Purple Knight بالعربي: الفرق بين Indicator of Exposure وIndicator of Compromise في تقرير الدومين

لو ظهر Indicator of Compromise في تقرير، هل هذا يعني أن الاختراق تأكد؟ ولو ما ظهر، هل تقدر تقول إن البيئة ما انخترقت؟ الإجابتان تحتاجان دقة أكثر من نعم أو لا. المؤشر يقودك لمراجعة حالة، أما تأكيد ما حدث فيحتاج أدلة وسياقًا يناسبان الادعاء.
Purple Knight من Semperis يقدم تقييمًا لهوية البيئة ومؤشرات عن التعرض المحتمل والاشتباه في الاختراق. هذا المقال يساعدك تقرأ تقريره بدون خلط حالة إعداد خطرة بدليل حادثة، وتحدد ما تتأكد منه بعد ظهور المؤشر. الأمثلة تعليمية داخل لاب تملكه أو مراجعة مصرح بها، ولا تصف تجربة عميل أو حادثة حدثت فعلًا. بنركز على Active Directory المحلي؛ أي نطاق سحابي له متطلبات وتصريح مستقلان.

أول فرق: قابلية التعرض غير وقوع الحادثة

Indicator of Exposure، ويختصر IOE، يتعلق بحالة يمكن أن تزيد التعرض أو تتيح فرصة تحتاج معالجة. Indicator of Compromise، ويختصر IOC، يتعلق بإشارة قد تقود لمراجعة احتمال نشاط أو تغيير غير مرغوب. Semperis تفصل النوعين في وصف الأداة ومؤشراتها، لكن نوع المؤشر ما يعفيك من قراءة تعريفه والبيانات التي ظهر بناء عليها.
خلنا نفترض أن إعدادًا يسمح بوظيفة أوسع مما تحتاجه الخدمة. هذا يمكن أن يكون سببًا لتقييم تعرض، لكنه ما يقول من استخدم الوظيفة ومتى. وفي مثال آخر، قيمة غير معتادة قد تستحق التحقيق، لكنها ما تحدد وحدها أن مهاجمًا غيّرها. التفسير يحتاج مصدرًا وزمنًا وسياقًا، وليس الاسم الذي اختارته الأداة فقط.
في الملاحظات اكتب ثلاثة أسطر منفصلة: الحالة المرصودة، وسبب أهمية الحالة، وما تحتاجه لإثبات ادعاء أوسع. مثلًا: ظهرت قيمة معينة على كائن تدريبي، وتعريف المؤشر يطلب مراجعة اختلافها، ولا يزال سبب التغيير غير معروف. هذه صياغة أوضح من كلمة تم الاختراق عندما لا يوجد تسلسل أدلة يدعمها.
هذا الفصل يفيدك في اختبار الاختراق أيضًا. المهمة قد تكون تقييم إعدادات، وليس استجابة لحادثة. إذا ظهر شيء يتطلب تحقيقًا، اتبع مسار التواصل المعتمد مع صاحب البيئة ضمن نطاق المهمة. لا توسع اختبارك إلى تحليل كل بيانات المستخدمين لمجرد أن كلمة IOC ظهرت في تقرير. أنت تحدد نوع المتابعة المطلوبة وتشرح سببها.
وفي الاتجاه الآخر، لا تخفف أهمية المؤشر لأنه لا يثبت حادثة وحده. عدم كفاية دليل واحد للحكم لا يعني أنه بلا قيمة. المراجع الجيد لا يبالغ ولا يهمل؛ يسجل الإشارة بدقة، ويحدد الدليل التالي المناسب، ويحافظ على الحالة التي يحتاج الفريق مراجعتها بدل تغييرها بسرعة كي تختفي من التقرير.

جهّز التقييم على نطاق واضح

قبل استخدام Purple Knight، حدد بيئة اللاب أو النطاق المصرح، والوقت، والحساب، وما تريد تقييمه. راجع دليل الإصدار الحالي من بوابة Semperis الرسمية، بدل الاعتماد على أرقام نسخ قديمة في فيديو أو عنوان صفحة. الأداة ومؤشراتها تتغير، ولا يلزم هذا المقال رقمًا ثابتًا ليكون مفيدًا.
تصف FAQ أن الأداة لا تغير Active Directory المحلي، وتقدم تقييمًا في نقطة زمنية. هذا ما يجعلها مختلفة عن مراقبة مستمرة أو نظام استجابة تلقائية. مع ذلك، تنفيذ التقييم يتضمن نشاط جمع وطلبات، وليس مجرد فتح ملف موجود. نسق التشغيل بما يناسب البيئة وحدود الاختبار، ولا تفترض أن كلمة تقييم تعني غياب أي نشاط على الشبكة.
افصل نطاق AD المحلي عن Entra ID أو أي خدمة أخرى. متطلبات البيئة السحابية قد تتضمن صلاحيات وتجهيزات مختلفة، فلا تعتبرها امتدادًا تلقائيًا لتصريح قراءة دومين اللاب. اختر المجال الذي تريد تعلمه الآن، وراجع المتطلبات الرسمية له. توسيع النطاق لمجرد وجود خيار في الواجهة يزيد التعقيد بدون سؤال واضح.
احتفظ بسجل للنسخة والاختيارات ووقت التشغيل ورسائل التعثر. ملف تقرير يفتح بنجاح ما يكفي وحده لإثبات أن كل اختبار كان قابلًا للتنفيذ. إذا لم تجمع جزءًا أو لم تستطع تقييمه، اذكر ذلك أمام التفسير. القارئ يحتاج يعرف حدود المخرجات حتى لا يعامل عدم ظهور ملاحظة كأنه دليل نجاح على شيء لم يُفحص.
إذا كنت تتعلم، خصص أول جولة لمجال واحد ومجموعة مؤشرات صغيرة. ما تحتاج تغطي كل ما تدعمه الأداة في أول جلسة. المهم أنك تعرف ماذا اختير وما الذي أنتج النتيجة. بعدها تقدر توسع التعليم بناءً على سؤال جديد، بدل بناء تقرير كبير يصعب عليك تفسير حتى أول ملاحظة فيه.

اقرأ تعريف المؤشر قبل الشدة أو الإطار المرتبط

قائمة المؤشرات الرسمية تعرض أسماء ووصفًا وشدة وتصنيف IOE أو IOC، وقد تربط المؤشر بأطر مثل MITRE ATT&CK. ابدأ بالوصف؛ هو اللي يحدد الحالة التي تبحث عنها الأداة. الشدة تلفت انتباهك، لكن ما تعوض تعريفًا لم تقرأه أو قيمة ما فهمت دلالتها.
تخيل أنك رأيت مؤشرًا متعلقًا بحساب دون خاصية قابلة للقراءة في هذا السياق. قبل الحكم، اقرأ ما يعنيه غياب القراءة، وأي شروط يذكرها الوصف، ثم افحص رسائل الجمع والسياق. لا تضف قصة عن سبب الإعداد من ذهنك. أكثر خطوة مفيدة أحيانًا هي تحديد ما الذي لا تعرفه بدل اختيار تفسير مثير.
ربط مؤشر بتقنية في ATT&CK يساعدك تفهم مجال السلوك المحتمل، لكنه ما يثبت أن التقنية نُفذت في هذه البيئة. استخدم الربط كمرجع لتوجيه التفكير، لا كدليل حادثة بديل. ما نحتاج ننقل تفاصيل تشغيل سلوك هجومي كي نشرح لماذا حالة إعداد تستحق مراجعة.
اكتب تعريف المؤشر بكلماتك في سطر قصير، ثم ارجع للوصف الأصلي حتى تتأكد أنك ما أسقطت شرطًا مهمًا. إذا عجزت عن تلخيصه بدون تحويل احتمال إلى يقين، فاقرأه مرة ثانية. هذه المراجعة الصغيرة تمنع كثيرًا من عبارات التقرير التي تبدو قوية لكنها تحمل معنى أوسع من المصدر.
بعد ذلك اربط التعريف بالكائنات المعروضة: هل هي حسابات أم أجهزة أم سياسات أم علاقات؟ وكم كائنًا ضمن نطاق القراءة؟ نوع الكائن يحدد من تحتاج تتواصل معه وما المعلومات الناقصة. لا تكتب توصية موحدة لكل مؤشر لأن الصفحة أعطته لونًا واحدًا؛ الحالات المختلفة تحتاج مسارات متابعة مختلفة.

سيناريو إعداد Mapping: قيمة موجودة لا تحكي كل التاريخ

ضمن قائمة المؤشرات الرسمية توجد حالة تتعلق بوجود altSecurityIdentities على حساب. هذه الخاصية مرتبطة بتعيينات هويات خارجية وشهادات، ولذلك يلفت وجودها إلى سؤال عن نوع التعيين والغرض ومن يملك تغييره. ما نحتاج تنفيذ تعديل على الخاصية كي نفهم لماذا تحتاج مراجعة.
في لابك، افترض أن حسابًا تدريبيًا صُمم لسيناريو مصادقة بشهادة، وظهرت عليه ملاحظة. أول متابعة هي مقارنة الحالة بتصميم التجربة. هل القيمة متوقعة؟ هل تعرف الغرض؟ هل هناك إجراء موثق لإضافتها؟ وجود استخدام مشروع ما يلغي مراجعة الضوابط، لكنه يختلف عن تفسير القيمة بوصفها تغييرًا مجهول المصدر.
في مراجعة عمل، اطلب معلومات الإعداد من المالك المناسب، وراجع طريقة التحقق المعتمدة بدل حذف القيمة كي تختفي الملاحظة. إعداد الهوية قد يرتبط بوظيفة يحتاجها مستخدم أو تطبيق. أي توصية تغيير تحتاج فهم الأثر واختبارًا منضبطًا، ولا يُستنتج هذا من اسم الخاصية وحده.
افصل أيضًا قراءة الحالة الحالية عن تاريخ حدوثها. قيمة موجودة الآن لا تحدد وحدها من أنشأها أو ما إذا استُخدمت. إذا كان السؤال يخص وقوع تغيير غير مصرح، تحتاج أدلة زمنية مناسبة ضمن إجراءات البيئة. لا تضع تاريخ تشغيل التقرير مكان تاريخ الحدث الذي تريد إثباته.
المقال السابق عن Certificate Mapping يشرح أن قبول الشهادة والتعيين لحساب مسألتان مختلفتان. هنا نضيف زاوية قراءة المؤشر: الحالة المعروضة توجهك إلى مراجعة الغرض والضوابط، لكنها ما تمنحك قصة مكتملة. هذه طريقة تفكير تقدر تنقلها لمؤشرات إعداد أخرى بدون حفظ قاعدة منفصلة لكل اسم.

إذا المؤشر يدعو للتحقيق، لا تمسح أثره بسرعة

خلنا نفترض أن هناك اختلافًا غير متوقع في بيانات حساب، وأن وصف المؤشر يطلب مراجعة سبب الاختلاف. إرجاع القيمة إلى ما تظنه الصحيح قبل توثيق الحالة قد يضيع عليك معلومات تحتاجها المتابعة. الخطوة الأولى وصف المشاهد والوقت والمصدر، ثم اتباع المسار المعتمد مع صاحب البيئة.
هذا لا يعني أن المختبر يصبح مسؤول استجابة حوادث تلقائيًا. حدد دورك والتصريح والمعلومات المسموح لك مراجعتها. قد يكون المطلوب منك إحالة الملاحظة إلى الفريق المناسب مع الأدلة المتاحة، ثم استكمال بقية المهمة عندما يسمح السياق. لا تجمع رسائل أو ملفات شخصية لمجرد أنك تريد تأكيد تفسير اخترته مسبقًا.
اكتب الفرق بين وقت جمع التقرير ووقت التغيير المعروف إن توفر. لو عندك تقرير قديم وجديد، المقارنة قد تضيق الفترة لكنها ما تحدد لحظة دقيقة دون مصدر إضافي. لا تمنح النتائج دقة زمنية أكبر مما تحتويه. وضوح الحدود يساعد الفريق الآخر يختار الأدلة التالية بدل الاعتماد على تاريخ مختلق أو تقدير غير مسمى.
في لاب التعليم، تقدر تصمم تغييرات مصطنعة موثقة ثم تقارن كيف تظهر الحالة في التقييم، بشرط أن يكون إجراء التغيير مفهومًا ومعزولًا. لكن لا تقدم ذلك كأنه اختبار قدرة الأداة على كشف كل حادثة. أنت اختبرت حالة واحدة بإعداد محدد، وقد لا يظهر نوع آخر من النشاط بنفس الطريقة.
إذا كان هناك إجراء احتواء أو إصلاح مطلوب في بيئة عمل، ينفذه المسؤول وفق الخطة المعتمدة. دور التقرير أن يوضح الحالة والأهمية والمعلومات اللازمة للقرار، لا أن يقفز إلى تعليمات متسارعة لتغيير خدمات الهوية. كلما كان المجال حساسًا لاعتمادات المستخدمين، صار الفصل بين التوثيق والتحقق والتغيير أكثر أهمية.

مقارنة Purple Knight وPingCastle تحتاج سؤالًا واحدًا

ممكن تشغل أداتي تقييم على اللاب نفسه وتحصل على درجات مختلفة. هذا متوقع إذا كانت القواعد والنماذج والمقاييس مختلفة. لا تسأل أي رقم هو الصحيح قبل تحديد ما يقيسه كل رقم. مقارنة مؤشرين إجماليين بدون تعريفهم تشبه مقارنة نتيجة اختبارين مختلفين ثم اعتبار الفرق تناقضًا.
للتعلم، اختر حالة إعداد واحدة يصفها كلا المصدرين أو يظهر لها أثر قابل للمقارنة. سجل النسختين والتوقيت والنطاق والبيانات التي استعملها كل تقرير. بعد ذلك اكتب ما يتفق عليه المصدران وما يختلف في تفسيره أو شروطه. لا تفترض أن أسماء المؤشرات المتقاربة تعني قواعد متطابقة.
إذا ظهرت الحالة في أداة ولم تظهر في أخرى، راجع هل الاختبار المقابل موجود ومحدد وقابل للتنفيذ في الجولة الثانية. عدم الظهور له أسباب محتملة متعددة، ولا يعني مباشرة أن الأداة الأولى أعطت إيجابية خاطئة. تحتاج توثيقًا يسمح بتمييز اختلاف التغطية عن اختلاف البيانات أو التطبيق.
لا تجعل المقارنة منافسة تسويقية بين الأدوات. القارئ يحتاج يعرف أي سؤال يناسب كل مخرجات، وكيف يتحقق من حالة مهمة. قد تستفيد من تقريرين في ترتيب العمل، لكن المزيد من التقارير لا يساوي دليلًا أقوى إذا كانت جميعها تعتمد على بيانات ناقصة أو تفسير لم تراجعه.
في نهاية المقارنة، اختر خطوة تحقق مستقلة للحالة المحددة، ضمن ما يسمح به اللاب أو النطاق. مثلا مراجعة خاصية موثقة أو إعداد معلوم مع المالك. اكتب دلالة هذه القراءة وحدودها بجانب نتائج التقييم. بهذه الطريقة تستفيد من اختلاف الأدوات لتتعلم، بدل الاكتفاء بصورة درجات متجاورة ما تشرح شيئًا عن البيئة.

غياب IOC ما يثبت أن البيئة نظيفة

تقييم في نقطة زمنية له حدود في ما يقرأه وما يختبره. إذا لم يظهر IOC في النتيجة، فالوصف الدقيق هو أن المؤشرات المنفذة ضمن تلك الجولة لم تعرض حالة من النوع المقصود في البيانات المتاحة. أما إعلان عدم وقوع أي اختراق، فهو ادعاء أوسع يحتاج أكثر من تقرير إعدادات.
المثال العملي هنا بسيط: تقرير يراجع حالات معينة في الدليل ما يمثل كل سجلات الأجهزة والتطبيقات وكل فترات النشاط. لا نحتاج نحصر كل مصدر أدلة ممكن حتى نفهم هذا الحد. يكفي أن تربط ادعاءك بمصدره: ما الذي يستطيع المصدر وصفه فعلًا، وما الذي يقع خارج قراءته؟
في التقرير التعليمي، اجعل العبارة واضحة بدون تهويل: لم تظهر هذه المؤشرات في الجولة المذكورة، ولم تُجر مراجعة حوادث شاملة. هذه جملة تعرف القارئ بالعمل الذي أنجزته. لا تضف شكوكًا عامة بلا دليل، لكن لا تحول عدم المشاهدة إلى ضمان كلي أيضًا.
كذلك ظهور IOE لا يعني أن البيئة مخترقة. قد تكون حالة ضعف تحتاج ترتيب إصلاح، وقد تكون لها شروط أو ضوابط أخرى تحتاج مراجعة. اجمع السياق قبل المقارنة بين تعرض نظري وأثر مثبت. هذه الدقة تعلمك تزن الكلمات في كل مقالة تقنية، خصوصًا لما تكون المصطلحات الإنجليزية محملة بمعنى يوحي بيقين أكبر من النتيجة.
إذا كان هدف المهمة تقييم التعرض، ركز التوصيات على الإعدادات والضوابط المطلوبة. وإذا أصبح السؤال عن حادثة، حدد مسارًا مناسبًا لذلك السؤال. الانتقال بين الهدفين قرار واضح يحتاج سياقًا، وليس نتيجة تلقائية لتصنيف في الصفحة. الأداة تقدم مؤشرات، وأنت مسؤول عن تحديد أي متابعة يدعمها الدليل وأي ادعاء ما زال سابقًا لأوانه.

تمرين يطلع لك تقريرًا قابلًا للفهم

اختر مؤشرين IOE ومؤشرًا تتطلب دلالته مراجعة احتمال تغيير أو نشاط، من نتائج لابك الفعلية أو من تعريفات المصدر الرسمي إذا لم تكن لديك نتائج. لكل واحد اكتب الاسم والوصف المختصر ونوع الكائن ومصدر القراءة والسؤال التالي. إذا استعملت تعريفًا فقط، وضح أنك تشرح قاعدة ولم تنفذ تقييمًا عليها.
جهز فقرة تعليمية تشرح فرقًا واحدًا: ظهور الحالة الحالية يختلف عن إثبات تاريخها، أو ارتباط المؤشر بتقنية يختلف عن إثبات تنفيذها. استخدم مثالًا مصطنعًا محددًا بدل عبارات واسعة عن اختراق مؤسسة. هذا النوع من الشرح جذاب لأنه يجاوب ارتباكًا حقيقيًا يواجه الشخص عند أول تقرير.
راجع الفقرة وتأكد أن كل فعل فيها له دليل. وجدت، تحققت، نفذت، كلمات تصف عملًا يجب أن يكون حدث فعلًا. أما افترض، يمكن، يحتاج مراجعة، فهي مناسبة للسياق التعليمي عندما تسمي الافتراض وشروطه. لا تستخدم الاحتمال لإثارة القلق، ولا تحذفه حتى يبدو التقرير أقوى.
المراجع الرسمية:
https://www.semperis.com/purple-knight/
https://www.semperis.com/purple-knight/security-indicators/
https://www.semperis.com/purple-knight/faq/
https://docs.purple-knight.com/community/purpleknight/pk-docportal-intro.htm
استخدم Purple Knight لتبدأ سؤالًا محددًا وتوجه المتابعة. قيمة الأداة تزيد لما تعرف الفرق بين تعرض محتمل وإشارة تحتاج تحقيقًا وأثر ثبت بدليل مستقل. هذا الفرق هو اللي يخليك تشرح التقرير بهدوء، وتقدم خطوة عملية تناسب الحالة، بدل إعلان حادثة أو ضمان سلامة من كلمة واحدة ظهرت أو ما ظهرت.