> ## Content Index > Fetch the complete content index at: https://arabroot.io/llms.txt > Use this file to discover other available public pages before exploring further. # أسئلة مقابلة الأمن السيبراني من المبتدئ إلى الخبير - URL: https://arabroot.io/articles/اسئلة-مقابلة-الامن-السيبراني-من-المبتدئ-الى-الخبير/ - Published: 2026-10-26T17:04:56.000Z - Updated: 2026-10-31T08:43:03.000Z - Description: كيف تقابل محلل SOC ومختبر الاختراق ومختص GRC وغيرهم، بأسئلة لكل دور وتمارين عملية على سجلات وتقارير حقيقية. - Author: فريق عرب رووت - Tags: الأدلة التقنية, القيادة التقنية, استراتيجية تقنية لنفرض أنك مدير الأمن السيبراني في شركة تقنية مالية سعودية فيها ثلاثمئة موظف، وحصلت أخيراً على موافقة لثلاث وظائف: محلل في مركز العمليات الأمنية SOC يغطي الوردية المسائية، ومختص في أمن التطبيقات AppSec يعمل مع فريق تطبيق الجوال، ومختص في الحوكمة والمخاطر والامتثال GRC لأن الشركة تستعد لأول تدقيق على ضوابط الهيئة الوطنية للأمن السيبراني. ونشرت الموارد البشرية إعلاناً واحداً بعنوان «أخصائي أمن سيبراني» يشترط شهادة CISSP وخمس سنوات خبرة، فوصل في أسبوع أكثر من أربعمئة طلب، وقابل الفريق عشرة منهم بنفس الأسئلة: «ما الفرق بين التشفير والهاش؟» و«ما هو جدار الحماية؟» و«اذكر OWASP Top 10»، فأجاب الجميع إجابات متقاربة، وخرجت لجنة المقابلة دون أن تعرف من منهم يستطيع أن يقرأ تنبيهاً في الثالثة فجراً ويقرر هل يوقظ أحداً أم لا. والمشكلة هنا في البداية وليست في المرشحين، فالإعلان خلط ستة أعمال مختلفة في وظيفة واحدة، والشهادة التي اشترطها لا يحملها من تبحث عنه للوردية المسائية، والأسئلة تقيس الحفظ، والحفظ اليوم متاح لكل من يملك أداة ذكاء اصطناعي. وفي [دليل إدارة المقابلة التقنية](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%AF%D9%8A%D8%B1-%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D8%AA%D9%82%D9%86%D9%8A%D8%A9-%D8%AA%D9%83%D8%B4%D9%81-%D9%85%D8%B3%D8%AA%D9%88%D9%89-%D8%A7%D9%84%D9%85%D8%B1%D8%B4%D8%AD/) شرحنا الطريقة العامة: المستويات، وسلم أسئلة المتابعة Follow-up Ladder، والتقييم بالدرجات Scoring Rubric، وهذا المقال يطبق الطريقة على الأمن السيبراني بأدواره المختلفة، ونتبع فيه نفس الشركة وهي تعيد بناء التوظيف من الإعلان حتى القرار. وسوف نناقش في هذا المقال ما يلي: - الأدوار الستة التي تختلط تحت اسم «أمن سيبراني»، وكيف تعرفها من الإطار السعودي لكوادر الأمن السيبراني SCyWF. - الشهادات المهنية Certifications: متى تفيد في الفرز، ومتى يصبح اشتراطها خطأ يبعد من تبحث عنه. - جلسات المقابلة لكل دور، وما الذي يختلف فيها عن مقابلة المطور. - بنك أسئلة لكل دور من المبتدئ إلى الخبير، مع ما تحتويه الإجابة الجيدة وعلامات التحذير ومقالات الموقع التي تشرح كل موضوع. - أربعة تمارين عملية: فرز سجل تنبيهات، وقراءة تقرير فحص، ونمذجة تهديدات لتطبيق صغير، وربط ضابط بدليله. - ورقة التقييم، والأخلاقيات في مقابلة الأمن، وقائمة تحقق قبل أن تفتح الوظيفة. ⚠️ هذا المقال عن الجانب التقني للمقابلة، ولا يقدم استشارة في أنظمة العمل، فما يجوز سؤاله للمرشح وما لا يجوز، والتحقق من الخلفية الأمنية، وحفظ بيانات المتقدمين، كلها تراجعها مع الموارد البشرية والإدارة القانونية في جهتك. ## من تحتاج فعلاً؟ ستة أدوار تحت اسم واحد أول قرار في الوظيفة يأتي قبل أي سؤال، وهو أن تعرف أي عمل سيقوم به هذا الشخص كل يوم، والسبب أن «الأمن السيبراني» اسم مجال وليس اسم وظيفة، تماماً مثل «الطب»، فلا أحد يعلن عن «طبيب» ثم يقابل جراح القلب وطبيب الأسنان بنفس الأسئلة. والمحلل الذي يقرأ التنبيهات في مركز العمليات يحتاج صبراً على التفاصيل وقدرة على الفرز السريع، ومختبر الاختراق يحتاج فضولاً هجومياً وانضباطاً في حدود الإذن، ومختص الحوكمة يحتاج أن يترجم الخطر التقني إلى لغة الإدارة والمال، وقد يكون ممتازاً في عمله دون أن يكتب سطراً واحداً من الكود. والمرجع الذي يساعدك في الفصل بين هذه الأعمال في المملكة هو [الإطار السعودي لكوادر الأمن السيبراني SCyWF](https://nca.gov.sa/ar/regulatory-documents/frameworks-and-standard-list/scywf/?ref=arabroot.io) من الهيئة الوطنية للأمن السيبراني، وهو مبني على منهجية إطار NICE الأمريكي ولكن بأدوار مكيفة لاحتياج المملكة. وفي [الإصدار 1.5 لسنة 2026](https://cdn.nca.gov.sa/api/files/public/upload/10e84574-a212-4056-b280-6fbca6e49455%5FSCyWF%5Fmain-En-.pdf?ref=arabroot.io) ينظم الإطار العمل في خمس فئات واثني عشر مجالاً تخصصياً وأربعين دوراً وظيفياً، ولكل دور معرف ووصف وقائمة مهام ومعارف ومهارات، لذلك يصلح أن تبدأ منه وصف الوظيفة ثم تشتق منه أسئلة المقابلة. والصورة التالية تبين الأدوار الستة التي نغطيها في هذا المقال مع معرفاتها في الإطار: ![ست بطاقات من اليمين إلى اليسار: محلل SOC بالمعرف PD-D-001 ومهامه قراءة التنبيه وفرز الإيجابي الكاذب والتصعيد بدليل، ثم الاستجابة للحوادث PD-IR-001 بالاحتواء أولاً وحفظ الأدلة والخط الزمني، ثم مختبر الاختراق PD-VA-002 بالمنهجية والإذن والاستغلال المضبوط والتقرير، ثم أمن التطبيقات CARD-CRD-003 بمراجعة الكود ونمذجة التهديدات والعمل مع المطورين، ثم الحوكمة والامتثال GRCL-GRC-001 بالخطر بلغة العمل والضابط والدليل والتدقيق، ثم مهندس الأمن CARD-CA-001 بالتصميم والأتمتة والسكربتات، وتحتها ملاحظة أن الأرقام من الإطار السعودي لكوادر الأمن السيبراني SCyWF 1.5](https://arabroot.io/content/images/2026/10/interview-cybersecurity-01-roles.webp) ستة أعمال مختلفة، ولكل منها مقابلة مختلفة والجدول التالي يربط كل دور بوصفه في الإطار وبما تقيسه في المقابلة، ولاحظ أن العمود الأخير هو ما يجب أن يبنى عليه التمرين العملي: | الدور | الدور في SCyWF | ماذا يفعل كل يوم | ماذا تقيس في المقابلة | | -------------------------- | ----------------------------------------------------------------------- | ------------------------------------------------------------------ | ---------------------------------------------------------- | | محلل SOC | Cybersecurity Defense Analyst (PD-D-001) | يحلل الأحداث التي تجمعها أدوات الدفاع ليكتشف التهديدات ويخفف أثرها | فرز التنبيه، وقراءة السجل، ومتى يصعد | | الاستجابة للحوادث | Cybersecurity Incident Responder (PD-IR-001) | يحقق في الحوادث ويحللها ويستجيب لها | ترتيب القرارات تحت الضغط، والاحتواء، وحفظ الأدلة | | مختبر الاختراق | Penetration Tester/Red Team Specialist (PD-VA-002) | محاولات اختراق مصرح بها للأنظمة والشبكات بأساليب واقعية | المنهجية، والإذن والنطاق، والتقرير | | أمن التطبيقات | Secure Software Assessor (CARD-CRD-003) | يقيم أمن البرمجيات ويعمل مع فرق التطوير | مراجعة الكود، ونمذجة التهديدات، والإصلاح الذي يقبله المطور | | الحوكمة والمخاطر والامتثال | Cybersecurity Risk Officer (GRCL-GRC-001) وما حوله | يحدد المخاطر ويقيمها ويديرها، ويتابع الامتثال والسياسات | تقدير الخطر، وربط الضابط بالدليل، والكتابة للإدارة | | مهندس الأمن | Cybersecurity Architect (CARD-CA-001) وقريب منه Secure Cloud Specialist | يصمم أنظمة الحماية ويبنيها ويؤتمتها | التصميم، والسكربتات، والموازنة مع التشغيل | وفي الشركة التي نتبعها كان الحل أن تقسم الوظيفة الواحدة إلى ثلاثة إعلانات، لكل منها عنوان من الإطار ومهام يومية مكتوبة، وأن تقرر لكل وظيفة المستوى المطلوب فعلاً: محلل SOC بمستوى مبتدئ أو متوسط لأن الوردية المسائية تعمل وفق إجراءات مكتوبة Playbooks ويوجد من يصعد إليه، ومختص AppSec بمستوى متوسط لأنه سيعمل وحده مع المطورين، ومختص GRC بمستوى متوسط أو خبير لأنه سيقف أمام المدقق. ولاحظ أن الضابط 1-2-2 في [الضوابط الأساسية للأمن السيبراني ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io) ينص على أن تشغل كل وظائف الأمن السيبراني بكوادر سعودية متفرغة ومؤهلة، وهذا شرط يعرفه فريق التوظيف في الجهات التي تنطبق عليها الضوابط، وشرحنا من تنطبق عليه في مقال [ضوابط الهيئة الوطنية للأمن السيبراني: أيها ينطبق عليك؟](https://arabroot.io/articles/%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D9%87%D9%8A%D8%A6%D8%A9-%D8%A7%D9%84%D9%88%D8%B7%D9%86%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%A7%D9%8A%D9%87%D8%A7-%D9%8A%D9%86%D8%B7%D8%A8%D9%82-%D8%B9%D9%84%D9%8A%D9%83/). ## الشهادات المهنية Certifications: متى تفيد ومتى تبعد من تبحث عنه؟ أكثر خطأ يتكرر في إعلانات الأمن أن تشترط لوظيفة مبتدئة شهادة لا يحصل عليها إلا الخبير، والسبب أن من يكتب الإعلان ينسخ قائمة الشهادات المشهورة دون أن يقرأ شروط كل منها. وهذا ليس انطباعاً، ففي [دراسة اتجاهات التوظيف من ISC2](https://www.isc2.org/Insights/2025/06/cybersecurity-hiring-trends-study?ref=arabroot.io) المنشورة في 11 يونيو 2025، والمبنية على 929 مدير توظيف في ستة بلدان استطلعوا في ديسمبر 2024، قال 34% إنهم يشترطون CISSP لوظائف المبتدئين، و38% يشترطون CISA، مع أن الشهادتين تحتاجان خبرة عمل سنوات، وفي [صفحة CISSP الرسمية](https://www.isc2.org/certifications/cissp?ref=arabroot.io) المتطلب خمس سنوات خبرة. والنتيجة الطبيعية أن المرشح المبتدئ الجيد لا يتقدم أصلاً، أو يتقدم من يملك الشهادة وهو أكبر من الوظيفة فيغادر بعد أشهر. وفي نفس الدراسة قال 89% من المديرين إنهم يقبلون النظر في مرشح مبتدئ لا يملك إلا شهادة أمن مبتدئة، و90% يقبلون مرشحاً لا يملك إلا خبرة عمل سابقة في تقنية المعلومات، و84% يستخدمون تقييمات قائمة على المهارة Skills-based Assessments للمتقدمين المبتدئين. والدرس لشركتنا أن الشهادة تفيد في الفرز إذا اخترتها بحسب ما تثبته، والصورة التالية تقسمها إلى ثلاثة أنواع: ![ثلاث لوحات: في اليمين شهادات تثبت معرفة أساسية مثل ISC2 CC التي لا تشترط خبرة عمل وSecurity+ من CompTIA وeJPT من INE وهي مفيدة للمبتدئ ولا تغني عن سؤال المتابعة، وفي الوسط شهادات تثبت مهارة عملية مثل OSCP باختبار عملي 24 ساعة على أجهزة حية مع تقرير وGCIH مع أسئلة CyberLive وهي إشارة قوية لدور تقني تتحقق منها بتمرين قصير، وفي اليسار شهادات تشترط سنوات خبرة مثل CISSP بخمس سنوات وCISA وCISM من ISACA للأدوار الخبيرة والقيادية فلا تطلبها لوظيفة مبتدئ، وفي الأسفل الشهادة تختصر الفرز والمقابلة والتمرين العملي هما ما يقرر](https://arabroot.io/content/images/2026/10/interview-cybersecurity-02-certs.webp) اسأل ماذا تثبت الشهادة قبل أن تضعها شرطاً في الإعلان وفيما يلي ما تقوله الصفحات الرسمية عن أشهر الشهادات، بتاريخ اطلاعنا عليها في أكتوبر 2026: - **ISC2 Certified in Cybersecurity (CC):** تقول [صفحتها الرسمية](https://www.isc2.org/certifications/cc?ref=arabroot.io) إنها لا تشترط أي خبرة عمل، وتستهدف المتخصصين في تقنية المعلومات والمنتقلين من مجالات أخرى والطلاب وحديثي التخرج، ومجالاتها خمسة من مبادئ الأمن إلى العمليات والاستجابة للحوادث. فهي إشارة على أن المرشح يعرف المفردات، ولا تقول شيئاً عن قدرته العملية. - **CompTIA Security+ وCySA+:** شهادات معرفة عامة ثم تحليل، و[صفحة Security+](https://www.comptia.org/en-us/certifications/security/?ref=arabroot.io) تذكر أن الإصدار V8 متوقع في 17 نوفمبر 2026 تقريباً، و[صفحة CySA+](https://www.comptia.org/en-us/certifications/cybersecurity-analyst/?ref=arabroot.io) تذكر أن اختبار الإصدار V3 بالإنجليزية يتوقف في 22 ديسمبر 2026، فإذا رأيت إصدارين مختلفين في سيرتين ذاتيتين فهذا طبيعي. - **OSCP من OffSec:** في [صفحة دورة PEN-200](https://www.offsec.com/courses/pen-200/?ref=arabroot.io) الاختبار عملي مدته 24 ساعة بمراقبة، فيه ثلاثة أجهزة مستقلة ومجموعة Active Directory من ثلاثة أجهزة، ويطلب من المرشح أن يكتشف الثغرات ويستغلها ويكتب تقريراً، لذلك هي إشارة قوية لوظيفة الاختبار، ومع ذلك تتحقق منها بتمرين قصير لأن الشهادة عمرها سنوات أحياناً. - **GCIH من GIAC:** في [صفحتها](https://www.giac.org/certifications/certified-incident-handler-gcih/?ref=arabroot.io) اختبار من 106 أسئلة في أربع ساعات، ونسبة النجاح 69% للإصدارات من 10 مايو 2025، ومعها أسئلة CyberLive العملية داخل أجهزة افتراضية، وتستهدف من يعمل في الاستجابة الأولى للحوادث. - **eJPT من INE:** تصفها [صفحتها](https://ine.com/security/certifications/ejpt-certification?ref=arabroot.io) بأنها مصممة لمن لديه خبرة قليلة أو لا خبرة في الأمن، واختبارها عملي يحاكي سيناريوهات حقيقية. - **CISSP وCISA وCISM:** شهادات خبرة وإدارة، مكانها وظيفة القائد أو المدقق أو مختص GRC الخبير، وليس وظيفة الوردية المسائية. والقاعدة التي خرجت بها الشركة: الشهادة في الإعلان «ميزة» وليست «شرطاً»، إلا في وظيفة يطلب فيها العميل أو الجهة المنظمة شهادة بعينها، وفي المقابلة لا تسأل «هل لديك الشهادة؟» وإنما تسأل سؤالاً من مجالها وتصعد فيه بأسئلة المتابعة، فإذا كانت الشهادة حقيقية في رأس صاحبها فسوف تظهر في الدرجة الثالثة من السلم. ## كيف تبني جلسات مقابلة الأمن؟ مقابلة الأمن تشبه مقابلة المطور في هيكلها، وتختلف عنها في ثلاثة أشياء: التمرين العملي يكون على مخرجات أدوات وسجلات وتقارير أكثر من الكود، والأخلاقيات جزء من التقييم وليست سؤالاً جانبياً لأن هذا الشخص سيحمل صلاحيات لا يحملها غيره، والكتابة تقاس صراحة لأن عمل الأمن ينتهي غالباً بتذكرة أو تقرير يقرؤه شخص آخر. والصورة التالية تبين الجلسات التي اعتمدتها الشركة لوظيفة محلل SOC، وتتغير الجلسة الثالثة بحسب الدور: ![خمس محطات من اليمين إلى اليسار: فرز قصير 30 دقيقة عن الدافع والدور وسؤالين أساسيين، ثم أساسيات الدور 60 دقيقة من بنك الأسئلة مع سلم المتابعة، ثم تمرين عملي 60 دقيقة على سجل أو تقرير فحص أو نموذج تهديد أو ضابط، ثم السلوك والأخلاقيات 45 دقيقة بقصة حادثة والإذن والحدود، ثم اجتماع المراجعة والدرجات مكتوبة قبل النقاش، وتحتها أن كل مقابل يقيس كفاءتين أو ثلاثاً ويكتب الدليل قبل أن يسمع رأي غيره](https://arabroot.io/content/images/2026/10/interview-cybersecurity-03-loop.webp) نفس هيكل المقابلة المنظمة، وتمرين عملي يتغير بحسب الدور وفي الإعداد أعلاه لاحظ التالي: - التمرين العملي لكل دور مختلف: محلل SOC يفرز سجل تنبيهات، ومختبر الاختراق يقرأ تقرير فحص ويرتب ما يفعله بعده، ومختص AppSec يمذج تهديدات تطبيق صغير أو يراجع دالة، ومختص GRC يربط ضابطاً بدليله. والتمارين الأربعة في آخر المقال. - جلسة السلوك والأخلاقيات يديرها شخص من خارج الفريق التقني إذا أمكن، مثل مدير المخاطر، والسبب أن أسئلتها عن الحكم والحدود والتواصل، وهذه يراها غير التقني بوضوح. - للمبتدئ تكفي جلستان: أساسيات مع تمرين عملي صغير، ثم سلوك وأخلاقيات، ولا تسأله عن تصميم مركز عمليات كامل لم يره في حياته. - شركة Amazon تنشر شكل مقابلة مهندس الأمن عندها في [صفحة التحضير لمقابلة Security Engineer](https://www.amazon.jobs/content/en/how-we-hire/security-engineer-interview-prep?ref=arabroot.io): مكالمة تقنية مدتها 60 دقيقة أو مكالمتان، ثم خمس مقابلات مدة كل منها 60 دقيقة، والكفاءات التقنية فيها مراجعة الكود الآمنة والسكربتات والأتمتة ونمذجة التهديدات واختبار الأمن وثغرات الويب والتشفير وأساسيات الأمن، وتطلب من المرشح في نمذجة التهديدات أن يفكر بصوت مسموع ويسأل ليفهم المشكلة. وهذا مثال منشور على أن التمرين العملي والكفاءات المحددة أصبحا القاعدة في الشركات الكبيرة. ## كيف تستخدم بنك الأسئلة؟ الأسئلة التالية مرتبة بحسب الدور، ولكل سؤال مستوى (مبتدئ أو متوسط أو خبير) يبين أين يكون في محله، ثم «ماذا يختبر» و«إجابة المبتدئ» وهي ما نقبله من مبتدئ جيد، و«إجابة الخبير» وهي ما يقوله من عاش المشكلة، ثم أسئلة المتابعة التي تصعد بها، وعلامات التحذير، ورابط المقال الذي يشرح الموضوع في عرب رووت. ولا تتوقع أن يطابق المرشح النص، وإنما أن يصل إلى نفس الأفكار، فقد تعلم كثير من مختصي الأمن عندنا المصطلحات بالإنجليزية من الدورات والمنصات، فلا تخصم ممن يشرح الفكرة صحيحة بكلمات أخرى. واختر لكل جلسة مدتها ساعة ستة أسئلة إلى ثمانية من دور الوظيفة، مع سؤال أو سؤالين من دور مجاور، والسبب أن محلل SOC الذي لا يفهم شيئاً عن الاستجابة للحوادث سيصعد التنبيه بلا دليل، ومختص AppSec الذي لا يعرف كيف يفكر المختبر لن يرى الثغرة التي سيجدها المهاجم. والأدوار في البنك: - [محلل مركز العمليات الأمنية SOC](#soc) (5 أسئلة) - [الاستجابة للحوادث Incident Response](#ir) (4 أسئلة) - [اختبار الاختراق Penetration Testing](#pentest) (4 أسئلة) - [أمن التطبيقات AppSec](#appsec) (4 أسئلة) - [الحوكمة والمخاطر والامتثال GRC](#grc) (4 أسئلة) - [مهندس الأمن Security Engineer](#engineer) (4 أسئلة) - [السلوك والأخلاقيات](#behaviour) (3 أسئلة لكل الأدوار) - [التمارين العملية الأربعة](#exercises) ## محلل مركز العمليات الأمنية SOC محلل SOC هو أول من يرى الهجوم، وأغلب ما يراه ليس هجوماً، لذلك المهارة الأساسية هي الفرز Triage: أن يفصل الإيجابي الكاذب False Positive عن الحقيقي بسرعة ودون أن يتعب من التكرار. وأكثر ما يكشف المستوى في هذا الدور سؤال «وكيف تعرف؟» بعد كل إجابة. ### 1\. تنبيه بمئة محاولة دخول فاشلة على SSH من عنوان واحد، ماذا تفعل؟ مبتدئ **ماذا يختبر:** هل يعرف أن عدد المحاولات أقل أهمية من نتيجتها، وهل يملك ترتيباً للفرز. إجابة المبتدئ هذا هجوم تخمين Brute Force، فأحظر العنوان في الجدار الناري وأفتح تذكرة، وأتأكد أن كلمات المرور قوية. إجابة الخبير أول سؤال عندي: هل نجحت أي محاولة؟ فأبحث عن دخول ناجح Accepted من نفس العنوان أو لنفس المستخدمين بعد المحاولات الفاشلة، لأن مئة محاولة فاشلة على سيرفر مكشوف للإنترنت أمر يحدث كل يوم، أما محاولة ناجحة واحدة بعدها فهي حادثة. ثم أنظر إلى المستخدمين المجربين: أسماء عامة مثل root وadmin تعني سكربتاً عاماً، وأسماء موظفين حقيقيين تعني أن المهاجم يعرف شيئاً عنا. ثم هل العنوان يجرب على سيرفر واحد أم على عدة سيرفرات، وهل السيرفر يقبل كلمات المرور أصلاً أم المفاتيح فقط. والحظر خطوة مقبولة ولكنها لا تغلق التذكرة، فالتذكرة تغلق عندما أكتب: لم ينجح دخول، والمصدر سكربت عام، والإجراء الدائم هو منع الدخول بكلمة المرور. أسئلة المتابعة - وجدت دخولاً ناجحاً بعد المحاولات بدقيقتين، ما أول ثلاثة أشياء تفعلها؟ - المحاولات تأتي من مئتي عنوان مختلف، محاولة واحدة من كل عنوان، فماذا يتغير؟ (Password Spraying) - متى يكون حظر العنوان تلقائياً قراراً سيئاً؟ **علامات تحذير:** يحظر ويغلق التذكرة دون أن يسأل هل نجحت محاولة، أو يعتبر كل تنبيه بهذا الشكل حادثة يصعدها. **مقالات تشرح الموضوع:** [مراقبة السيرفرات مع Wazuh: من السجل إلى حظر المهاجم](https://arabroot.io/articles/%D9%85%D8%B1%D8%A7%D9%82%D8%A8%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-wazuh-%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%89-%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85/)، و[CrowdSec: اكتشاف هجمات التخمين وحظرها جماعياً](https://arabroot.io/articles/crowdsec-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D9%88%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D8%AA%D8%AE%D9%85%D9%8A%D9%86-brute-force/). ### 2\. قاعدة كشف تطلق مئتي تنبيه يومياً وكلها إيجابي كاذب، ماذا تفعل بها؟ متوسط **ماذا يختبر:** ضبط القواعد Tuning، وفهم أن الإرهاق من التنبيهات Alert Fatigue خطر أمني بذاته. إجابة المبتدئ أعطلها أو أخفض مستواها حتى لا تزعج الفريق. إجابة الخبير لا أعطلها قبل أن أفهم لماذا كتبت، فأقرأ عينة من التنبيهات وأبحث عن النمط المشترك: هل هي من نفس المصدر (أداة نسخ احتياطي أو فاحص ثغرات داخلي)، أم من نفس المستخدم الخدمي، أم من نفس الوقت كل يوم. ثم أضيق القاعدة باستثناء محدد ومكتوب: هذا المستخدم الخدمي من هذا السيرفر في هذه النافذة، وليس استثناء عاماً يخفي الهجوم الحقيقي معه. وأوثق التغيير وسببه، وأراجع الاستثناء بعد مدة، لأن الاستثناء الذي يبقى سنتين يصبح ثغرة. والهدف أن تصبح نسبة التنبيهات التي يتصرف فيها المحلل فعلاً عالية، لأن المحلل الذي يغلق مئتي تنبيه كاذب كل يوم سيغلق الحقيقي معها. أسئلة المتابعة - كيف تقيس جودة قاعدة الكشف بأرقام؟ - من يوافق على استثناء في قاعدة كشف، ولماذا لا يكون المحلل وحده؟ - كيف تختبر أن القاعدة ما زالت تكتشف الهجوم بعد الاستثناء؟ **علامات تحذير:** يعطل القاعدة كاملة، أو يضيف استثناء بعنوان شبكة كاملة دون توثيق. **مقالات تشرح الموضوع:** [كيف يعمل محرك كشف SIEM من الداخل؟](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%85%D8%AD%D8%B1%D9%83-%D9%83%D8%B4%D9%81-siem-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84/)، وWazuh أم Security Onion؟ أيهما تبدأ به. ### 3\. كيف تستخدم MITRE ATT&CK في عملك اليومي؟ متوسط **ماذا يختبر:** هل يعرف ATT&CK أداة عمل، أم اسماً في السيرة الذاتية. إجابة المبتدئ هو إطار يصنف أساليب المهاجمين في مراحل مثل الدخول الأولي والتنفيذ والبقاء، وكل أسلوب له رقم. إجابة الخبير [ATT&CK](https://attack.mitre.org/?ref=arabroot.io) قاعدة معرفة لما يفعله المهاجمون فعلاً، مرتبة بالأهداف Tactics والأساليب Techniques، وأستخدمه في ثلاثة أماكن: عند الفرز أربط التنبيه بالأسلوب، مثل [T1110 للتخمين](https://attack.mitre.org/techniques/T1110/?ref=arabroot.io)، فأعرف ما يأتي عادة بعده وأبحث عنه. وعند تقييم التغطية أسأل: أي الأساليب التي يستخدمها من يستهدف قطاعنا لا نملك لها أي قاعدة كشف؟ وعند كتابة التقرير يصبح الوصف لغة مشتركة مع الفرق الأخرى. وأعرف حده: الخريطة الملونة بالكامل لا تعني أننا نكتشف كل شيء، فقاعدة واحدة ضعيفة على أسلوب لا تعني تغطية. أسئلة المتابعة - تنبيه دخول ناجح بعد تخمين، ما الأساليب التي تبحث عنها بعده؟ - كيف تختار أول خمسة أساليب تبني لها قواعد في شركة مالية؟ **علامات تحذير:** يحفظ أسماء المراحل ولا يستطيع أن يربط تنبيهاً واحداً بأسلوب. **المقال الذي يشرح الموضوع:** [MITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوة](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/). ### 4\. جهاز داخلي يرسل آلاف الاستعلامات DNS لنطاقات فرعية عشوائية الشكل، ماذا تشك؟ خبير **ماذا يختبر:** قراءة حركة الشبكة، ومعرفة أن DNS قناة يستخدمها المهاجم للتحكم أو للتسريب. إجابة المبتدئ قد يكون الجهاز مصاباً ببرنامج ضار، فأفصله عن الشبكة وأفحصه ببرنامج مكافحة الفيروسات. إجابة الخبير الأسماء الطويلة العشوائية تحت نطاق واحد قد تعني نفق DNS Tunneling يخرج البيانات مقطعة داخل أسماء النطاقات، أو برنامجاً ضاراً يولد النطاقات Domain Generation للوصول إلى سيرفر التحكم، وقد تعني شيئاً بريئاً مثل منتج أمني أو خدمة سحابية تستخدم أسماء مشفرة. لذلك أنظر إلى النطاق الأعلى: هل هو معروف وعمره سنوات أم سجل قبل أيام، وإلى حجم الاستعلامات وطولها وأنواعها (TXT كثيرة مثلاً)، وإلى العملية التي ترسلها على الجهاز إذا كان لدينا EDR. ثم أقرر الاحتواء بحسب الأثر، ولا أفصل الجهاز قبل أن أحفظ ما يلزم من الأدلة إذا كان الأمر حادثة حقيقية. أسئلة المتابعة - كيف تكتشف هذا إذا كان الجهاز يستخدم DNS over HTTPS؟ - ما الذي تفقده إذا أعدت تشغيل الجهاز قبل جمع الأدلة؟ **علامات تحذير:** يقفز إلى إعادة تثبيت الجهاز، أو لا يعرف أن DNS يمكن أن يحمل بيانات. **مقالات تشرح الموضوع:** [مراقبة الشبكة واكتشاف التسلل IDS مع Suricata وZeek](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%AA%D8%B3%D9%84%D9%84-%D9%81%D9%8A-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-ids-%D9%85%D8%B9-suricata-%D9%88-zeek/)، و[كيف يعمل وكيل EDR؟](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%88%D9%83%D9%8A%D9%84-edr-%D8%B9%D9%84%D9%89-%D8%A7%D9%84%D8%A3%D8%AC%D9%87%D8%B2%D8%A9/). ### 5\. متى تصعد التنبيه، ومتى تغلقه وحدك؟ مبتدئ **ماذا يختبر:** الحكم، وفهم أن التصعيد قرار له ثمن في الاتجاهين. إجابة المبتدئ أصعد عندما يكون التنبيه بمستوى عال أو عندما لا أعرف ماذا أفعل. إجابة الخبير أتبع الإجراء المكتوب Playbook أولاً لأنه يحدد ما يصعد، وإذا لم يغط الحالة فأصعد عندما يوجد دليل على نجاح هجوم أو حركة داخل الشبكة، أو عندما يتعلق الأمر بحساب مميز أو نظام حساس مثل الدفع، أو عندما يتجاوز الإجراء صلاحياتي مثل فصل سيرفر إنتاج. وأصعد بدليل مكتوب: ماذا رأيت، ومتى، وما الذي تحققت منه، وما الذي لم أتحقق منه، حتى لا يبدأ من يستلم من الصفر. وإغلاق تنبيه حقيقي أسوأ من تصعيد كاذب، ولكن التصعيد الكاذب المتكرر يجعل الفريق يتجاهل تصعيدي، لذلك أراجع ما صعدته وما كانت نتيجته. أسئلة المتابعة - صعدت في الثالثة فجراً ولم يرد المناوب، ماذا تفعل؟ - ماذا تكتب في أول ثلاثة أسطر من تذكرة التصعيد؟ **علامات تحذير:** يرى التصعيد ضعفاً فلا يصعد أبداً، أو يصعد كل شيء ليحمي نفسه. **المقال الذي يشرح الموضوع:** [الاستجابة للحوادث Incident Response مع TheHive](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/). ## الاستجابة للحوادث Incident Response من يقود الاستجابة يتخذ قرارات ناقصة المعلومات تحت ضغط الوقت والإدارة، لذلك لا يكفي أن يعرف المراحل، وإنما أن يعرف ترتيبها ولماذا. والمرجع الحديث هنا [NIST SP 800-61 Rev. 3](https://csrc.nist.gov/pubs/sp/800/61/r3/final?ref=arabroot.io) الذي صدر في أبريل 2025 وربط الاستجابة بوظائف إطار NIST CSF 2.0 بدلاً من الدورة القديمة ذات المراحل الأربع، والمرشح الذي يعرف هذا التغيير يقرأ في مجاله. ### 6\. اكتشفتم أن سيرفر ويب مخترق، ماذا تفعل في الساعة الأولى؟ متوسط **ماذا يختبر:** ترتيب القرارات: الاحتواء، وحفظ الأدلة، والتواصل، دون أن يضيع أحدها الآخر. إجابة المبتدئ أفصل السيرفر عن الشبكة، وأغير كلمات المرور، وأعيد تثبيته من نسخة احتياطية نظيفة. إجابة الخبير أبدأ بتحديد قائد للحادثة ومكان واحد للتواصل والتوثيق، لأن الفوضى في الساعة الأولى تضيع أكثر مما يضيعه المهاجم. ثم أحفظ ما يختفي أولاً: الذاكرة والاتصالات الحالية والعمليات، ولقطة Snapshot للقرص إذا كان افتراضياً، قبل أي إعادة تشغيل. ثم أحتوي بأقل ضرر: عزل الشبكة بقواعد تمنع الخروج والحركة الداخلية بدلاً من إطفاء السيرفر، وإلغاء الأسرار التي كانت عليه (مفاتيح API وكلمات مرور قاعدة البيانات) لأن المهاجم ربما أخذها. وفي نفس الوقت أبدأ الخط الزمني Timeline من أول أثر، وأسأل عن النطاق: هل الاختراق على هذا السيرفر وحده؟ والإعادة من نسخة احتياطية تأتي بعد أن أعرف كيف دخل، وإلا فسوف يدخل من نفس الباب. أسئلة المتابعة - الإدارة تطلب إعادة الخدمة خلال ساعة، والتحقيق يحتاج يوماً، كيف توازن؟ - متى تبلغ جهة خارجية، ومن يقرر ذلك في شركتك؟ - كيف تعرف أن النسخة الاحتياطية نفسها نظيفة؟ **علامات تحذير:** يعيد التشغيل أو التثبيت فوراً، أو لا يذكر الأسرار التي كانت على السيرفر. **مقالات تشرح الموضوع:** [فحص سيرفر Linux مخترق دون أن تفسد الأدلة](https://arabroot.io/articles/%D9%81%D8%AD%D8%B5-%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-linux-%D9%85%D8%AE%D8%AA%D8%B1%D9%82-%D8%AF%D9%88%D9%86-%D8%A7%D9%86-%D8%AA%D9%81%D8%B3%D8%AF-%D8%A7%D9%84%D8%A7%D8%AF%D9%84%D8%A9/)، و[الاستجابة للحوادث Incident Response مع TheHive](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/). ### 7\. لماذا يهم ترتيب جمع الأدلة Order of Volatility؟ مبتدئ **ماذا يختبر:** أساس جنائي بسيط يحدد إن كان التحقيق ممكناً بعد ساعة. إجابة المبتدئ لأن بعض البيانات تختفي عند إطفاء الجهاز، مثل الذاكرة، فنجمعها أولاً. إجابة الخبير البيانات تختلف في عمرها: سجلات المعالج والذاكرة والاتصالات الشبكية والعمليات تختفي في ثوان أو مع إعادة التشغيل، والملفات المؤقتة بعدها، ثم القرص، ثم السجلات المركزية والنسخ الاحتياطية التي تبقى أطول. لذلك أجمع الأقصر عمراً أولاً، وأوثق كل خطوة بالوقت والأمر الذي نفذته وهاش ما جمعته، لأن كل أمر أنفذه على الجهاز يغيره، والتوثيق هو ما يجعل الدليل مقبولاً لاحقاً أمام الإدارة أو جهة قانونية. وإذا كان السيرفر سحابياً فاللقطة والسجلات من المزود جزء من الخطة. أسئلة المتابعة - ما هي سلسلة الحفظ Chain of Custody، ومتى تحتاجها؟ - لماذا لا تنسخ أدوات التحقيق إلى قرص الجهاز المخترق؟ **علامات تحذير:** يفتح الملفات المشبوهة على الجهاز نفسه ليرى محتواها، أو لا يوثق ما فعله. **مقالات تشرح الموضوع:** [أدوات التحقيق الرقمي مفتوحة المصدر](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/)، و[البحث عن آثار الاختراق في كل السيرفرات مع Velociraptor](https://arabroot.io/articles/%D8%A7%D9%84%D8%A8%D8%AD%D8%AB-%D8%B9%D9%86-%D8%A7%D8%AB%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D9%81%D9%8A-%D9%83%D9%84-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-velociraptor/). ### 8\. رسالة فدية Ransomware على عشرين جهازاً صباح الخميس، ما قراراتك بالترتيب؟ خبير **ماذا يختبر:** قيادة حادثة كبيرة: النطاق والعزل والنسخ الاحتياطية والتواصل. إجابة المبتدئ أفصل الأجهزة المصابة، ولا ندفع الفدية، ونستعيد من النسخ الاحتياطية. إجابة الخبير أعزل لإيقاف الانتشار: تقسيم الشبكة وإيقاف المشاركات وحسابات الخدمة التي يستخدمها البرنامج للانتشار، مع ترك الأجهزة تعمل معزولة إن أمكن لحفظ الذاكرة. ثم أحمي النسخ الاحتياطية فوراً، لأن هذه البرامج تبحث عنها قبل التشفير، وأتأكد أن لدينا نسخة غير متصلة أو غير قابلة للتعديل. ثم أحدد النطاق والمدخل: أول جهاز، والحساب المستخدم، وهل سربت البيانات قبل التشفير، لأن التسريب يغير التزامات الإبلاغ. وأفعل خطة التواصل: الإدارة والقانونية والعملاء والجهات المنظمة بحسب ما تلزم به الشركة، وأوثق كل قرار ووقته. وقرار الدفع ليس قرار الفريق التقني وحده، وأعرف أن الدفع لا يضمن الاستعادة ولا يمنع النشر. أسئلة المتابعة - النسخة الاحتياطية الأخيرة عمرها أسبوع، ماذا تخسر وكيف تخبر الإدارة؟ - كيف تعرف أن المهاجم ما زال داخل الشبكة بعد الاستعادة؟ - ما الذي تغيره في اختبار الاستعادة بعد هذه الحادثة؟ **علامات تحذير:** يبدأ بالاستعادة قبل أن يعرف المدخل، أو لا يذكر حماية النسخ الاحتياطية، أو لا يذكر احتمال تسريب البيانات. **مقالات تشرح الموضوع:** [النسخ الاحتياطي بقاعدة 3-2-1 واختبار الاستعادة](https://arabroot.io/articles/%D8%A7%D9%84%D9%86%D8%B3%D8%AE-%D8%A7%D9%84%D8%A7%D8%AD%D8%AA%D9%8A%D8%A7%D8%B7%D9%8A-%D8%A8%D9%82%D8%A7%D8%B9%D8%AF%D8%A9-3-2-1-%D9%88%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%B9%D8%A7%D8%AF%D8%A9/)، و[تقسيم الشبكة Network Segmentation](https://arabroot.io/articles/%D8%AA%D9%82%D8%B3%D9%8A%D9%85-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-network-segmentation-vlan-%D9%88-vpc/). ### 9\. انتهت الحادثة، ماذا يجب أن يحتوي تقرير ما بعد الحادثة؟ متوسط **ماذا يختبر:** هل يتعلم الفريق من الحادثة، أم يغلقها وينتظر التالية. إجابة المبتدئ ماذا حدث، وكيف حللناه، وما الدروس المستفادة. إجابة الخبير خط زمني بالدقائق من أول أثر للمهاجم إلى الإغلاق، والفرق بين وقت الدخول ووقت الاكتشاف لأنه أهم رقم في التقرير، وما الذي اكتشف الحادثة (تنبيه أم موظف أم عميل)، والسبب الجذري بلغة الأنظمة وليس الأشخاص، وما نجح في الاستجابة وما تأخر، ثم إجراءات محددة لكل منها مالك وتاريخ، مثل قاعدة كشف جديدة للأسلوب الذي فاتنا أو تعديل على الإجراء المكتوب. ويكتب التقرير بلا لوم Blameless حتى يتكلم الناس بصدق، ويقرأ في اجتماع يحضره من يملك تنفيذ الإجراءات. أسئلة المتابعة - كيف تتأكد أن الإجراءات نفذت فعلاً بعد ثلاثة أشهر؟ - ما الفرق بين السبب الجذري والسبب المباشر في مثال حقيقي عشته؟ **علامات تحذير:** التقرير يحدد شخصاً مخطئاً وينتهي، أو لا يحتوي أي إجراء له مالك. **مقالات تشرح الموضوع:** [الاستجابة للحوادث Incident Response مع TheHive](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/)، و[سجلات تساعدك فعلاً: من «حدث خطأ» إلى سبب المشكلة](https://arabroot.io/articles/%D8%B3%D8%AC%D9%84%D8%A7%D8%AA-%D8%AA%D8%B3%D8%A7%D8%B9%D8%AF%D9%83-%D9%81%D8%B9%D9%84%D8%A7-%D9%85%D9%86-%D8%AD%D8%AF%D8%AB-%D8%AE%D8%B7%D8%A7-%D8%A7%D9%84%D9%89-%D8%B3%D8%A8%D8%A8-%D8%A7%D9%84%D9%85%D8%B4%D9%83%D9%84%D8%A9/). ## اختبار الاختراق Penetration Testing في مقابلة المختبر يظهر خطأ شائع عند المقابلين: الإعجاب بالحماس الهجومي وحده، والمختبر الذي تريده يجد الثغرة ثم يكتب عنها تقريراً يفهمه العميل، ولا يتجاوز النطاق الذي وقع عليه، لذلك نصف الأسئلة هنا عن المنهجية والحدود والتقرير. ### 10\. وصلك طلب اختبار لتطبيق ويب، ما الذي تحتاجه قبل أن ترسل أول حزمة؟ مبتدئ **ماذا يختبر:** الإذن والنطاق وقواعد الاشتباك Rules of Engagement، وهي ما يفرق بين الاختبار والاعتداء. إجابة المبتدئ أحتاج رابط التطبيق وحساب اختبار، وأعرف هل الاختبار Black Box أم White Box. إجابة الخبير أحتاج إذناً مكتوباً من مالك النظام يحدد النطاق بالعناوين والنطاقات بالضبط، وما هو خارج النطاق صراحة (بوابة الدفع الخارجية مثلاً لأنها ليست ملكهم)، ونافذة الوقت، وما الممنوع مثل هجمات حجب الخدمة أو تعديل بيانات الإنتاج، وجهة اتصال متاحة إذا تعطل شيء أو وجدت ثغرة حرجة تحتاج إبلاغاً فورياً، وطريقة حفظ البيانات التي سأراها وحذفها. وإذا كان التطبيق على سحابة فأراجع سياسة المزود. وأسأل عن الهدف: هل يريدون تغطية واسعة للثغرات أم محاكاة مهاجم محدد؟ لأن ذلك يغير المنهجية والتقرير. أسئلة المتابعة - أثناء الاختبار وجدت أن السيرفر يتصل بنظام آخر خارج النطاق وفيه ثغرة واضحة، ماذا تفعل؟ - وجدت بيانات بطاقات حقيقية في قاعدة بيانات الاختبار، ماذا تفعل؟ **علامات تحذير:** يرى الإذن المكتوب إجراءً شكلياً، أو يقول إنه سيجرب «قليلاً» خارج النطاق إذا رأى فرصة. **المقال الذي يشرح الموضوع:** [اختبار الاختراق المصرح به: المنهجية والإذن والتقرير](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/). ### 11\. أعطاك فحص Nmap منفذاً مفتوحاً واحداً هو 443، كيف تكمل؟ متوسط **ماذا يختبر:** المنهجية بعد الاستكشاف، وألا يتوقف عند «لا يوجد شيء». إجابة المبتدئ أفتح الموقع في المتصفح، وأشغل فاحصاً مثل Nikto أو ZAP وأرى النتائج. إجابة الخبير أتأكد أولاً أن الفحص كامل: هل فحصت كل المنافذ `-p-` وليس أشهر ألف، وهل جربت UDP، وهل الجدار يخفي منافذ بحالة filtered. ثم المنفذ 443 نفسه عالم كامل: الشهادة تعطيني أسماء نطاقات أخرى في SAN، والاستضافة الافتراضية قد تخفي تطبيقات أخرى على نفس العنوان باسم مختلف، والمسارات المخفية مثل لوحات الإدارة وملفات الإعداد والنسخ القديمة من ال API. ثم أفهم التطبيق كمستخدم قبل أي فاحص آلي: الأدوار والصلاحيات والتدفقات المهمة مثل الدفع وإعادة تعيين كلمة المرور، لأن أخطر الثغرات اليوم في التفويض والمنطق، والفاحص الآلي لا يراها. أسئلة المتابعة - كيف تختبر ثغرة IDOR في API لا يوجد لها توثيق؟ - متى تخفض سرعة الفحص، ولماذا؟ **علامات تحذير:** يعتمد على مخرج أداة واحدة، أو يقفز إلى الاستغلال قبل أن يفهم التطبيق. **مقالات تشرح الموضوع:** [استكشاف الشبكة والمنافذ والخدمات مع Nmap](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/)، و[DAST: فحص تطبيقك من الخارج وهو يعمل](https://arabroot.io/articles/%D9%81%D8%AD%D8%B5-%D8%A7%D9%84%D8%AA%D8%B7%D8%A8%D9%8A%D9%82-%D8%A7%D8%AB%D9%86%D8%A7%D8%A1-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84-dast-%D9%85%D8%B9-zap/). ### 12\. وجدت ثغرة حقن SQL في صفحة بحث داخلية لا يصلها إلا الموظفون، ما خطورتها؟ متوسط **ماذا يختبر:** تقدير الخطورة بالسياق، وليس بالاسم وحده. إجابة المبتدئ حقن SQL خطير دائماً، فهي ثغرة حرجة. إجابة الخبير أحسب الخطورة من عاملين: احتمال الاستغلال والأثر. والوصول المقصور على الموظفين يخفض الاحتمال ولا يلغيه، لأن حساب موظف واحد مخترق بالتصيد يكفي، والأثر يعتمد على صلاحيات حساب قاعدة البيانات الذي يستخدمه التطبيق: هل يقرأ جدول بحث واحد أم كل بيانات العملاء، وهل يسمح بالكتابة أو تنفيذ أوامر. وأستخدم مقياساً معروفاً مثل CVSS لأعطي رقماً قابلاً للمقارنة، ثم أشرح في التقرير السياق الذي يرفع الخطر أو يخفضه، وأثبت الأثر بأقل قدر من البيانات، فأقرأ اسم قاعدة البيانات وعدد الجداول ولا أسحب سجلات العملاء. أسئلة المتابعة - العميل يرفض تصنيفك ويريدها «متوسطة»، كيف تتصرف؟ - ما الإصلاح الذي تقترحه، ولماذا لا يكفي جدار تطبيقات الويب WAF؟ **علامات تحذير:** يسحب بيانات حقيقية ليثبت الثغرة، أو يصنف بالاسم دون سياق. **مقالات تشرح الموضوع:** [ثغرات الويب بالتجربة: تطبيق نخترقه ثم نصلحه](https://arabroot.io/articles/%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D9%88%D9%8A%D8%A8-%D8%A8%D8%A7%D9%84%D8%AA%D8%AC%D8%B1%D8%A8%D8%A9-sql-injection-%D9%88-xss-%D9%88-ssrf/)، و[إدارة الثغرات Vulnerability Management](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/). ### 13\. كيف تكتب ملخص التقرير لمدير لا يقرأ التفاصيل التقنية؟ خبير **ماذا يختبر:** أن قيمة الاختبار تصل إلى من يقرر الإصلاح. إجابة المبتدئ أكتب عدد الثغرات بحسب الخطورة، وأهم ثلاث ثغرات. إجابة الخبير الملخص يجيب عن سؤال المدير: ما الذي يستطيع المهاجم فعله بنا اليوم، وما الذي نصلحه أولاً؟ فأكتب سلسلة الهجوم الأخطر كقصة قصيرة بلغة العمل (من حساب موظف عادي إلى قراءة بيانات كل العملاء في ثلاث خطوات)، ثم الأسباب المشتركة بين الثغرات لأنها ما يغير البرنامج (التفويض غير مركزي، والتحديثات متأخرة)، ثم ثلاث أولويات بتقدير الجهد، ثم ما كان جيداً لأنه يستحق الاستمرار. والأرقام وحدها مضللة، فعشرون ثغرة منخفضة أقل خطراً من سلسلة واحدة. أسئلة المتابعة - كيف تثبت للمطورين أن الإصلاح نجح؟ (Retest) - ما الذي لا تضعه في تقرير سيقرؤه عدد كبير من الناس؟ **علامات تحذير:** ينسخ مخرج الأداة في التقرير، أو لا يستطيع أن يشرح ثغرة دون مصطلحات. **المقال الذي يشرح الموضوع:** [اختبار الاختراق المصرح به: المنهجية والإذن والتقرير](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/). ## أمن التطبيقات AppSec مختص AppSec ينجح أو يفشل بعلاقته مع المطورين، فالثغرة التي يجدها لا تصلح إلا إذا قبل المطور الإصلاح وفهم سببه، لذلك تقيس هنا القدرة على قراءة الكود، والقدرة على الإقناع دون أن يصبح الأمن عقبة يتجاوزها الفريق. ### 14\. المستخدم يغير رقم الفاتورة في الرابط فيرى فاتورة غيره، أين الخطأ وكيف تمنع تكراره؟ مبتدئ **ماذا يختبر:** الفرق بين المصادقة والتفويض، وأشهر ثغرة في ال API. إجابة المبتدئ التطبيق لا يتحقق أن الفاتورة تخص المستخدم، فنضيف هذا الشرط في الاستعلام. إجابة الخبير هذه BOLA أو IDOR، والأولى في OWASP API Security Top 10: المصادقة نجحت والتفويض على مستوى الكائن غائب. وإصلاح هذه النقطة وحدها لا يكفي لأن نفس النمط موجود غالباً في نقاط أخرى، لذلك أقترح نمطاً يجعل النسيان صعباً: طبقة وصول للبيانات تضيف شرط المالك تلقائياً، أو Row-Level Security في قاعدة البيانات، واختبارات آلية تحاول الوصول بمستخدم آخر لكل نقطة في ال API ضمن خط CI. وأذكر أن الرقم العشوائي UUID يصعب التخمين ولكنه ليس إصلاحاً. أسئلة المتابعة - كيف تجد كل النقاط المتأثرة في تطبيق فيه مئتا نقطة؟ - كيف تقنع الفريق بإضافة الاختبار الآلي دون أن يبطئهم؟ **علامات تحذير:** يقترح إخفاء الرقم أو تشفيره كحل. **مقالات تشرح الموضوع:** [أمن ال API بالأمثلة مع OWASP API Security Top 10](https://arabroot.io/articles/%D8%A7%D9%85%D9%86-%D9%88%D8%A7%D8%AC%D9%87%D8%A7%D8%AA-api-%D9%85%D8%B9-owasp-api-security-top-10/)، و[Authorization: كيف تجمع قرارات الصلاحيات في مكان واحد](https://arabroot.io/articles/%D8%A7%D9%84%D8%B5%D9%84%D8%A7%D8%AD%D9%8A%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B1%D9%83%D8%B2%D9%8A%D8%A9-authorization-rbac-%D9%88-rebac/). ### 15\. أداة SAST أعطت 900 نتيجة على المشروع، من أين تبدأ؟ متوسط **ماذا يختبر:** إدارة نتائج الأدوات دون أن يغرق الفريق فيها. إجابة المبتدئ أبدأ بالنتائج الحرجة والعالية، وأرسلها للمطورين ليصلحوها. إجابة الخبير تسعمئة نتيجة ترسل للمطورين مرة واحدة تعني أن أحداً لن يصلح شيئاً وأن الأداة ستعطل في الأسبوع التالي. فأبدأ بفرز القواعد وليس النتائج: أي القواعد نتائجها صحيحة في عينة، وأيها ضجيج في هذا المشروع فأعطلها أو أضبطها. ثم أركز على أصناف الثغرات الخطرة في الكود الذي يستقبل مدخلات من الخارج، وأضع خطاً أساسياً Baseline يقبل القديم مؤقتاً ويمنع الجديد في كل Pull Request، لأن منع الجديد أسهل وأسرع أثراً من تنظيف القديم. ثم أعمل مع الفريق على القديم بدفعات صغيرة حسب الخطورة. أسئلة المتابعة - ما الفرق بين SAST وSCA وDAST، وما الذي يفوته كل منها؟ - المطور يغلق النتيجة بعلامة «إيجابي كاذب» دائماً، ماذا تفعل؟ **علامات تحذير:** يقيس النجاح بعدد النتائج المرسلة، أو يجعل الأداة تمنع كل دمج من اليوم الأول. **مقالات تشرح الموضوع:** [SAST: كيف يجد تحليل الكود الثابت الثغرات قبل التشغيل](https://arabroot.io/articles/%D8%AA%D8%AD%D9%84%D9%8A%D9%84-%D8%A7%D9%84%D9%83%D9%88%D8%AF-%D8%A7%D9%84%D8%AB%D8%A7%D8%A8%D8%AA-sast-%D9%85%D8%B9-semgrep-%D9%88-sonarqube/)، و[إدارة نتائج الفحص والثغرات مع DefectDojo](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D9%86%D8%AA%D8%A7%D8%A6%D8%AC-%D8%A7%D9%84%D9%81%D8%AD%D8%B5-%D9%88%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-defectdojo/). ### 16\. مطور دفع مفتاح AWS إلى مستودع عام قبل ساعة، ما الخطوات بالترتيب؟ متوسط **ماذا يختبر:** الاستجابة الصحيحة للأسرار المسربة، وترتيبها. إجابة المبتدئ نحذف الملف من المستودع ونعمل Commit جديداً، ونغير المفتاح. إجابة الخبير أول خطوة إلغاء المفتاح وإصدار بديل، وليس الحذف من المستودع، لأن المستودعات العامة تفحص آلياً في دقائق والمفتاح في التاريخ وفي كل نسخة. ثم أراجع سجلات الاستخدام للمفتاح منذ لحظة الدفع: هل استخدم من عنوان غريب، وهل أنشئت موارد جديدة أو قرئت بيانات. ثم أنظف التاريخ إذا لزم، وأسأل لماذا وصل المفتاح إلى الكود أصلاً: هل نحتاج مفاتيح ثابتة طويلة العمر، أم يمكن استخدام هويات مؤقتة؟ ثم أضيف فحص أسرار قبل الدفع وفي CI حتى لا يتكرر. أسئلة المتابعة - كيف تعرف كل الأماكن التي استخدم فيها المفتاح قبل أن تلغيه؟ - لماذا الأسرار قصيرة العمر أفضل حتى لو كانت أصعب في الإعداد؟ **علامات تحذير:** يبدأ بتنظيف التاريخ قبل إلغاء المفتاح. **المقال الذي يشرح الموضوع:** [Secrets Scanning: كيف تكتشف الأسرار المسربة في الكود](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%A7%D8%B3%D8%B1%D8%A7%D8%B1-%D8%A7%D9%84%D9%85%D8%B3%D8%B1%D8%A8%D8%A9-%D9%85%D8%B9-gitleaks-%D9%88-trufflehog/). ### 17\. فريق التطوير يرى الأمن عقبة ويؤجل كل الإصلاحات، كيف تغير ذلك؟ خبير **ماذا يختبر:** بناء برنامج AppSec يعمل مع الفرق، وليس قائمة ملاحظات. إجابة المبتدئ أشرح لهم خطورة الثغرات، وأطلب من الإدارة أن تلزمهم بالإصلاح. إجابة الخبير أبدأ بفهم لماذا يؤجلون: هل النتائج كثيرة وأغلبها ضجيج، أم لا يوجد وقت مخطط للإصلاح، أم الإصلاح المقترح غير عملي. ثم أخفض تكلفة الأمن عليهم: نتائج قليلة صحيحة داخل أدواتهم وفي Pull Request وليس في تقرير PDF، وأمثلة إصلاح جاهزة بلغتهم، ومكتبات آمنة افتراضياً تجعل الطريق الصحيح هو الأسهل. وأتفق مع مدير المنتج على اتفاقية مستوى خدمة للإصلاح بحسب الخطورة، وأختار في كل فريق مطوراً مهتماً بالأمن Security Champion أدعمه، وأقيس الوقت حتى الإصلاح بدلاً من عدد الثغرات. أسئلة المتابعة - كيف تقيس نضج برنامج أمن التطبيقات بعد سنة؟ (OWASP SAMM) - متى توقف إطلاق ميزة لأسباب أمنية، ومن يقرر؟ **علامات تحذير:** يرى الحل في الإلزام وحده، أو يتحدث عن المطورين كخصوم. **مقالات تشرح الموضوع:** [Secure SDLC: الأمن في كل مرحلة من حياة التطبيق](https://arabroot.io/articles/%D8%AF%D9%88%D8%B1%D8%A9-%D8%AD%D9%8A%D8%A7%D8%A9-%D8%AA%D8%B7%D9%88%D9%8A%D8%B1-%D8%A7%D9%84%D8%A8%D8%B1%D9%85%D8%AC%D9%8A%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86%D8%A9-secure-sdlc/)، و[OWASP SAMM: كيف تقيس نضج أمن تطبيقاتك](https://arabroot.io/articles/%D9%86%D9%85%D8%A7%D8%B0%D8%AC-%D8%A7%D9%84%D9%86%D8%B6%D8%AC-owasp-samm-%D9%83%D9%8A%D9%81-%D8%AA%D9%82%D9%8A%D8%B3-%D8%A7%D9%85%D9%86-%D8%AA%D8%B7%D8%A8%D9%8A%D9%82%D8%A7%D8%AA%D9%83/). ## الحوكمة والمخاطر والامتثال GRC مقابلة GRC تفشل عندما تتحول إلى اختبار حفظ لأرقام الضوابط، فالمختص الجيد يعرف أين يجد النص، والذي تقيسه هو هل يفهم لماذا كتب الضابط، وكيف يطبق في شركة حقيقية، وما الدليل الذي يقنع المدقق، وكيف يكتب الخطر بلغة يفهمها مجلس الإدارة. ### 18\. كيف تقيم خطراً جديداً، وما الذي تكتبه في سجل المخاطر؟ مبتدئ **ماذا يختبر:** مفهوم الخطر الأساسي وتحويله إلى سطر قابل للمتابعة. إجابة المبتدئ الخطر يساوي الاحتمال في الأثر، فأعطي كل منهما رقماً من 1 إلى 5 وأضربهما. إجابة الخبير أكتب الخطر كجملة لها سبب وحدث وأثر: «بسبب عدم تفعيل التحقق متعدد العناصر على البريد، قد يدخل مهاجم بكلمة مرور مسربة، فيرسل تحويلات مزورة باسم المالية». ثم أقدر الاحتمال والأثر بمقياس الشركة المكتوب، مع سبب كل تقدير، وأحدد مالك الخطر من الإدارة وليس من الأمن، والضوابط الحالية، والخطر المتبقي بعدها، والقرار: معالجة أم قبول أم نقل أم تجنب، مع تاريخ مراجعة. والضرب في 1 إلى 5 أداة للترتيب وليس قياساً دقيقاً، فلا أعامل الفرق بين 12 و15 كأنه حقيقة. أسئلة المتابعة - من يحق له قبول خطر عال، ولماذا لا يكون مدير الأمن؟ - كيف تقدر الأثر المالي لتوقف نظام الدفع ساعة؟ **علامات تحذير:** يجعل الأمن مالكاً لكل المخاطر، أو يكتب الخطر بكلمة واحدة مثل «فيروسات». **مقالات تشرح الموضوع:** [مصطلحات GRC للمبتدئين بمثال من شركة صغيرة](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/)، و[سجل المخاطر Risk Register مع SimpleRisk](https://arabroot.io/articles/%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-risk-register-%D9%85%D8%B9-simplerisk/). ### 19\. الشركة مطالبة بضوابط ECC وعميل كبير يطلب ISO 27001، كيف تخطط؟ متوسط **ماذا يختبر:** معرفة الأطر وعلاقتها ببعض، وتجنب العمل المكرر. إجابة المبتدئ نطبق ECC أولاً لأنها إلزامية، ثم نبدأ مشروع ISO 27001. إجابة الخبير ECC ضوابط محددة تطبقها الجهات المشمولة، وISO 27001 نظام إدارة يطلب أن تدير المخاطر وتختار ضوابطك وتثبت التحسين المستمر، والتداخل بينهما كبير. لذلك أبني مكتبة ضوابط واحدة داخلية أربط كل ضابط فيها بما يقابله في الإطارين، وأجمع الدليل مرة واحدة ويستخدم للاثنين، وأستفيد من ISO في ما لا تطلبه ECC صراحة مثل تقييم المخاطر المنهجي والمراجعة الإدارية. وأسأل عن النطاق: هل يطلب العميل الشهادة للشركة كلها أم لخدمة واحدة؟ لأن نطاقاً أصغر يعني شهادة أسرع. أسئلة المتابعة - ما بيان قابلية التطبيق SoA، ولماذا يسأل عنه المدقق؟ - أداة امتثال مفتوحة المصدر أم جدول Excel؟ متى يكفي كل منهما؟ **علامات تحذير:** يرى الإطارين مشروعين منفصلين بفريقين، أو لا يعرف الفرق بين الضوابط ونظام الإدارة. **مقالات تشرح الموضوع:** [أطر الأمن السيبراني: أيها تحتاج مؤسستك؟](https://arabroot.io/articles/%D8%A7%D8%B7%D8%B1-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-ecc-%D9%88-iso-27001-%D9%88-nist-csf-%D9%88-soc-2/)، و[ISO 27001 بأدوات مفتوحة المصدر](https://arabroot.io/articles/iso-27001-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1-%D9%85%D9%86-%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D8%AA%D8%AF%D9%82%D9%8A%D9%82/). ### 20\. المدقق طلب دليلاً على أن الصلاحيات تراجع دورياً، ماذا تقدم؟ متوسط **ماذا يختبر:** الفرق بين وجود السياسة وتطبيقها، وما يقبله المدقق دليلاً. إجابة المبتدئ أقدم سياسة إدارة الصلاحيات المعتمدة التي تنص على المراجعة كل ثلاثة أشهر. إجابة الخبير السياسة تثبت النية، والمدقق يريد أثر التطبيق خلال فترة التدقيق: سجلات المراجعات الفعلية بتواريخها، ومن راجع ومن وافق، وقائمة الحسابات التي قرر إلغاؤها مع ما يثبت إلغاءها فعلاً في النظام، وكيف تعاملنا مع الاستثناءات. وأفضل دليل ما يخرج من النظام آلياً بتاريخ، مثل تقرير من مزود الهوية، وليس لقطة شاشة أخذت يوم التدقيق. والمدقق قد يأخذ عينة من الموظفين الذين غادروا ويسأل متى ألغي حسابهم، لذلك أختبر هذا بنفسي قبله. أسئلة المتابعة - وجدت أثناء التحضير أن المراجعة لم تتم في ربع كامل، ماذا تفعل؟ - كيف تؤتمت جمع هذا الدليل؟ **علامات تحذير:** يرى السياسة دليلاً كافياً، أو يقترح إنشاء سجلات بتاريخ قديم. **مقالات تشرح الموضوع:** [جمع أدلة الامتثال Evidence تلقائياً](https://arabroot.io/articles/%D8%AC%D9%85%D8%B9-%D8%A7%D8%AF%D9%84%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84-%D8%AA%D9%84%D9%82%D8%A7%D8%A6%D9%8A%D8%A7/)، و[الاستعداد للتدقيق Audit: ماذا يطلب المدقق](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%B9%D8%AF%D8%A7%D8%AF-%D9%84%D9%84%D8%AA%D8%AF%D9%82%D9%8A%D9%82-%D9%85%D8%A7%D8%B0%D8%A7-%D9%8A%D8%B7%D9%84%D8%A8-%D8%A7%D9%84%D9%85%D8%AF%D9%82%D9%82/). ### 21\. كيف تعرض حالة الأمن السيبراني على مجلس الإدارة في عشر دقائق؟ خبير **ماذا يختبر:** الترجمة إلى لغة القرار والمال. إجابة المبتدئ أعرض عدد الهجمات التي صددناها ونسبة الامتثال للضوابط. إجابة الخبير المجلس يريد أن يعرف: ما أكبر خمسة مخاطر على الأعمال، وهل هي ضمن ما قبلناه، وما الذي نحتاج قراره أو ميزانيته. فأعرض المخاطر بلغة الأثر (توقف الدفع، تسريب بيانات العملاء، غرامة تنظيمية)، واتجاهها منذ العرض السابق، ومؤشرات قليلة لها معنى مثل الوقت حتى الاكتشاف ونسبة الأنظمة الحرجة المحدثة، وطلباً واحداً واضحاً. وعدد الهجمات المصدودة رقم لا يساعد على أي قرار، ونسبة الامتثال قد تكون عالية والخطر الأكبر خارجها. أسئلة المتابعة - عضو في المجلس سأل: هل نحن آمنون؟ بماذا تجيب؟ - كيف تبرر ميزانية أداة بقيمة 400 ألف ريال؟ **علامات تحذير:** عرض تقني مليء بالمصطلحات، أو يعد بأمان كامل. **مقالات تشرح الموضوع:** [الضوابط الأساسية للأمن السيبراني NCA ECC بلغة بسيطة](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)، و[سياسات الأمن السيبراني: كيف تكتب سياسة تطبق فعلاً؟](https://arabroot.io/articles/%D8%B3%D9%8A%D8%A7%D8%B3%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%82%D9%88%D8%A7%D9%84%D8%A8-%D9%88%D9%83%D9%8A%D9%81-%D8%AA%D9%83%D8%AA%D8%A8-%D8%B3%D9%8A%D8%A7%D8%B3%D8%A9-%D8%AA%D8%B7%D8%A8%D9%82/). ## مهندس الأمن Security Engineer مهندس الأمن يبني ما يستخدمه الآخرون: الهوية، والتقسيم، والتسجيل، والأتمتة، لذلك تقيس فيه التصميم والسكربتات والموازنة مع التشغيل، وتقيس أيضاً هل يرى ما يكلفه قراره على الفرق الأخرى. ### 22\. ماذا يحدث في مصافحة TLS، وأين يمكن أن تفشل الحماية فيها؟ مبتدئ **ماذا يختبر:** أساس التشفير العملي الذي يلمسه كل يوم. إجابة المبتدئ العميل والسيرفر يتفقان على مفتاح للتشفير، والسيرفر يرسل شهادة تثبت هويته. إجابة الخبير العميل يرسل ما يدعمه واسم النطاق في SNI، والسيرفر يرد بالشهادة والخوارزمية المختارة، ويتفق الطرفان على مفتاح جلسة بتبادل مفاتيح مؤقت يعطي سرية أمامية Forward Secrecy، والعميل يتحقق من الشهادة: السلسلة حتى جهة موثوقة، والاسم، والتاريخ. والحماية تفشل غالباً خارج الخوارزميات: تطبيق يعطل التحقق من الشهادة ليتجاوز خطأ في الاختبار ثم ينسى، أو اتصال داخلي بلا TLS بعد ال Load Balancer، أو مفتاح خاص منسوخ على سيرفرات كثيرة، أو شهادة منتهية توقف الخدمة لأن لا أحد يراقبها. أسئلة المتابعة - ما الفرق بين TLS المتبادل mTLS والعادي، ومتى تحتاجه؟ - كيف تكتشف تطبيقاً عطل التحقق من الشهادة؟ **علامات تحذير:** يخلط بين التشفير والتوقيع، أو يرى أن TLS يحمي من كل شيء. **مقالات تشرح الموضوع:** [الشهادات الرقمية TLS للمبتدئين](https://arabroot.io/articles/%D8%A7%D9%84%D8%B4%D9%87%D8%A7%D8%AF%D8%A7%D8%AA-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A%D8%A9-tls-%D9%88-x509-%D9%88%D8%B5%D9%8A%D8%BA-pem-%D9%88-der/)، و[التشفير للمطورين](https://arabroot.io/articles/%D8%A7%D9%84%D8%AA%D8%B4%D9%81%D9%8A%D8%B1-%D9%84%D9%84%D9%85%D8%B7%D9%88%D8%B1%D9%8A%D9%86-%D8%A7%D9%84%D9%87%D8%A7%D8%B4-%D9%88%D9%83%D9%84%D9%85%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B1%D9%88%D8%B1-%D9%88%D8%A7%D9%84%D9%85%D9%81%D8%A7%D8%AA%D9%8A%D8%AD/). ### 23\. صمم تقسيم شبكة لشركة فيها مكتب وسيرفرات إنتاج وبيئة تطوير متوسط **ماذا يختبر:** التصميم من المخاطر، والحركة الجانبية Lateral Movement. إجابة المبتدئ VLAN للمكتب وأخرى للسيرفرات وثالثة للتطوير، مع جدار ناري بينها. إجابة الخبير أبدأ بالسؤال عما يجب أن يتصل بماذا، وأكتب التدفقات المسموحة صراحة، والباقي ممنوع. فالمكتب لا يصل إلى سيرفرات الإنتاج مباشرة، وإنما عبر نقطة وصول إدارية واحدة بتحقق متعدد العناصر وتسجيل للجلسات، وبيئة التطوير لا تصل إلى بيانات الإنتاج، وقواعد البيانات لا يصلها إلا التطبيق، والخروج إلى الإنترنت من الإنتاج مقيد بما يلزم. وأفصل شبكة الإدارة للأجهزة نفسها، وأنتبه أن التقسيم الذي لا يراقب لا يكتشف شيئاً، لذلك أسجل الحركة المرفوضة بين المناطق لأنها إشارة مبكرة على مهاجم يتحرك. أسئلة المتابعة - المطورون يحتاجون أحياناً بيانات من الإنتاج لتشخيص خطأ، كيف تسمح بذلك بأمان؟ - كيف يختلف التصميم في السحابة مع VPC ومجموعات الأمان؟ **علامات تحذير:** يبدأ بالأجهزة والأسماء التجارية قبل التدفقات، أو يسمح بكل شيء داخل الشبكة الداخلية. **مقالات تشرح الموضوع:** [تقسيم الشبكة Network Segmentation بال VLAN وال VPC](https://arabroot.io/articles/%D8%AA%D9%82%D8%B3%D9%8A%D9%85-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-network-segmentation-vlan-%D9%88-vpc/)، و[أدوات الوصول الآمن إلى السيرفرات](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA/). ### 24\. اكتب بالكلام سكربتاً يجد السيرفرات التي تقبل الدخول بكلمة مرور على SSH متوسط **ماذا يختبر:** الأتمتة والسكربتات، وهي كفاءة تذكرها Amazon صراحة لمهندس الأمن. إجابة المبتدئ أدخل كل سيرفر وأقرأ الملف `sshd_config` وأبحث عن `PasswordAuthentication yes`. إجابة الخبير قراءة الملف وحدها تخدع، لأن الإعداد قد يأتي من ملف في `sshd_config.d` أو من كتلة `Match`، لذلك أسأل السيرفر عن الإعداد الفعلي بالأمر `sshd -T`، أو أختبر من الخارج بمحاولة اتصال تطلب طريقة كلمة المرور وأرى هل يعرضها السيرفر. والسكربت يأخذ قائمة السيرفرات من مصدر الجرد وليس من ملف يدوي، ويعمل بالتوازي مع مهلة لكل سيرفر، ويخرج نتيجة منظمة (السيرفر، والنتيجة، والخطأ إن وجد) حتى تدخل في لوحة أو تذكرة، ويفرق بين «لا يقبل» و«لم أستطع الوصول» لأن الثانية ليست نجاحاً. أسئلة المتابعة - كيف تجعل هذا الفحص يعمل دورياً وينبه عند التغيير؟ - متى تستخدم أداة إدارة إعدادات بدلاً من سكربت؟ **علامات تحذير:** يعتبر عدم الوصول إلى السيرفر نتيجة سليمة، أو يكتب سكربتاً يحتاج كلمة مرور الجذر نصاً. **مقالات تشرح الموضوع:** [تقوية السيرفر Hardening وقياسها مع Lynis ومعايير CIS](https://arabroot.io/articles/%D8%AA%D9%82%D9%88%D9%8A%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-hardening-%D9%88%D9%82%D9%8A%D8%A7%D8%B3%D9%87%D8%A7-%D9%85%D8%B9-lynis-%D9%88-cis/)، و[تمارين Kata في الأمن](https://arabroot.io/articles/%D8%AA%D9%85%D8%A7%D8%B1%D9%8A%D9%86-kata-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86/). ### 25\. الإدارة تريد «Zero Trust» خلال سنة، من أين تبدأ؟ خبير **ماذا يختبر:** تحويل شعار إلى خطة مرحلية لها أثر قابل للقياس. إجابة المبتدئ نشتري منتج Zero Trust ونلغي ال VPN. إجابة الخبير Zero Trust طريقة تصميم وليس منتجاً: كل طلب يتحقق من الهوية والجهاز والسياق، ولا ثقة تلقائية لأنك داخل الشبكة. وأبدأ بما يعطي أكبر أثر بأقل تعطيل: هوية مركزية بدخول موحد SSO وتحقق متعدد العناصر لكل التطبيقات، ثم جرد الأجهزة وحالتها، ثم نقل التطبيقات الداخلية واحداً واحداً خلف وكيل يتحقق من الهوية بدلاً من ال VPN الواسع، ثم الصلاحيات الأقل والوصول المؤقت للحسابات المميزة. ولكل مرحلة مقياس، مثل نسبة التطبيقات خلف الدخول الموحد، وأترك ال VPN لما يحتاجه فعلاً بدلاً من إلغائه في يوم واحد. أسئلة المتابعة - تطبيق قديم لا يدعم SSO ولا يمكن تغييره، ماذا تفعل به؟ - كيف تقنع فريق الشبكات الذي يرى في ذلك تهديداً لعمله؟ **علامات تحذير:** يبدأ بالمنتج، أو بخطة تغير كل شيء في وقت واحد. **مقالات تشرح الموضوع:** [إدارة الهوية والوصول IAM والوصول المميز PAM](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D9%87%D9%88%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-iam-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D9%85%D9%85%D9%8A%D8%B2-pam/)، و[وصول مؤقت عند الحاجة Just-in-Time](https://arabroot.io/articles/%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D9%85%D8%A4%D9%82%D8%AA-jit-%D9%88%D8%AD%D8%B3%D8%A7%D8%A8-%D8%A7%D9%84%D8%B7%D9%88%D8%A7%D8%B1%D8%A6-break-glass/). ## السلوك والأخلاقيات لكل الأدوار من يعمل في الأمن يرى ما لا يراه غيره ويملك صلاحيات لا يملكها غيره، لذلك هذه الجلسة ليست مجاملة في آخر اليوم، وإنما جزء من القرار، وأي علامة تحذير فيها توقف التوظيف مهما كانت الدرجات التقنية. ### 26\. حدثني عن مرة اكتشفت فيها ثغرة في نظام لا تملكه، ماذا فعلت؟ كل المستويات **ماذا يختبر:** الحدود والإفصاح المسؤول Responsible Disclosure. إجابة مقبولة أبلغت الجهة عبر قناة الإبلاغ الرسمية أو البريد الأمني، ولم أجرب أكثر من الذي يثبت وجود المشكلة، ولم أنشر شيئاً قبل أن يصلحوا. إجابة قوية يصف الموقف بدقة: كيف لاحظ المشكلة (دون أن يكون قد بحث عنها في نظام غير مصرح له به)، وأنه توقف عند أول دليل، وأبلغ عبر برنامج إفصاح أو صفحة `security.txt` أو جهة وطنية مختصة، وانتظر الرد، ولم يحتفظ ببيانات رآها. ويعرف الفرق بين برنامج مكافآت الثغرات Bug Bounty المعلن بنطاقه وبين «جربت لأني فضولي». أسئلة المتابعة - لو لم ترد الجهة بعد شهر، ماذا كنت ستفعل؟ - ما الفرق في رأيك بين الاختبار المصرح به والفضول؟ **علامات تحذير:** يفتخر باختراق مواقع دون إذن «لأغراض التعلم»، أو يحكي عن بيانات احتفظ بها. ### 27\. حدثني عن خطأ ارتكبته أنت وأثر على الأمن أو التشغيل كل المستويات **ماذا يختبر:** الملكية والصدق، وما تغير بعد الخطأ. إجابة مقبولة أضفت قاعدة جدار ناري خاطئة فأوقفت خدمة داخلية ساعة، فأبلغت فوراً وتراجعت، وصرت أختبر القواعد في بيئة منفصلة. إجابة قوية نفس الشكل الذي تطلبه Amazon في [صفحة مقابلة مهندس الأمن](https://www.amazon.jobs/content/en/how-we-hire/security-engineer-interview-prep?ref=arabroot.io): يحكي بصيغة «أنا» لا «نحن»، ويتحمل مسؤولية الخطأ دون أن يلوم أحداً، ويذكر كيف اكتشف الخطأ ومن أخبر ومتى، وما الذي تغير في النظام وليس في سلوكه وحده، مثل مراجعة ثانية إلزامية لقواعد الإنتاج. أسئلة المتابعة - لو لم يكتشف أحد الخطأ غيرك، هل كنت ستخبر؟ - ماذا تغير في طريقة عمل الفريق بعدها؟ **علامات تحذير:** لا يتذكر أي خطأ، أو كل القصة عن خطأ زميل. ### 28\. مدير قسم يطلب منك استثناء حسابه من التحقق متعدد العناصر لأنه «يبطئه»، ماذا تفعل؟ كل المستويات **ماذا يختبر:** الحزم مع الاحترام، وتحويل الرفض إلى حل. إجابة مقبولة أرفض بأدب لأن السياسة لا تسمح، وأحيل الطلب إلى مديري. إجابة قوية أفهم المشكلة الحقيقية أولاً، فقد تكون أن التحقق يطلب كل ساعة أو أن الطريقة المستخدمة متعبة، فأقترح حلاً يخفف الألم دون إلغاء الحماية، مثل مفتاح مرور Passkey أو مدة جلسة أطول على جهاز موثوق. وإذا أصر فطريق الاستثناء مكتوب: طلب رسمي، وخطر يقبله مالكه بتوقيعه، ومدة محددة، وليس قراراً أتخذه في الممر. والحسابات القيادية هي ما يستهدفه المهاجمون أكثر من غيرها، وهذا ما أشرحه له بمثال. أسئلة المتابعة - الرئيس التنفيذي نفسه طلب الاستثناء، هل يتغير شيء؟ **علامات تحذير:** يوافق ليتجنب الحرج، أو يرفض بطريقة تجعل الأمن عدواً للأقسام. ## أربعة تمارين عملية للمقابلة الأسئلة تقيس ما يعرفه المرشح، والتمرين يقيس ما يفعله أمام مخرج حقيقي. والتمرينان الأول والثاني مبنيان على مخرجات حقيقية من مختبرات شغلناها في مقالات سابقة على الموقع، فتستطيع أن تعطيها للمرشح كما هي، والثالث والرابع تمرينا نقاش على ورقة. وأعط المرشح في كل تمرين 20 إلى 30 دقيقة، واطلب منه أن يفكر بصوت مسموع، واكتب في ورقة التقييم أين وصل دون تلميح وأين احتاج تلميحاً. ### التمرين الأول: فرز سجل تنبيهات لمحلل SOC المخرج التالي من مختبر مقال [مراقبة السيرفرات مع Wazuh](https://arabroot.io/articles/%D9%85%D8%B1%D8%A7%D9%82%D8%A8%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-wazuh-%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%89-%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85/#ssh-bruteforce)، وهو تنبيهات Wazuh الحقيقية لهجوم تخمين على SSH، مطبوع منها الوقت ورقم القاعدة ومستواها وعدد مرات إطلاقها والوصف والعنوان ورقم الأسلوب في ATT&CK. أعطه للمرشح مع جملة واحدة: «هذا ما ظهر في وردية الليل على السيرفر web01، ماذا حدث، وماذا تفعل، واكتب التذكرة»: ```text 19:33:44 5503 5 1 PAM: User login failed. | 192.168.112.6 T1110.001 19:33:46 5760 5 1 sshd: authentication failed. | 192.168.112.6 T1110.001,T1021.004 19:33:48 5503 5 2 PAM: User login failed. | 192.168.112.6 T1110.001 19:33:50 5760 5 2 sshd: authentication failed. | 192.168.112.6 T1110.001,T1021.004 ... 19:34:08 5503 5 7 PAM: User login failed. | 192.168.112.6 T1110.001 19:34:12 5760 5 7 sshd: authentication failed. | 192.168.112.6 T1110.001,T1021.004 19:34:12 5551 10 1 PAM: Multiple failed logins in a small period of time. | 192.168.112.6 T1110 19:34:14 5763 10 1 sshd: brute force trying to get access to the system. Authentication failed. | 192.168.112.6 T1110 19:34:16 651 3 1 Host Blocked by firewall-drop Active Response | 192.168.112.6 ``` ولتقيس الإجابة بنفس الطريقة لكل المرشحين، استخدم الأسئلة الستة في الصورة التالية بالترتيب، وسجل عند أي سؤال توقف المرشح: ![ستة أسئلة مرقمة من اليمين إلى اليسار: ماذا حدث بالقاعدة والمستوى وعدد المرات، ومن أين بالعنوان والمستخدم وهل هو داخلي أم خارجي، وهل نجح وهو أهم سؤال، وما الأثر بأي سيرفر وما قيمته، وماذا أفعل إغلاق أم تصعيد أم احتواء، وماذا أكتب الدليل والقرار في ثلاثة أسطر، وتحتها أن المحلل المبتدئ يقف عند السؤال الأول والجيد يصل إلى هل نجح قبل أن يقرر](https://arabroot.io/content/images/2026/10/interview-cybersecurity-04-triage.webp) ستة أسئلة بالترتيب، وأهمها الثالث ما تحتويه الإجابة الجيدة المرشح الجيد يقرأ أولاً أن كل محاولة أعطت تنبيهين بالمستوى 5 من مصدرين (PAM وsshd)، وأن العداد في العمود الرابع يصل إلى 7، ثم أن القاعدتين 5551 و5763 بالمستوى 10 ليستا سطرين جديدين في السجل وإنما قاعدتا تكرار Frequency تطلقان عندما تتكرر المحاولات من نفس العنوان في مدة قصيرة، وأن آخر سطر يقول إن الاستجابة النشطة Active Response حظرت العنوان بعد ثانيتين. والعنوان من شبكة خاصة `192.168.x.x`، وهذا يغير القصة كلها: المهاجم داخل الشبكة، أي أن جهازاً داخلياً مخترق أو موظفاً يجرب، وليس سكربتاً من الإنترنت. ثم يسأل السؤال الأهم: هل نجحت محاولة؟ والسجل المعروض لا يحتوي أي تنبيه دخول ناجح، ولكن المحلل الجيد لا يكتفي بغياب التنبيه، ويطلب سجل `auth.log` الأصلي من السيرفر أو يبحث عن دخول ناجح من نفس العنوان، ويطلب أسماء المستخدمين المجربين (في المختبر كان المستخدم `deploy` وهو مستخدم حقيقي على السيرفر، وهذا يعني أن المهاجم يعرف شيئاً). ثم يقرر: الحظر التلقائي نجح، ولكن التذكرة لا تغلق لأن المصدر داخلي، فيصعد للتحقيق في الجهاز `192.168.112.6`. والتذكرة الجيدة ثلاثة أسطر: «19:33:44 إلى 19:34:14 محاولات دخول SSH فاشلة متكررة على web01 من العنوان الداخلي 192.168.112.6 بالمستخدم deploy، حظرها Active Response في 19:34:16\. لا يوجد دخول ناجح في السجل المركزي، وطلبت auth.log للتأكيد. صعدت للتحقيق في الجهاز المصدر لأنه داخلي.» ولاحظ أن المحلل الخبير يذكر أيضاً أن الحظر التلقائي لعنوان داخلي قد يوقف خدمة مشروعة، فيسأل عن الجهاز قبل أن يقترح حظراً دائماً. ### التمرين الثاني: قراءة تقرير فحص لمختبر الاختراق أو مهندس الأمن المخرجان التاليان حقيقيان من مختبر مقال [استكشاف الشبكة والمنافذ مع Nmap](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/#versions)، الأول كشف الخدمات والإصدارات على ثلاثة أهداف، والثاني سكربت معلومات Redis. أعطهما للمرشح واسأله: «هذه نتيجة فحص لشبكة داخلية في نطاق اختبار مصرح به، ما الذي يقلقك، وبأي ترتيب تكمل، وماذا تكتب في التقرير؟» ```text Nmap scan report for lab-web (192.168.112.3) PORT STATE SERVICE VERSION 80/tcp open http nginx 1.31.6 Nmap scan report for lab-redis (192.168.112.4) PORT STATE SERVICE VERSION 6379/tcp open redis Redis key-value store 8.10.2 Nmap scan report for lab-pg (192.168.112.5) PORT STATE SERVICE VERSION 5432/tcp open postgresql PostgreSQL DB 9.6.0 or later ``` ```text 6379/tcp open redis | redis-info: | Version: 8.10.2 | Operating System: Linux 5.15.167.4-microsoft-standard-WSL2 x86_64 | Used memory: 1.36M ``` ما تحتويه الإجابة الجيدة أول ما يلتقطه المرشح الجيد هو Redis: الخدمة كشفت إصدارها الدقيق، ثم أعطى السكربت `redis-info` نظام تشغيل المضيف وحجم الذاكرة دون أي كلمة مرور، وهذا يعني أن Redis يقبل الأوامر دون مصادقة، وهي أخطر نتيجة في الفحص لأن Redis المفتوح يسمح بقراءة البيانات وكتابتها وأحياناً بكتابة ملفات على السيرفر. ويقارن ذلك بـ PostgreSQL الذي لم يكشف إلا «9.6.0 or later»، والسبب أنه لا يعطي إصداره الكامل قبل المصادقة، وهذا سلوك جيد وليس نقصاً في الفحص. ثم يرتب ما يفعله بعدها: يتحقق يدوياً من أن Redis يقبل أوامر دون مصادقة بأمر قراءة فقط مثل `INFO` أو `PING`، ولا يكتب شيئاً ولا يحذف لأن ذلك خارج ما يحتاجه لإثبات الثغرة، ثم يسأل هل هذه المنافذ مكشوفة خارج الشبكة الداخلية أم لا لأن ذلك يغير الخطورة، ثم يأخذ إصدار nginx ويبحث عن ثغراته المنشورة بدلاً من افتراض أنه آمن. وفي التقرير يكتب: Redis دون مصادقة على المنفذ 6379، بخطورة عالية، مع الدليل والإصلاح (ربطه بالشبكة الداخلية فقط وتفعيل المصادقة وقوائم التحكم ACL)، ويكتب ملاحظة إيجابية عن PostgreSQL. والمرشح الخبير يذكر حدود الفحص نفسه: أنه على ثلاثة منافذ محددة وليس كل المنافذ، وأن نظام التشغيل الذي ظهر هو نواة WSL2 لأن الأهداف تعمل في Containers على جهاز Windows، فلا يبني عليه أي استنتاج عن سيرفرات الإنتاج. ومن يقرأ «Linux 5.15 microsoft» فيقول «هذا سيرفر Windows» يحتاج مراجعة في الأساسيات. ### التمرين الثالث: نمذجة التهديدات لتطبيق حجز صغير هذا تمرين نقاش لمختص AppSec أو مهندس الأمن، وتعطي فيه المرشح وصفاً من فقرة واحدة: «تطبيق جوال لحجز مواعيد صيانة السيارات، يسجل فيه العميل برقم الجوال ورمز تحقق، ويختار ورشة وموعداً، ويدفع عربوناً عبر بوابة دفع خارجية ترسل نتيجة الدفع إلى ال API عبر Webhook، والورشة ترى حجوزاتها من لوحة ويب». ثم تطلب منه أن يرسم تدفق البيانات ويذكر أهم خمسة تهديدات وما يفعله بكل منها. والصورة التالية تبين الرسم الذي يصل إليه المرشح الجيد عادة، فلا تعرضها عليه قبل أن ينتهي: ![خمس محطات من اليمين إلى اليسار: تطبيق الجوال مع انتحال الهوية وتعديل الطلب والتوكن على الجهاز، ثم حد الثقة عند الإنترنت مع TLS وRate Limiting، ثم ال API مع رفع الصلاحية وتسريب حجز غيرك ومن ألغى الحجز، ثم قاعدة البيانات مع البيانات الشخصية والتعديل المباشر والنسخ الاحتياطية، ثم بوابة الدفع مع تعطل البوابة وWebhook مزور والتحقق من التوقيع، وفي الأسفل مفتاح حروف STRIDE: انتحال وعبث وإنكار وتسريب وحجب ورفع صلاحية](https://arabroot.io/content/images/2026/10/interview-cybersecurity-05-threat-model.webp) تدفق بيانات التطبيق وحدود الثقة، وأين يقع كل حرف من STRIDE ما تحتويه الإجابة الجيدة المرشح الجيد لا يبدأ بقائمة ثغرات، وإنما يسأل أسئلة: ما البيانات الحساسة هنا (رقم الجوال وموقع الورشة ومواعيد العميل، والدفع عند البوابة وليس عندنا)، ومن المستخدمون وأدوارهم (عميل وورشة ومدير)، وأين حدود الثقة. ثم يستخدم طريقة منظمة مثل [STRIDE من Microsoft](https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-threats?ref=arabroot.io) على كل عنصر، وأهم ما يجب أن يصل إليه: - **Webhook الدفع المزور:** أي شخص يعرف الرابط يستطيع أن يرسل «تم الدفع»، والحل التحقق من توقيع البوابة، ثم سؤال البوابة عن حالة العملية بمعرفها قبل تأكيد الحجز، ومعالجة التكرار بأمان Idempotency. - **رؤية حجوزات الآخرين:** ورشة ترى حجوزات ورشة أخرى أو عميل يرى موعد غيره بتغيير المعرف، وهذا تفويض على مستوى الكائن كما في السؤال 14. - **رمز التحقق بالجوال:** التخمين إذا لم يوجد حد للمحاولات، وإساءة استخدام الإرسال لإغراق أرقام الآخرين برسائل على حسابنا، فيحتاج Rate Limiting لكل رقم ولكل عنوان. - **الإنكار:** الورشة تقول إن العميل ألغى والعميل يقول إن الورشة ألغت، فيحتاج سجل تدقيق بمن غير ماذا ومتى. - **لوحة الورشة:** حسابات مشتركة بين موظفي الورشة، وجلسات طويلة على أجهزة عامة. والمرشح الخبير يرتب التهديدات بالخطر ويقترح لكل منها تحكماً واختباراً يثبت أنه يعمل، كما تطلب Amazon في وصفها لجلسة نمذجة التهديدات، ويذكر ما قرر قبوله ولماذا، مثل أن يقبل حجب الخدمة مؤقتاً على لوحة الورشة لأن أثره محدود. ومن يقضي الوقت كله في TLS والجدار الناري دون أن يلمس منطق الحجز والدفع فقد فاته جوهر التمرين. ### التمرين الرابع: ربط ضابط بدليله لمختص GRC اعرض على المرشح نص الضابط 2-2-3-2 من [ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io)، وهو التحقق متعدد العناصر للدخول عن بعد، واطلب منه أن يشرح: ما نطاق هذا الضابط في شركتنا، وكيف نطبقه، وما الدليل الذي نقدمه للمدقق، وكيف نختبر أنه يعمل فعلاً. والصورة التالية تبين السلسلة التي نتوقعها: ![خمس محطات من اليمين إلى اليسار: نص الضابط ECC 2-2-3-2 التحقق متعدد العناصر للدخول عن بعد، ثم النطاق VPN والبريد وحسابات الإدارة، ثم التطبيق بسياسة في مزود الهوية IdP واستثناءات مكتوبة، ثم الدليل بتصدير الإعداد وسجل دخول بتاريخ، ثم الاختبار بعينة حسابات ومحاولة بلا MFA، وتحتها أن لقطة شاشة واحدة ليست دليلاً كافياً لأن المدقق يسأل عن النطاق والاستثناءات والفترة](https://arabroot.io/content/images/2026/10/interview-cybersecurity-06-control.webp) من نص الضابط إلى دليل يقبله المدقق واختبار يثبت أنه يعمل ما تحتويه الإجابة الجيدة يبدأ المرشح الجيد بالنطاق لأنه أصعب جزء: ما معنى «الدخول عن بعد» في شركتنا؟ ال VPN بالتأكيد، ولكن أيضاً البريد السحابي ولوحات الإدارة السحابية وأدوات الدعم عن بعد وال Git المستضاف، وكل ما يصل إليه الموظف من خارج الشبكة. ثم التطبيق: سياسة واحدة في مزود الهوية تفرض التحقق على هذه التطبيقات، بعناصر مناسبة (تطبيق موثق أو مفتاح مرور، وليس رسائل SMS للحسابات المميزة إن أمكن)، مع قائمة استثناءات مكتوبة لكل منها مالك وسبب ومدة، مثل حساب الطوارئ. ثم الدليل: تصدير إعداد السياسة بتاريخ، وتقرير من مزود الهوية يبين نسبة الدخول بتحقق متعدد خلال فترة التدقيق، وقائمة الاستثناءات المعتمدة، وليس لقطة شاشة لصفحة الإعداد. ثم الاختبار: عينة من الحسابات تحاول الدخول دون العنصر الثاني فتفشل، ومراجعة أن الحسابات الجديدة تدخل السياسة تلقائياً. والمرشح الخبير يذكر الضابط المرتبط 2-12-3-5 عن الاحتفاظ بالسجلات 12 شهراً، لأن الدليل على التطبيق خلال الفترة يعتمد على أن السجلات ما زالت موجودة، ويسأل عن أنظمة قديمة لا تدعم التحقق المتعدد وكيف يعالج خطرها بتحكم بديل موثق. ## ورقة التقييم Scorecard لكل دور بعد كل جلسة يكتب المقابل درجاته ودليله قبل اجتماع المراجعة، بمقياس من أربع درجات كما شرحنا في [فقرة التقييم بالدرجات](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%AF%D9%8A%D8%B1-%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D8%AA%D9%82%D9%86%D9%8A%D8%A9-%D8%AA%D9%83%D8%B4%D9%81-%D9%85%D8%B3%D8%AA%D9%88%D9%89-%D8%A7%D9%84%D9%85%D8%B1%D8%B4%D8%AD/#rubric) في دليل المقابلة. والصورة التالية مثال لورقة محلل SOC، ولكل دور كفاءات مختلفة تبنيها بنفس الطريقة: ![جدول من أربعة صفوف وأربعة أعمدة: صف فرز التنبيه من يكرر نص التنبيه ولا يسأل هل نجح في الدرجة 1 إلى من يربط بأسلوب ATT&CK ويقترح ضبط القاعدة في الدرجة 4، وصف الأساسيات من تعريفات محفوظة دون تطبيق إلى من يرى ما يخفيه المهاجم في السجل، وصف التصعيد من يصعد كل شيء أو لا شيء إلى من يقدر الأثر ويقترح الاحتواء، وصف الكتابة من تذكرة غامضة إلى تذكرة يفهمها من يستلم الوردية، وتحتها أن الدرجة 3 هي ما يطلب للوظيفة والدليل سلوك رأيته وليس صفة](https://arabroot.io/content/images/2026/10/interview-cybersecurity-07-scorecard.webp) كل خانة تصف سلوكاً يمكن أن تراه في التمرين، لا صفة عامة والجدول التالي يبين الكفاءات التي نقترحها لكل دور، ووزن كل منها في القرار بحسب المستوى المطلوب: | الدور | الكفاءات التي تقاس | التمرين العملي | ما لا يعوضه شيء | | ----------------- | -------------------------------------------------------------------- | ------------------------------ | ----------------------------- | | محلل SOC | الفرز، والأساسيات (الشبكة والأنظمة والسجلات)، والتصعيد، والكتابة | فرز سجل التنبيهات | أن يسأل «هل نجح؟» قبل أن يقرر | | الاستجابة للحوادث | ترتيب القرارات، وحفظ الأدلة، والتواصل تحت الضغط، والتعلم بعد الحادثة | سيناريو الساعة الأولى | ألا يمسح الأدلة ليعيد الخدمة | | مختبر الاختراق | المنهجية، والعمق التقني، وتقدير الخطورة، والتقرير | قراءة تقرير الفحص | احترام النطاق والإذن | | أمن التطبيقات | قراءة الكود، ونمذجة التهديدات، وإدارة الأدوات، والعمل مع المطورين | نمذجة التهديدات أو مراجعة دالة | إصلاح يقبله المطور ويفهمه | | الحوكمة والامتثال | تقدير الخطر، وربط الضابط بالدليل، والكتابة للإدارة، ومعرفة الأطر | ربط الضابط بالدليل | الصدق في الدليل | | مهندس الأمن | التصميم، والسكربتات والأتمتة، والتشفير العملي، والموازنة مع التشغيل | تصميم تقسيم أو سكربت فحص | أن يرى ثمن قراره على الآخرين | والعمود الأخير هو ما نسميه في الشركة «الشرط الذي لا يعوض»، فمختبر الاختراق الذي يحصل على 4 في العمق التقني و1 في احترام النطاق لا يوظف، والسبب أن الضرر الذي يمكن أن يحدثه أكبر من أي ثغرة سيجدها. ## علامات التحذير والعلامات الجيدة في مقابلة الأمن هذه علامات عامة تراها في كل أدوار الأمن، وتضاف إلى العلامات العامة في دليل المقابلة: | علامات تحذير Red Flags | علامات جيدة Green Flags | | ------------------------------------------------------- | -------------------------------------------------- | | يفتخر باختراق أنظمة دون إذن أو يحكي عن بيانات احتفظ بها | يذكر الإذن والنطاق قبل أن يسأل عنهما | | يجيب بأسماء أدوات قبل أن يفهم المشكلة | يسأل عن الأصول والبيانات وحدود الثقة أولاً | | يرى كل تنبيه حادثة أو كل حادثة تنبيهاً كاذباً | يطلب الدليل الذي يغير قراره، ويقول ما لم يتحقق منه | | يعد بأمان كامل أو يتحدث عن «منع كل الهجمات» | يتحدث عن تقليل الخطر واكتشاف ما يفلت | | يرى المطورين والأقسام الأخرى خصوماً | يقترح حلولاً تقلل ألم الأمن على الآخرين | | يحفظ أرقام الضوابط ولا يعرف لماذا كتبت | يشرح الخطر الذي يعالجه الضابط ويقترح تحكماً بديلاً | | يعتمد على مخرج أداة واحدة دون أن يتحقق منه | يتحقق يدوياً بأقل تدخل، ويعرف حدود الأداة | ## الذكاء الاصطناعي في مقابلة الأمن محلل SOC اليوم يستخدم أدوات ذكاء اصطناعي في تلخيص التنبيهات وكتابة الاستعلامات، ومختص AppSec يستخدمها في قراءة الكود، فالسؤال ليس هل يستخدمها، وإنما ماذا تقيس في كل جلسة. فإذا منعت الأدوات في جلسة الأساسيات فاجعل التمرين مبنياً على فهم المخرج الحقيقي الذي لا تغني عنه الأداة، وإذا سمحت بها في التمرين العملي فقيم حكمه على ما تولده: هل يتحقق من الاستعلام قبل أن يشغله، وهل يلاحظ عندما تخترع الأداة رقم قاعدة أو أسلوباً غير موجود في ATT&CK. والقاعدة التي ذكرناها في [فقرة الذكاء الاصطناعي في دليل المقابلة](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%AF%D9%8A%D8%B1-%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D8%AA%D9%82%D9%86%D9%8A%D8%A9-%D8%AA%D9%83%D8%B4%D9%81-%D9%85%D8%B3%D8%AA%D9%88%D9%89-%D8%A7%D9%84%D9%85%D8%B1%D8%B4%D8%AD/#ai-in-interviews) تبقى كما هي: سياسة مكتوبة لكل جلسة، يعرفها المرشح قبل المقابلة. وأضف في الأمن سؤالاً واحداً: لا يضع المرشح أي سجل أو بيانات حقيقية من التمرين في أداة خارجية، وإذا سأل عن ذلك قبل أن تخبره فهذه علامة جيدة. ## قائمة تحقق قبل أن تفتح وظيفة أمن هذه القائمة التي اعتمدتها الشركة في قصتنا قبل أن تعيد نشر الإعلانات الثلاثة: - عنوان الوظيفة من دور واحد واضح، مع رقمه في SCyWF، ومهام يومية مكتوبة في خمسة أسطر. - المستوى المطلوب مكتوب بالمعنى (حجم العمل والاستقلالية)، وليس بعدد السنوات وحده. - الشهادات «ميزة» إلا إذا اشترطها عميل أو جهة منظمة، ولا شهادة خبرة لوظيفة مبتدئ. - جلسات محددة، ولكل جلسة مقابل وكفاءات، وتمرين عملي مناسب للدور جاهز ومجرب على زميل. - أسئلة من البنك مختارة مسبقاً لكل جلسة، وورقة تقييم بأربع درجات ودليل سلوكي. - جلسة سلوك وأخلاقيات، وشرط لا يعوض مكتوب لكل دور. - سياسة الذكاء الاصطناعي مكتوبة في دعوة المقابلة، مع منع إدخال بيانات التمرين في أدوات خارجية. - موعد للرد على كل مرشح، وطريقة لحفظ بيانات المتقدمين وحذفها بالتنسيق مع الموارد البشرية. وعندما طبقت الشركة ذلك انخفض عدد المتقدمين لكل وظيفة، وارتفع عدد من وصل منهم إلى التمرين العملي وهو يعرف ما ينتظره، والأهم أن لجنة المقابلة خرجت من كل مرشح بورقة تقول ماذا فعل، لا بانطباع عن طريقة كلامه. ## الخلاصة وصلنا لنهاية الموضوع، وأهم ما فيه: - «الأمن السيبراني» مجال فيه أدوار كثيرة، فابدأ من دور واحد في الإطار السعودي SCyWF ومهامه اليومية، ثم اشتق منه الأسئلة والتمرين. - الشهادة إشارة في الفرز بحسب ما تثبته: معرفة أساسية أو مهارة عملية أو سنوات خبرة، ولا تشترط شهادة خبرة لوظيفة مبتدئ. - لكل دور تمرين عملي على مخرج حقيقي: سجل تنبيهات، وتقرير فحص، ونموذج تهديدات، وضابط ودليله، وأهم ما تقيسه فيه ترتيب التفكير. - الأخلاقيات جزء من القرار، ولكل دور شرط لا تعوضه الدرجات التقنية. - اكتب الدرجات والدليل قبل اجتماع المراجعة، والدليل سلوك رأيته وليس صفة. وبقية مقالات السلسلة، وأقرب مقالات الأمن إلى التمارين: [![](https://arabroot.io/content/images/2026/10/interview-guide-cover-cover.webp)دليلكيف تدير مقابلة تقنية تكشف مستوى المرشح؟كيف تبني مقابلة تقنية منظمة تفرق بين المبتدئ والخبير بأسئلة المتابعة والتقييم بالدرجات بدلاً من الانطباع.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%AF%D9%8A%D8%B1-%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D8%AA%D9%82%D9%86%D9%8A%D8%A9-%D8%AA%D9%83%D8%B4%D9%81-%D9%85%D8%B3%D8%AA%D9%88%D9%89-%D8%A7%D9%84%D9%85%D8%B1%D8%B4%D8%AD/)[![](https://arabroot.io/content/images/2026/10/interview-backend-cover-cover.webp)دليلأسئلة مقابلة مطور Backend من المبتدئ إلى الخبيربنك أسئلة لمقابلة مطور Backend، لكل سؤال إجابة المبتدئ وإجابة الخبير وأسئلة متابعة، مع تمارين عملية شغلناها فعلاً.](https://arabroot.io/articles/%D8%A7%D8%B3%D8%A6%D9%84%D8%A9-%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D9%85%D8%B7%D9%88%D8%B1-backend-%D9%85%D9%86-%D8%A7%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D8%AE%D8%A8%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/prepare-security-interview-cover-cover.webp)دليلكيف تستعد لمقابلة في الأمن السيبراني حسب الدور؟كيف تختار دوراً في الأمن السيبراني وتستعد لمقابلته بمختبر منزلي وتقارير مكتوبة، ومتى تهم الشهادات، مع خطة ثلاثة أسابيع.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B3%D8%AA%D8%B9%D8%AF-%D9%84%D9%85%D9%82%D8%A7%D8%A8%D9%84%D8%A9-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%AD%D8%B3%D8%A8-%D8%A7%D9%84%D8%AF%D9%88%D8%B1/)[![](https://arabroot.io/content/images/2026/10/interview-internship-cover-cover.webp)دليلكيف تقابل المتقدمين للتدريب Internship وتختار الأنسب؟ماذا تقيس في طالب لا يملك خبرة، وكيف تبني مهمة صغيرة ومقابلة منظمة وتمرين تعلم وورقة تقييم تختار بها بعدل.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D9%82%D8%A7%D8%A8%D9%84-%D8%A7%D9%84%D9%85%D8%AA%D9%82%D8%AF%D9%85%D9%8A%D9%86-%D9%84%D9%84%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%88%D8%AA%D8%AE%D8%AA%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D9%86%D8%B3%D8%A8/) [![](https://arabroot.io/content/images/2026/10/wazuh-lab-cover-cover.webp)دليلمراقبة السيرفرات مع Wazuh: من السجل Log إلى حظر المهاجمشغلنا Wazuh مع وكيل على سيرفر تجريبي، فكشف تخمين كلمات مرور SSH وحظر المهاجم تلقائياً، ونبه على ملف PHP دخيل خلال ثانية.](https://arabroot.io/articles/%D9%85%D8%B1%D8%A7%D9%82%D8%A8%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9-wazuh-%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D8%AC%D9%84-%D8%A7%D9%84%D9%89-%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85/)[![](https://arabroot.io/content/images/2026/10/nmap-cover-cover.webp)دليلاستكشاف الشبكة والمنافذ والخدمات مع Nmapنشغل Nmap على مختبر من Containers نملكها بثلاث خدمات، ونمر على الاكتشاف وفحص المنافذ وكشف الإصدار ومحرك السكربتات NSE بمخرج حقيقي.](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/)[![](https://arabroot.io/content/images/2026/10/threat-modeling-cover-cover.webp)دليلنمذجة التهديدات Threat Modeling للمبتدئينكيف تسأل ما الذي قد يسوء في تصميم تطبيقك قبل أن تكتب الكود، وتقرر لكل تهديد هل تصلحه أو تقبله، مع قالب جاهز للنسخ.](https://arabroot.io/articles/%D9%86%D9%85%D8%B0%D8%AC%D8%A9-%D8%A7%D9%84%D8%AA%D9%87%D8%AF%D9%8A%D8%AF%D8%A7%D8%AA-threat-modeling-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/)[![](https://arabroot.io/content/images/2026/10/pentest-methodology-cover-cover.webp)دليلاختبار الاختراق المصرح به: المنهجية والإذن والتقريريواجه مسؤول نظم طلب المستشفى باختبار اختراق سنوي، فنرافقه وهو يفهم الإذن والنطاق وقواعد الاشتباك وبنية التقرير قبل أن يبدأ.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/audit-readiness-cover-cover.webp)دليلالاستعداد للتدقيق Audit: ماذا يطلب المدقق وكيف تجهزماذا يطلب المدقق ولماذا وكيف يختار العينة، مع سكربت يفحص جاهزية الأدلة قبل ثلاثة أسابيع ويكشف ما لم يتوقعه الفريق.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%B9%D8%AF%D8%A7%D8%AF-%D9%84%D9%84%D8%AA%D8%AF%D9%82%D9%8A%D9%82-%D9%85%D8%A7%D8%B0%D8%A7-%D9%8A%D8%B7%D9%84%D8%A8-%D8%A7%D9%84%D9%85%D8%AF%D9%82%D9%82/) ## سجل التحديثات - أكتوبر 2026: كتابة المقال، والتحقق من الإطار السعودي لكوادر الأمن السيبراني SCyWF 1.5 ومن ECC-2:2024 ومن دراسات ISC2 وصفحات الشهادات وصفحة Amazon بتاريخ 26 أكتوبر 2026، والمخرجات في التمرينين الأول والثاني من مختبري مقالي Wazuh وNmap.