مركز عمليات أمنية — رصد الهجمات ومعالجتها لشركة صغيرة (بيئة تجريبية)
سلسلة مراقبة أمنية متكاملة — رصد الهجوم، وفتح ملف حادثة، والتحقيق — بُنيت بأدوات مجانية لعميل افتراضي.
الحاجة
شبكة من مراكز السمعيات (عميل افتراضي في مشروع دراسي) تريد إسناد مراقبتها الأمنية إلى جهة خارجية مع إبقاء التكاليف منخفضة.
الفكرة
تتوقف معظم البيئات التجريبية عند التنبيه. أما القيمة الحقيقية ففيما يليه: الفرز، والتحقيق، وجمع الأدلة.
ما الذي بنيته
- رصد على أجهزة العمل وعلى الشبكة، خلف جدار حماية.
- سجلات تُجمع في مكان واحد عبر نفق مشفّر.
- برنامج نصي كتبته يحوّل كل تنبيه خطير تلقائيًا إلى ملف للتحقيق.
- أدوات تحقيق للأقراص والذاكرة، وتقرير أمني يُنشأ كل يوم.
النتيجة
- 6مكوّنات موصولة من البداية إلى النهاية
- 7:00تقرير أمني يومي يُرسل تلقائيًا
- 100 %أدوات مفتوحة المصدر
- تجريبيلم يُستخدم قط في الإنتاج، بكل وضوح
تعمل السلسلة في البيئة التجريبية، من الرصد إلى التحقيق. وبقيت تجريبية: لا مؤشرات تشغيلية لعرضها، وأفضّل أن أقول ذلك صراحة.
بالصور
ما الذي تعلّمته
اختير المصدر المفتوح من أجل التكلفة والتحكم، وله ثمنه: عمليات الربط تُبرمج يدويًا، وقواعد الرصد تُضبط واحدة تلو الأخرى. كانت حزمة تجارية ستنجز ذلك بثلاث نقرات… وستعلّمني أقل بثلاث مرات.
التفاصيل التقنية التقنيات والبنية والقرارات، للقرّاء التقنيين
التقنيات المستخدمة
- Wazuh
- Suricata
- pfSense
- Logstash
- Elasticsearch
- ElastAlert
- TheHive
- Cortex
- AlienVault OTX
- Autopsy
- Volatility
- Python
كيف يعمل
- مشروع فردي لماجستير الأمن السيبراني في Sup de Vinci (2023–2024)، العميل الافتراضي AudioProthèse+؛ ومتطلبات المشروع متوافقة مع ISO/IEC 27001 وGDPR.
- SIEM: وكلاء Wazuh على أجهزة العمل، ونقل عبر VPN، ومسار Logstash → Elasticsearch، ولوحة مركزية.
- IDS/IPS: Suricata خلف جدار حماية pfSense، ومجموعتا القواعد ET Open وSnort GPLv2، وتغذية سمعة عناوين IP من AlienVault OTX.
- SOAR: TheHive، موصول بـ Wazuh عبر برنامج Python يستخدم واجهته البرمجية REST ليحوّل كل تنبيه من Wazuh أو Suricata يتجاوز عتبة خطورة معيّنة إلى ملف؛ وCortex لإثراء المعلومات.
- تحليل جنائي رقمي باستخدام Autopsy (القرص) وVolatility (الذاكرة)؛ وتقرير يومي يُنشأ ويُرسل في الساعة 7:00.
ما لا يزال ناقصًا
- بيئة تجريبية فقط، لم يُستخدم في الإنتاج
- لا مؤشرات تشغيلية