تفتح جهاز تدريب كان شغال أمس، وتحاول الدخول بحساب الدومين، فتظهر رسالة أن علاقة الثقة بين الجهاز والدومين فشلت. أول حل تلقاه في كثير من الشروحات: افصل الجهاز من الدومين وأعد ضمه. قد يحل ذلك حالة معينة، لكنه لا يعلمك السبب، وقد يخفي اختلافًا
تعلمت Get-ADUser وBloodHound وDsacls وقراءة سجلات ويندوز، لكن كيف تجمعها في شغل له بداية ونهاية؟ بدل تمرين يطلب منك تشغيل عشر أدوات، خلنا نبني مشروعًا صغيرًا حول سؤال واضح: هل هوية تطبيق التقارير تملك الوصول الذي تحتاجه فقط، وهل نقدر نفهم ا
لقيت اسم حساب في سجل ويندوز، وتبي تعرف متى دخل ومتى انتهت جلسته. البحث بالاسم يطلع أحداثًا كثيرة: دخول شبكة، وتشغيل خدمة، وجلسة تفاعلية، وربما أكثر من جلسة بنفس الوقت. لو جمعتها كلها في خط واحد، قد تحكي قصة ما حصلت أصلًا. Get-WinEvent يساعد
في BloodHound ظهرت علاقة تحكم، لكنك تبي ترجع للدليل الذي وراءها. أو عندك مجموعة دعم تستطيع تعديل حسابات قسم كامل، وتبي تعرف هل التفويض مباشر أم جاء من OU أعلى. هنا تفيد Dsacls: أداة تعرض أذونات كائنات Active Directory بصيغة نصية، فتقدر تربط
عندك أمر محفوظ من جلسة أمس. تشغله اليوم بنفس النص، ويرجع خطأ. تجرب مرة ثانية، ثم نسخة من شرح آخر، وبعدها أداة ثالثة. أحيانًا السبب ما له علاقة بالأمر أصلًا: أنت الآن على جهاز مختلف، أو بهوية مختلفة، أو تقرأ من دومين آخر، أو رجعت Snapshot وغ
تشوف قالب شهادة في الدليل، لكن ما يظهر في معالج الطلب. أو يظهر لحساب إداري ويختفي عن المستخدم المقصود. أول تفسير يخطر على البال أن الأداة خربانة، بينما المشكلة قد تكون في الفرق بين وجود القالب، ونشره على CA، وصلاحيات القراءة وطلب الشهادة. ه
خيار صغير في حساب Active Directory يقول إن Kerberos Preauthentication غير مطلوبة. قد يمر عليه شخص بسرعة لأنه لا يمنح عضوية إدارية، لكن أثره مختلف: يزيل شرطًا في بداية تدفق مصادقة Kerberos، ويخلق تعرضًا معروفًا يرتبط بـAS-REP Roasting. السؤا
وجود SPN على حساب خدمة ما يعني تلقائيًا أن كلمة مروره ضعيفة، ولا يعني أن البيئة اخترقت. لكنه يعطيك نقطة تبدأ منها مراجعة مهمة: كيف تُحمى هوية الخدمة، وما الذي يستطيع الحساب الوصول إليه، وأي تشفير استُخدم فعلًا في تذاكرها؟ هنا تبدأ قيمة الفح
غيّرت حساب تشغيل التطبيق، والخدمة اشتغلت، لكن بعض المستخدمين صاروا يشوفون خطأ مصادقة. غيرهم يدخل عادي. بعد البحث تكتشف أن اسم الخدمة في Active Directory ما زال مربوطًا بالحساب السابق. هنا الموضوع مب مجرد كلمة مرور جديدة؛ عندك علاقة بين اسم
ظهر لك مسار ينتهي عند الدومين بعلاقة DCSync. أول سؤال مفيد هنا مب «وش الأمر اللي أشغله؟»، بل «من وين جاءت هذه القدرة، وهل الحساب يحتاجها أصلًا؟». مراجعة صلاحيات النسخ قد تكشف مشكلة واسعة الأثر، لكنك تقدر تثبت أصل المشكلة من الأذونات والعضوي
تشوف خطًا في BloodHound اسمه AllowedToAct، ثم خطًا آخر باسم AddAllowedToAct. الاسمان قريبان، لكن السؤال الذي يجيب عنه كل واحد مختلف. الأول يرتبط بعلاقة تفويض موجودة، والثاني بقدرة على تعديل الإعداد الذي يحدد العلاقة. إذا خلطت الاثنين، قد تب
المستخدم يدخل موقعًا داخليًا، والموقع يحتاج يقرأ موردًا آخر باسمه. هنا يظهر سؤال التفويض: هل الخدمة الخلفية ترى هوية المستخدم أم هوية التطبيق؟ Kerberos Delegation يدخل في هذا النوع من التصميم، لكن فهمه يبدأ من مسار الطلب، مو من أسماء إعدادا
«عندنا LAPS» إجابة تسمعها كثير عندما تسأل عن حسابات المسؤول المحلية. لكنها بداية المراجعة، مو نهايتها. هل السياسة وصلت للجهاز؟ أي حساب تديره؟ هل حدثت عملية حفظ ناجحة؟ ومن يملك الوصول إلى البيانات المحفوظة؟ إذا ما فرقت بين هذه الأسئلة، قد تع
الخدمة تحتاج حسابًا يعمل باستمرار، لكن إدارة كلمة مروره يدويًا تتحول بسرعة إلى صداع: أين تستخدم؟ من يحدّثها؟ وماذا يتوقف لو تغيرت؟ Group Managed Service Account، أو gMSA، يعالج جانب إدارة كلمة المرور للخدمات التي تدعمه. لكن كلمة «Managed» ل
تفتح إعدادات الدومين وتشوف حدًا أدنى لكلمة المرور، ثم تجد حسابًا له سياسة مختلفة. هل النظام يتجاهل الإعدادات؟ غالبًا السؤال يحتاج ترتيب قبل الحكم. داخل Active Directory يمكن وجود سياسة افتراضية للدومين وسياسات أدق لبعض المستخدمين والمجموعات
رجع موظف إلى الشركة، وأنشأ الفريق حسابًا جديدًا بنفس اسم حسابه القديم. تسجيل الدخول يعمل، لكن المجلد الذي كان يستخدمه يرفض الوصول. وفي مختبر آخر، حساب اسمه Administrator لا يملك الصلاحيات التي توقعها المتدرب. وش الرابط بين الموقفين؟ الاعتما
نجح اختبار المنفذ 636 على وحدة تحكم الدومين، لكن أداة LDAP تقول إن الشهادة غير موثوقة أو الاسم غير مطابق. هنا الاتصال بالشبكة تقدم خطوة، لكنه ما أنهى السؤال. فتح المنفذ يخبرك عن إمكانية اتصال، أما قبول شهادة الطرف المقابل فيحتاج اسمًا صحيحً
أداة قراءة الدومين رجعت خطأ LDAP. شفت رقمًا، وقلت غالبًا الحساب غلط، ثم كررت المحاولة. لكن رفض الهوية يختلف عن رفض صلاحية عملية، وهذا يختلف عن قاعدة بحث غير موجودة أو مشكلة تحقق TLS قبل وصول الطلب. إذا عرفت المرحلة، رسالة الخطأ تصير معلومة
