مختبر الأمن السيبراني العملي: mini-SOC على AWS، محلل CloudTrail IOC، مختبر تحليل التصيّد، فرز ثنائي ELF، مهارات وكيل SOC
مشاريع مختبر الأمن السيبراني العملية: مركز عمليات أمنية مصغّر على AWS، ومحلّل مؤشرات اختراق بلغة Python، ومختبر تحليل التصيّد. مُصمَّمة لإثبات مهارات أمنية عملية وقابلة للتحقق.
🔗 https://github.com/szzxli/soc-home-lab
📊 المهارات مُقاسة كميًا: تُقيَّم هذه المشاريع وفق معيار عام وتُربط بإطار NIST NICE في المستودع المرافق szzxli/soc-skills — بما في ذلك ملف تعريف مهارات من صفحة واحدة قابل للقراءة من قِبل الموارد البشرية.
جميع مجموعات البيانات وعينات السجلات ومرفقات البريد الإلكتروني في هذا المستودع هي عينات تدريبية اصطناعية — موسومة بوضوح على هذا النحو. لا تُعرض هنا أي حوادث حقيقية أو سجلات حقيقية أو رسائل تصيّد حقيقية.
المشكلة: يحتاج محللو مركز العمليات الأمنية إلى معرفة كيفية انطلاق الكشوف السحابية فعليًا — لا النظرية فحسب. ما هو: حزمة كشف AWS مصغّرة (VPC → CloudTrail → S3 → GuardDuty → SecurityHub)، وثلاثة سيناريوهات محاكاة للخصم باستخدام Stratus Red Team (معرّفات تقنيات موثّقة)، ودليل فرز، وقوالب تقارير حوادث فارغة. المهارات: تحليل CloudTrail، فرز GuardDuty، سير عمل الاستجابة للحوادث، Terraform IaC.
المشكلة: يغرق محللو المستوى الأول في سجلات CloudTrail الخام؛ واكتشافات الاستدلال البسيطة تكشف الأخطاء الواضحة بسرعة. ما هو: أداة CLI عاملة تُحلّل ملفات CloudTrail بصيغة JSON، وترصد عمليات تسجيل الدخول الشاذة / ارتفاع محاولات تسجيل الدخول الفاشلة / تغييرات IAM الخطرة، وتُثري عناوين IP عبر AbuseIPDB، وتُصدر تقريرًا بصيغة Markdown. تأتي مع بيانات عينات اصطناعية ومجموعة اختبارات pytest ناجحة. المهارات: البرمجة النصية بلغة Python، تحليل السجلات، إثراء مؤشرات الاختراق، اكتشافات الاستدلال.
المشكلة: فرز التصيّد هو عمل يومي لمحللي المستوى الأول في مركز العمليات الأمنية — تحقيق جنائي في الترويسات، وتفسير نتائج المصادقة، وفك تشويش الروابط. ما هو: شرح تفصيلي كامل لعينة تصيّد تدريبية مُعاد بناؤها، وورقة مرجعية سريعة لتحليل الترويسات، وقالب تقرير تحليل فارغ، ودليل اختبار ذاتي باستخدام GoPhish (صندوق بريدك الخاص فقط). المهارات: التحقيق الجنائي في ترويسات البريد الإلكتروني، SPF/DKIM/DMARC، تحليل الروابط، فرز التصيّد.
المشكلة: أداة morluto/rea الأكثر رواجًا هذا الأسبوع تكشف أكثر من 50 أمرًا فرعيًا موجّهًا للوكلاء وEvidence JSON موجّهًا للآلات — قوية، لكنها ليست ملائمة للبشر للفرز السريع.
ما هو: أداة CLI للفرز السريع لملفات ELF بأمر واحد (triage.py <binary>) مبنية على فكرة REA: اكتشافات استدلالية لتعبئة الأقسام، وكشف W^X، وقائمة مراقبة للاستيرادات المشبوهة، واستخراج مؤشرات الاختراق من النصوص، وحكم قائم على النقاط (سليم/مشبوه/خبيث)، وتقرير محلل من صفحة واحدة. إثراء اختياري عبر REA inspect-binary-layout عند تهيئة المزوّد؛ ويتدهور بصدق بدونه.
المهارات: التحليل الساكن للثنائيات، البنية الداخلية لـ ELF، اكتشافات فرز البرمجيات الخبيثة، هندسة الكشف.
المشكلة: حزمة mattpocock/skills الرائجة (291 ألف نجمة) تُغلّف سير عمل وكيل لمهندس TypeScript واحد — ولا شيء فيها يتحدث لغة مركز العمليات الأمنية.
ما هو: خمس مهارات للوكلاء لحلقة عمل محلل المستوى الأول، كل منها مستخلصة من مشروع عامل في هذا المستودع: alert-triage، incident-report، cloudtrail-ioc، phishing-analysis، binary-triage. تُعلن كل مهارة عن مُشغّلها وسير عملها وعقد مخرجاتها وحدود صدقها. مرخّصة بموجب MIT، وقابلة للتثبيت بالنسخ واللصق في دليل مهارات أي وكيل.
المهارات: فرز الكشف، توثيق الحوادث، استخلاص المعرفة إلى مهارات للوكلاء.
morluto/rea الرائجة): استدلالات ثابتة (إنتروبيا الأقسام، W^X، الاستيرادات المشبوهة، مؤشرات الاختراق النصية)، حكم قائم على النقاط، تقرير جاهز للمحلل؛ مع إثراء اختياري من مزوّد REA.mattpocock/skills.| كلمة مفتاحية في الوصف الوظيفي لمحلل SOC | مغطاة في |
|---|---|
| SIEM / تحليل السجلات | 01 (CloudTrail، GuardDuty)، 02 (تحليل السجلات) |
| الاستجابة للحوادث والفرز | 01 (دليل الفرز، قوالب الاستجابة للحوادث) |
| كشف التهديدات / مؤشرات الاختراق | 02 (الاستدلالات، إثراء AbuseIPDB)، 03 (استخراج مؤشرات الاختراق) |
| تحليل التصيّد الاحتيالي | 03 (شرح كامل + ورقة مرجعية) |
| أمن السحابة (AWS) | 01 (VPC، IAM، S3، GuardDuty، SecurityHub) |
| البرمجة النصية / الأتمتة (Python) | 02 (أداة CLI + اختبارات) |
| IaC (Terraform) | 01 (terraform/main.tf) |
| التوثيق وإعداد التقارير | 01 + 03 (قوالب، تقارير) |
terraform destroy عند الانتهاء — لا تترك أدوات الكشف تعمل دون مراقبة.