المشروع 5 — الأمن الهجومي ومحاكاة الخصوم

جزء من سلسلة من 5 مشاريع لمركز عمليات أمنية (SOC) منزلي: البناء ← الكشف والإثراء ← التحقيق ← المراقبة والاصطياد ← الهجوم والتحقق المتبادل.

هذا المشروع يضيف النصف المفقود من الصورة مقارنةً بالمشاريع 1–4: كل ما سبق كان في جانب الفريق الأزرق (بناء الكشوفات، التحقيق في الحوادث، الاصطياد في بيانات الشبكة). هذا المشروع يضعني في جانب المهاجم — الاستطلاع والاستغلال وما بعد الاستغلال ضد ثغرة حقيقية موثّقة — ثم يعود إلى مركز العمليات الأمنية القائم لقياس ما التقطه فعلياً.

الملخص

سلسلة الهجوم في لمحة

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

النتائج الرئيسية

1. ثغرة CVE من عام 2011 ما زالت توفر سلسلة هجوم كاملة وواقعية حتى اليوم — من الاستطلاع الأولي إلى الوصول بصلاحيات الجذر إلى تعرّض بيانات الاعتماد، دون أي تحصين حديث يقف في الطريق على مضيف غير محدّث.
2. وصول الجذر لا ينهي القصة — بل يبدأ قصة جديدة. أتاح لي وصول الجذر تفريغ تجزئات كلمات المرور، وكسر إحداها فوراً (msfadmin:msfadmin)، وإثبات أنها عملت كطريقة ثانية ومستقلة للدخول إلى النظام عبر SSH عادي — مما يعني أن تصحيح ثغرة FTP وحدها لن يؤمّن هذا المضيف بالكامل.
3. لم يكن لدى الهدف أي رؤية من مركز العمليات الأمنية على مستوى المضيف. لم يكن وكيل Wazuh مثبّتاً على Metasploitable، لذا كان الاستغلال وجلسة الجذر والوصول إلى بيانات الاعتماد غير مرئية تماماً لمراقبة المضيف — وهو توضيح مباشر لعبارة "لا يمكنك كشف ما لا تراقبه".
4. المراقبة المعتمدة على الشبكة (Zeek) كانت طبقة الرؤية الوحيدة المتاحة — وإنجاح عملها كشف سلسلة حقيقية من 4-5 أخطاء منفصلة ومميزة، من واجهة شبكة خاطئة إلى مسار إعدادات قديم إلى وكيل يحتاج إلى إعادة تشغيل كاملة بدلاً من إعادة تشغيل ناعمة. التفصيل الكامل في docs/04-blue-team-cross-check.md.
5. Suricata (القائم على التوقيعات) ظل صامتاً بشكل صحيح تجاه تسجيل دخول SSH ببيانات اعتماد صالحة — وهي نتيجة مشروعة حول حدود الكشف القائم على التوقيعات، وليست فجوة.

التوثيق

• docs/01-reconnaissance.md — فحص Nmap وتحديد الثغرات
• docs/02-exploitation.md — اختيار وحدة Metasploit والاستغلال
• docs/03-post-exploitation.md — تفريغ بيانات الاعتماد وكسرها والتحقق منها
• docs/04-blue-team-cross-check.md — تحليل فجوات الكشف في مركز العمليات الأمنية وسلسلة التصحيح الحقيقية خلفه

بيئة المختبر

• Kali — المضيف الفعلي وآلة الهجوم (Nmap, Metasploit, John the Ripper, Suricata, Zeek)
• Metasploitable2 — آلة افتراضية (VM) مستهدفة معرّضة للثغرات عمداً
• الشبكة — محوّل VirtualBox Host-only Adapter (192.168.56.x)، نفس الشبكة التي قُدّمت في المشروع 4 بحيث يتمكن Kali (المضيف) من الوصول مباشرة إلى حركة المرور من/إلى الهدف ومراقبتها
• مركز العمليات الأمنية القائم (المشاريع 1–4) — Wazuh SIEM وSuricata IDS وZeek NSM، مستخدَم هنا بصفته جانب "الفريق الأزرق" في هذا التمرين

لقطات الشاشة

انظر screenshots/، منظّمة حسب المرحلة.