> ## Content Index > Fetch the complete content index at: https://arabroot.io/llms.txt > Use this file to discover other available public pages before exploring further. # أدوار الأمن السيبراني Careers: ماذا يعمل كل دور، ومن أين تبدأ؟ - URL: https://arabroot.io/articles/ادوار-الامن-السيبراني-من-محلل-soc-الى-grc/ - Published: 2026-10-26T17:31:23.000Z - Updated: 2026-10-28T11:28:22.000Z - Description: تسعة أدوار في الأمن السيبراني من المراجع الرسمية: اليوم العادي والمهارات والأدوات، ومن أي مستوى يبدأ كل دور. - Author: فريق عرب رووت - Tags: الأدلة التقنية, الأمن السيبراني, الفرق والمنتج في الأسبوع الثامن من برنامج التدريب الذي وصفناه في [خطة التدريب في الأمن السيبراني](https://arabroot.io/start/#stage-sec-start)، جلس خالد، طالب نظم المعلومات في سنته الأخيرة، مع مشرفته نورة في ساعة المراجعة وسأل سؤالاً بسيطاً في ظاهره: «أي دور أختار؟». فقد أحب أسبوع المراقبة لأن التنبيهات تتحرك أمامه، وأحب أسبوع الاختبار المصرح به لأنه شعر أنه يفهم المهاجم، وأحب أسبوع الحوكمة على غير توقع لأنه رأى كيف يتحول الضابط إلى دليل. ثم فتح منصات الوظائف فوجد مسميات لا تنتهي: محلل SOC، ومهندس أمن، ومحلل أمن معلومات، وأخصائي أمن سيبراني، وكل إعلان يطلب كل شيء. وهذا السؤال يسأله تقريباً كل من يبدأ في هذا المجال، وأغلب الإجابات المنتشرة عنه آراء شخصية أو قوائم رواتب لا يعرف أحد مصدرها. لذلك سوف نجيب عنه في هذا المقال من المراجع الرسمية فقط: [الإطار السعودي لكوادر الأمن السيبراني SCyWF](https://nca.gov.sa/en/pages/scywf.html?ref=arabroot.io) من الهيئة الوطنية للأمن السيبراني وملحق المسارات المهنية الذي صدر معه في 2026، و[إطار NICE](https://www.nist.gov/itl/applied-cybersecurity/nice/nice-framework-resource-center/nice-framework-current-versions?ref=arabroot.io) من NIST، و[الإطار الأوروبي ECSF](https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf?ref=arabroot.io) من ENISA، وصفحات الشهادات الرسمية من الجهات التي تصدرها. ولن تجد في المقال أي رقم رواتب، والسبب أن الرقم الذي لا تعرف مصدره ولا تاريخه ولا مدينته يضرك أكثر مما يفيدك. وسوف نمشي مع خالد على تسعة أدوار، ونسأل في كل واحد منها: ماذا يعمل صاحبه يومياً، وما المهارات والأدوات، وكيف تبدأ فيه، وأي مراحل [مسار الأمن السيبراني](https://arabroot.io/start/#stage-sec-start) في الموقع تقودك إليه. وسوف نناقش في هذا المقال ما يلي: - لماذا تربكك المسميات الوظيفية، وكيف تصف الأطر الرسمية الثلاثة نفس العمل بأسماء مختلفة. - الأدوار التسعة في ثلاث عائلات: الكشف والاستجابة، والاختبار والبناء، والحوكمة والتصميم. - لكل دور: اليوم العادي، والمهارات، والأدوات، وطريقة البداية، والمراحل التي تقود إليه في المسار. - من أي مستوى يبدأ كل دور بحسب ملحق المسارات المهنية في SCyWF، ولماذا لا يبدأ أحد مختبراً للاختراق من أول يوم. - الأدوار التي تتشارك المعرفة، وكيف يكون الانتقال الجانبي Lateral Move أسهل بينها. - الشهادات Certifications: ماذا تقول صفحاتها الرسمية فعلاً، وأين تفيد وأين لا تفيد. - تجربة عملية: نقرأ ملفات SCyWF وNICE الرسمية بسكربت، ونعد المهام والمعرفة والمهارات لكل دور، ونقيس التداخل بين الأدوار. - كيف تبدأ فعلياً، وجدول قرار، وأخطاء شائعة. ## لماذا تربكك المسميات الوظيفية؟ أول ما لاحظه خالد أن الإعلانات لا تتفق على شيء. فإعلان «محلل أمن معلومات» في شركة يعني فرز تنبيهات الـ SIEM، وفي شركة أخرى يعني تعبئة استبيانات الامتثال، و«مهندس أمن» في بنك يعني إدارة جدران الحماية، وفي شركة برمجيات يعني مراجعة الكود. والسبب أن المسمى الوظيفي يكتبه قسم الموارد البشرية في كل جهة بحسب هيكلها، ولا يوجد مسمى واحد ملزم للجميع. وهذا بالضبط سبب وجود أطر الكوادر Workforce Frameworks: فهي لا تصف المسميات، وإنما تصف العمل نفسه، أي المهام Tasks والمعرفة Knowledge والمهارات Skills، ثم تجمعها في أدوار Job Roles لها معرفات ثابتة. والأطر الثلاثة التي يرجع إليها الناس في منطقتنا هي التالية، والصورة بعدها تقارن بينها: - **SCyWF من الهيئة الوطنية للأمن السيبراني:** يصف نفسه بأنه مرجع ودليل لإعداد كوادر الأمن السيبراني وتطويرها وتوظيفها وترقيتها وإدارتها، ويقسم العمل إلى 5 فئات و12 مجالاً تخصصياً و40 دوراً، كما في [وثيقة الإطار SCyWF 1.5: 2026](https://cdn.nca.gov.sa/api/files/public/upload/10e84574-a212-4056-b280-6fbca6e49455%5FSCyWF%5Fmain-En-.pdf?ref=arabroot.io). وتوصي الهيئة الجهات بتبنيه لتتوافق هياكل كوادرها مع الأطر الوطنية، مع السماح بتخصيصه بشرط أن يبقى هيكله الأساسي كما هو. وقد [أعلنت الهيئة](https://nca.gov.sa/en/news/2358/?ref=arabroot.io) في 2026 تحديثه بأوصاف أدوار ومهام ومعارف ومهارات جديدة، ومجالات كفاءة Competency Areas، وملحق للمسارات المهنية. - **NICE Framework من NIST:** الإطار الأمريكي الذي بني عليه كثير من الأطر الأخرى، ومكوناته تنشر منفصلة عن وثيقة الإطار [SP 800-181 Rev. 1](https://csrc.nist.gov/pubs/sp/800/181/r1/final?ref=arabroot.io)، والإصدار الحالي منها 2.2.0 بتاريخ 28 أبريل 2025 كما في [صفحة الإصدارات الحالية](https://www.nist.gov/itl/applied-cybersecurity/nice/nice-framework-resource-center/nice-framework-current-versions?ref=arabroot.io)، ويضم 42 دوراً في 5 فئات بحسب ملف المكونات الرسمي الذي قرأناه في التجربة العملية. - **ECSF من ENISA:** الإطار الأوروبي، وهو أصغر بكثير، فيه 12 ملف دور Role Profile فقط، لكل ملف عنوان وعناوين بديلة ومهمة ومهام ومهارات ومعرفة، كما في [وثيقة ملفات الأدوار](https://www.enisa.europa.eu/sites/default/files/publications/European%20Cybersecurity%20Skills%20Framework%20Role%20Profiles.pdf?ref=arabroot.io). ![ثلاث لوحات لثلاثة أطر رسمية: SCyWF من الهيئة الوطنية للأمن السيبراني فيه 40 دوراً في 5 فئات و12 مجالاً تخصصياً ومستويات من L1 إلى L5 ومحلل SOC فيه اسمه Cybersecurity Defense Analyst برقم PD-D-001، وNICE Framework من NIST فيه 42 دوراً في 5 فئات و11 مجال كفاءة في الإصدار 2.2.0 ومحلل SOC اسمه Defensive Cybersecurity برقم PD-WRL-001، وECSF من ENISA فيه 12 ملفاً ومحلل SOC اسم بديل لملف Cyber Incident Responder، وتحتها أن الدرس هو البحث عن المهام لا المسمى](https://arabroot.io/content/images/2026/10/security-careers-02-frameworks.webp) نفس العمل له ثلاثة أسماء في ثلاثة أطر، فابحث عن المهام لا عن المسمى ولاحظ المثال في الصورة: محلل SOC الذي يجلس أمام التنبيهات اسمه في الإطار السعودي «محلل دفاع الأمن السيبراني» Cybersecurity Defense Analyst، وفي NICE اسمه Defensive Cybersecurity، وفي الإطار الأوروبي لا يوجد له ملف مستقل أصلاً، وإنما يرد «SOC Analyst» اسماً بديلاً لملف «المستجيب لحوادث الأمن السيبراني» Cyber Incident Responder. فإذا قرأ خالد إعلاناً يطلب «محلل SOC» فالسؤال الصحيح ليس عن المسمى، وإنما: هل المهام المكتوبة فيه فرز تنبيهات وتصعيد، أم استجابة كاملة للحوادث، أم الاثنان؟ والفرق كبير في اليوم العادي وفي المستوى المطلوب. وفي هذا المقال نستخدم الإطار السعودي مرجعاً أول، لأنه الإطار الذي توصي به الهيئة للجهات في المملكة، ولأن ملحق المسارات المهنية فيه يجيب عن سؤال خالد الثاني: من أي مستوى يبدأ كل دور؟ ونذكر مقابل كل دور في NICE وECSF حتى تعرف الاسم عندما تقرأ مصادر أجنبية. [![](https://arabroot.io/content/images/2026/10/security-terms-cover-cover.webp)دليلمصطلحات الأمن السيبراني للمبتدئين: من CVE إلى Purple Teamماذا تعني الكلمات التي تتكرر في كل عرض أمني، من رقم الثغرة وخطورتها إلى أدوات المراقبة SOC والفرق الحمراء والزرقاء.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-cve-%D9%88-soc/)[![](https://arabroot.io/content/images/2026/10/cyber-internship-plan-cover-cover.webp)دليلخطة تدريب Internship في الأمن السيبراني لـ 8 أو 12 أسبوعاًخطة تدريب كاملة لقسم أمن يستقبل طلبات كثيرة بوقت مشرف قليل: فرز بمهمة حقيقية، ودفعات، ومختبر مشترك، ومعيار تقييم.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-8-%D8%A7%D9%88-12-%D8%A7%D8%B3%D8%A8%D9%88%D8%B9%D8%A7/) ## تسعة أدوار في ثلاث عائلات الأطر الرسمية فيها عشرات الأدوار، منها أدوار قيادية مثل مدير أمن المعلومات CISO، وأدوار متخصصة جداً مثل الهندسة العكسية للبرمجيات الخبيثة Malware Reverse Engineering وأمن الأنظمة الصناعية ICS/OT. وأما الأدوار التسعة في هذا المقال فهي التي يسأل عنها أغلب المبتدئين، والتي يمر عليها مسار الموقع، وقد جمعناها في ثلاث عائلات بحسب سؤال يجيب عنه كل دور: ![ثلاثة أعمدة: الكشف والاستجابة فيه محلل SOC يفرز التنبيهات بأدوات Wazuh وSuricata وZeek، والمستجيب للحوادث يحتوي الحادثة ويجمع الأدلة بأدوات TheHive وPlaso وVelociraptor، واستخبارات التهديدات تحول أخبار المهاجمين إلى مؤشرات بأدوات MISP وOpenCTI وATT&CK، وعمود الاختبار والبناء فيه إدارة الثغرات بأدوات Trivy وNuclei وDefectDojo ومختبر الاختراق بأدوات Nmap وKali وBurp أو ZAP وأمن التطبيقات بأدوات Semgrep وZAP وASVS ومهندس الأمن بأدوات authentik وCrowdSec وLynis، وعمود الحوكمة والتصميم فيه الحوكمة والامتثال بأدوات CISO Assistant وSimpleRisk ومعماري الأمن بنمذجة التهديدات، وملاحظة أن مختبر الاختراق والمعماري يبدآن عادة بعد خبرة](https://arabroot.io/content/images/2026/10/security-careers-01-roles-map.webp) كل عائلة تجيب عن سؤال: ماذا يحدث الآن؟ ما الضعيف قبل أن يستغل؟ هل نحن ملتزمون ومصممون بشكل صحيح؟ - **الكشف والاستجابة:** ماذا يحدث الآن، وهل هو هجوم؟ وفيها محلل SOC والمستجيب للحوادث ومحلل استخبارات التهديدات. - **الاختبار والبناء:** ما الضعيف قبل أن يستغله أحد، وكيف نبني ما لا يضعف؟ وفيها إدارة الثغرات ومختبر الاختراق وأمن التطبيقات ومهندس الأمن. - **الحوكمة والتصميم:** هل نحن ملتزمون بما يطلبه النظام والعقد، وهل التصميم كله سليم؟ وفيها الحوكمة والامتثال GRC ومعماري الأمن. والجدول التالي يضع كل دور مع معرفه في الأطر الثلاثة، والأرقام في عمودي المهام والمعرفة من قراءة الوثائق الرسمية بسكربت في [التجربة العملية](#lab): | الدور في هذا المقال | SCyWF | المهام والمعرفة والمهارات في SCyWF | NICE 2.2.0 | ECSF | | --------------------- | ------------------------------------------------ | ---------------------------------- | --------------------------------------- | ---------------------------------------- | | محلل SOC | Cybersecurity Defense Analyst PD-D-001 | 43 و87 و40 | Defensive Cybersecurity PD-WRL-001 | اسم بديل في Cyber Incident Responder | | المستجيب للحوادث | Cybersecurity Incident Responder PD-IR-001 | 27 و42 و78 | Incident Response PD-WRL-003 | Cyber Incident Responder | | استخبارات التهديدات | Threat Intelligence Analyst PD-TM-001 | 25 و36 و40 | Threat Analysis PD-WRL-006 | Cyber Threat Intelligence Specialist | | إدارة الثغرات | Vulnerability Assessment Specialist PD-VA-001 | 12 و38 و23 | Vulnerability Analysis PD-WRL-007 | اسم بديل في Penetration Tester | | مختبر الاختراق | Penetration Tester/Red Team Specialist PD-VA-002 | 14 و38 و25 | داخل Vulnerability Analysis | Penetration Tester | | أمن التطبيقات AppSec | Secure Software Assessor CARD-CRD-003 | 42 و63 و45 | Software Security Assessment DD-WRL-005 | لا يوجد ملف مستقل | | مهندس الأمن | Cybersecurity Infrastructure Specialist PD-D-002 | 11 و37 و30 | Infrastructure Support PD-WRL-004 | Cybersecurity Implementer | | الحوكمة والامتثال GRC | Cybersecurity Compliance Officer GRCL-GRC-002 | 35 و19 و20 | Security Control Assessment OG-WRL-012 | Cyber Legal, Policy & Compliance Officer | | معماري الأمن | Cybersecurity Architect CARD-CA-001 | 33 و78 و39 | Cybersecurity Architecture DD-WRL-001 | Cybersecurity Architect | وفي الجدول أعلاه لاحظ التالي: - NICE لا يفصل مختبر الاختراق في دور مستقل، وإنما يضعه داخل دور تحليل الثغرات Vulnerability Analysis، بينما يفصله الإطار السعودي والأوروبي، وهذا يعكس الواقع في كثير من الجهات حيث يقوم نفس الشخص بفحص الثغرات واختبار الاختراق. - الأرقام ليست مقياساً لصعوبة الدور، فقائمة المهام في دور أخصائي البنية التحتية 11 مهمة فقط، لكن كل مهمة منها واسعة مثل تشغيل أنظمة الحماية وصيانتها، والمهم ما في القائمة لا طولها. - الأطر الثلاثة متقاربة في التقسيم الكبير، ومختلفة في التفاصيل، وهذا طبيعي لأن الإطار السعودي يقول عن نفسه إنه بني على أفضل الممارسات الدولية وعدل ليناسب احتياج المملكة. ## محلل SOC: من يفرز التنبيهات ويقرر أيها حادثة في أسبوع المراقبة رأى خالد هذا الدور من الداخل. يبدأ اليوم في مركز العمليات الأمنية SOC بقائمة تنبيهات وصلت في الليل من الـ SIEM ومن أنظمة كشف التسلل، وأغلبها ليس هجوماً: سيرفر فحص الثغرات الداخلي الذي يعمل كل ليلة، وموظف نسي كلمة مروره ثلاث مرات، وقاعدة كشف عامة جداً تطلق على حركة طبيعية. وعمل المحلل أن يأخذ كل تنبيه ويمر به على خمس خطوات: الفرز Triage، ثم الإثراء Enrichment بالسياق، أي من صاحب هذا الجهاز وماذا حدث قبله وبعده، ثم القرار، ثم التصعيد Escalation إذا كان حقيقياً، ثم التوثيق. والإطار السعودي يصف المستوى الأول من هذا الدور بأنه يساعد الفريق بالمراقبة والفرز الأول للأحداث، ويساعد في بناء التواقيع Signatures لأدوات الشبكة، ويكتب تقارير ملخصة، كما في [ملحق المسارات المهنية](https://cdn.nca.gov.sa/api/files/public/upload/fbf83e21-921e-49e3-aba5-6574b26be2c7%5FSCyWF%5FCP-En--.pdf?ref=arabroot.io). - **المهارات:** قراءة السجلات Logs بسرعة ودقة، وفهم الشبكات وبروتوكولاتها، وأنظمة Linux وWindows، والتفرقة بين الإنذار الخاطئ False Positive والتنبيه الصحيح True Positive، والكتابة الواضحة لملاحظة التصعيد، والصبر على التكرار. - **الأدوات:** منصة SIEM مثل Wazuh، وأنظمة كشف التسلل مثل Suricata، وسجلات الشبكة مثل Zeek، ومصفوفة ATT&CK لتسمية ما تراه. - **كيف تبدأ:** هذا من أكثر الأدوار التي يبدأ منها الخريجون، فالإطار السعودي يجعله يبدأ من المستوى الأول L1 لخريج بدبلوم QR1، ويمكنك أن تبني مختبراً منزلياً بـ Wazuh وتفرز تنبيهاته بنفسك قبل أي مقابلة. - **ما يتعبك فيه:** العمل بنوبات Shifts في بعض الجهات، وكثرة الإنذارات الخاطئة، وأن الخطأ في تنبيه واحد قد يكون هو الحادثة التي فاتت. [![](https://arabroot.io/content/images/2026/10/wazuh-lab-cover-cover.webp)دليلمراقبة السيرفرات مع Wazuh: من السجل Log إلى حظر المهاجمشغلنا Wazuh مع وكيل على سيرفر تجريبي، فكشف تخمين كلمات مرور SSH وحظر المهاجم تلقائياً، ونبه على ملف PHP دخيل خلال ثانية.](https://arabroot.io/articles/%D9%85%D8%B1%D8%A7%D9%82%D8%A8%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-wazuh-%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%89-%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85/)[![](https://arabroot.io/content/images/2026/10/suricata-zeek-cover-cover.webp)دليلمراقبة الشبكة واكتشاف التسلل IDS مع Suricata وZeekمختبر حقيقي يقرأ الحركة نفسها بأداتين، فيكشف Suricata الهجمات المعروفة ويكتب Zeek سجلاً لكل اتصال، مع الضبط وفقد الحزم.](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%AA%D8%B3%D9%84%D9%84-%D9%81%D9%8A-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-ids-%D9%85%D8%B9-suricata-%D9%88-zeek/)[![](https://arabroot.io/content/images/2026/10/soc-triage-cover-cover.webp)دليليوم محلل SOC: فرز التنبيهات Alert Triage من التنبيه إلى القرارستة عشر تنبيهاً حقيقياً من Wazuh وSuricata نفرزها واحداً واحداً بالإثراء من Zeek حتى القرار والتصعيد.](https://arabroot.io/articles/%D9%8A%D9%88%D9%85-%D9%85%D8%AD%D9%84%D9%84-soc-%D9%81%D8%B1%D8%B2-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87%D8%A7%D8%AA-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D9%82%D8%B1%D8%A7%D8%B1/)[![](https://arabroot.io/content/images/2026/10/mitre-attack-cover-cover.webp)دليلMITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوةلغة موحدة لسلوك المهاجمين مبنية على حوادث موثقة، نقرأ بها هجوم فدية حقيقياً مرحلة بمرحلة ونربط كل خطوة بالدفاع المقابل.](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/) ## المستجيب للحوادث Incident Responder: من يحتوي الحادثة ويعيد الخدمة عندما يصعد محلل SOC تنبيهاً ويتأكد أنه حادثة، ينتقل العمل إلى المستجيب. وفي أسبوع الاستجابة رأى خالد الفرق بين الاثنين: المحلل يسأل «هل هذا هجوم؟»، والمستجيب يسأل «ما الذي وصل إليه المهاجم، وكيف نخرجه، وكيف نعيد الخدمة دون أن نمحو الأدلة؟». ويصف الملحق المستوى الثاني من هذا الدور بأنه يجمع بيانات الحادثة، ويفرز التنبيهات لتحديد الاختراقات، ويربط البيانات ليحدد الثغرات، وينفذ الإجراءات كما هي في خطة الاستجابة للحوادث، وأما المستوى الثالث فيقيم خطورة الحادثة ويعلنها ويحدد نطاقها وإجراءات الاحتواء والإزالة العاجلة، ويحلل الأدلة من الأجهزة والشبكة بعمق. - **المهارات:** مراحل الاستجابة من الاستعداد إلى الدروس المستفادة، وحفظ الأدلة بالهاش وسلسلة الحيازة، والخط الزمني للحادثة، والتحقيق في Linux وWindows والذاكرة، والتواصل تحت الضغط مع الإدارة والفريق القانوني. - **الأدوات:** منصة إدارة الحالات مثل TheHive، وأدوات الخط الزمني مثل Plaso، وأدوات البحث في كل الأجهزة مثل Velociraptor، وتحليل الذاكرة بـ Volatility. - **كيف تبدأ:** الإطار السعودي يبدأ هذا الدور من المستوى الثاني L2، ومن الأدوار التي يأتي منها «الأدوار التقنية للأمن السيبراني» في نفس المستوى، أي أن الطريق المعتاد يمر بدور مثل محلل SOC أولاً، وهذا منطقي لأن المستجيب يحتاج أن يعرف شكل التنبيهات قبل أن يتعامل مع ما بعدها. - **ما يتعبك فيه:** الحادثة لا تختار وقتاً مناسباً، والقرارات فيها لها ثمن، مثل فصل سيرفر إنتاج أثناء ساعات العمل. [![](https://arabroot.io/content/images/2026/10/ir-playbooks-cover-cover.webp)دليلخطة الاستجابة للحوادث Incident Response وكتيبات التشغيل Playbooksخطة استجابة وكتيبا حساب مخترق وفدية على NIST SP 800-61r3، مع مختبر نستعيد فيه البيانات من نسخة restic.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)[![](https://arabroot.io/content/images/2026/10/dfir-basics-cover-cover.webp)دليلالتحقيق الرقمي DFIR للمبتدئين: احفظ الأدلة قبل أن تنظف السيرفرماذا تفعل عندما تشك أن سيرفرك مخترق، ولماذا تمسح إعادة التشغيل والتنظيف الأدلة التي تحتاجها لتعرف ما حدث.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-dfir/)[![](https://arabroot.io/content/images/2026/10/compromised-linux-cover-cover.webp)دليلفحص سيرفر Linux مخترق دون أن تفسد الأدلةفحصنا سيرفراً مخترقاً في المختبر خطوة خطوة بالطريقة الصحيحة، فوجدنا برنامجاً من ملف محذوف وأمر ls مزروعاً ووقتاً مزوراً، دون أن نفسد دليلاً.](https://arabroot.io/articles/%D9%81%D8%AD%D8%B5-%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-linux-%D9%85%D8%AE%D8%AA%D8%B1%D9%82-%D8%AF%D9%88%D9%86-%D8%A7%D9%86-%D8%AA%D9%81%D8%B3%D8%AF-%D8%A7%D9%84%D8%A7%D8%AF%D9%84%D8%A9/)[![](https://arabroot.io/content/images/2026/10/timeline-plaso-cover-cover.webp)دليلالخط الزمني للحادث Timeline مع Plaso وTimesketchبنينا خطاً زمنياً شاملاً لحادثة اختراق سيرفر بأداة Plaso، فأعاد الهجوم بالدقيقة، ثم رفعناه إلى Timesketch وشغلنا محلل تخمين كلمة المرور.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AE%D8%B7-%D8%A7%D9%84%D8%B2%D9%85%D9%86%D9%8A-%D9%84%D9%84%D8%AD%D8%A7%D8%AF%D8%AB-timeline-%D9%85%D8%B9-plaso-%D9%88-timesketch/)[![](https://arabroot.io/content/images/2026/10/thehive-lab-cover-cover.webp)دليلالاستجابة للحوادث Incident Response مع TheHiveحولنا تنبيهاً عن دخول مريب إلى حساب FTP إلى قضية في TheHive بمهام ومؤشرات وأسلوب ATT&CK، وقسنا ما تسمح به الرخصة فعلاً.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/) ## محلل استخبارات التهديدات Threat Intelligence سأل خالد نورة: من الذي يعرف أن مجموعة فدية معينة بدأت تستهدف شركات النقل في المنطقة؟ والإجابة هي هذا الدور. فمحلل الاستخبارات يجمع المعلومات من مصادر متعددة، مثل نشرات الجهات الرسمية وتقارير الموردين ومؤشرات الاختراق المشتركة، ويحولها إلى شيء يستخدمه الفريق: مؤشرات تضاف إلى الـ SIEM، وقواعد كشف لأسلوب جديد، وتقرير قصير للإدارة يقول ما الذي يهمنا من كل هذا وما لا يهمنا. والإطار السعودي يصفه بأنه يجمع ويحلل المعلومات عن التهديدات ليفهم أساليب المهاجمين وتقنياتهم وإجراءاتهم TTPs، ويستخرج المؤشرات التي تساعد الجهة على كشف الحوادث وتوقعها، ويصف المستوى الثاني منه بمراقبة المصادر المفتوحة والإبلاغ عن نشاط المهاجمين. - **المهارات:** مصفوفة ATT&CK ولغتها، والكتابة التحليلية التي تفرق بين ما نعرفه وما نظنه، ومعايير المشاركة مثل STIX وTAXII، والقدرة على قراءة تقرير تقني طويل واستخراج ما يخص جهتك منه. - **الأدوات:** منصات مثل MISP وOpenCTI، ومصادر المؤشرات، ومحركات البحث في السجلات لتجربة المؤشر على بياناتك. - **كيف تبدأ:** يبدأ من المستوى الثاني L2 في الإطار السعودي، ومن الأدوار التي يأتي منها الباحث في الأمن السيبراني بنفس المستوى. وفي جهة صغيرة لا يوجد غالباً موظف متفرغ لهذا الدور، وإنما يقوم به محلل SOC أو المستجيب جزءاً من وقته. - **تنبيه:** هذا أقل الأدوار التسعة تداخلاً في المعرفة مع أمن التطبيقات، كما سنرى في [قسم التداخل](#overlap)، فالانتقال بينهما يشبه البداية من جديد. [![](https://arabroot.io/content/images/2026/10/mitre-attack-cover-cover.webp)دليلMITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوةلغة موحدة لسلوك المهاجمين مبنية على حوادث موثقة، نقرأ بها هجوم فدية حقيقياً مرحلة بمرحلة ونربط كل خطوة بالدفاع المقابل.](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/)[![](https://arabroot.io/content/images/2026/10/build-threat-intel-cover-cover.webp)دليلكيف تبني منصة استخبارات التهديدات؟ STIX وTAXIIكيف تجمع منصات التهديدات المؤشرات وتثريها وتشاركها، مع تجربة تطابق مغذي C2 حقيقياً بمؤشرات STIX.](https://arabroot.io/articles/%D9%85%D9%86%D8%B5%D8%A9-%D8%A7%D8%B3%D8%AA%D8%AE%D8%A8%D8%A7%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D9%87%D8%AF%D9%8A%D8%AF%D8%A7%D8%AA-stix-%D9%88-taxii/) ## إدارة الثغرات Vulnerability Management يوم الثلاثاء نشرت إحدى الجهات نشرة ثغرة حرجة في مكتبة يستخدمها نصف سيرفرات الشركة، وكان السؤال الأول في القسم: هل نحن متأثرون، وأين بالضبط؟ وهذا هو عمل إدارة الثغرات: جرد ما يعمل في الجهة، ومطابقته مع الثغرات المنشورة، وترتيب الأولوية بحسب الخطورة واحتمال الاستغلال، ومتابعة الإصلاح حتى يتأكد بإعادة الفحص. والإطار السعودي يصف أخصائي تقييم الثغرات بأنه يقيم الأنظمة والشبكات، ويحدد أين تنحرف عن الإعدادات المقبولة أو السياسات، ويقيس فعالية الدفاع في العمق أمام الثغرات المعروفة. - **المهارات:** فهم CVE وCVSS وEPSS وقائمة KEV، ولماذا يخدعك رقم الإصدار على توزيعات Linux بسبب الإصلاحات المنقولة Backports، والتعامل مع فرق التشغيل التي تملك الإصلاح، وكتابة تقرير يفهمه المدير. - **الأدوات:** Trivy وGrype للحزم، وNuclei وOpenVAS للفحص الشبكي، وDefectDojo لتتبع النتائج. - **كيف تبدأ:** يبدأ من المستوى الأول L1، وهو من أفضل أبواب الدخول، لأنه يجعلك ترى كل الأنظمة، ويعلمك العمل مع الفرق الأخرى. وينتهي في الإطار عند المستوى الثالث، أي أن صاحبه ينتقل بعدها غالباً إلى دور آخر مثل اختبار الاختراق أو هندسة الأمن. [![](https://arabroot.io/content/images/2026/10/vuln-management-cover-cover.webp)دليلإدارة الثغرات Vulnerability Management: هل سيرفرك متأثر؟كيف تعرف خلال ساعات أن ثغرة جديدة تمس سيرفراتك، ولماذا يخدعك رقم الإصدار، وكيف ترتب الإصلاح وتتأكد أنه تم فعلاً.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/)[![](https://arabroot.io/content/images/2026/10/vuln-lab-cover-cover.webp)دليلمختبر Lab: اكتشف السيرفرات المتأثرة بثغرة CVE جديدة وأصلحهافحصنا ثلاثة سيرفرات قديمة وسيرفراً محدثاً بأدوات Trivy وWazuh وسكربت تنبيه صغير، فظهر من يكتشف ثغرة الأسبوع ومن يفوته.](https://arabroot.io/articles/%D9%85%D8%AE%D8%AA%D8%A8%D8%B1-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%AA%D8%A7%D8%AB%D8%B1%D8%A9-%D8%A8%D8%AB%D8%BA%D8%B1%D8%A9-cve-%D9%88%D8%A7%D8%B5%D9%84%D8%A7%D8%AD%D9%87%D8%A7/)[![](https://arabroot.io/content/images/2026/10/nuclei-lab-cover-cover.webp)دليلفحص الثغرات المعروفة Known Vulnerabilities مع Nucleiشغلنا Nuclei على خدمات قديمة في شبكة Docker معزولة، فأصاب في ثغرات Apache وGrafana وأعطى أربعة إنذارات خاطئة على Redis.](https://arabroot.io/articles/%D9%81%D8%AD%D8%B5-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B9%D8%B1%D9%88%D9%81%D8%A9-%D9%85%D8%B9-nuclei-%D9%81%D9%8A-%D9%85%D8%AE%D8%AA%D8%A8%D8%B1-%D9%85%D8%B9%D8%B2%D9%88%D9%84/)[![](https://arabroot.io/content/images/2026/10/defectdojo-lab-cover-cover.webp)دليلإدارة نتائج الفحص والثغرات مع DefectDojoاستوردنا نتائج Nuclei وOpenVAS الحقيقية إلى DefectDojo، فجمع التكرار وأغلق المصلح وحده، وكاد إعداد افتراضي واحد أن يفسد كل شيء.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D9%86%D8%AA%D8%A7%D8%A6%D8%AC-%D8%A7%D9%84%D9%81%D8%AD%D8%B5-%D9%88%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-defectdojo/) ## مختبر الاختراق Penetration Tester هذا الدور هو ما يتخيله أغلب الطلاب عندما يسمعون «الأمن السيبراني»، وهو الدور الذي جعل خالد يتردد أكثر من غيره. ومختبر الاختراق يحاول بإذن مكتوب ونطاق محدد أن يصل إلى ما لا يجب أن يصل إليه، بأساليب يستخدمها المهاجمون فعلاً، ثم يكتب تقريراً يقول ما وجد، وكيف يعاد إنتاجه، وكيف يصلح. والكلمة المهمة هنا «بإذن مكتوب»، فالفرق بين هذا العمل والجريمة هو الورقة الموقعة قبل أول أمر، كما شرحنا في [اختبار الاختراق المصرح به](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/). والمنتج النهائي لهذا الدور ليس الاختراق، وإنما التقرير، وكثير ممن يحبون الجزء التقني يكتشفون متأخرين أن نصف الوقت كتابة. - **المهارات:** شبكات وأنظمة تشغيل وتطبيقات ويب بعمق، والبرمجة بلغة نصية على الأقل، ومنهجية واضحة بمراحلها، وكتابة تقارير، وأخلاقيات المهنة. - **الأدوات:** Nmap للاستكشاف، وتوزيعة Kali وأدواتها، ووكيل اعتراض للويب مثل ZAP، وأدوات الفحص الآلي، وكلها على أهداف مصرح بها فقط. - **كيف تبدأ:** هنا المفاجأة التي أظهرها تحليل الوثيقة: دور مختبر الاختراق في الإطار السعودي يبدأ من المستوى الثالث L3، أي أنه ليس دوراً للمبتدئين، والملحق يذكر أن الأدوار التي تبدأ من المستوى الثالث تحتاج خبرة متوسطة وفهماً عملياً متيناً. ومن الأدوار التي يذكرها الملحق طريقاً إليه مطور الأمن السيبراني وأخصائي تطوير أمن الأنظمة في المستوى الثالث، وأما في الجهات الصغيرة فالطريق الشائع يمر بتقييم الثغرات أولاً. ولهذا قالت نورة لخالد: لا تترك الاختبار إذا أحببته، ولكن لا تجعله أول وظيفة تبحث عنها، وابدأ بدور يعلمك الأنظمة والتطبيقات من الداخل، ومارس الاختبار في مختبرك المنزلي على أهداف تملكها. [![](https://arabroot.io/content/images/2026/10/pentest-methodology-cover-cover.webp)دليلاختبار الاختراق المصرح به: المنهجية والإذن والتقريريواجه مسؤول نظم طلب المستشفى باختبار اختراق سنوي، فنرافقه وهو يفهم الإذن والنطاق وقواعد الاشتباك وبنية التقرير قبل أن يبدأ.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/nmap-cover-cover.webp)دليلاستكشاف الشبكة والمنافذ والخدمات مع Nmapنشغل Nmap على مختبر من Containers نملكها بثلاث خدمات، ونمر على الاكتشاف وفحص المنافذ وكشف الإصدار ومحرك السكربتات NSE بمخرج حقيقي.](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/)[![](https://arabroot.io/content/images/2026/10/kali-red-team-cover-cover.webp)دليلKali Linux في Docker وأدوات الفريق الأحمر الأساسيةنرافق مسؤول نظم وهو يبني محطة Kali في Docker ويوجه أدواتها إلى مختبر يملكه، فيكشف gobuster مجلدات مخفية وتجد hydra كلمة مرور ضعيفة.](https://arabroot.io/articles/kali-linux-%D9%81%D9%8A-docker-%D9%88%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D8%A7%D9%84%D9%81%D8%B1%D9%8A%D9%82-%D8%A7%D9%84%D8%A7%D8%AD%D9%85%D8%B1/)[![](https://arabroot.io/content/images/2026/10/web-vulns-lab-cover-cover.webp)دليلثغرات الويب بالتجربة: تطبيق نخترقه ثم نصلحهنرى أثر أشهر ثغرات الويب على متجر صغير على جهازك، ثم السطر المسؤول عن كل ثغرة، ثم الإصلاح والاختبار الذي يثبته.](https://arabroot.io/articles/%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D9%88%D9%8A%D8%A8-%D8%A8%D8%A7%D9%84%D8%AA%D8%AC%D8%B1%D8%A8%D8%A9-sql-injection-%D9%88-xss-%D9%88-ssrf/) ## أمن التطبيقات AppSec أغلب الاختراقات التي يعرفها الناس بدأت من ثغرة في كود التطبيق نفسه، لا في السيرفر، لذلك يعيش هذا الدور بجانب المطورين لا بجانب فريق التشغيل. وصاحبه يراجع التصميم قبل الكود بنمذجة التهديدات، ويضع متطلبات الأمان التي يمكن التحقق منها، ويراجع طلبات الدمج Pull Requests، ويشغل أدوات الفحص في خط البناء، ويعلم المطورين كيف يمنعون الثغرة وهم يكتبون. والإطار السعودي يسمي أقرب دور له «مقيم البرمجيات الآمنة» Secure Software Assessor، ويصف مستواه الأول بأنه يدعم الفريق في تقييم أمن التطبيقات والكود ويقدم نتائج قابلة للتنفيذ. - **المهارات:** البرمجة فعلاً بلغة أو اثنتين، وقائمة OWASP Top 10 ومعيار ASVS، ومراجعة الكود، ونمذجة التهديدات، ومعرفة كيف يعمل خط CI/CD. - **الأدوات:** Semgrep للفحص الثابت SAST، وZAP للفحص الديناميكي DAST، وأدوات فحص الاعتماديات، والاختبارات Tests نفسها. - **كيف تبدأ:** يبدأ من المستوى الأول L1 في الإطار، وأقصر طريق إليه أن تكون مطوراً جيداً أولاً، فمن لا يكتب الكود لا يستطيع أن يقنع من يكتبه. [![](https://arabroot.io/content/images/2026/10/owasp-top10-cover-cover.webp)دليلOWASP Top 10 للمبتدئين: أخطر عشر مشكلات في تطبيقات الويبأخطر عشر مشكلات أمنية في تطبيقات الويب، كل واحدة بمثال ضعيف ثم مصلح، وكيف تمنعها في الكود وأين تكتشفها.](https://arabroot.io/articles/owasp-top-10-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/)[![](https://arabroot.io/content/images/2026/10/secure-coding-cover-cover.webp)دليلالبرمجة الآمنة Secure Coding بأمثلة من أربع لغاتكيف تكتب الكود الذي يتعامل مع مدخلات المستخدم والملفات والأخطاء بحيث لا يحتاج إصلاحاً أمنياً لاحقاً، بأمثلة في أربع لغات.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A8%D8%B1%D9%85%D8%AC%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D9%86%D8%A9-secure-coding-%D9%84%D9%84%D9%85%D8%B7%D9%88%D8%B1%D9%8A%D9%86/)[![](https://arabroot.io/content/images/2026/10/asvs-review-cover-cover.webp)دليلOWASP ASVS ومراجعة الكود الأمنية لكل Pull Requestكيف تكتب متطلبات أمان يمكن اختبارها مع OWASP ASVS، وتراجع كل طلب دمج أمنياً في عشرين دقيقة بقائمة جاهزة.](https://arabroot.io/articles/%D9%85%D8%AA%D8%B7%D9%84%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D8%A7%D9%86-%D9%88%D9%85%D8%B1%D8%A7%D8%AC%D8%B9%D8%A9-%D8%A7%D9%84%D9%83%D9%88%D8%AF-%D9%85%D8%B9-owasp-asvs/)[![](https://arabroot.io/content/images/2026/10/threat-modeling-cover-cover.webp)دليلنمذجة التهديدات Threat Modeling للمبتدئينكيف تسأل ما الذي قد يسوء في تصميم تطبيقك قبل أن تكتب الكود، وتقرر لكل تهديد هل تصلحه أو تقبله، مع قالب جاهز للنسخ.](https://arabroot.io/articles/%D9%86%D9%85%D8%B0%D8%AC%D8%A9-%D8%A7%D9%84%D8%AA%D9%87%D8%AF%D9%8A%D8%AF%D8%A7%D8%AA-threat-modeling-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/) ## مهندس الأمن Security Engineer في شركة نورة لا يوجد شخص اسمه «مهندس أمن» بالضبط، ولكن يوجد من فعل كل ما في الأسبوعين الثاني والثالث من البرنامج: بنى الدخول الموحد SSO، وقوى السيرفرات، وشغل CrowdSec، وقسم الشبكة. وهذا هو مهندس الأمن، وهو أقرب الأدوار إلى مهندس الأنظمة والشبكات، والفرق أنه يبني الحماية ويشغلها ويقيسها. والإطار السعودي يسمي أقرب دور له «أخصائي البنية التحتية للأمن السيبراني» Cybersecurity Infrastructure Specialist، ويصفه بأنه يختبر وينفذ ويشغل ويصون العتاد والبرمجيات التي تحمي الأنظمة والشبكات. - **المهارات:** Linux والشبكات بعمق، والهوية والوصول، والتقوية Hardening، والأتمتة بسكربتات أو Ansible، والنسخ الاحتياطي واختبار الاستعادة. - **الأدوات:** مزود هوية مثل authentik أو Keycloak، وCrowdSec وجدران الحماية، وLynis ومعايير CIS، وFreeRADIUS لشبكات Wi-Fi المؤسسية. - **كيف تبدأ:** يبدأ من المستوى الثاني L2 في الإطار، وأقرب خبرة إليه إدارة الأنظمة أو الشبكات، أي أن خبرتك في تشغيل السيرفرات ليست وقتاً ضائعاً، بل هي نصف الطريق. ولاحظ أن هذا الدور يتشارك المعرفة مع إدارة الثغرات أكثر من أي دورين آخرين في المقال. [![](https://arabroot.io/content/images/2026/10/iam-pam-cover-cover.webp)دليلإدارة الهوية والوصول IAM والوصول المميز PAMمن يملك صلاحية root على سيرفراتك ومنذ متى، وكيف تضبط حسابات المديرين بصلاحيات مؤقتة وجلسات مسجلة.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D9%87%D9%88%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-iam-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D9%85%D9%85%D9%8A%D8%B2-pam/)[![](https://arabroot.io/content/images/2026/10/server-hardening-cover-cover.webp)دليلتقوية السيرفر Hardening وقياسها مع Lynis ومعايير CISيواجه مسؤول نظم طلب المستشفى بدليل تقوية، فيقيس خادمه بـ Lynis وCIS ويقويه ويعيد القياس، ويكشف مفاجأة تخفض الدرجة.](https://arabroot.io/articles/%D8%AA%D9%82%D9%88%D9%8A%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-hardening-%D9%88%D9%82%D9%8A%D8%A7%D8%B3%D9%87%D8%A7-%D9%85%D8%B9-lynis-%D9%88-cis/)[![](https://arabroot.io/content/images/2026/10/crowdsec-cover-cover.webp)دليلCrowdSec: اكتشاف هجمات التخمين وحظرها جماعياًتتعرض سيرفرات مسؤول النظم لتخمين دائم، فيبني مختبراً يرى فيه CrowdSec يكتشف الهجوم ويصدر قرار حظر ينفذه الجدار الناري.](https://arabroot.io/articles/crowdsec-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D9%88%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D8%AA%D8%AE%D9%85%D9%8A%D9%86-brute-force/)[![](https://arabroot.io/content/images/2026/10/network-segmentation-cover-cover.webp)دليلتقسيم الشبكة Network Segmentation بال VLAN وال VPCلماذا تصل كاميرا مخترقة إلى قاعدة بياناتك، وكيف تمنع ذلك بتقسيم الشبكة إلى مناطق لا يمر بينها إلا ما تسمح به.](https://arabroot.io/articles/%D8%AA%D9%82%D8%B3%D9%8A%D9%85-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-network-segmentation-vlan-%D9%88-vpc/)[![](https://arabroot.io/content/images/2026/10/wifi-enterprise-radius-cover-cover.webp)دليلWi-Fi للمؤسسات بحساب لكل موظف مع FreeRADIUSبنينا سيرفر FreeRADIUS واختبرنا دخول WPA2/3-Enterprise بأداة eapol\_test، فرأينا الـ VLAN لكل موظف، وكيف أوقفت شهادة منتهية الدخول للجميع.](https://arabroot.io/articles/wi-fi-%D9%84%D9%84%D9%85%D8%A4%D8%B3%D8%B3%D8%A7%D8%AA-%D8%A8%D8%AD%D8%B3%D8%A7%D8%A8-%D9%84%D9%83%D9%84-%D9%85%D9%88%D8%B8%D9%81-%D9%85%D8%B9-freeradius/) ## الحوكمة والامتثال GRC أكثر ما فاجأ خالد في البرنامج أنه أحب أسبوع الحوكمة، وكان يظنه أسبوع أوراق. لكنه رأى أن مسؤول الامتثال هو من يعرف ما تطلبه الضوابط الأساسية للأمن السيبراني ECC من الجهة، وأي ضابط مطبق وأيها لا، وأين الدليل على كل واحد، ومن يملك كل خطر في سجل المخاطر، وماذا سيطلب المدقق بعد ثلاثة أسابيع. والإطار السعودي يصف مسؤول الامتثال بأنه يضمن التزام برنامج الأمن السيبراني بالمتطلبات والسياسات والمعايير المنطبقة، ويضع بجانبه في نفس المجال مسؤول المخاطر ومسؤول السياسات ومقيم الضوابط والمدقق. - **المهارات:** قراءة الأطر والضوابط بدقة، وفهم كاف للتقنية حتى تسأل السؤال الصحيح عن الدليل، وإدارة المخاطر بالاحتمال والأثر، والكتابة المنظمة، والتعامل مع الإدارة العليا. - **الأدوات:** CISO Assistant لإدارة الامتثال، وSimpleRisk لسجل المخاطر، وسكربتات جمع الأدلة الآلية، وGit للسياسات. - **كيف تبدأ:** يبدأ من المستوى الأول L1 في الإطار، وهو باب جيد لمن جاء من نظم المعلومات أو الإدارة، بشرط ألا يتوقف عن التعلم التقني، لأن مسؤول الامتثال الذي لا يفهم كيف يجمع الدليل من السيرفر يقبل أي لقطة شاشة. [![](https://arabroot.io/content/images/2026/10/grc-terms-cover-cover.webp)دليلمصطلحات GRC للمبتدئين بمثال من شركة صغيرةما الذي يعنيه GRC فعلاً، وما الكلمات التي يستخدمها المدقق، وكيف تثبت له أن ضوابطك تعمل كما تقول.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/)[![](https://arabroot.io/content/images/2026/10/nca-ecc-cover-cover.webp)دليلالضوابط الأساسية للأمن السيبراني NCA ECC بلغة بسيطةكيف تقرأ الضوابط الأساسية ECC دون أن تضيع في أرقامها، وعلى من تنطبق، وما المطلوب من جهتك فعلاً في كل مكون.](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)[![](https://arabroot.io/content/images/2026/10/risk-register-cover-cover.webp)دليلسجل المخاطر Risk Register مع SimpleRisk على سيرفركنبني سجل مخاطر حقيقياً بنموذج الهيئة ثم بأداة SimpleRisk، ونرى لماذا أعطت الأداة كل المخاطر مستوى واحداً، وكيف تكتب منهجية تعطي الأرقام معناها.](https://arabroot.io/articles/%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-risk-register-%D9%85%D8%B9-simplerisk/)[![](https://arabroot.io/content/images/2026/10/evidence-collection-cover-cover.webp)دليلجمع أدلة الامتثال Evidence تلقائياً بدل لقطات الشاشةنبني جامع أدلة صغيراً يقرأ إعدادات السيرفرات عبر SSH ويحفظها بالهاش، ثم نجربه على تغيير مفاجئ ودليل معدل وجامع فقد صلاحيته بصمت.](https://arabroot.io/articles/%D8%AC%D9%85%D8%B9-%D8%A7%D8%AF%D9%84%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84-%D8%AA%D9%84%D9%82%D8%A7%D8%A6%D9%8A%D8%A7/)[![](https://arabroot.io/content/images/2026/10/audit-readiness-cover-cover.webp)دليلالاستعداد للتدقيق Audit: ماذا يطلب المدقق وكيف تجهزماذا يطلب المدقق ولماذا وكيف يختار العينة، مع سكربت يفحص جاهزية الأدلة قبل ثلاثة أسابيع ويكشف ما لم يتوقعه الفريق.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%B9%D8%AF%D8%A7%D8%AF-%D9%84%D9%84%D8%AA%D8%AF%D9%82%D9%8A%D9%82-%D9%85%D8%A7%D8%B0%D8%A7-%D9%8A%D8%B7%D9%84%D8%A8-%D8%A7%D9%84%D9%85%D8%AF%D9%82%D9%82/) ## معماري الأمن Security Architect آخر دور سأل عنه خالد هو الدور الذي رآه في الاجتماع الذي حضره مع نورة عن النظام الجديد لتتبع الشحنات: شخص لا يكتب الكود ولا يفرز التنبيهات، وإنما يسأل أين تعبر البيانات حدود الثقة، ومن يحق له أن يصل إلى ماذا، وماذا يحدث إذا تعطل مزود الهوية، وأين توضع السجلات حتى لا يمسحها من اخترق السيرفر. وهذا معماري الأمن، ويصفه الإطار السعودي بأنه يصمم ويشرف على تطوير أنظمة الأمن السيبراني والشبكات وتنفيذها وإعدادها. - **المهارات:** فهم واسع لكل ما سبق، ونمذجة التهديدات، وتصميم الأنظمة، والمفاضلة بين الأمن والتكلفة وسهولة الاستخدام، والإقناع. - **الأدوات:** مخططات تدفق البيانات، ونمذجة التهديدات مثل STRIDE وpytm، والمعايير والأطر المرجعية. - **كيف تبدأ:** يبدأ من المستوى الثالث L3 في الإطار، ويذكر الملحق من الأدوار التي يأتي منها «الأدوار التقنية للأمن السيبراني» في المستوى الثالث، وأخصائي البنية التحتية، ومقيم الضوابط، والمدقق. أي أنه دور تصل إليه بعد سنوات، لا دور تتقدم إليه بعد التخرج. [![](https://arabroot.io/content/images/2026/10/threat-modeling-cover-cover.webp)دليلنمذجة التهديدات Threat Modeling للمبتدئينكيف تسأل ما الذي قد يسوء في تصميم تطبيقك قبل أن تكتب الكود، وتقرر لكل تهديد هل تصلحه أو تقبله، مع قالب جاهز للنسخ.](https://arabroot.io/articles/%D9%86%D9%85%D8%B0%D8%AC%D8%A9-%D8%A7%D9%84%D8%AA%D9%87%D8%AF%D9%8A%D8%AF%D8%A7%D8%AA-threat-modeling-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/)[![](https://arabroot.io/content/images/2026/10/security-frameworks-cover-cover.webp)دليلأطر الأمن السيبراني Frameworks: أيها تحتاج مؤسستك؟الفرق بين ECC وISO 27001 وNIST CSF وSOC 2 في الإلزام وطريقة الإثبات وما تحصل عليه، وأربعة أسئلة تحدد بها ما تحتاجه مؤسستك.](https://arabroot.io/articles/%D8%A7%D8%B7%D8%B1-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-ecc-%D9%88-iso-27001-%D9%88-nist-csf-%D9%88-soc-2/)[![](https://arabroot.io/content/images/2026/10/build-siem-cover-cover.webp)دليلكيف يعمل محرك كشف SIEM من الداخل؟كيف يجمع SIEM ملايين السجلات ويوحدها ويطبق قواعد الكشف، مع خط أنابيب Vector وLoki وقاعدة Sigma تطلق فعلاً.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%85%D8%AD%D8%B1%D9%83-%D9%83%D8%B4%D9%81-siem-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84/)[![](https://arabroot.io/content/images/2026/10/build-edr-cover-cover.webp)دليلكيف يعمل وكيل EDR؟ من eBPF إلى قواعد الكشفكيف يرى وكيل EDR ما يجري داخل كل جهاز، ولماذا سائق النواة خطر، مع تشغيل Falco يكشف فعلاً مشبوهاً.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%88%D9%83%D9%8A%D9%84-edr-%D8%B9%D9%84%D9%89-%D8%A7%D9%84%D8%A3%D8%AC%D9%87%D8%B2%D8%A9/) ## من أي مستوى يبدأ كل دور؟ كان هذا أهم ما خرج به خالد من قراءة ملحق المسارات المهنية، والصورة التالية تجمع المستويات الموجودة لكل دور من الأدوار التسعة، كما استخرجناها من جداول الملحق في التجربة العملية: ![جدول المستويات من L1 إلى L5 لتسعة أدوار: محلل SOC من L1 إلى L4، والمستجيب للحوادث من L2 إلى L4، واستخبارات التهديدات من L2 إلى L4، وإدارة الثغرات من L1 إلى L3، ومختبر الاختراق من L3 إلى L4، وأمن التطبيقات من L1 إلى L4، ومهندس الأمن من L2 إلى L4، والامتثال من L1 إلى L4، ومعماري الأمن من L3 إلى L4، وملاحظة أن المتدرب يدخل من أدوار L1 أو من L2 بشهادة بكالوريوس وخبرة، أما مختبر الاختراق والمعماري فيبدآن من L3](https://arabroot.io/content/images/2026/10/security-careers-03-levels.webp) أربعة أدوار من التسعة تبدأ من المستوى الأول، ودوران لا يبدآن قبل الثالث ولفهم الصورة تحتاج تعريف المستويات نفسها كما هي في الملحق: - **المستوى الأول L1:** دور مبتدئ لخريج بشهادة أو دبلوم، يعمل متدرباً أو داعماً للفريق أو عضواً مبتدئاً تحت إشراف قريب من ممارس، ويكتسب المهارات ليصبح ممارساً، والخبرة المطلوبة صفر، والمدة المعتادة فيه من سنة إلى ثلاث. - **المستوى الثاني L2:** يقوم بالمهام الأساسية للدور بإشراف قليل، ويستطيع أن يوجه عضواً مبتدئاً. - **المستوى الثالث L3:** يقوم بالمهام على نطاق أكبر أو في بيئات أعقد، ويشرف على الممارسين، والإتقان المطلوب متوسط Intermediate، أي إدارة المهام الروتينية والمتوسطة التعقيد بأقل إشراف. - **المستويان الرابع والخامس:** خبرة واسعة وقيادة، والملحق يذكر أن أغلب المهنيين يصلون إلى الرابع بعد عشر سنوات على الأقل، والأرجح بعد خمس عشرة إلى سبع عشرة سنة. وأما المؤهل فيربطه الملحق بترتيب مؤهلات من QR1 إلى QR5: الدبلوم المتوسط في الأمن السيبراني أو ما يغطي المعارف المطلوبة هو QR1 ويكفي للمستوى الأول، وبكالوريوس الأمن السيبراني أو تخصص قريب مثل علوم الحاسب ونظم المعلومات وتقنية المعلومات وهندسة الحاسب وهندسة البرمجيات هو QR2، وهو الحد الأدنى من المستوى الثاني فما فوق، والمؤهل الأعلى يمكن أن يحسب بدل بعض سنوات الخبرة. ويذكر الملحق أيضاً أن أي دور في المستوى الأول يمكن دخوله لخريج QR1، وأي دور في المستوى الثاني لخريج QR2 إذا كانت لديه خبرة مناسبة أو مؤهل أعلى. والدرس لخالد واضح: الأدوار المفتوحة له بعد التخرج هي محلل الدفاع، وأخصائي تقييم الثغرات، ومقيم البرمجيات الآمنة، ومسؤول الامتثال، وأدوار أخرى من المستوى الأول خارج هذه التسعة، أما اختبار الاختراق والمعمارية فهي وجهات بعد سنوات، لا نقاط بداية. وهذا لا يعني أن الجهات كلها تلتزم بهذا الترتيب حرفياً، فالإطار مرجع توصي الهيئة بتبنيه مع إمكانية التخصيص، ولكنه أصدق صورة رسمية لما يتوقعه أصحاب العمل من المبتدئ. ## الأدوار التي تتشارك المعرفة: الانتقال الجانبي Lateral Move سأل خالد سؤالاً ذكياً: إذا بدأت محلل SOC وأردت بعد سنتين أن أنتقل، فإلى أين يكون الطريق أقصر؟ ويجيب الملحق بأن الانتقالات الجانبية التي يذكرها جاءت من خبراء يرون كيف يتنقل الناس فعلاً، وأن أغلبها بين أدوار تتشارك جزءاً من المهام والمعارف والمهارات، ويضرب مثلاً بانتقال محلل الدفاع إلى أخصائي تقييم الثغرات. ولكي نرى ذلك بالأرقام حسبنا في التجربة العملية نسبة التداخل بين قوائم المعرفة Knowledge لكل دورين، بمقياس Jaccard، أي عدد العناصر المشتركة مقسوماً على عدد العناصر في القائمتين معاً: ![لوحتان: الأعلى تداخلاً بالأخضر: إدارة الثغرات ومهندس الأمن 0.44، والمستجيب للحوادث وإدارة الثغرات 0.43، ومحلل SOC وإدارة الثغرات 0.34، والمستجيب للحوادث ومهندس الأمن 0.34، ومحلل SOC ومهندس الأمن 0.32، والأقل تداخلاً بالأحمر: استخبارات التهديدات وAppSec 0.10، وAppSec ومهندس الأمن 0.12، واستخبارات التهديدات والمعماري 0.13، وملاحظة أن الانتقال بين دورين متباعدين يشبه البداية من جديد في نصف المعرفة](https://arabroot.io/content/images/2026/10/security-careers-04-overlap.webp) إدارة الثغرات تقع في وسط الشبكة: تتشارك المعرفة مع الدفاع والاستجابة والهندسة وفي الأرقام أعلاه لاحظ التالي: - إدارة الثغرات تظهر في ثلاثة من أعلى خمسة أزواج، فهي دور «وسط» يتصل بالمراقبة والاستجابة وهندسة الأمن، وهذا سبب إضافي لأنها باب دخول جيد: منها تذهب إلى أكثر من اتجاه. - محلل SOC يتشارك مع إدارة الثغرات 32 عنصراً من المعرفة، وهو المثال الذي يذكره الملحق نفسه للانتقال الجانبي، فالأرقام تتفق مع ما يقوله الخبراء. - أمن التطبيقات بعيد عن استخبارات التهديدات وعن هندسة البنية التحتية، والسبب أن معرفته تدور حول الكود ودورة التطوير، لذلك الانتقال إليه من دور تشغيلي يحتاج أن تتعلم البرمجة بجدية، وليس فقط أداة جديدة. - التداخل يقاس هنا على المعرفة فقط، لا على المهام ولا المهارات، وهو مؤشر لا حكم، فقد يكون عنصر واحد مشترك أهم من عشرة. ## أي مراحل المسار تقودك إلى كل دور؟ الآن نعود إلى الموقع نفسه، فمسار الأمن السيبراني مقسم إلى مراحل، والسؤال العملي لخالد: إذا اخترت دوراً، فأي المراحل أتعمق فيها، وأيها يكفيني أن أفهمها؟ والصورة التالية تجيب عن ذلك: ![جدول تسعة أدوار في إحدى عشرة مرحلة من مراحل المسار: ابدأ هنا، والهوية، والحماية، وWi-Fi، والمراقبة SOC، والثغرات، وDFIR، والاختبار المصرح، وAppSec، وGRC، وبناء المنتجات، وفي كل خانة أساسي بالأخضر الغامق أو داعم بالأخضر الفاتح أو فارغة، مثل محلل SOC أساسي في ابدأ هنا والمراقبة وداعم في الهوية والحماية والثغرات وDFIR وبناء المنتجات، ومختبر الاختراق أساسي في الثغرات والاختبار المصرح وAppSec، ومهندس الأمن أساسي في الهوية والحماية وWi-Fi، والحوكمة أساسي في GRC، والمعماري أساسي في الهوية والحماية وبناء المنتجات](https://arabroot.io/content/images/2026/10/security-careers-05-path-matrix.webp) مرحلة «ابدأ هنا» أساسية للجميع، وبعدها يختلف العمق بحسب الدور وهذا الجدول تقدير منا مبني على مهام كل دور في الإطار ومحتوى كل مرحلة في المسار، وليس جزءاً من الإطار الرسمي، والغرض منه أن يعطيك ترتيب قراءة لا أن يمنعك من مرحلة. والقاعدة التي يقوم عليها: «أساسي» تعني أن صاحب الدور يعمل بمحتوى هذه المرحلة يومياً، و«داعم» تعني أنه يحتاج أن يفهمها ليتكلم مع زملائه في الأدوار الأخرى. فمحلل SOC مثلاً لا يدير الهوية، لكنه إذا لم يفهم الدخول الموحد فلن يعرف لماذا تنبيه «دخول من دولة جديدة» قد يكون موظفاً في سفر. والمراحل نفسها بالترتيب الذي يقترحه المسار: [![](https://arabroot.io/content/images/2026/10/security-terms-cover-cover.webp)دليلمصطلحات الأمن السيبراني للمبتدئين: من CVE إلى Purple Teamماذا تعني الكلمات التي تتكرر في كل عرض أمني، من رقم الثغرة وخطورتها إلى أدوات المراقبة SOC والفرق الحمراء والزرقاء.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-cve-%D9%88-soc/)[![](https://arabroot.io/content/images/2026/10/mitre-attack-cover-cover.webp)دليلMITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوةلغة موحدة لسلوك المهاجمين مبنية على حوادث موثقة، نقرأ بها هجوم فدية حقيقياً مرحلة بمرحلة ونربط كل خطوة بالدفاع المقابل.](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/)[![](https://arabroot.io/content/images/2026/10/security-oss-alternatives-cover-cover.webp)دليلحلول الأمن التجارية وبدائلها مفتوحة المصدر: متى توفر فعلاً؟لكل فئة من حلول الأمن التجارية الشائعة في السعودية بديل مفتوح المصدر، وهنا تعرف متى يوفر عليك فعلاً ومتى يكون التجاري أفضل.](https://arabroot.io/articles/%D8%AD%D9%84%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%AC%D8%A7%D8%B1%D9%8A%D8%A9-%D9%88%D8%A8%D8%AF%D8%A7%D8%A6%D9%84%D9%87%D8%A7-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/)[![](https://arabroot.io/content/images/2026/10/cyber-internship-plan-cover-cover.webp)دليلخطة تدريب Internship في الأمن السيبراني لـ 8 أو 12 أسبوعاًخطة تدريب كاملة لقسم أمن يستقبل طلبات كثيرة بوقت مشرف قليل: فرز بمهمة حقيقية، ودفعات، ومختبر مشترك، ومعيار تقييم.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-8-%D8%A7%D9%88-12-%D8%A7%D8%B3%D8%A8%D9%88%D8%B9%D8%A7/) ## الشهادات Certifications: ماذا تقول صفحاتها الرسمية؟ سأل خالد عن الشهادات قبل أي شيء آخر، لأن الإعلانات مليئة بها. وقبل أن نذكر أياً منها، لاحظ ما يقوله الإطار السعودي نفسه في وصف أدواره: يقول عن محلل الدفاع مثلاً إن الدور يتطلب «شهادات أو تدريباً» في الدفاع عن الشبكات وكشف التهديدات وتحليل الحوادث وأدوات المراقبة، وعن مختبر الاختراق إنه يتطلب «شهادات أو تدريباً» في منهجيات الاختبار والاختراق الأخلاقي. أي أن الإطار يذكر المجال، لا شهادة بعينها، ويضع التدريب بجانب الشهادة. ومع ذلك فبعض الشهادات منتشرة ومفيدة إذا عرفت ماذا تقول صفحاتها الرسمية، والجدول التالي لا يذكر الأسعار ولا الرواتب، ويذكر ما تقوله صفحة الجهة المصدرة عند كتابة المقال: | الشهادة | الجهة | ما تقوله الصفحة الرسمية | أقرب دور | | ------------------------------------------------------------------------------------------------ | ------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------- | | [Certified in Cybersecurity (CC)](https://www.isc2.org/certifications/cc?ref=arabroot.io) | ISC2 | مستوى مبتدئ، ولا تتطلب خبرة عمل، ومن مجالاتها العمليات الأمنية والاستجابة للحوادث | أي دور في المستوى الأول | | [Security+](https://www.comptia.org/en-us/certifications/security/?ref=arabroot.io) | CompTIA | شهادة تقول CompTIA إنها تبني المهارات العملية لوظائف الأمن الأساسية، والإصدار V7 متاح والإصدار V8 قادم | محلل SOC وإدارة الثغرات | | [GCIH](https://www.giac.org/certifications/certified-incident-handler-gcih/?ref=arabroot.io) | GIAC | تتحقق من قدرة الممارس على كشف الحوادث والاستجابة لها وحلها | المستجيب للحوادث | | [PEN-200](https://www.offsec.com/courses/pen-200/?ref=arabroot.io) | OffSec | دورة الاختبار التي تقود إلى شهادة OSCP المعروفة | مختبر الاختراق | | [CISA](https://www.isaca.org/credentialing/cisa?ref=arabroot.io) | ISACA | شهادة مدقق نظم المعلومات | التدقيق والامتثال | | [CRISC](https://www.isaca.org/credentialing/crisc?ref=arabroot.io) | ISACA | شهادة المخاطر وضوابط نظم المعلومات | المخاطر والامتثال | | [CISSP](https://www.isc2.org/certifications/cissp/cissp-experience-requirements?ref=arabroot.io) | ISC2 | خمس سنوات على الأقل من الخبرة التراكمية بدوام كامل في مجالين أو أكثر من ثمانية مجالات، والشهادة الجامعية قد تحسب عن سنة واحدة، ومن ينجح دون الخبرة يصبح Associate of ISC2 وأمامه ست سنوات لاستكمالها | المعماري والقيادة، لا المبتدئ | وفي الجدول أعلاه لاحظ التالي: - CISSP تظهر في إعلانات كثيرة للمبتدئين، والصفحة الرسمية نفسها تقول إنها تحتاج خمس سنوات خبرة، فإذا طلبها إعلان لخريج فهذا إعلان لم يكتبه من يعرف الشهادة، أو أنه يطلب مستوى أعلى مما يسميه. - الشهادة تختبر المعرفة في يوم واحد، والمختبر يثبت أنك تستطيع العمل، لذلك فخالد بعد البرنامج يملك شيئاً أقوى من شهادة مبتدئ: تسليمات حقيقية يستطيع أن يعرضها، مثل خط زمني لحادثة، وقاعدة كشف مع اختبارها، وفرق مؤشر Lynis قبل وبعد. - بعض الجهات تطلب شهادات معينة بالاسم في عقودها أو في سياساتها الداخلية، فإذا كان هدفك جهة محددة فاقرأ إعلاناتها هي، لا إعلانات العالم. ## تجربة عملية: نقرأ الأطر الرسمية بأنفسنا كل الأرقام في هذا المقال عن عدد المهام والمعارف والمستويات والتداخل لم ننقلها من مقال آخر، وإنما استخرجناها من الوثائق الرسمية نفسها بسكربت صغير، وتستطيع أن تعيد ذلك على جهازك في دقائق. والفكرة أن تحمل وثيقة الإطار السعودي وملحق المسارات المهنية بصيغة PDF من موقع الهيئة، وملف مكونات NICE بصيغة JSON من NIST، ثم تحول الـ PDF إلى نص، ثم تقرأ كل دور بمعرفاته. ### الملفات نحتاج Docker Image صغيرة فيها Python والأداة `pdftotext` من حزمة poppler-utils: ```dockerfile FROM python:3.13.17-slim RUN apt-get update && apt-get install -y --no-install-recommends poppler-utils curl ca-certificates \ && rm -rf /var/lib/apt/lists/* WORKDIR /w ``` ثم سكربت `fetch.sh` يحمل الملفات الثلاثة من مصادرها الرسمية فقط، ويحسب الهاش لكل منها حتى تعرف أنك تقرأ نفس النسخة إذا أعدت التجربة لاحقاً: ```bash #!/bin/sh # Downloads the official documents the lab reads (nothing else). set -e mkdir -p src && cd src curl -sSL -o scywf.pdf "https://cdn.nca.gov.sa/api/files/public/upload/10e84574-a212-4056-b280-6fbca6e49455_SCyWF_main-En-.pdf" curl -sSL -o scywf-cp.pdf "https://cdn.nca.gov.sa/api/files/public/upload/fbf83e21-921e-49e3-aba5-6574b26be2c7_SCyWF_CP-En--.pdf" curl -sSL -o nice.json "https://csrc.nist.gov/csrc/media/Projects/cprt/documents/nice/v2-2-0_nf_components.json" pdftotext -layout scywf.pdf scywf.txt pdftotext -layout scywf-cp.pdf scywf-cp.txt sha256sum scywf.pdf scywf-cp.pdf nice.json wc -l scywf.txt scywf-cp.txt ``` ```bash docker build -q -t sci-careers-lab:1 . MSYS_NO_PATHCONV=1 docker run --rm -v "$(pwd -W):/w" sci-careers-lab:1 ./fetch.sh ``` والمخرج سوف يكون كما يلي: ```text a9727f84f73b3bd35f31ca5c2ae5c1611e3749c2d21d00ca11fd2024626c8506 scywf.pdf f8fabe57ea56d012dc03c29b621d35ea8be46bda489c0b58f3b8baf5c815729d scywf-cp.pdf 3ad1d9d7e0d6b32895cb569f86c3bc05af2937a68e96eab4d1c9b3d9fa6e575e nice.json 5882 scywf.txt 5954 scywf-cp.txt 11836 total ``` والخيار `-layout` مهم هنا، لأنه يحافظ على ترتيب الأعمدة في الجداول، وبدونه تختلط أسماء الأدوار بأوصافها. ولاحظ أن عدد الأسطر قد يختلف قليلاً بين إصدارات `pdftotext`، فقد حولنا نفس الملف بإصدار آخر على Windows فخرج 5555 سطراً، والمهم أن المحتوى نفسه لم يتغير. ### قراءة الأدوار الملحق A في وثيقة الإطار يعرض كل دور في كتلة تبدأ بالعبارة `Job Role Name`، وفيها معرف الدور ثم قوائم معرفات المهام التي تبدأ بالحرف T والمعرفة K والمهارات S. والسكربت `roles.py` يقسم النص على هذه الكتل، ويجمع المعرفات، ثم يقرأ المستويات من جداول ملحق المسارات المهنية، ويعد عناصر كل دور في ملف NICE من العلاقات بين الدور وعناصره: ```python """Reads the official SCyWF (NCA) and NICE Framework (NIST) files and prints, for the roles in this article: tasks/knowledge/skills counts, entry level (SCyWF-CP), knowledge overlap between roles, and the NICE work role.""" import json, re from itertools import combinations txt = open("src/scywf.txt", encoding="utf-8").read() start = txt.rindex("3.1 Appendix A: Job Role Details") # the body, not the table of contents appx = txt[start:txt.rindex("3.2 Appendix B")] roles = {} for block in re.split(r"Job Role Name\s+", appx)[1:]: name = block.splitlines()[0].strip() rid = re.search(r"Job Role ID\s+(\S+)", block).group(1) ids = re.findall(r"\b([TKS])(\d{4})\b", block) roles[rid] = {"name": name, **{k: {k + n for kk, n in ids if kk == k} for k in "TKS"}} print("SCyWF job roles parsed:", len(roles)) cp = open("src/scywf-cp.txt", encoding="utf-8").read() norm = lambda n: re.sub(r"[^a-z]", "", n.lower()) # "Tester / Red Team" == "Tester/Red Team" levels = {} for lvl, role in re.findall(r"Table \d+:\s+[lL](\d)\s+(.+?)\s*\.{3,}", cp): levels.setdefault(norm(role), set()).add(int(lvl)) nice = json.load(open("src/nice.json", encoding="utf-8")) title = {e["element_identifier"]: e["title"] for e in nice["elements"]} etype = {e["element_identifier"]: e["element_type"] for e in nice["elements"]} links = {} for r in nice["relationships"]: links.setdefault(r["source_element_identifier"], []).append(r["dest_element_identifier"]) def nice_counts(wr): kinds = [etype.get(d) for d in links.get(wr, [])] return kinds.count("task"), kinds.count("knowledge"), kinds.count("skill") wrs = [e for e in nice["elements"] if e["element_type"] == "work_role"] print("NICE v2.2.0 work roles:", len(wrs), "categories:", sum(e["element_type"] == "category" for e in nice["elements"])) ARTICLE = [ # article role -> SCyWF role id, NICE work role id ("SOC analyst", "PD-D-001", "PD-WRL-001"), ("Incident responder", "PD-IR-001", "PD-WRL-003"), ("Threat intelligence", "PD-TM-001", "PD-WRL-006"), ("Vulnerability mgmt", "PD-VA-001", "PD-WRL-007"), ("Penetration tester", "PD-VA-002", "PD-WRL-007"), ("AppSec", "CARD-CRD-003", "DD-WRL-005"), ("Security engineer", "PD-D-002", "PD-WRL-004"), ("GRC / compliance", "GRCL-GRC-002", "OG-WRL-012"), ("Security architect", "CARD-CA-001", "DD-WRL-001"), ] print(f"\n{'role':20} {'SCyWF id':13} {'T':>3} {'K':>3} {'S':>3} levels {'NICE work role':34} {'T':>3} {'K':>3} {'S':>3}") for label, rid, wr in ARTICLE: r = roles[rid] lv = levels.get(norm(r["name"]), set()) t, k, s = nice_counts(wr) print(f"{label:20} {rid:13} {len(r['T']):3} {len(r['K']):3} {len(r['S']):3} L{min(lv)}-L{max(lv)} {title[wr][:34]:34} {t:3} {k:3} {s:3}") print("\nKnowledge overlap (Jaccard) between SCyWF roles, highest pairs:") pairs = [] for (a, ra, _), (b, rb, _) in combinations(ARTICLE, 2): A, B = roles[ra]["K"], roles[rb]["K"] pairs.append((len(A & B) / len(A | B), a, b, len(A & B))) for j, a, b, n in sorted(pairs, reverse=True)[:6]: print(f" {j:.2f} {a} / {b} ({n} shared)") print("lowest pairs:") for j, a, b, n in sorted(pairs)[:3]: print(f" {j:.2f} {a} / {b} ({n} shared)") ``` في الكود أعلاه لاحظ التالي: - عبارة «3.1 Appendix A» تظهر مرتين في النص: مرة في جدول المحتويات ومرة في الملحق نفسه، لذلك نستخدم `rindex` التي تبحث من آخر النص. وفي المحاولة الأولى استخدمنا `index` فبدأنا من جدول المحتويات وانتهينا عند السطر التالي فيه، وطبع السكربت أن عدد الأدوار صفر. - أسماء الأدوار في جداول الملحق ليست مكتوبة بنفس الطريقة في كل مكان، فمرة «Penetration Tester / Red Team» بمسافات حول الشرطة المائلة، ومرة دونها، لذلك الدالة `norm` تحذف كل ما ليس حرفاً قبل المقارنة. وفي المحاولة الثانية بدونها توقف السكربت بخطأ عند دور مختبر الاختراق لأنه لم يجد له أي مستوى. - ملف NICE ليس جدولاً، وإنما قائمة عناصر Elements وقائمة علاقات Relationships بينها، فعدد مهام الدور هو عدد علاقاته التي تذهب إلى عناصر نوعها `task`. - الربط بين أدوار المقال وأدوار الإطارين في القائمة `ARTICLE` قرار منا مكتوب صراحة في الكود، فإذا رأيت أن دوراً آخر أقرب فغيره وأعد التشغيل. ```bash MSYS_NO_PATHCONV=1 docker run --rm -v "$(pwd -W):/w" sci-careers-lab:1 python roles.py ``` والمخرج سوف يكون كما يلي: ```text SCyWF job roles parsed: 40 NICE v2.2.0 work roles: 42 categories: 5 role SCyWF id T K S levels NICE work role T K S SOC analyst PD-D-001 43 87 40 L1-L4 Defensive Cybersecurity 43 124 38 Incident responder PD-IR-001 27 42 78 L2-L4 Incident Response 29 54 23 Threat intelligence PD-TM-001 25 36 40 L2-L4 Threat Analysis 38 75 51 Vulnerability mgmt PD-VA-001 12 38 23 L1-L3 Vulnerability Analysis 15 63 18 Penetration tester PD-VA-002 14 38 25 L3-L4 Vulnerability Analysis 15 63 18 AppSec CARD-CRD-003 42 63 45 L1-L4 Software Security Assessment 38 84 18 Security engineer PD-D-002 11 37 30 L2-L4 Infrastructure Support 14 49 11 GRC / compliance GRCL-GRC-002 35 19 20 L1-L4 Security Control Assessment 52 130 122 Security architect CARD-CA-001 33 78 39 L3-L4 Cybersecurity Architecture 50 120 48 Knowledge overlap (Jaccard) between SCyWF roles, highest pairs: 0.44 Vulnerability mgmt / Security engineer (23 shared) 0.43 Incident responder / Vulnerability mgmt (24 shared) 0.34 SOC analyst / Vulnerability mgmt (32 shared) 0.34 Incident responder / Security engineer (20 shared) 0.32 SOC analyst / Security engineer (30 shared) 0.30 Penetration tester / GRC / compliance (13 shared) lowest pairs: 0.10 Threat intelligence / AppSec (9 shared) 0.12 AppSec / Security engineer (11 shared) 0.13 Threat intelligence / Security architect (13 shared) ``` في المخرج أعلاه لاحظ التالي: - السطر الأول يؤكد أن السكربت قرأ 40 دوراً، وهو نفس العدد الذي تذكره الهيئة في وثيقة الإطار، فإذا خرج رقم آخر فالمشكلة في تحويل الـ PDF أو في التقسيم، لا في الإطار. والسطر الثاني يؤكد 42 دوراً و5 فئات في NICE. - عمود `levels` من جداول الملحق مباشرة، وهو مصدر [صورة المستويات](#levels): محلل SOC من L1، ومختبر الاختراق والمعماري من L3. - محلل SOC في NICE له 124 عنصر معرفة مقابل 87 في الإطار السعودي، ودور تقييم الضوابط في NICE أوسع بكثير من مسؤول الامتثال في الإطار السعودي، والسبب أن NICE يجمع في الدور الواحد ما يقسمه الإطار السعودي على أكثر من دور في مجال الحوكمة، لذلك لا تقارن الأرقام بين الإطارين، وإنما داخل الإطار الواحد. - زوج مختبر الاختراق والامتثال جاء في المرتبة السادسة بتداخل 0.30، وهذا غريب في ظاهره، والسبب أن قائمتي المعرفة فيهما قصيرتان نسبياً وتتشاركان عناصر عن السياسات والمتطلبات والقوانين، وهذا مثال على أن Jaccard مؤشر يحتاج قراءة لا حكماً آلياً. ### ماذا لو تغير الإطار؟ الإطار يحدث دورياً، والهيئة تقول ذلك في الوثيقة نفسها، فإذا صدر إصدار جديد فأعد تشغيل `fetch.sh` بالروابط الجديدة، وقارن الهاشات، ثم شغل `roles.py`. وإذا تغير شكل الوثيقة، مثل اسم الملحق أو طريقة كتابة المعرفات، فسوف يطبع السكربت عدد أدوار غير 40 أو يتوقف بخطأ، وهذا مقصود: السكربت الذي يفشل بصوت أفضل من السكربت الذي يطبع أرقاماً خاطئة بهدوء. وبعد الانتهاء احذف الـ Docker Image والملفات المحملة: ```bash docker image rm sci-careers-lab:1 rm -rf src ``` ## كيف تبدأ فعلياً؟ في نهاية ساعة المراجعة كتبت نورة لخالد خطة من خمس خطوات على السبورة، وهي في الصورة التالية: ![خمس خطوات من اليمين: الأساس في الشبكات وLinux والبرمجة البسيطة ومرحلة ابدأ هنا مع ملاحظة أن دبلوم QR1 يكفي للمستوى L1 والبكالوريوس QR2 للمستوى L2 مع الخبرة، ثم التدريب والمختبرات بتسليمات حقيقية، ثم أول دور من أدوار L1 مثل محلل الدفاع وأخصائي تقييم الثغرات ومقيم البرمجيات الآمنة ومسؤول الامتثال، ثم انتقال جانبي بين أدوار تتشارك المعرفة مثل محلل الدفاع إلى تقييم الثغرات، ثم أدوار تبدأ من L3 مثل مختبر الاختراق والمعماري](https://arabroot.io/content/images/2026/10/security-careers-06-start.webp) أول دور ليس الدور الأخير، والانتقال الجانبي جزء طبيعي من الطريق 1. **الأساس قبل الأمن:** الشبكات وLinux وقليل من البرمجة بلغة نصية، لأن كل دور من التسعة يفترضها. ومن لا يعرف ما يحدث في اتصال TCP لن يفهم تنبيه Suricata، ومن لا يقرأ سكربت Python لن يراجع كوداً. 2. **مرحلة «ابدأ هنا» في المسار:** المصطلحات وATT&CK ونمذجة التهديدات، وهي أساسية للأدوار كلها كما في جدول المراحل. 3. **مختبرات بتسليمات تعرضها:** بدل قائمة دورات في السيرة الذاتية، ضع ثلاثة روابط لعمل حقيقي: ملاحظات فرز لتنبيهات من مختبرك، وخط زمني لحادثة مصطنعة، وإصلاح ثغرة مع اختباره. وهذا ما يسأل عنه من يقرأ سيرتك فعلاً. 4. **أول دور من المستوى الأول:** اختر من الأدوار المفتوحة للمبتدئ ما يقربك من وجهتك، فإذا كانت وجهتك الاختبار فإدارة الثغرات أقرب من الامتثال، وإذا كانت المعمارية فهندسة الأمن أو تقييم الثغرات أقرب. 5. **انتقال جانبي بعد سنة أو سنتين:** إلى دور يتشارك المعرفة مع دورك، فهو أقصر طريق إلى الدور الذي تريده إذا لم يكن مفتوحاً للمبتدئين. ## جدول قرار: إذا كان هذا يعجبك، فابدأ هنا | إذا كان يعجبك... | الدور الأقرب | أول دور واقعي | المراحل التي تتعمق فيها | | ---------------------------------- | ------------------------- | --------------------------------------- | ----------------------------- | | أن ترى ما يحدث الآن وتقرر بسرعة | محلل SOC | محلل الدفاع L1 | المراقبة SOC، ثم DFIR | | حل اللغز بعد وقوع الحادثة | المستجيب للحوادث | محلل الدفاع L1 ثم المستجيب L2 | DFIR والمراقبة | | قراءة التقارير وفهم المهاجمين | استخبارات التهديدات | محلل الدفاع L1 ثم L2 | ابدأ هنا والمراقبة | | أن تجد الضعيف قبل أن يستغل | إدارة الثغرات ثم الاختبار | أخصائي تقييم الثغرات L1 | الثغرات ثم الاختبار المصرح به | | البرمجة وأن تمنع الخطأ قبل أن يحدث | أمن التطبيقات | مقيم البرمجيات الآمنة L1، أو مطور أولاً | AppSec | | بناء الأنظمة وتشغيلها | مهندس الأمن | خبرة في الأنظمة أو الشبكات ثم L2 | الهوية والحماية وWi-Fi | | التنظيم والكتابة والعمل مع الإدارة | الحوكمة والامتثال | مسؤول الامتثال L1 | GRC | | الصورة الكاملة والتصميم | معماري الأمن | أي دور تقني ثم سنوات خبرة | كل المراحل، وبناء المنتجات | ## أخطاء شائعة - **البحث عن المسمى لا عن المهام:** «محلل أمن» في إعلانين قد يعني عملين لا علاقة بينهما، فاقرأ المهام وقارنها بأدوار الإطار. - **البدء بهدف مختبر الاختراق من أول يوم:** الإطار السعودي يبدأ هذا الدور من المستوى الثالث، والطريق إليه يمر بأدوار تعلمك الأنظمة والتطبيقات. - **جمع الشهادات بدل المختبرات:** الشهادة تقول إنك نجحت في اختبار، والمختبر الموثق يقول إنك تستطيع أن تعمل، وصاحب العمل يريد الثاني. - **التقدم لإعلانات تطلب CISSP لخريج:** صفحة الشهادة نفسها تطلب خمس سنوات خبرة، فإما أن الإعلان يطلب مستوى آخر، وإما أنه مكتوب دون معرفة. - **تصديق أرقام الرواتب المتداولة دون مصدر:** رقم بلا مصدر ولا تاريخ ولا مدينة ولا حجم جهة لا يفيدك في قرار، فاسأل من يعمل في الدور في الجهة التي تريدها. - **إهمال الكتابة:** كل دور من التسعة ينتهي بكتابة، من ملاحظة التصعيد إلى تقرير الاختبار إلى سياسة الأمن، ومن لا يكتب بوضوح يتأخر في كل دور. - **الظن أن الحوكمة ليست تقنية:** مسؤول الامتثال الذي لا يفهم كيف يجمع الدليل من السيرفر يقبل أي لقطة شاشة، والمدقق الجيد يعرف ذلك. ## الخلاصة - المسميات الوظيفية تختلف من جهة لأخرى، والأطر الرسمية تصف العمل نفسه بالمهام والمعرفة والمهارات، فاقرأ الإعلان بهذه العين. - المرجع الأول في المملكة هو الإطار السعودي لكوادر الأمن السيبراني SCyWF من الهيئة الوطنية للأمن السيبراني، بخمس فئات واثني عشر مجالاً وأربعين دوراً، وملحق المسارات المهنية الذي يحدد مستويات كل دور. - الأدوار المفتوحة للمبتدئ في المستوى الأول تشمل محلل الدفاع وأخصائي تقييم الثغرات ومقيم البرمجيات الآمنة ومسؤول الامتثال، بينما يبدأ مختبر الاختراق ومعماري الأمن من المستوى الثالث. - إدارة الثغرات دور وسط يتشارك المعرفة مع الدفاع والاستجابة والهندسة، فهي باب دخول يفتح أكثر من اتجاه. - الشهادات مفيدة إذا عرفت ما تقوله صفحاتها الرسمية، ولا تغني عن مختبرات موثقة تعرضها. - مرحلة «ابدأ هنا» في المسار أساسية لكل الأدوار، وبعدها تتعمق في المراحل التي يعيش فيها دورك يومياً. وفي المقالات التالية من نفس المرحلة والمراحل القريبة منها: [![](https://arabroot.io/content/images/2026/10/cyber-internship-plan-cover-cover.webp)دليلخطة تدريب Internship في الأمن السيبراني لـ 8 أو 12 أسبوعاًخطة تدريب كاملة لقسم أمن يستقبل طلبات كثيرة بوقت مشرف قليل: فرز بمهمة حقيقية، ودفعات، ومختبر مشترك، ومعيار تقييم.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-8-%D8%A7%D9%88-12-%D8%A7%D8%B3%D8%A8%D9%88%D8%B9%D8%A7/)[![](https://arabroot.io/content/images/2026/10/soc-triage-cover-cover.webp)دليليوم محلل SOC: فرز التنبيهات Alert Triage من التنبيه إلى القرارستة عشر تنبيهاً حقيقياً من Wazuh وSuricata نفرزها واحداً واحداً بالإثراء من Zeek حتى القرار والتصعيد.](https://arabroot.io/articles/%D9%8A%D9%88%D9%85-%D9%85%D8%AD%D9%84%D9%84-soc-%D9%81%D8%B1%D8%B2-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87%D8%A7%D8%AA-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D9%82%D8%B1%D8%A7%D8%B1/)[![](https://arabroot.io/content/images/2026/10/ir-playbooks-cover-cover.webp)دليلخطة الاستجابة للحوادث Incident Response وكتيبات التشغيل Playbooksخطة استجابة وكتيبا حساب مخترق وفدية على NIST SP 800-61r3، مع مختبر نستعيد فيه البيانات من نسخة restic.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)[![](https://arabroot.io/content/images/2026/10/security-terms-cover-cover.webp)دليلمصطلحات الأمن السيبراني للمبتدئين: من CVE إلى Purple Teamماذا تعني الكلمات التي تتكرر في كل عرض أمني، من رقم الثغرة وخطورتها إلى أدوات المراقبة SOC والفرق الحمراء والزرقاء.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-cve-%D9%88-soc/)[![](https://arabroot.io/content/images/2026/10/pentest-methodology-cover-cover.webp)دليلاختبار الاختراق المصرح به: المنهجية والإذن والتقريريواجه مسؤول نظم طلب المستشفى باختبار اختراق سنوي، فنرافقه وهو يفهم الإذن والنطاق وقواعد الاشتباك وبنية التقرير قبل أن يبدأ.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/grc-terms-cover-cover.webp)دليلمصطلحات GRC للمبتدئين بمثال من شركة صغيرةما الذي يعنيه GRC فعلاً، وما الكلمات التي يستخدمها المدقق، وكيف تثبت له أن ضوابطك تعمل كما تقول.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/) ## سجل التحديثات - أكتوبر 2026: كتابة المقال، وتنفيذ التجربة العملية على Docker Engine 29.8.0 مع Python 3.13.17 وpdftotext 25.03.0، على وثيقة SCyWF 1.5: 2026 وملحق المسارات المهنية 2026 من الهيئة الوطنية للأمن السيبراني، ومكونات NICE Framework الإصدار 2.2.0 من NIST.