أسبوعية: للقيادة (صفحة واحدة) و للـ SOC (technical).
5. قيس قيمة الـ intel: كام alert جه من feed X؟ كام منهم true positive؟ كام detection جديدة اتبنت على الـ intel؟ مفيش قياس = مفيش تحسن.

السياق الفيدرالي

غلطات الـ junior في الـ CTI

الخلاصة الناشفة

الـ Pyramid of Pain هي الـ compass.

اللي بيشتغل تحت = بيتعب نفسه. اللي بيشتغل فوق = بيتعب الـ attacker.

اكتبها على ظهر إيدك:

كل ساعة تروح في hash، هي ساعة المهاجم كسبها مجاناً.

اختار صفك.