Modware

المقدمة

• ماهي شهادة الـeCIR ؟

الدورة

•  تقسيم الدورة

• طريقتي في الدراسة

• هل الدورة تكفي؟

الاختبار

• طريقة الاختبار

• طريقتي للتجهيز للإختبار

• نصائح للاختبار

• تمبلت الاختبار

الخاتمة

• eCTHPv2 VS eCIR
• مصادر خارجية تساعدك في إجتياز الاختبار.

المقدمة

• ماهي شهادة الـeCIR ؟

Incident Response او الاستجابة للحوادث  هي شهادة عملية للتعامل مع الحوادث المعقدة وتعلم أساليب الاستجابة لها عن طريق سلسلة من السيناريوهات الواقعية والمقدمة من شركة eLearnSecurity

الدورة

الدورة التي اخذتها كانت مقدمة من INE الموقع الرسمي لدورات شهادات eLearnSecurity

• تقسيم الدورة

الدورة تنقسم الى 4 أقسام وهي: –
1- Incident Handling & Response Overview

نظرة عامة على الاستجابة للحوادث والخطوات التي تتضمنها وكيفية سير العملية مع التركيز على اهم العوامل التي تساعد في إنجاحها بشكل عام

2- Incident Handling & Response: Network Traffic & Flow Analysis

الاستجابة لحوادث الشبكات وكيفية تحليل واستخراج اهم الأدلة على حدوث هجوم معين وماهي المؤشرات على هذا الهجوم

3- Practical Incident Handling

كما يشير الاسم فهذا القسم هو القسم العملي للاستجابة للحوادث وهو أهم قسم “لا يعني هذا عدم أهمية بقية الاقسام” ولكن من المهم ان تفهم هذا القسم بشكل جيد وان تستعين بمصادر خارجية اذا ما استصعب عليك أمر ما, يتكون هذا القسم من 4 أجزاء متسلسلة مبنية بناء على مراحل الـ “Cyber Kill Chain” وكيفية التجهيز للتصدي والكشف عن أهم التكنيكات في كل مرحلة وهي كالتالي: –

1. Information Gathering
2. Scanning
3. Exploitation
4. Post-exploitation

4- Incident Handling & Response: SOC 3.0 Operations & Analytics

بعض المفاهيم الاساسية عن الـ  SIEM Solutionsوالـ Logs وتحليلها والمزيد من التكنيكات وطرق كشفها

• طريقتي في الدراسة

أي شهادة او كتاب ادرسهم أقوم بتدوين كل النقاط المهمة في مدونة خاصة بي لكي أسترجعها لاحقًا سواء في الاختبار أو حتى بعده بحيث لا يضيع كل ما تعلمته هباء منثوراً وأذكر في أحد المرات قال لي صديق مقولة تنسب لاحد العلماء ألا وهي “العلم طير والتدوين قيده” أي بمعنى ان تدوين العلم كمرجع يضمن لك عدم فقدانه إن شاء الله واستخدم في التدوين موقع Notion مما يزيد عن عام وتوجد به ملخصات للعديد من الكتب والدورات التي درستها وارجع لها وقت الحاجة.

• هل الدورة تكفي؟

لا, باختصار الدورة لا تكفي لا لقلة المحتوى ولكن لقلة الممارسة فيه وهذا يعود الى انه عملية الـ Incident Response عملية تعتمد على الممارسة والخبرة وهنا يأتي سؤال منطقي “طيب ما عندي خبرة ايش المفترض أسوي؟” هذا يأخذنا للنقطة التالية الا وهي الاختبار وطريقة تجهيزي له

الاختبار

• طريقة الاختبار

أولا طريقة الاختبار حتى توضح الصورة هو عبارة عن 2 سيناريو الأول Splunk SIEM Solution والثاني SIEM Solution ELK بالإضافة الى ملف PCAP, مدة الاختبار 4 أيام يومين للتحليل ويومين لكتابة المقال, يكمن التحدي في الاختبار في تحديد ماهيّة الهجمات التي حصلت حيث ان أسلوب الاختبار BlackBox أي انه لا يوجد طلبات محددة لتلبيتها، بل عليك ان تحلل الـ Logs وان تكتب تقرير فيه كل الهجمات مع الأدلة والاثباتات الخاصة بها

• طريقتي للتجهيز للإختبار

تجهيزي للاختبار كان عن طريقتين وهما: –
1- حل بعض التحديات والتي سأرفقها في المصادر ولكن على طريقة الـ Incident Response, الطريقة تتلخص في انك تتجاهل الأسئلة المطروحة وان تحلل التحدي بدون قراءة الأسئلة بحيث انك تتدرب على نظام الاختبار “BlackBox” وبعد الانتهاء تقارن بين نتائج تحليلك والاسئلة المطروحة هل أجبت عليها جميعها ام لا؟ هل اكتشفت جميع التكنيكات؟

2- وهي الطريقة التي انصح بها فعن طريقها ستزيد خبرتك بشكل أكبر وهي بتجهيز معمل خاص بك يحتوي على أحد الـSiem Solution إما Splunk او ELK وبعدها تبدأ تطبق التكنيكات المتواجدة في محتوى الدورة الخاصة بـ eCIR عن طريق Atomic Red Canary وفي حال ما تعرفه فلا بأس سأكتب عنه في القريب العاجل بإذن الله مقالة سأشرح فيها طريقة تثبيته واستخدامه في تنفيذ محاكاة للتكنيكات والهجمات.

•  نصائح للاختبار

1- الوقت مهم جداً جداً في الاختبار فمهم انك تكون متفرغ له تمامًا

2- لا تتعمق في التفاصيل الصغيرة ركز على أنك تثبت حدوث التكنيك فقط

3- اعتمد على الهجمات والتكنيكات المذكورة في قسم Practical Incident Handling

4- تسجيل الملاحظات يساعدك في ربط الحوادث ببعضها ويوضحلك الصورة بشكل أفضل

• تمبلت الاختبار

سؤال وصلني كثير وهو خاص بالناس الي بتبدأ الاختبار او بدأت, لايوجد تمبلت معين للاختبار ولكن بامكانك تعمل تمبلت بسيط وعملي كمثال عليه:

بالاضافة الى التمبلت المطلوب في الاختبار “الاساسي”

الخاتمة

eCIR VS eCTHPv2

في البداية الشهادتين كمحتوى يتشابهون لحد ما ولكن مع اختلاف كمية المحتوى فالـ eCTHPv2 تعتبر أدسم وأكبر وأعمق من eCIR والطريف انه على الرغم من هذا الا انه اختبار eCTHPv2 كان اسهل من eCIR بكثير بلا مقارنة والسبب بكل بساطة انه اختبار الـ eCTHPv2 كان المتطلبات واضحة على عكس اختبار eCIR والي يعتبر BlackBox او بلا إرشادات وانا اتفهم الفرق بينهم بسبب انه eCIR في النهاية هي استجابة للحوادث فالمفترض انك ما تكون عارف الا معلومات بسيطة وانت بعدها تبدأ تبحر وتكتشف فالاختبار كان واقعي جداً.

• مصادر خارجية تساعدك في إجتياز الاختبار

1- تحدي “Elastic-Case” المقدم من قبل CyberDefender

2- مجموعة تحديات “Boss Of The SOC” المقدمة من قبل Splunk

في هذه المقالة راح اجاوب على اكثر الأسئلة الي وصلتني عن اختبار شهادة eCTHPv2

•  ماهي شهادة الـeCTHPv2 ؟
• تقسيم الكورس
• هل الدورة تكفي؟ وكيف أتجهز للإختبار؟
• عن الاختبار وتكنيكات الحل
• تجربتي الشخصية
• نصائح للاختبار
• مصادر خارجية تساعدك في إجتياز الاختبار

• ماهي شهادة الـeCTHPv2 ؟

 أو Threat Hunting Professional هي شهادة تساعدك على تعلم مهارة اصطياد المخاطر والتهديدات أي بمعنى تحاول اصطياد الهجوم في مختلف مراحل الـ “Cyber Kill Chain”سواء على الاجهزة “Endpoint” او على الشبكات “Network” عموما أو حتى على “Memory Dump” عن طريق استخدام بعض أدوات الحماية مثل “Siem solutions” للتعامل مع الـ “Logs” والـ “Volatility” للتعامل مع الـ “Memory Dump” وغيرها.

خلال رحلتك مع الدورة الخاصة بالشهادة راح تساعدك بشكل كبير على بناء عقلية دفاعية تفهم كيف تصيد التكنيكات بالعامية “تعرف تمسك مربط الفرس” من خلال دراستك لعدد كبير من الهجمات والتكنيكات وفهم طريقة اصطيادها مثل (WMI Persistence, Empire, DNS exfiltration, DCSync) وغيرها الكثير

• تقسيم الكورس

الكورس مقسم الى 3 أقسام رئيسية :-  

1. Introduction to threat hunting

هذا القسم راح يعطيك تصور واضح وصورة عامة عن الـ “TH” ومراحله بالإضافة إلى المراحل المتقدمة ما بعد اكتشاف التهديد وما الى ذلك, ثم يأخذك في رحلة لأهم المصطلحات الي راح تواجهك بكثرة في عالم الـ “TH”, وايضا بيتكلم عن “IOCs” وكيف ممكن تكتشفها

2. Threat hunting: Hunting the network & network analysis

مثل ماهو موضح في الاسم في هذا القسم راح تتعلم كيف تصيد التهديدات في الشبكات من خلال عملية مراقبة الشبكات واهم العوامل المثيرة للاشتباه وكل عامل مقسم بناء على نوع البروتوكول وذلك باستخدام مختلف الأدوات مثل “Wireshark” و “Network Miner”  و “RSA NetWiness Investigator” والجزء الأكثر متعة بالنسبة لي في هذا القسم هو جزء “Hunting Web Shells” حيث يشرح أشهر الطرق لرفع الـ”Web shell” وطرق اكتشافها

3. Threat hunting: hunting the endpint & endpoint Analysis

يعتبر هذا القسم الادسم والأهم في الدورة حيث يتناول هذا القسم 3 جزئية مهمة: –

1- اصطياد الـ “Malware” 
كيفية اصطياد الـ”Malware” في الانظمة وأهم العوامل لإكتشافه عن طريق عدة أدوات بالاضافة الى تحليل الـ “Memory Dump” عن طريق أداة الـ “Volatility” وصيد الـ “Malware”

2-  الـ Siem Solutions والـ Logs والـ Event IDs 

في هذا الجزء ستتعرف على ماهية الـ “Siem Solutions” عن قرب وبالتفصيل وسيكون الشرح متركز على نوعين من الـ “Siem Solutions” وهما “Splunk” و “ELK” بالاضافة الى عدة “Log Sources” و “Event IDs” و سيساعدك هذا القسم على التعامل معها ومعرفة الفرق بينها وأنا انصح عدم الاكتفاء بهذا القسم بل أيضا دراسة المصادر الخارجية والتدرب على هذا القسم بشكل أكبر من الموجود بالدورة

3- Hunting With PowerShell

بالنسبة إلى هذه الجزئية ستتناول أهم الهجمات والتكنيكات باستخدام الـ “PowerShell” و كيفية اصطيادها وفك تشفيرها كذلك

• هل الدورة تكفي؟ وكيف أتجهز للإختبار؟

بالنسبة الى نقطة هل الدورة تكفي فإجابتي “نعم تكفي” اذا ما فهمت اللابات بشكل جيد واعدتها مرة اخرى اذا تطلب الامر ولكن من الأفضل وهذا ما فعلته انا للتجهيز للاختبار مارست وطبقت ما تعلمته عن طريق بعض التحديات الخارجية “أضفتها في المصادر بأخر المقالة” للاعتياد على الأدوات واكتساب ثقة أكبر للدخول للاختبار بكل اريحية  

•  عن الاختبار وتكنيكات الحل

الاختبار يعتبر “متوسط” ومع التحضير الجيد ستستمتع جدا به والاختبار عبارة عن 4 أيام يومين للتحليل ويومين لكتابة المقال بس وهي للأمانة كافية ووافية, الإختبارات من هذا النوع لها تكنيكين للحل: –

1- تحلل وتأخذ ملاحظات وصور للشاشة على جنب وبعد اول يومين تبدأ تربط الملاحظات والصور ببعض وتكوّن تقريرك “أنصح باستخدامها في حال انضغطت في الوقت”

2- تحلل وتكتب التقرير بشكل متزامن “هذه منهجيتي في هذا الإختبار”

• تجربتي الشخصية 

عن نفسي في بداية الاختبار وتحديدا اول 3 ساعات كنت فقط أقرأ وأبحث وأفهم لم أبدا بالحل بعد “حسيت بضغط وشوية توتر” اخذت بريك صغير عشان أستعيد تركيزي “للأمانه رحت تغديت أتوقع أفضل طريقة لتخفيف الضغط😂” وبعدها بدأت وبقوة في الاختبار حليت تقريبا 4\3 الاختبار ما أخفيكم ارتحت وحسيت الاختبار في جيبي ورحت اتفرج مسلسل والاختبار ما زال قائم 😂, الحمدلله بسبب عملي بالتزامن مع وقت الاختبار في مركز عمليات SOC في فترة التدريب الصيفي بشركة “Security Matterz” كان الاختبار شيء يشبه ما أشاهده وأتعامل معاه كل يوم بالتدريب فكان سهل ولكن لا تعتمد على نظرتي فتدريبي ساعدني جداً وكان وقت ممتاز جداً للإختبار, ختامًا انهيت الاختبار في أول 48 ساعة ومع إغلاق اللابات سلمت الإختبار ولله الحمد.

• نصائح للاختبار 

هذه مجموعة من النصائح العملية المجربة الي راح تساعدك كثير ان شاء الله في اجتياز الاختبار:  –

نصيحة مهمة جداً “خذ راحتك في الاختبار محد راح يعطيك جائزة اذا خلصت في ساعة ولا في 4 أيام فلا تستعجل وخذ وقتك ولا تقارن تجربتك بتجربة أحد لكل شخص تجربته الخاصة” 

1- حدد يوم للإختبار ولا تترك الأمر مفتوح حتى لا تطول مدة المذاكرة بلا معنى

2- تأكد قبل تدخل الاختبار أنك نايم بشكل جيد

3- خلي الورقة والقلم رفقائك خلال الاختبار وسجل ملاحظاتك أول بأول 

4- رتب الأحداث حسب الوقت عشان توضح لك الرؤية

5- أنصح بالبحث عن التكنيكات في Mitre Attack 

• مصادر خارجية تساعدك في اجتياز الاختبار 

هذه بعض المصادر التي ستساعدك في إجتياز الاختبار بإذن الله تعالى عن طريق ممارسة ما تعلمته في الدورة

1- تحدي “DumpMe” المقدم من قبل CyberDefender

2- تحدي “Elastic-Case” المقدم من قبل CyberDefender

3- مجموعة تحديات “Boss Of The SOC” المقدمة من قبل Splunk