اكتشاف التهديدات متعددة المراحل وفرز الحوادث باستخدام نظام SIEM المرن

قمت بإنشاء وتجهيز مختبر أمني لكشف التهديدات السيبرانية لمحاكاة هجمات واقعية ومراقبتها باستخدام حزمة Elastic Stack (SIEM). كان الهدف هو تجميع سجلات الأنظمة الطرفية (Telemetry)، وتنفيذ هجمات سيبرانية تحاكي الواقع ضد بيئة اختبارية، وضبط وتفعيل قواعد تنبيه مخصصة (Detection Rules) لرصد الأنشطة الضارة وغير الاعتيادية.

قمت بنشر وإعداد بيئة Elastic SIEM وربط الأنظمة المستهدفة باستخدام Elastic Agent وFleet لجمع سجلات المصادقة وأحداث النظام وسجلات Sysmon. نفذت محاكاة لمجموعة من تقنيات الهجوم الشائعة، تضمنت هجمات تخمين بيانات الدخول (Brute Force)، تصعيد الصلاحيات (Privilege Escalation)، وتنفيذ أوامر مشبوهة عبر سطر الأوامر. استخدمت لغتي EQL وKQL لإنشاء واختبار قواعد كشف مخصصة، وربط الأحداث الأمنية في مسار زمني موحد، وضبط التنبيهات لتقليل الإنذارات الخاطئة (False Positives).

نجحت في تفعيل واختبار تنبيهات أمنية فورية بمجرد تنفيذ الهجمات بزمن استجابة سريع ودقة عالية. تمكنت من تقليل التنبيهات الخاطئة من خلال ضبط وتدقيق معايير الكشف، وبناء مسار استجابة عملي للحوادث. قمت بتوثيق هيكلية المعمل وخطوات الإعداد وسيناريوهات الهجوم وقواعد الكشف تفصيلياً في مستودع GitHub ليكون مرجعاً عملياً يثبت مهاراتي التطبيقية.

• Elastic SIEM
• Elasticsearch
• Kibana
• Elastic Agent
• Fleet
• EQL
• KQL
• Sysmon

• GitHub ↗ (يفتح في نافذة جديدة)