تدريب CRTE بثلاث هويات: كيف تفسر أن نفس الخدمة تنجح مع حساب وتفشل مع الثاني؟

نفس الخادم، ونفس الأداة، وثلاثة حسابات. الأول يرى الدليل، والثاني يستطيع تنفيذ وظيفة خدمة، والثالث تظهر له رسالة رفض. لو تعاملت مع كل محاولة كأمر مستقل، بتقضي وقتك تعيد الخيارات وتبدل الأداة. لكن لو جعلت الهوية ونوع الخدمة ومصدر المحاولة محور المقارنة، يمكن أن تتحول النتائج الثلاث إلى خريطة حدود واضحة.

Altered Security تقدم CRTE كتدريب متقدم على تقييم بيئات Windows وActive Directory. الصورة المرفقة من صفحة الجهة الرسمية وتوضح تنوع بيئتها المعروضة؛ قد يتغير تصميم اللاب، وهي ليست مخططًا للتمرين التالي. سنبني تمرينًا مستقلًا بأسماء افتراضية، يصلح لتطوير مهارة التشخيص في التحضير، ولا يمثل أسئلة الامتحان أو طريقة تصحيحه أو تجربة شخصية في الاختبار.

المهمة: وظيفة واحدة، وثلاثة أدوار مختلفة

جهز مع مدربك لابًا معزولًا فيه دومين للهويات ودومين للموارد أو تصميمًا يحقق السؤال نفسه. لا نحتاج تقليد شبكة الشهادة حرفيًا. المطلوب خدمة تقارير تدريبية وبيانات غير حساسة وثلاث هويات تعرف أدوارها: lab-reader مستخدم عادي للقراءة، وlab-app هوية خدمة محدودة، وlab-admin حساب إدارة مخصص. لكل هوية وظيفة معتمدة مكتوبة قبل التجربة.

الـReader ينبغي أن يقرأ تقريرًا تدريبيًا عبر واجهة التطبيق، وليس أن يدير الخادم. هوية الخدمة ينبغي أن تصل إلى مورد خلفي معين لتنفيذ وظيفة التطبيق، وليس أن تعمل كحساب موظف. حساب الإدارة ينبغي أن يستخدم قناة الإدارة المخصصة من جهاز مناسب، وليس أن يكون بديلًا لكل رفض يظهر أثناء الاختبار. بهذه الأدوار نعرف ماذا نسمي نجاحًا أو زيادة غير مطلوبة.

حدد أيضًا مصدر كل محاولة. المستخدم يتعامل مع الواجهة من جهاز تدريب، والخدمة تعمل من خادم تطبيق، والإدارة تتم من جهاز إدارة. لو جربت كل شيء من حاسوبك، قد تقيس بيئة لا تمثل عمل الخدمة فعلًا. هذا أحد أسباب أن «الأداة نجحت مع الحساب» عبارة ناقصة في لاب متعدد العلاقات.

اكتب المورد والعملية المطلوبة بدقة: عرض تقرير، أم قراءة جدول تدريبي من الخدمة، أم فتح قناة إدارة؟ لا تجعل مجرد ظهور اسم الخادم هدفًا نهائيًا. اكتشاف خدمة دليل اتصال أو جمع، بينما استخدامها بعملية معينة يحتاج مصادقة وتخويلًا مناسبين. كل مرحلة يمكن أن تعطي نتيجة مستقلة.

ومن البداية اتفق على حدود القراءة والسجلات والاختبارات الوظيفية، وما الذي يبقى تحليلًا نظريًا. لا يحتاج هذا التمرين استخراج أسرار أو تغيير أذونات حتى يكون مفيدًا. تعلم اختيار دليل يفرق بين الأدوار ينقل مهارتك إلى بيئات أكبر من غير أن يحول عدد الحسابات أو الدومينات إلى زينة في التقرير.

ورقة السياق: الهوية الحالية ليست الاسم الذي تتذكره

قبل كل محاولة، دوّن الحساب الذي ينفذ الطلب فعلًا، والدومين الذي ينتمي إليه، والجهاز الذي يخرج منه الطلب، والوجهة كما كتبتها، وطريقة المصادقة المتوقعة إن كانت موثقة. هذه الورقة الصغيرة تمنع خلط ثلاثة سياقات مختلفة في ملاحظة واحدة ثم الاستنتاج أن الأداة لا تعمل بثبات.

خلنا نفترض أنك دخلت إلى جهاز تدريب بحساب lab-reader، لكن اتصالًا قائمًا بالمشاركة يستخدم بيانات اعتماد lab-admin من تجربة سابقة أعدّها المدرب. نجاح فتح الملف هنا لا يثبت وصول Reader. وفي خدمة تطبيق، قد يستخدم الطلب الخلفي هوية الخدمة حتى لو ظهر اسم المستخدم في الواجهة. الاسم الذي يراه البشر لا يشرح دائمًا هوية العملية الشبكية.

كذلك افصل هوية الجلسة المحلية عن الهوية التي تستخدمها الأداة في اتصال محدد. أدوات كثيرة تسمح بسياق مختلف أو تعيد استخدام جلسة موجودة بحسب سلوكها. راجع توثيق الأداة ومخرجات الاتصال المناسبة، ولا تعوّض هذا الفحص بكتابة اسم المستخدم من أعلى نافذة الطرفية.

وإذا غيرت مصدر المحاولة أو اسم الوجهة، سجّل التغيير. الوصول إلى اسم خدمة معتمد ليس دائمًا مطابقًا لاستخدام IP أو اسم بديل، خصوصًا عندما يهم اختيار Kerberos وهوية الخدمة. لا نحتاج الدخول في تخمينات؛ نحتاج وصفًا دقيقًا حتى يعرف المدرب أي شرط تغير ولماذا لا تصح مقارنة كل المخرجات كأنها من محاولة واحدة.

النتيجة المطلوبة من هذه المرحلة ليست كشفًا مذهلًا، بل منع دليل مضلل. إذا صح السياق، تستطيع بعدها تفسير كل رفض بثقة أعلى. وإذا لم يصح، فقد تتبين أن المقارنة كلها كانت بين جلسات مختلفة. هذا اكتشاف مهم بذاته، ويستحق تصحيح الملاحظات قبل بناء مسار أو توصية على نتيجة لا تخص الهوية التي ظننتها.

الرفض قد يحدث قبل أن تسأل الخدمة عن الصلاحية

قسّم المحاولة إلى وصول شبكة، ومصادقة، ثم عملية خدمة. إذا لم يستطع الجهاز حل الاسم أو الاتصال بالمنفذ، فالمحاولة لم تصل بعد إلى السؤال عن أذونات المستخدم على التقرير. وإذا رفضت المصادقة، فليس لديك دليل أن ACL للتقرير هي التي منعت القراءة. ترتيب المراحل يوفر وقتًا عند مقارنة الهويات الثلاث.

ابدأ بقياس قليل الأثر يوافق النطاق، ثم اقرأ رسالة الخطأ والسجل الذي يوضح المرحلة. لا تعمل مسحًا واسعًا لأن حسابًا واحدًا فشل في وظيفة واحدة. ربما المشكلة في وجهة لم تتصل بها أصلًا، أو في حساب لا يدخل جمهور المصادقة، أو في خدمة تستخدم هوية مختلفة عن التي راجعتها.

في لاب متعدد الدومينات، اتجاه الثقة ونمط أهلية المصادقة جزء من السؤال عند عبور حد مناسب. لكن لا تحمل كل رفض على Trust. إذا كانت المحاولة داخل نطاق محلي للخدمة أو فشلت قبل الوصول إلى الدليل، فالشرح قد يكون أبسط. راجع العلاقة التي تخص المورد الفعلي، لا كل علاقة في الرسم لمجرد أنها موجودة.

خلنا نفترض أن lab-reader يصل إلى الواجهة ويصادق ثم يُرفض عند تقرير معين، بينما lab-app تصل إلى مورد خلفي لكن لا تستطيع فتح قناة إدارة. هاتان نتيجتان قد تطابقان الفصل المطلوب بين الأدوار. أما lab-admin التي تُرفض من جهاز مستخدم وتنجح من جهاز الإدارة، فقد تكشف قيدًا مقصودًا على مصدر الاستخدام يحتاج دليلًا مستقلًا.

لا تعتبر كل رفض طريقًا مسدودًا يجب تجاوزه. في التقييم، الرفض الموافق للتصميم معلومة مهمة عن حد صلاحيات أو ضابط يعمل. السؤال التالي هو هل يطابق الجمهور والعملية المعتمدين، وهل الدليل يثبت السبب؟ بهذه الطريقة يتحول اللاب إلى فهم للبيئة، بدل لعبة تبحث فيها عن أي أمر يخرج Success.

الأداة المناسبة هي التي تجيب السؤال المحدد

إذا السؤال عن عضوية حساب أو تعيين سياسة، فقراءة من RSAT أو مصدر LDAP مناسب قد تكون أوضح من تشغيل حزمة تجمع كل شيء. وإذا السؤال عن جلسة Windows أو وقت تذكرة، فالأداة المحلية المناسبة تقدم دليلًا آخر. وإذا السؤال عن سلسلة علاقات كثيرة، قد يساعد BloodHound في التنظيم، لكن علاقته تحتاج مراجعة المصدر والوقت قبل استخدامها كإثبات نهائي.

حدد لكل أداة سبب استخدامها وما الحقل الذي تبحث عنه. «سأقرأ المجموعة التي تمنح الدور» سبب واضح، بينما «سأشغل أدوات AD المعروفة» ليس خطة. وبعد النتيجة، اكتب الخطوة التالية التي تميز الاحتمالات: هل تقرأ أذن المورد؟ أم هوية الخدمة؟ أم سبب رفض المصادقة في السجل؟ هذه هي المهارة التي تريد تطويرها للتحضير المتقدم.

لا تقارن أسماء أدوات فقط عند فشل إحداها. أداة على Windows من جهاز عضو بالدومين قد تستخدم سياقًا مختلفًا عن أداة على جهاز Linux باسم وجهة أو طريقة مصادقة أخرى. إذا بدلت الاثنين معًا ثم نجح الطلب، ما زلت تحتاج معرفة ما الذي تغير؛ نجاح البديل لا يثبت أن الأول فيه خلل.

احتفظ بنسخة الأداة وطريقة الجمع ونطاقه، لكن لا تحول التقرير إلى سجل تثبيت برامج. التفاصيل اللازمة هي التي تفسر حدود القياس وتسمح بإعادته. إذا كانت نسخة أداة لا تعرض خاصية تريدها، اقرأها من مصدر مناسب بدل تفسير الحقل غير الموجود كأنه قيمة False.

وفي التمرين، جرّب أن تصف الفحص من غير اسم أداة أولًا. مثلًا: «أحتاج إثبات أن الحساب يصل إلى المجموعة المخولة لهذا التقرير»، ثم اختر طريقة القراءة. هذا التدريب يفك ارتباط تفكيرك بالأوامر المحفوظة، ويخليك تتعامل مع بيئة تغيرت فيها الأداة أو واجهتها من غير أن تفقد السؤال الأساسي.

مقارنة مضبوطة بدل تغيير خمس أشياء مرة واحدة

بعد جمع خط الأساس، اختر زوجًا من الحالات يختلف في عنصر واحد معروف. نفس المصدر والوجهة والعملية مع هويتين لهما دور مختلف، أو الهوية نفسها من مصدر معتمد وآخر غير معتمد وفق خطة اللاب. كلما قل عدد الفروق، صار تفسير النتيجة أسهل، وصار طلب الدليل التالي أكثر وضوحًا.

لكن انتبه أن بعض الأدوار تحتاج مصدرًا مختلفًا بطبيعتها؛ هوية الخدمة ليست مستخدمًا تدخل به تفاعليًا على كل جهاز حتى توحد المقارنة. إذا كان تغيير واحد غير مناسب للتصميم، اكتب الفروق اللازمة ثم استخدم أدلة الضبط والسجلات للفصل. المقارنة العلمية لا تعني إجبار الهويات على سلوك يخالف استخدامها المعتمد.

لو كان حسابان من دومينين مختلفين يحملان الاسم نفسه، أضف الدومين والمعرف المناسب إلى السجل. ولا تستخدم النجاح باسم قصير لإثبات أنك صادقت بهوية بعينها قبل مراجعة سياق الأداة. الدومين المتعدد يجعل الأسماء المختصرة مصدر التباس أكثر من كونها اختصارًا مريحًا.

تحتاج أيضًا شروط وقت معروفة. جلسة قديمة أو اتصال محفوظ قد يغير المقارنة بعد تعديل عضوية أو سياسة نفذه المدرب. لا تقطع جلسات خارج التمرين؛ اتفق على سياق تدريب جديد وإجراء مقارنة لا يعيد استخدام ما لا تريد قياسه. ثم دوّن هذا الشرط في الملاحظة.

وفي كل حالة، سجل المتوقع والمرصود والسبب المثبت وما بقي غير محسوم. لا تملأ خانة السبب بعد كل خطأ بأقرب احتمال. إذا كان الخرج لا يميز المصادقة عن التخويل، ضع سؤال متابعة بدل إجابة مخترعة. هذا السجل يصير مادة مراجعة ممتازة عندما تعود للتمرين بعد أيام، لأنك تعرف ما فهمته وما كنت ما زلت تحاول حسمه.

كيف تحول الحالة إلى تدريب للتحضير من غير تسريب امتحان؟

يمكنك استخدام هذا التصميم كتمرين مستقل يختبر تحليل السياق والحدود، ثم الرجوع إلى محتوى الدورة الرسمي لمعرفة المهارات التي تريد تعميقها. لا نعتبره توقعًا للامتحان ولا ترتيبًا ثابتًا لمهامه. متطلبات التدريب والاختبار قد تتغير، وتفاصيلها تُقرأ من الجهة المانحة قبل التخطيط النهائي.

بعد أول جولة، اطلب من المدرب تغييرًا واحدًا في اللاب من غير أن يخبرك أين، بشرط أن يبقى داخل نطاق القراءة والاختبار المحدود المتفق عليه. قد يكون تغير دور حساب أو وجهة خدمة أو قيد مصدر. مهمتك إعادة جمع ما يلزم وتفسير اختلاف السلوك، لا فتح كل الاحتمالات بأداة ضخمة والبحث عن شيء جديد.

حدد لنفسك معيارًا للتقدم: تستطيع شرح لماذا نجحت حالة وفشلت الأخرى، وتعرف أي دليل ناقص قبل الادعاء. الوصول إلى نتيجة في دقائق من غير فهم السياق ليس بالضرورة أفضل من تشخيص أطول بمرجع واضح. وفي المقابل، الدوران ساعة في نفس الفحص من غير سؤال جديد يحتاج وقفة ومراجعة منهجية.

لا تدّع أنك اختبرت CRTE أو مررت بموقف مهني لأنك أنهيت هذا اللاب. في ملاحظاتك أو مقالة مراجعة اكتب أنها تجربة تدريبية مستقلة، وميّز بين وصف المنهج من المصدر الرسمي ورأيك في طريقة التحضير. القارئ الذي يبحث عن خبرة امتحان يستحق معرفة ما الذي يستند إلى شهادة فعلية وما الذي هو تمرين تعليمي.

وللتخطيط المهني، احتفظ بالمهارة التي أثبتها التمرين بدل وعد أن الشهادة وحدها تعطي وظيفة. القدرة على تفسير الهوية والخدمة وحد الثقة وتوثيق دليل واضح مهارة يمكن عرضها في مشروع تدريبي نظيف. أما المطلوبية في سوق عمل معين فتحتاج بيانات إعلانات حديثة وتفصيل دور، ولا تستنتجها من اسم شهادة في عنوان الدورة.

تسليم التمرين: ثلاث هويات، وقرارات مفهومة

اكتب صفحة تلخص الوظيفة المعتمدة لكل هوية، ومصدر الاستخدام والوجهة، وما نجح وما رُفض وأين. ثم اشرح الأسباب التي ثبتت من الأدلة، وحدد الحالات التي تحتاج جمعًا إضافيًا. الهدف أن يستطيع زميل لم ير جلستك أن يفهم لماذا لا يعني اختلاف النتائج عطلًا واحدًا في الأداة.

إذا كشفت صلاحية زائدة، اربطها بالهوية والعملية التي تتجاوز الدور، ثم اقترح معالجة في المستوى الذي ثبتت فيه. قد تكون ACL مورد أو عضوية مجموعة أو أهلية مصادقة أو استخدامًا لهوية خدمة في مكان غير مناسب. لا تعالج كل اختلاف بإضافة الحسابات إلى إدارة محلية أو تعطيل قيد، لأن ذلك يمحو الحدود التي تريد فهمها.

إعادة الاختبار الجيدة تحافظ على الوظائف المعتمدة وتمنع الزيادة. اختبر Reader في القراءة المشروعة، وهوية الخدمة في وظيفتها الخلفية، والإدارة من مسارها المقصود، ثم الحالات التي ينبغي أن تبقى مرفوضة. الدليل قبل وبعد يوضح أن التصحيح لم ينقل المشكلة إلى حساب آخر أو يفتح الطريق للجميع.

إذا قدرت تشرح هذه العلاقات بهدوء، فأنت تتقدم في الفهم المتقدم لـAD حتى لو لم تستخدم أمرًا جديدًا. الصورة الرسمية توضح بيئة متعددة، لكن الجودة ما تأتي من كثرة المربعات في الرسم؛ تأتي من قدرتك على تحديد من يتصرف وبأي سياق وماذا تسمح له كل طبقة فعلًا.

للمعلومات الحالية عن CRTE ومصدر الصورة: https://www.alteredsecurity.com/redteamlab
للمقارنة مع المسار التأسيسي CRTP: https://www.alteredsecurity.com/adlab
ومراجع المصادقة وعلاقات الثقة: https://learn.microsoft.com/en-us/windows-server/security/windows-authentication/windows-authentication-concepts
وسياسات تقييد استخدام الهوية: https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/authentication-policies-and-authentication-policy-silos