هذا المستودع يوثق كيفية نشر Microsoft Defender for Endpoint على جهاز Windows 11، بما في ذلك الإعداد عبر السيناريو المحلي، تمكين اكتشاف الأجهزة، تكوين كشف Log4j2 (CVE-2021-44228)، والتحقق من سير عمل الاستجابة للحوادث.

---

الميزات الرئيسية

✅ الإعداد عبر السيناريو المحلي لأنظمة Windows 10/11

🔍 إعداد اكتشاف الأجهزة القياسي

🧨 كشف ثغرة Log4j2

📈 التحقق من التنبيهات والاستجابة للحوادث

📋 سير عمل المعالجة باستخدام أدوات Defender

---

أهداف المشروع

✔️ نشر Microsoft Defender for Endpoint عبر بيئة Windows 10/11.

✔️ تكوين اكتشاف الأجهزة وقدرات كشف التهديدات.

✔️ تمكين كشف ثغرة Log4j2 (CVE-2021-44228).

✔️ التحقق من النشر من خلال سيناريوهات كشف اختبارية.

✔️ إنشاء سير عمل للاستجابة للحوادث

---

متطلبات النظام

✔️ Windows 11 Pro/Enterprise (مع تطبيق أحدث التحديثات)

✔️ ترخيص Microsoft 365 E3/E5 أو Microsoft Defender for Endpoint Plan 1/2

✔️ صلاحيات إدارية على الأجهزة المستهدفة

✔️ اتصال شبكي بخدمات Microsoft السحابية

---

الصلاحيات المطلوبة

✔️ مسؤول عام أو مسؤول أمن في Microsoft 365

✔️ صلاحيات مسؤول محلي على أجهزة Windows 11

✔️ الوصول إلى بوابة Microsoft 365 Defender

---

*المرحلة 1: الإعداد والتكوين الأولي

1.1 الوصول إلى بوابة Microsoft 365 Defender

✅ انتقل إلى https://security.microsoft.com

✅ سجل الدخول باستخدام بيانات اعتماد إدارية

✅ تحقق من الترخيص وتوفر الخدمة

---

1.2 تكوين إعدادات اكتشاف الأجهزة

انتقل إلى اكتشاف الأجهزة:

✅ الإعدادات → نقاط النهاية → اكتشاف الأجهزة

تكوين الاكتشاف القياسي:

✅ اختر خيار "الاكتشاف القياسي"

✅ قم بتمكين اكتشاف أجهزة الشبكة

✅ اضبط تردد الاكتشاف على الإعدادات الموصى بها

✅ قم بتكوين بيانات اعتماد الشبكة إذا لزم الأمر

✅حفظ التهيئة:

✅ طبق الإعدادات وانتظر التأكيد

✅ تحقق من أن نطاق الاكتشاف يغطي قطاعات الشبكة المستهدفة

---

1.3 تمكين كشف Log4j2

الوصول إلى الميزات المتقدمة:

✅ الإعدادات → نقاط النهاية → الميزات المتقدمة

تمكين كشف CVE-2021-44228:

❌ قم بتبديل "مؤشرات الشبكة المخصصة" إلى تشغيل

❌ قم بتمكين "الاستجابة المباشرة" للتحقيق المتقدم

❌ قم بتفعيل "التحقيق الآلي والمعالجة"

تكوين قواعد الكشف:

✅ انتقل إلى الصيد → الصيد المتقدم

✅ تحقق من أن استعلامات كشف Log4j2 نشطة

✅ قم بتخصيص حساسية الكشف إذا لزم الأمر

---

المرحلة 2: عملية إعداد الأجهزة

2.1 إنشاء سيناريو الإعداد

انتقل إلى قسم الإعداد:

✅ الإعدادات → نقاط النهاية → إدارة الأجهزة → الإعداد

اختر طريقة النشر:

✅ اختر "السيناريو المحلي" كطريقة نشر

✅ اختر Windows 10/11 كنظام تشغيل

✅ انقر على "تنزيل حزمة الإعداد"

تفاصيل السيناريو:

✔️ اسم الملف: GatewayWindowsDefenderATPOnboardingScript.cmd

✔️ يحتوي على تهيئة فريدة خاصة بالمؤسسة

✔️ صالح لمدة 30 يومًا من تاريخ الإنشاء

---

2.2 نشر السيناريو على جهاز Windows 11

تجهيز الجهاز المستهدف:

powershell # افتح موجه الأوامر بصلاحيات المسؤول

انتقل إلى موقع السيناريو

cd C:\Path\To\Script

تنفيذ سيناريو الإعداد:

cmd # قم بتشغيل سيناريو الإعداد GatewayWindowsDefenderATPOnboardingScript.cmd

الإخراج المتوقع:

"تم إكمال الإعداد بنجاح"

"اضغط على أي مفتاح للمتابعة..."

التحقق من حالة الخدمة:

powershell # تحقق من خدمة Windows Defender ATP Get-Service -Name "Sense"

تحقق من إدخالات التسجيل

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Advanced Threat Protection"

2.3 التحقق من إعداد الجهاز

تحقق من حالة الجهاز في البوابة:

✔️ انتقل إلى الأصول → الأجهزة

✔️ ابحث عن جهاز Windows 10/11 المُعد حديثًا

✔️ تحقق من أن الحالة تظهر "نشط" كما هو موضح أدناه

✔️ تأكد من أن الطابع الزمني لآخر ظهور حديث

التحقق من معلومات الجهاز:

✔️ اسم الكمبيوتر يطابق الجهاز المستهدف

✔️ نظام التشغيل يظهر Windows 11

✔️ مستوى المخاطر يظهر في البداية "متوسط" (بسبب تنفيذ السيناريو المُختبر)

✔️ حالة الإعداد: "تم الإعداد بنجاح"

---

المرحلة 3: اختبار الكشف والتحقق

3.1 إنشاء سيناريو اختبار الكشف

أنشئ سيناريو PowerShell لمحاكاة نشاط مشبوه:

"powershell# احفظ باسم TestDetection.ps1

تحذير: السيناريو أدناه لأغراض الاختبار فقط

Write-Host "بدء اختبار كشف MDE..." -ForegroundColor Yellow

الاختبار 1: تنفيذ PowerShell مشبوه

$testCommand = "powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Get-Process"" Write-Host "تنفيذ أمر اختبار: $testCommand" -ForegroundColor Green Invoke-Expression $testCommand

الاختبار 2: محاكاة سلوك تنزيل ملف

$testUrl = "https://www.microsoft.com" $testPath = "$env:TEMP\test_download.txt" try { Invoke-WebRequest -Uri $testUrl -OutFile $testPath -UseBasicParsing Write-Host "تم تنزيل ملف الاختبار إلى: $testPath" -ForegroundColor Green Remove-Item $testPath -Force -ErrorAction SilentlyContinue } catch { Write-Host "اكتمل اختبار التنزيل بسلوك متوقع" -ForegroundColor Yellow }

الاختبار 3: محاكاة الوصول إلى التسجيل

try { Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" | Out-Null Write-Host "اكتمل اختبار الوصول إلى التسجيل" -ForegroundColor Green } catch { Write-Host "واجه اختبار التسجيل قيودًا متوقعة" -ForegroundColor Yellow }

Write-Host "اكتمل اختبار كشف MDE. تحقق من بوابة Microsoft 365 Defender للتنبيهات." -ForegroundColor Cyan "

---

*3.2 تنفيذ اختبار الكشف

تشغيل سيناريو الاختبار:

powershell # افتح PowerShell كمسؤول

انتقل إلى موقع السيناريو

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process .\TestDetection.ps1

اختبار سطر الأوامر البديل:

cmd # اختبار سطر أوامر بسيط للكشف echo "اختبار كشف لـ MDE" > %TEMP%\mde_test.txt powershell.exe -Command "Get-Content $env:TEMP\mde_test.txt" del %TEMP%\mde_test.txt

3.3 مراقبة إنشاء التنبيهات الجدول الزمني المتوقع: تظهر التنبيهات عادةً خلال 5-15 دقيقة خطوات المراقبة:

✔️ أبقِ بوابة Microsoft 365 Defender مفتوحة

✔️ قم بتحديث صفحة الحوادث بشكل دوري

✔️ ابحث عن تنبيهات جديدة متعلقة بجهاز الاختبار

---

4.1 التنقل إلى الحوادث والتنبيهات

الوصول إلى واجهة التحقيق:

❌ التحقيق والاستجابة → الحوادث والتنبيهات → الحوادث

تحديد موقع تنبيه الاختبار:

❌ قم بالتصفية حسب اسم الجهاز المتأثر

❌ قم بالفرز حسب "وقت آخر تحديث" (الأحدث أولاً)

❌ ابحث عن حوادث ذات خطورة "منخفضة" أو "متوسطة"

---

4.2 توسيع ومراجعة تفاصيل التنبيه

مراجعة معلومات التنبيه:

❌ عنوان التنبيه: لاحظ اسم الكشف

❌ مستوى الخطورة: عادة منخفض/متوسط للاختبار

❌ الفئة: نشاط أو سلوك مشبوه

❌ المصدر: Microsoft Defender for Endpoint

❌ الأصول المتأثرة: جهاز Windows 10/11 المستهدف

---

التحليل التفصيلي:

❌ انقر على الحادثة → قم بتوسيع تفاصيل التنبيه

✔️ راجع الجدول الزمني للأحداث

✔️ افحص شجرة العمليات

✔️ تحقق من مؤشرات الملفات والشبكة

✔️ حلل الأنماط السلوكية

---

4.3 خطوات التحقيق

التحقيق في الجهاز:

✔️ انقر على اسم الجهاز المتأثر

✔️ راجع الجدول الزمني للجهاز

✔️ تحقق من العمليات الجارية

✔️ افحص اتصالات الشبكة الأخيرة

تحليل العمليات:

✔️ حدد العمليات الأم والفرعية

✔️ راجع وسائط سطر الأوامر

✔️ تحقق من سمعة العملية وانتشارها

تحليل الملفات (إن أمكن):

✔️ افحص خصائص الملف

✔️ تحقق من سمعة تجزئة الملف

✔️ راجع تحليل سلوك الملف

---

*المرحلة 5: إجراءات المعالجة والاستجابة

5.1 إجراءات الاستجابة المتاحة

إجراءات على مستوى الجهاز:

✔️ عزل الجهاز عن الشبكة

✔️ تشغيل فحص مكافحة الفيروسات (موضح أدناه)

✔️ جمع حزمة التحقيق

✔️ بدء جلسة استجابة مباشرة

إجراءات على مستوى الملف:

✔️ عزل الملفات المشبوهة

✔️ منع تنفيذ الملف

✔️ إضافة إلى قائمة المؤشرات

✔️ إرسال للتحليل العميق

*5.2 اختبار عملية المعالجة

الإقرار بالتنبيه:

✔️ تغيير الحالة من "جديد" إلى "قيد التقدم" كما هو موضح أدناه

✔️ تعيين لمحلل الأمن

✔️ إضافة ملاحظات التحقيق

***محاكاة إجراء استجابة:

الإجراءات → تشغيل فحص مكافحة الفيروسات → تأكيد

توثيق النتائج:

✔️ التصنيف: اختبار/إيجابي كاذب

✔️ السبب الجذري: اختبار أمني مصرح به

✔️ الحل: لا حاجة لاتخاذ إجراء

✔️الحالة: تم الحل

---

5.3 إغلاق الحادثة

الخطوات النهائية:

✔️ تحديث تصنيف الحادثة

✔️ تعيين القرار إلى "اختبار أمني"

✔️ إضافة ملاحظات الإغلاق

✔️ تغيير الحالة إلى "تم الحل"

---

المرحلة 6: التحقق والتوثيق

6.1 قائمة التحقق من النشر

✔️ تم إعداد جهاز Windows 11 بنجاح

✔️ يظهر الجهاز في بوابة MDE بحالة "نشط"

✔️ تم تكوين الاكتشاف القياسي وتشغيله

✔️ تم تمكين قدرات كشف Log4j2

✔️ تم تنفيذ سيناريو اختبار الكشف بنجاح

✔️ تم إنشاء التنبيه وظهوره في قائمة الحوادث

✔️ اكتمل التحقيق في التنبيه

✔️ تم اختبار إجراءات الاستجابة وتوثيقها

---

6.2 التكوين بعد النشر

ضبط قواعد الكشف:

✔️ ضبط الحساسية بناءً على البيئة

✔️ تكوين مؤشرات مخصصة إذا لزم الأمر

✔️ إعداد إجراءات استجابة آلية

إنشاء إجراءات المراقبة:

✔️ تكوين قواعد إشعارات التنبيه

✔️ إعداد فحوصات دورية لصحة الجهاز

✔️ تنفيذ سير عمل الاستجابة للحوادث

---

*دليل استكشاف الأخطاء وإصلاحها

مشكلات الإعداد الشائعة المشكلة: فشل سيناريو الإعداد

الحل:

1. تحقق من اتصال الإنترنت
2. تأكد من تمكين Windows Defender
3. تأكد من عدم وجود برامج أمنية متعارضة
4. قم بتشغيل السيناريو كمسؤول
5. تحقق من تحديثات Windows الحالية

---

المشكلة: الجهاز لا يظهر في البوابة

الحل:

1. انتظر 15-30 دقيقة للمزامنة
2. أعد تشغيل خدمة Windows Defender Advanced Threat Protection
3. تحقق من تكوينات الوكيل/جدار الحماية
4. تأكد من اكتمال تنفيذ السيناريو بنجاح

---

المشكلة: لم يتم إنشاء تنبيهات اختبارية الحل:

1. زيادة نشاط سيناريو الكشف
2. تحقق من اتصال الجهاز بالسحابة
3. تحقق من إعدادات إشعارات التنبيه
4. راجع تكوينات قواعد الكشف

---

اعتبارات أمنية أفضل الممارسات

أمن الشبكة: ❌ تأكد من الاتصال المشفر بـ Microsoft cloud

❌ تكوين قواعد جدار الحماية لنقاط النهاية المطلوبة

❌ مراقبة أخطاء التحقق من صحة الشهادة

التحكم في الوصول:

❌ تنفيذ مبدأ الامتياز الأقل

❌ استخدام صلاحيات قائمة على الأدوار

❌ تمكين المصادقة متعددة العوامل

حماية البيانات:

❌ مراجعة سياسات جمع البيانات

❌ تكوين إعدادات الاحتفاظ بالبيانات

❌ ضمان الامتثال للوائح

الخلاصة يوضح هذا النشر بنجاح:

❌ عملية إعداد MDE كاملة لـ Windows 10/11

❌ التكوين الصحيح لقدرات الكشف

❌ سير عمل إنشاء التنبيهات والتحقيق الوظيفي

❌ إجراءات فعالة للاستجابة للحوادث

البيئة الآن جاهزة لعمليات المراقبة الأمنية وكشف التهديدات في الإنتاج.

الخطوات التالية

توسيع النشر:

❌ التخطيط للتوزيع على أجهزة إضافية

❌ تنفيذ النشر عبر نهج المجموعة أو Intune

❌ تكوين عمليات إعداد تلقائية

تعزيز المراقبة:

❌ إعداد استعلامات صيد مخصصة

❌ تكوين قواعد تحقيق آلية

❌ تنفيذ خلاصات استخبارات التهديدات

تدريب الفريق:

❌ إجراء تدريب على الاستجابة للحوادث

❌ إنشاء إجراءات التصعيد

❌ إنشاء كتيبات إرشادية للسيناريوهات الشائعة

https://learn.microsoft.com/en-us/defender-endpoint/onboard-client https://learn.microsoft.com/en-us/defender-xdr/investigate-incidents https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-manage-log4shell-guidance