58 مقالة ضمن «Active Directory»
شغلت BloodHound CE، انتظرت شوي، فتحت المتصفح وما ظهر شيء. أو ظهرت صفحة الدخول ثم صار التطبيق يعيد التشغيل وقت رفع البيانات. أسهل ردة فعل أن تحذف كل شيء وتبدأ من جديد، لكنها غالبًا تمسح الخيط الذي كان يشرح المشكلة. خلنا نراجعها بهدوء: هل Doc
فتحت رسم BloodHound في لاب Active Directory، ولقيت علاقة HasSession بين جهاز وحساب مهم. شكلها مغرٍ: خط واضح، واسم مستخدم تعرف أنه صاحب صلاحية، وباقي المسار يبدو مرتبًا. لكن قبل ما تبني عليها نتيجة، اسأل سؤالًا بسيطًا: هذه المعلومة تصف متى؟
تسجيل دخولك إلى ويندوز ينجح، والاتصال بخادم SQL يبدو متاحًا، لكن قاعدة التدريب ترفض قراءة جدول. هل المشكلة كلمة المرور؟ مو بالضرورة. أنت أمام طبقات مختلفة: هوية ويندوز، وLogin على SQL Server، وUser داخل قاعدة، وصلاحية على مورد محدد. في لاب
أحيانًا تحتاج تشوف الكائن وخصائصه جنب بعض، بدل تشغيل استعلام جديد كل مرة تبغى قيمة. AD Explorer من Sysinternals يعطيك طريقة رسومية لاستكشاف Active Directory، ويدعم حفظ بيانات للمشاهدة دون اتصال والمقارنة. لكن سهولة العرض ما تعني أن كل قيمة
لو ظهر Indicator of Compromise في تقرير، هل هذا يعني أن الاختراق تأكد؟ ولو ما ظهر، هل تقدر تقول إن البيئة ما انخترقت؟ الإجابتان تحتاجان دقة أكثر من نعم أو لا. المؤشر يقودك لمراجعة حالة، أما تأكيد ما حدث فيحتاج أدلة وسياقًا يناسبان الادعاء.
تفتح تقرير PingCastle وتلقى مؤشرًا ملونًا ودرجة مرتفعة. أول رد فعل ممكن يكون الدومين خطير، أو لازم ننزل الرقم بسرعة. لكن قبل أي توصية، تحتاج تنزل من المؤشر إلى القاعدة التي ظهرت، ومنها إلى الكائنات والسياق. الرقم يساعدك تبدأ السؤال، وما يغن
أداة قراءة الدليل تبدو سهلة لما يكون عندك مستخدمان ومجموعة واحدة. تعرف الأسماء مسبقًا، وتعرف تقريبًا النتيجة اللي بتطلع. بعد ما تزيد الكائنات والعلاقات، يظهر السؤال الحقيقي: كيف تحدد الجزء المطلوب، وتفرق بين اسم وموقع وعضوية وصلاحية، وتكتب
خلصت تجهيز اللاب، وأخذت Snapshot، وبعد أسبوع صار شيء ما فهمته فقلت أرجع للحالة القديمة وخلاص. هذه الحركة قد تكون مريحة في جهاز تدريبي منفرد، لكن Active Directory بيئة فيها علاقات وحالات تتغير بين عدة أجهزة. إرجاع جهاز واحد إلى أمس ما يعني أ
تشغل اللاب، وتلاحظ أن جهاز ويندوز التدريبي أخذ عنوانًا من شبكة البيت. أول سؤال هنا ما هو هل وصل الإنترنت؛ السؤال: هل الجهاز موجود في الشبكة اللي خططت لها أصلًا؟ إذا بنيت دومين للتجارب، تحتاج تعرف أين تصل اتصالاته، ومن يستطيع الوصول إليه، وك
تفتح PowerShell، تنسخ Get-ADUser من شرح، ويطلع لك أن الأمر غير معروف. قبل ما تفكر في حساب الدومين أو الجدار الناري، وقف عند الرسالة نفسها: الجلسة ما عرفت الأمر أصلًا. هذه مشكلة مختلفة عن أمر معروف وصل للخادم ثم رجع بخطأ. RSAT اسم مجموعة أدو
أمر DNS يقول لك إن الاستعلام فشل، لكنك تحتاج تعرف هل الطلب خرج من جهازك وإلى أي جهة، وهل رجع رد تقدر تقرأه. Wireshark يفيدك هنا إذا كان الالتقاط من المكان الصحيح وفي الفترة الصحيحة. أما فتح ملف حزم وتطبيق فلتر dns ثم الحكم على الدومين كله،
جهاز التدريب يفتح المواقع عادي، لكن محاولة الوصول إلى الدومين تقول إن الجهة المطلوبة غير متاحة. بعدها تجرب ping على dc01 فيرد، فتستبعد DNS بالكامل. هنا المشكلة في طريقة الاستنتاج: حل اسم خادم واحد أو موقع عام ما يثبت أن الجهاز يستطيع اكتشاف
تفتح قائمة العمليات فتشوف اسمًا مألوفًا مرتين، أو برنامجًا صغيرًا يستهلك موارد أكثر مما توقعت. هل هذا خلل؟ هل البرنامج تابع للتطبيق الذي تختبره؟ أم أن الاسم وحده يخدعك؟ Process Explorer يساعدك تجمع سياقًا أفضل، لكن ما يصدر حكمًا نهائيًا على
يفحص المتدرب جهازًا داخل لابه فيشوف المنفذ 5985 متاحًا، ثم يفشل الدخول بحساب يعرف أنه صحيح. يبدأ يبدّل الأدوات أو يضيف إعدادات من الإنترنت، مع أن المعلومة الأولى ما قالت أصلًا إن الحساب مسموح له يفتح جلسة. هي قالت إن اتصالًا وصل إلى منفذ. ف
يشتغل لاب Active Directory أمس، وتفتحه اليوم فتفشل مصادقة Kerberos أو تظهر رسالة Clock Skew. أول رد فعل غالبًا إعادة إدخال كلمة المرور، ثم تغيير الأداة، ثم استعادة اللاب من جديد. لكن لو جهازك والدومين لا يتفقان على الوقت، تغيير الأمر ما يحل
تفتح مشاركة ملفات في اللاب، وبعدها تشوف تذكرة باسم cifs في قائمة Kerberos. ترجع للأداة فتلقى تذكرة ثانية تبدأ بـ krbtgt، وأوقات ومعلومات عن الجلسة. وش الفرق بينها؟ وليش ظهور تذكرة للخدمة ما يعني أن كل ملفاتها صارت متاحة لك؟ في هذا الموضوع ب
صدرت الشهادة بنجاح، وتاريخها ما انتهى، ومع ذلك محاولة المصادقة فشلت. هل المشكلة في الأداة؟ يمكن، لكن نجاح الإصدار وصلاحية التاريخ ما يكفيان لإثبات قبول الشهادة لتسجيل الدخول. الخدمة تحتاج تعرف أنها تثق في الشهادة، وأن استخدامها مناسب، وأنك
تفتح لاب الاكتف دايركتوري من جهاز لينكس، ومعك حساب تدريبي صحيح، لكن أمر البحث يرجع بدون المستخدم اللي تدور عليه. تغير كلمة المرور، ثم تغير الخادم، وبعدها تنسخ أمرًا أطول من شرح ثاني. أحيانًا المشكلة كلها أن البحث بدأ من OU مختلفة، أو أن الح
