مؤسس "إيثريوم" لديه تحفظات على مشروع ألتمان العالمي

مراحل جمع المعلومات في الأمن السيبراني: دليل موجز

تُعد عملية جمع المعلومات، أو الاستطلاع (Reconnaissance)، مرحلة أولية وحاسمة في الأمن السيبراني. هدفها هو تجميع أكبر قدر ممكن من البيانات حول النظام أو الشبكة المستهدفة لتحديد نقاط الضعف المحتملة ونقاط الدخول. هذا الفهم الشامل يساعد في تحديد نطاق الأنظمة المستهدفة، مما يجعل الجهود الأمنية أكثر كفاءة. كما يشكل جمع المعلومات الأساس لاختبار الاختراق الفعال.

دور جمع المعلومات في الاختراق الأخلاقي

في الاختراق الأخلاقي، يقضي المحترفون وقتاً طويلاً في جمع المعلومات لبناء ملف تعريف شامل للمنظمة المستهدفة، بما في ذلك مضيفيها وشبكاتها وأفرادها. يساعد هذا الاستطلاع في تحديد "سطح الهجوم" وتطوير استراتيجية فعالة لاختبار الاختراق. تبني "عقلية المهاجم" أثناء جمع المعلومات يساعد المدافعين على توقع التهديدات وتحديد الثغرات مبكراً.

الأسس الأخلاقية والقانونية لجمع المعلومات

تُعد الاعتبارات الأخلاقية والقانونية ضرورية في جمع المعلومات. يجب الحصول على إذن صريح من المنظمة المستهدفة، واحترام الخصوصية، وأن تكون النية بناءة لتعزيز الأمن. قانونياً، يحظر قانون الاحتيال وإساءة استخدام الكمبيوتر (CFAA) الوصول غير المصرح به. كما تنظم قوانين خصوصية البيانات مثل اللائحة العامة لحماية البيانات (GDPR) وقانون خصوصية المستهلك في كاليفورنيا (CCPA) جمع واستخدام البيانات الشخصية، حتى لو كانت متاحة للجمهور. يجب الموازنة بين جمع المعلومات الشامل والالتزام باللوائح لتجنب العواقب القانونية.

مراحل جمع المعلومات

جمع المعلومات يتكون من ثلاث مراحل رئيسية: الاستطلاع، المسح، والتعداد.

الاستطلاع (Footprinting/Reconnaissance)

الاستطلاع هو المرحلة الأولية لجمع البيانات حول الهدف دون تفاعل مباشر (سلبي) ثم بتفاعل محدود (نشط). يهدف إلى بناء ملف تعريف شامل للهدف، بما في ذلك نطاقات الشبكة، وتفاصيل النطاق، والوضع الأمني، ونقاط الدخول المحتملة، ومعلومات الموظفين. تشمل التقنيات جمع معلومات المصادر المفتوحة (OSINT)، وتحليل كود HTML، وGoogle Dorking، وأدوات مثل WHOIS وtheHarvester.

المسح (Scanning)

المسح يتضمن التفاعل المباشر مع النظام لتحديد الأجهزة النشطة، والمنافذ المفتوحة، والخدمات المتاحة، ونقاط الضعف المحتملة. يُعد المسح نشطاً ويترك آثاراً. يشمل مسح المنافذ (لتحديد حالة المنافذ)، ومسح الشبكة (لاكتشاف الأجهزة وعناوين IP)، ومسح الثغرات الأمنية (لاكتشاف الثغرات المعروفة). Nmap هي الأداة الأكثر شيوعاً.

التعداد (Enumeration)

التعداد هو المرحلة الأكثر تفصيلاً، حيث يتم تجميع معلومات دقيقة حول النظام. يهدف إلى الكشف عن أسماء المستخدمين، والأنظمة، والموارد المشتركة، والخدمات الأخرى لاستغلال نقاط الضعف. تشمل المعلومات المستهدفة أسماء المستخدمين والمجموعات، والمنافذ والخدمات المفتوحة، وتفاصيل NetBIOS، واستعلامات SNMP، وتفاصيل DNS. يمكن استخدام Nmap، وSMBEnum، وSNMPcheck، وSuperScan.

هذه المراحل متسلسلة وتراكمية، حيث تشكل "مخططاً" شاملاً للهدف، فالتعداد يأتي "بعد الاستطلاع والمسح".

المرحلة	الهدف العام	دور جمع المعلومات
الاستطلاع (Reconnaissance/Footprinting)	جمع أكبر قدر ممكن من المعلومات حول الهدف	جمع المعلومات الأولية، تحديد النطاق، فهم البنية التحتية والوضع الأمني
المسح (Scanning)	تحديد المنافذ المفتوحة، الأجهزة النشطة، والخدمات	تحديد نقاط الدخول المحتملة والثغرات الأمنية في الخدمات والبرامج
التعداد (Enumeration)	استخراج معلومات مفصلة عن المستخدمين، الأنظمة، والموارد	الحصول على "مخطط" تفصيلي للنظام، وتحديد نقاط الضعف الدقيقة

جمع المعلومات النشط (Active Information Gathering)

يتضمن جمع المعلومات النشط التفاعل المباشر مع النظام المستهدف لجمع البيانات، مما يترك آثاراً ويزيد من مخاطر الاكتشاف، ولكنه يوفر معلومات أكثر دقة. يتطلب خبرة تقنية وأدوات متخصصة.

التقنيات والأمثلة

1. مسح المنافذ والشبكة: باستخدام Nmap لتحديد المنافذ المفتوحة والخدمات. مثال: nmap -A -T4 example.com.

2. انتزاع اللافتات: الاتصال بخدمة للحصول على معلومات حول البرنامج وإصداره. مثال: curl http://example.com.

3. تحليل Traceroute: رسم خرائط لكيفية انتقال البيانات بين الشبكات للكشف عن البنية التحتية.

4. الهندسة الاجتماعية: التلاعب بالموظفين للكشف عن بيانات سرية.

5. القيادة اللاسلكية والطائرات بدون طيار: مسح شبكات Wi-Fi أو توصيل أجهزة خبيثة.

الأدوات الرئيسية

1. Nmap: أداة مفتوحة المصدر لمسح الشبكة، والمنافذ، وكشف الخدمات، وتحديد نظام التشغيل. يمكنها تحديد حالة المنفذ (مفتوح، مغلق، مفلتر) باستخدام تقنيات مثل TCP SYN Scan (-sS) وTCP Connect Scan (-sT) وUDP Scan (-sU).

2. Wireshark: محلل بروتوكولات شبكة قوي لالتقاط وتحليل حركة مرور الشبكة في الوقت الفعلي، للكشف عن البرامج الضارة والنشاط المشبوه. يمكنه تصفية حركة مرور HTTP (مثل tcp port 80) وتحليل الحمولة.

جمع المعلومات السلبي (Passive Information Gathering)

يركز جمع المعلومات السلبي على تجميع البيانات دون تفاعل مباشر مع النظام المستهدف، مما يقلل من مخاطر الكشف. يعتمد على ذكاء المصادر المفتوحة (OSINT) ويتطلب خبرة وأدوات أقل.

. التقنيات والأمثلة

1. ذكاء المصادر المفتوحة (OSINT): استخدام المعلومات المتاحة للجمهور من محركات البحث، ووسائل التواصل الاجتماعي، والسجلات العامة، ومراقبة الويب المظلم.

2. فحص كود HTML المصدر وملفات تعريف الارتباط: تحليل كود المصدر وملفات تعريف الارتباط للكشف عن معلومات حساسة.

3. بصمات البريد الإلكتروني: جمع عناوين البريد الإلكتروني وتنسيقاتها لهجمات الهندسة الاجتماعية.

4. Google Dorking: استخدام عوامل تشغيل بحث متقدمة في Google للعثور على ملفات حساسة أو قواعد بيانات غير محمية. مثال: filetype:pdf site:gov “cybersecurity guidelines”.

5. Shodan: محرك بحث متخصص للأجهزة المتصلة بالإنترنت، يكشف عن المنافذ المفتوحة والخدمات ونقاط الضعف. مثال: port:22 country:US.

6. Maltego: أداة تحليل رسومية لـ OSINT تصور العلاقات المعقدة بين الكيانات. مثال: ربط عنوان بريد إلكتروني بملفات تعريف وسائل التواصل الاجتماعي.

المعيار	جمع المعلومات النشط (Active Information Gathering)	جمع المعلومات السلبي (Passive Information Gathering)
التفاعل مع الهدف	مباشر ومقصود	غير مباشر
مخاطر الكشف	عالية	منخفضة
نوع المعلومات	أكثر دقة وحداثة	معلومات عامة، تاريخية
الخبرة والأدوات المطلوبة	عادة ما يتطلب خبرة تقنية وأدوات متخصصة	يتطلب خبرة تقنية وأدوات أقل
أمثلة على التقنيات	مسح المنافذ والشبكة (Nmap)، انتزاع اللافتات، الهندسة الاجتماعية	ذكاء المصادر المفتوحة (OSINT)، Google Dorking، WHOIS، nslookup، theHarvester

تعمق في الأدوات الأساسية

أداة WHOIS

WHOIS هو بروتوكول استعلام واستجابة يُستخدم لاسترداد معلومات التسجيل المتاحة للجمهور حول أسماء النطاقات وعناوين IP وأصحابها. يوفر بيانات مثل اسم المالك، وتواريخ التسجيل والانتهاء، وخوادم الأسماء، ومعلومات الاتصال. يُستخدم لتحديد التهديدات، وتتبع أصول التصيد الاحتيالي، والكشف عن احتكار النطاقات، وتحليل البنية التحتية. مثال: whois example.com. تواجه قيوداً بسبب لوائح خصوصية البيانات مثل GDPR، التي تحجب العديد من التفاصيل الشخصية.

نقطة البيانات	الأهمية في الأمن السيبراني
اسم المالك / المنظمة	تحديد المسؤول عن النطاق، تتبع الكيانات المشبوهة
تواريخ التسجيل والانتهاء	تقييم مصداقية النطاق، الكشف عن التغييرات المشبوهة
خوادم الأسماء (Name Servers)	فهم البنية التحتية لـ DNS، تحديد مقدمي الخدمة
اسم المسجل (Registrar Name)	تحديد الشركة التي تدير تسجيل النطاق
معلومات الاتصال (البريد الإلكتروني والهاتف)	تحديد أهداف محتملة للهندسة الاجتماعية (إذا كانت عامة)
الموقع الفعلي للخادم	تحديد الموقع الجغرافي للبنية التحتية المستهدفة

أداة NSLOOKUP

nslookup هي أداة سطر أوامر للاستعلام عن نظام أسماء النطاقات (DNS)، وتوفر تفاصيل حول أسماء النطاقات وعناوين IP. تُستخدم لاسترداد سجلات DNS مثل A، AAAA، MX، NS، CNAME، وTXT. تُعد ضرورية لتشخيص مشاكل DNS (مثل أوقات الاستجابة البطيئة، سجلات DNS غير الصحيحة، أخطاء الخادم) ولتحليل الأمن السيبراني (مثل الكشف عن التصيد الاحتيالي وعناوين IP الضارة، وتحديد أصل هجمات DDoS). تعمل في وضعين: غير التفاعلي (للبرامج النصية) والتفاعلي (للاستعلامات المتكررة).

الأمر	الغرض	مثال
nslookup	استرداد عنوان IP الافتراضي المرتبط بالنطاق (سجل A)	nslookup example.com
nslookup -type=MX	استرداد معلومات خادم البريد (Mail Exchange) لنطاق ما	nslookup -type=MX example.com
nslookup	إجراء بحث DNS عكسي للعثور على اسم النطاق المرتبط بعنوان IP	nslookup 192.168.1.1
nslookup	الاستعلام من خادم DNS محدد بدلاً من الخادم الافتراضي	nslookup example.com 8.8.8.8

أداة theHarvester

theHarvester هي أداة OSINT قوية لجمع المعلومات المتعلقة بالنطاقات والمنظمات المستهدفة من مصادر عامة. تجمع معلومات حيوية مثل النطاقات الفرعية، ورسائل البريد الإلكتروني، وعناوين IP، وأسماء المضيفين، والمضيفين الافتراضيين، والمنافذ المفتوحة، وأسماء الموظفين. تُستخدم المعلومات في مرحلة الاستطلاع لاختبار الاختراق، خاصة عناوين البريد الإلكتروني لهجمات الهندسة الاجتماعية.

أمثلة على الأوامر:

• theHarvester -d infosectrain.com -b yahoo (بحث أساسي عن نطاق فرعي)
• theHarvester -d infosectrain.com -b all (بحث شامل من جميع المصادر)
• theHarvester -d infosectrain.com -b yahoo,bing -l 100 -v (بحث متعمق مع وضع مطول)
• theharvester -d example.com -b yahoo,bing -f results (حفظ النتائج في ملف)

يمكن تحسين النتائج بدمج مفاتيح API لخدمات خارجية مثل Hunter.io.

الخيار	الغرض	مثال الاستخدام
-d	تحديد النطاق المستهدف للبحث	theHarvester -d example.com
-b	تحديد مصدر البيانات (مثل yahoo, bing, shodan, all)	theHarvester -d example.com -b yahoo,bing
-l	تحديد عدد النتائج التي يتم جلبها من مصادر البيانات	theHarvester -d example.com -b all -l 50
-f	حفظ الإخراج في ملف (بتنسيق HTML افتراضياً، أو XML/JSON)	theHarvester -d example.com -b all -f results

تابع الجزء الثالث من

الخاتمة

يُعد جمع المعلومات حجر الزاوية في الأمن السيبراني، سواء لأغراض هجومية أو دفاعية. من خلال مراحل الاستطلاع، والمسح، والتعداد، يمكن للمتخصصين فهم الوضع الأمني للهدف وتحديد نقاط الضعف. الفهم العميق للفرق بين التقنيات النشطة والسلبي، وكيفية استخدام الأدوات الرئيسية مثل whois وnslookup وtheHarvester، يمكّن المحترفين من جمع معلومات دقيقة مع إدارة مخاطر الكشف.

إن التطور المستمر لتقنيات الهجوم والدفاع يعني أن جمع المعلومات هو عملية مستمرة، وليست حدثاً لمرة واحدة. يجب على محترفي الأمن السيبراني الانخراط في التعلم المستمر وتطوير المهارات. من المتوقع أن تلعب الأتمتة والذكاء الاصطناعي دوراً متزايد الأهمية في تبسيط عمليات جمع المعلومات وتحليلها في المستقبل. علاوة على ذلك، تستمر الأطر القانونية المتعلقة بخصوصية البيانات والوصول إلى الكمبيوتر في التطور، مما يتطلب من المحترفين البقاء على اطلاع دائم لضمان الامتثال القانوني والأخلاقي.