> ## Content Index > Fetch the complete content index at: https://arabroot.io/llms.txt > Use this file to discover other available public pages before exploring further. # أفكار مشاريع تخرج في الأمن السيبراني Cybersecurity - URL: https://arabroot.io/articles/افكار-مشاريع-تخرج-في-الامن-السيبراني-للبكالوريوس-والماجستير/ - Published: 2026-11-01T18:39:33.000Z - Updated: 2026-11-01T19:54:37.000Z - Description: خمس عشرة فكرة مشروع تخرج قانونية في الأمن السيبراني للبكالوريوس والماجستير، لكل فكرة بياناتها الحقيقية وطريقة تقييمها، مع تجربة جدوى على سجل سيرفر حقيقي. - Author: فريق عرب رووت - Tags: الأدلة التقنية, للطلاب والخريجين دخلت على مشرف مشروع التخرج في أول أسبوع من الفصل، فقال لك جملة واحدة: «أريد منكم ثلاث أفكار مكتوبة الأسبوع القادم، لكل فكرة صفحة: المشكلة، والبيانات، وكيف ستقيسون النجاح». ثم خرجت إلى زملائك في الفريق، وبدأ كل واحد يقترح ما سمعه: «نسوي أداة اختراق»، «نسوي نظام كشف تسلل بالذكاء الاصطناعي»، «نسوي تطبيق تشفير ملفات»، وبعد ساعة من النقاش لاحظتم أن كل فكرة إما أنها قديمة رآها المشرف عشرين مرة، أو أنها تحتاج أن تهاجم نظاماً لا تملكونه، أو أنكم لا تعرفون من أين ستأتي البيانات التي ستختبرون عليها. وهذه هي المشكلة الخاصة بطلاب الأمن السيبراني Cybersecurity، فطالب علوم الحاسب يستطيع أن يبني ما يريد ويجربه على أي شيء، أما أنت فالتجربة نفسها قد تكون مخالفة نظامية إذا كان هدفها خارج مختبرك. في مقال [تخصص الأمن السيبراني من الداخل](https://arabroot.io/articles/%D8%AA%D8%AE%D8%B5%D8%B5-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84-%D9%85%D9%86%D9%87%D8%AC-csec2017-%D9%88%D8%A7%D8%B7%D8%A7%D8%B1-%D8%B3%D9%8A%D9%88%D9%81/) رأينا ماذا يقول منهج CSEC2017 عن تخصصك، وما الذي يطلبه الإطار السعودي لكوادر الأمن السيبراني (سيوف) SCyWF ولا تغطيه الخطط الدراسية. وهذا المقال هو الخطوة التالية: كيف تحول ما درسته إلى مشروع تخرج يقبله المشرف، ويعمل في المختبر، ويقاس بأرقام، ويبقى قانونياً من أول سطر إلى آخر سطر. وهو مكتوب لطالب البكالوريوس الذي يبحث عن فكرة لفريق من ثلاثة إلى خمسة طلاب على فصلين، ولطالب الماجستير الذي يحتاج سؤالاً بحثياً Research Question له إضافة حقيقية. وسوف نناقش في هذا المقال ما يلي: - لماذا يختلف مشروع الأمن السيبراني عن غيره: الحدود القانونية في نظام مكافحة الجرائم المعلوماتية، والإذن المكتوب، ولجنة الأخلاقيات، وأين تجد أهدافاً تملكها. - الفرق بين مشروع البكالوريوس ورسالة الماجستير Thesis في نفس الموضوع. - تسع أفكار للبكالوريوس وست أفكار للماجستير، لكل فكرة بطاقة فيها المشكلة والمستخدم والنطاق والتقنيات والبيانات الحقيقية وطريقة التقييم والصعوبة وما الذي يفشلها وكيف تتميز. - أفكار مستهلكة تعب منها المشرفون، وكيف تحول واحدة منها إلى مشروع حقيقي. - جدول مقارنة لكل الأفكار، وربط كل فكرة بمكون من الضوابط الأساسية للأمن السيبراني NCA ECC. - تجربة عملية Lab: نأخذ الفكرة الأولى ونختبر جدواها على سجل سيرفر حقيقي من 655 ألف سطر، مع المشكلات التي ظهرت وكيف عالجناها، وماذا يحدث إذا غيرنا الإعدادات. ## لماذا يختلف مشروع الأمن السيبراني Cybersecurity عن غيره؟ أغلب أفكار مشاريع الأمن فيها جزء هجومي، سواءً كان فحصاً أو محاكاة هجوم أو اختبار ثغرة، لأنك لا تستطيع أن تثبت أن نظام الدفاع يعمل إلا إذا رأيته يواجه هجوماً. وهنا يقع أغلب الطلاب في الخطأ الأول: يبني الفريق أداة فحص، ثم يجربها على موقع الجامعة أو على شبكة السكن أو على موقع شركة معروفة «لأنه مكشوف على الإنترنت أصلاً». وهذا ليس تفصيلاً شكلياً، فقد نص [نظام مكافحة الجرائم المعلوماتية](https://laws.boe.gov.sa/BoeLaws/Laws/LawDetails/25df73d6-0f49-4dc5-b010-a9a700f2ec1d/1?ref=arabroot.io) في مادته الثالثة على عقوبة تصل إلى السجن سنة وغرامة تصل إلى خمسمائة ألف ريال لمن يتنصت على ما يرسل عبر الشبكة أو يلتقطه أو يعترضه دون مسوغ نظامي صحيح، ولمن يدخل دخولاً غير مشروع إلى موقع إلكتروني، ونصت المادة الخامسة على عقوبة أشد تصل إلى أربع سنوات وغرامة ثلاثة ملايين ريال لمن يوقف الشبكة أو يعطلها أو يعيق الوصول إلى الخدمة بأي وسيلة كانت. لاحظ عبارة «دون مسوغ نظامي صحيح»، فالذي يجعل الفحص عملاً مهنياً وليس جريمة هو الإذن المكتوب ممن يملك النظام، وليس نيتك الطيبة ولا أن المشروع لمادة جامعية. لذلك قبل أن تكتب أي فكرة، اسأل نفسك أربعة أسئلة: من يملك الهدف الذي سأجرب عليه، وأين الإذن المكتوب؟ ما النطاق Scope الذي سألمسه بالضبط، ومتى أتوقف؟ هل في البيانات التي سأجمعها بيانات شخصية، وكيف سأحميها وأحذفها؟ وهل يمكن أن تتعطل خدمة يستخدمها غيري بسبب تجربتي؟ وإذا لم تجد إجابة واضحة عن السؤال الأول فغير الهدف، لا الأسئلة. والصورة التالية تجمع ما يقع داخل الحدود وما يقع خارجها: ![عمودان: داخل الحدود فيه مختبر على جهازك من Containers أو أجهزة افتراضية، وميادين CTF، ومجموعات بيانات منشورة للبحث، وسيرفر سحابي باسمك تراقب ما يصله، ونظام الكلية بإذن مكتوب، ودراسة على مستخدمين بموافقة لجنة الأخلاقيات. وخارج الحدود فيه فحص مواقع لا تملكها، والتنصت على شبكة الكلية، ورسائل تصيد لزملائك دون موافقة، والرد على المهاجم من الـ Honeypot، ونشر بيانات شخصية، وتشغيل برمجيات خبيثة خارج جهاز معزول. وتحتهما نص المادتين الثالثة والخامسة من نظام مكافحة الجرائم المعلوماتية، وأربعة أسئلة: الهدف والنطاق والبيانات والأثر](https://arabroot.io/content/images/2026/11/grad-projects-cyber-02-legal.webp) كل تجربة هجومية تحتاج هدفاً تملكه، أو بيانات منشورة للبحث، أو إذناً مكتوباً من مالك النظام والخبر الجيد أن الأهداف المشروعة كثيرة، وكلها مجانية. فهناك أولاً مختبرك الخاص: مجموعة Containers أو أجهزة افتراضية Virtual Machines على جهازك، فيها التطبيق الضعيف والمهاجم والمدافع، وقد شرحنا طريقة بنائها في مقال [تدرب على الاختراق بأمان](https://arabroot.io/articles/%D8%AA%D8%AF%D8%B1%D8%A8-%D8%B9%D9%84%D9%89-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A8%D8%A7%D9%85%D8%A7%D9%86-%D9%85%D9%86%D8%B5%D8%A7%D8%AA-%D9%88%D9%85%D8%AE%D8%AA%D8%A8%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9%D8%B2%D9%88%D9%84%D8%A9-%D9%82%D8%A7%D9%86%D9%88%D9%86%D9%8A%D8%A9/). وهناك ثانياً مجموعات البيانات المنشورة للبحث، أي سجلات وحركة شبكة جمعها باحثون من مختبراتهم أو من سيرفرات يملكونها ونشروها ليعمل عليها غيرهم، وسوف نستخدم واحدة منها في التجربة العملية. وهناك ثالثاً سيرفر سحابي باسمك، تراقب ما يصله من الإنترنت دون أن ترد عليه، فهذا جهازك وسجله ملكك. وهناك رابعاً أنظمة الكلية نفسها، ولكن بإذن مكتوب من إدارة تقنية المعلومات يحدد النطاق والوقت، وهذا الإذن يصلح أن يكون ملحقاً في تقرير المشروع، فهو يبين للجنة أنك تعرف كيف يعمل اختبار الاختراق المصرح به كما شرحناه في [اختبار الاختراق المصرح به: المنهجية والإذن والتقرير](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/). وإذا كان في مشروعك بشر، مثل دراسة على موظفين أو طلاب أو محاكاة تصيد Phishing أو مقابلات مع محللين، فأنت تحتاج قبل ذلك موافقة لجنة أخلاقيات البحث في جامعتك، وموافقة المشاركين أنفسهم، وموافقة الجهة التي يعملون فيها. وهذا يأخذ أسابيع في الغالب، لذلك قدم الطلب في أول شهر من الفصل الأول، ولا تتركه إلى أن يجهز النظام. أما الشيء الثالث الذي يميز مشروع الأمن فهو أن له إطاراً وطنياً جاهزاً تقيس عليه، وهو [الضوابط الأساسية للأمن السيبراني NCA ECC](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/) بإصدارها ECC-2:2024، فكل فكرة دفاعية في هذا المقال تخدم مكوناً فرعياً محدداً فيها، وعندما تكتب في المقترح «هذا المشروع يساعد الجهة على تحقيق الضابط 2-12 الخاص بسجلات الأحداث ومراقبة الأمن السيبراني» فأنت تتكلم بلغة الجهات التي ستوظفك بعد التخرج، وسوف نرى الربط كاملاً في جدول لاحق. ## ما الفرق بين مشروع البكالوريوس Bachelor ورسالة الماجستير Master؟ كثير من الطلاب يظن أن الفرق بين المستويين هو الحجم فقط، أي أن الماجستير «مشروع بكالوريوس أكبر». وهذا غير صحيح، فالفرق في نوع السؤال الذي يجيب عنه العمل. مشروع البكالوريوس يسأل: هل استطاع الفريق أن يبني نظاماً يحل مشكلة لمستخدم محدد، وهل قاسه بطريقة مقنعة؟ أما رسالة الماجستير فتسأل: ماذا أضفت إلى ما يعرفه الناس عن هذه المشكلة؟ لذلك قد يبني طالب الماجستير نظاماً أصغر من نظام فريق البكالوريوس، ولكن حول النظام مراجعة للدراسات السابقة Literature Review، وخط أساس Baseline منشور يقارن به، وتجربة يستطيع غيره أن يكررها Reproducible، وتحليل يبين متى تنجح طريقته ومتى تفشل. ![جدول مقارنة بعمودين للبكالوريوس والماجستير في نقطة البداية والفريق والمدة والمخرج والتقييم وما يسقط المشروع، وتحته مثالان: مشروع بكالوريوس يبني نظاماً لكشف التخمين على SSH، ورسالة ماجستير تسأل هل تتفوق قاعدة تجمع المحاولات عبر العناوين على قاعدة العنوان الواحد أمام الهجوم الموزع البطيء](https://arabroot.io/content/images/2026/11/grad-projects-cyber-06-levels.webp) نفس الموضوع يصلح للمستويين، والذي يتغير هو السؤال وطريقة التقييم لنأخذ مثالاً من التجربة العملية في آخر المقال. فريق بكالوريوس يبني نظاماً يقرأ سجلات SSH من عدة سيرفرات، ويكشف محاولات التخمين Brute-force، ويحظر العنوان، ويعرض لوحة للمحلل، ثم يقيس نسبة المحاولات التي أوقفها وعدد المستخدمين الحقيقيين الذين حظرهم بالخطأ. هذا مشروع كامل لفصلين. أما طالب الماجستير فيأخذ نفس البيانات، ويلاحظ أن قاعدة «خمس محاولات من نفس العنوان خلال عشر دقائق» لا ترى المهاجم الذي يوزع محاولاته على مئات العناوين ببطء، فيسأل: هل تكشف قاعدة تجمع المحاولات حسب اسم المستخدم المستهدف عبر كل العناوين هذا النوع من الهجوم، وكم إنذاراً كاذباً False Positive تضيف؟ ثم يراجع ما نشر عن هذا السؤال، ويبني القاعدتين، ويقارنهما على أكثر من مجموعة بيانات، ويكتب النتيجة. والسؤال نفسه هو الإضافة، وليس حجم الكود. ولاحظ أن بعض الجامعات تجعل مشروع الماجستير المهني (غير البحثي) أقرب إلى مشروع البكالوريوس المتقدم، لذلك اقرأ لائحة برنامجك قبل أن تختار من أفكار الماجستير في هذا المقال، واسأل المشرف هل المطلوب رسالة بحثية أم مشروع تطبيقي. وفي الحالتين، أفكار الماجستير هنا مكتوبة بصيغة سؤال بحثي، وتستطيع أن تحول أي واحدة منها إلى مشروع تطبيقي إذا حذفت جزء الإضافة العلمية وأبقيت البناء والقياس. ## كيف تقرأ بطاقة الفكرة Idea Card؟ لكل فكرة في هذا المقال بطاقة قصيرة بنفس الحقول، وهذه الحقول هي نفسها ما سيسأل عنه المشرف في الاجتماع الأول، لذلك تستطيع أن تنسخ البطاقة وتجعلها الصفحة التي طلبها منك. فالمشكلة تقول ما الذي يحدث اليوم ومن يتضرر منه، والمستخدم يحدد من سيجلس أمام النظام، والنطاق يقول ماذا يبني فريق من أربعة طلاب في فصلين وماذا يترك، والتقنيات Stack هي اقتراح وليست شرطاً، والبيانات Data روابط حقيقية فتحناها وتأكدنا أنها تعمل عند كتابة المقال، والتقييم Evaluation يقول بأي رقم ستثبت أن المشروع نجح، والصعوبة تقدير نسبي بين الأفكار، والحقل الأهم هو «ما الذي يفشلها»، أي الخطر الذي رأينا أنه يسقط هذا النوع من المشاريع في منتصف الطريق، ثم «كيف تتميز» أي الإضافة التي تجعل لجنة المناقشة تتذكر مشروعك. ![خريطة بعمودين: البكالوريوس فيه تسع أفكار في ثلاث مجموعات هي المراقبة والكشف (كشف التخمين على SSH، وحساس مراقبة شبكة على Raspberry Pi، وقواعد Sigma)، والتهديدات والتدريب (ميدان تدريب CTF، ومصيدة Honeypot، وكشف نقاط الوصول الدخيلة)، والامتثال والإنسان والثغرات (أداة تقييم ECC، وترتيب أولوية ثغرات التبعيات، وزر الإبلاغ عن التصيد). والماجستير فيه ست أفكار: تعميم كاشف التسلل، وانحراف البيانات في كشف التصيد، وحقن الأوامر بالعربية، وفرز تنبيهات SOC بنموذج لغة، وكلفة TLS ما بعد الكم، وتحليل Firmware](https://arabroot.io/content/images/2026/11/grad-projects-cyber-01-map.webp) خمس عشرة فكرة في ست مجموعات، وكل فكرة تعمل في مختبرك أو على بيانات منشورة أو بإذن مكتوب ## أفكار مشاريع البكالوريوس Bachelor Projects الأفكار التسع التالية مكتوبة لفريق من ثلاثة إلى خمسة طلاب على فصلين، وكل واحدة فيها جزء يبنى وجزء يقاس، لأن المشروع الذي يبني دون أن يقيس يتحول في المناقشة إلى عرض شاشات، والمشروع الذي يقيس دون أن يبني لا يناسب البكالوريوس في أغلب الأقسام. ورتبناها من الأقرب إلى عمل مركز العمليات الأمنية SOC إلى الأقرب إلى الحوكمة والامتثال GRC، فاختر المجموعة التي تقترب من الدور الذي تريده بعد التخرج كما شرحناه في [أدوار الأمن السيبراني](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D9%85%D8%AD%D9%84%D9%84-soc-%D8%A7%D9%84%D9%89-grc/). ### B1: كشف التخمين Brute-force على SSH والاستجابة له **Project title:** SSH Brute-force Detection and Automated Response كل سيرفر Linux مكشوف على الإنترنت ومنفذ SSH فيه مفتوح يتلقى محاولات دخول آلية بعد دقائق من تشغيله، والجهات الصغيرة إما أنها لا تراقبها أصلاً، أو أنها تشغل fail2ban بإعداداته الافتراضية ولا تعرف ماذا يفعل ولا ماذا يفوت. وهذه هي الفكرة التي اخترناها للتجربة العملية، لأن بياناتها حقيقية ومتاحة، ونطاقها مناسب تماماً لفريق بكالوريوس. - **المشكلة:** آلاف محاولات الدخول يومياً تضيع في السجل، ولا أحد يعرف أي محاولة نجحت بعد سلسلة فشل، وهذه هي اللحظة التي تهم المحلل. - **من يستخدمه:** مسؤول الأنظمة في جهة صغيرة، ومحلل SOC يحتاج تنبيهاً واحداً واضحاً بدلاً من ألف سطر. - **النطاق:** وكيل خفيف يقرأ السجل من عدة سيرفرات، ومحرك قواعد بنافذة منزلقة Sliding Window، وحظر عبر الجدار الناري Firewall مع رفع الحظر تلقائياً، ولوحة فيها الخط الزمني لكل عنوان، وتنبيه عند الدخول الناجح بعد فشل. ويترك الفريق تحليل حركة الشبكة نفسها. - **التقنيات:** Python أو Go للوكيل، وnftables للحظر، وPostgreSQL أو SQLite للأحداث، وواجهة ويب بسيطة. ويمكن أن تقارن نتيجتك بأداة [fail2ban](https://github.com/fail2ban/fail2ban?ref=arabroot.io) وبأداة CrowdSec التي شرحناها في [CrowdSec: اكتشاف هجمات التخمين وحظرها](https://arabroot.io/articles/crowdsec-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D9%88%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D8%AA%D8%AE%D9%85%D9%8A%D9%86-brute-force/). - **البيانات:** مجموعة [Loghub](https://github.com/logpai/loghub?ref=arabroot.io) لسجلات الأنظمة، وفيها سجل SSH كامل من سيرفر حقيقي منشور على [Zenodo](https://doi.org/10.5281/zenodo.8196385?ref=arabroot.io)، ومعه عينة من ألفي سطر مصنفة بقوالب الأحداث، ثم سجلات مختبرك الخاص التي تولدها بنفسك. - **التقييم:** نسبة المحاولات التي وقعت أثناء الحظر، وعدد العناوين المحظورة، وزمن الكشف من أول فشل إلى الحظر، وعدد المستخدمين الحقيقيين الذين حظروا بالخطأ، ودقة المحلل Parser مقابل العينة المصنفة. - **الصعوبة:** متوسطة، وهي أنسب فكرة لفريق يدخل الأمن الدفاعي لأول مرة. - **ما الذي يفشلها:** أن يتحول المشروع إلى نسخة من fail2ban دون قياس، فتسأل اللجنة «لماذا لم تستخدموا fail2ban؟» ولا يجد الفريق جواباً. - **كيف تتميز:** اربط كل تنبيه بتقنية [T1110 في MITRE ATT&CK](https://attack.mitre.org/techniques/T1110/?ref=arabroot.io)، وأضف قاعدة للهجوم الموزع على عدة عناوين، وقس الإنذارات الكاذبة على مستخدمين حقيقيين، وهذا ما سنفعله في التجربة. ### B2: ميدان تدريب Cyber Range للقسم بأسلوب CTF **Project title:** A CTF-Style Cyber Range for Department Training أغلب أقسام الأمن تدرس الاختراق الأخلاقي على منصات خارجية، وكل طالب يحل التمارين وحده، ولا يملك القسم بيئة يستطيع أن يضع فيها تحديات بالعربية مرتبطة بمقرراته ويقيس بها تقدم الطلاب. والفكرة هنا أن يبني الفريق ميداناً داخلياً بأسلوب مسابقات التقاط العلم Capture The Flag واختصاراً CTF، يشغله القسم في معمله، وكل تحد فيه يعمل في Container معزول يعود إلى حالته الأولى بعد كل محاولة. - **المشكلة:** لا توجد بيئة تدريب داخلية آمنة بالعربية، والمحاضر يصحح التمارين يدوياً. - **من يستخدمه:** طلاب المقررات العملية، والمحاضر، ونادي الأمن السيبراني في الكلية. - **النطاق:** منصة [CTFd](https://github.com/CTFd/CTFd?ref=arabroot.io) مفتوحة المصدر، وخدمة تشغل لكل طالب نسخة خاصة من التحدي وتحذفها بعد مدة، واثنا عشر تحدياً على الأقل في الويب والتشفير والتحقيق الرقمي، لكل تحد شرح حل بالعربية، وشبكة معزولة لا تخرج إلى الإنترنت. - **التقنيات:** Docker، وCTFd، وPython لخدمة التشغيل، وتطبيقات ضعيفة جاهزة مثل [OWASP Juice Shop](https://owasp.org/www-project-juice-shop/?ref=arabroot.io) و[OWASP WrongSecrets](https://github.com/OWASP/wrongsecrets?ref=arabroot.io) بجانب تحدياتكم. - **البيانات:** التحديات نفسها هي البيانات، وسجل محاولات الطلاب الذي تجمعونه بموافقتهم. ويمكن أن تأخذوا شكل المسابقات من قائمة المسابقات العامة في [CTFtime](https://ctftime.org/?ref=arabroot.io). - **التقييم:** زمن تشغيل نسخة لكل طالب، وعدد النسخ المتزامنة التي يتحملها جهاز المعمل، ونتيجة اختبار عزل يثبت أن طالباً لا يصل إلى نسخة غيره، واستبانة لطلاب مقرر واحد قبل الاستخدام وبعده. - **الصعوبة:** متوسطة إلى عالية، والصعب فيها العزل وليس المنصة. - **ما الذي يفشلها:** أن يقضي الفريق الفصلين في كتابة التحديات وينسى البنية، أو العكس، فقسم العمل من أول أسبوع. - **كيف تتميز:** اجعل كل تحد مرتبطاً بمخرج تعلم في مقرر حقيقي من خطة القسم، وسلم المنصة للنادي ليشغلها بعدكم، فالمشروع الذي يستمر بعد التخرج له وزن في المناقشة وفي السيرة الذاتية. ### B3: أداة تقييم ذاتي وجمع أدلة Evidence لضوابط NCA ECC **Project title:** Self-Assessment and Evidence Collection Tool for NCA ECC Controls الجهة الصغيرة التي يطلب منها الالتزام بالضوابط الأساسية تبدأ عادةً بملف Excel فيه الضوابط ولقطات شاشة في مجلد، ثم تضيع الأدلة عند أول تدقيق. وهذه فكرة GRC بامتياز، ولكن لها جانب تقني حقيقي: سكربتات تجمع الدليل من الأنظمة نفسها بدلاً من لقطة الشاشة، كما شرحنا في [جمع أدلة الامتثال تلقائياً](https://arabroot.io/articles/%D8%AC%D9%85%D8%B9-%D8%A7%D8%AF%D9%84%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84-%D8%AA%D9%84%D9%82%D8%A7%D8%A6%D9%8A%D8%A7/). - **المشكلة:** الأدلة يدوية ومتفرقة، ولا أحد يعرف أي ضابط سقط منذ آخر مراجعة. - **من يستخدمه:** مسؤول الأمن في منشأة صغيرة أو متوسطة، والمدقق الداخلي. - **النطاق:** تحميل نص ECC-2:2024، وتقييم ذاتي لكل ضابط، وعشرة جامعات أدلة Collectors آلية على الأقل (إعدادات كلمات المرور، والتحديثات، والنسخ الاحتياطي، ومدة الاحتفاظ بالسجلات، والمنافذ المفتوحة)، وتقرير فجوات بالعربية. - **التقنيات:** المساهمة في مشروع [CISO Assistant](https://github.com/intuitem/ciso-assistant-community?ref=arabroot.io) مفتوح المصدر الذي شغلناه في [إدارة الامتثال مع CISO Assistant](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84-%D9%85%D8%B9-ciso-assistant/) بدلاً من بناء منصة من الصفر، وPython للجامعات، وAnsible للوصول إلى السيرفرات. - **البيانات:** [صفحة الضوابط الأساسية](https://nca.gov.sa/ar/regulatory-documents/controls-list/ecc/?ref=arabroot.io) في موقع الهيئة الوطنية للأمن السيبراني، ومختبر من سيرفرات بإعدادات متعمدة الخطأ تعرفون نتيجتها مسبقاً. - **التقييم:** نسبة الضوابط التقنية التي أصبح لها دليل آلي، ودقة كل جامع مقابل الحالة المعروفة في المختبر، والوقت الذي يأخذه التقييم يدوياً مقابل الأداة. - **الصعوبة:** متوسطة، وتحتاج فريقاً فيه من يحب القراءة ومن يحب الكود. - **ما الذي يفشلها:** أن يتحول المشروع إلى نموذج إدخال للضوابط فقط، أي جدول بيانات بواجهة ويب. - **كيف تتميز:** مساهمة مقبولة Pull Request في المشروع المفتوح نفسه، فهذا دليل على عمل حقيقي يراه أي شخص يفتح سيرتك الذاتية. ### B4: حساس مراقبة شبكة Network Sensor على Raspberry Pi **Project title:** Raspberry Pi Network Security Sensor المكتب الصغير أو العيادة أو المدرسة الأهلية لا تملك ميزانية لمنصة مراقبة، ولا يوجد فيها من يقرأ تنبيهات IDS بالإنجليزية. والفكرة جهاز صغير يوضع على منفذ مرآة Mirror Port في الـ Switch، يشغل محرك كشف ومحلل حركة، ويرسل ملخصاً يومياً بالعربية. وهذه من الأفكار القليلة في الأمن التي فيها عتاد Hardware، ولجان المناقشة تحب أن ترى جهازاً يعمل على الطاولة. - **المشكلة:** لا أحد يرى ما يحدث داخل الشبكة الصغيرة حتى يقع الحادث. - **من يستخدمه:** صاحب المنشأة الصغيرة، ومزود الدعم الفني الذي يخدم عدة منشآت. - **النطاق:** جهاز [Raspberry Pi 5](https://www.raspberrypi.com/products/raspberry-pi-5/?ref=arabroot.io) مع [Suricata](https://suricata.io/?ref=arabroot.io) و[Zeek](https://zeek.org/?ref=arabroot.io)، وقواعد مختارة تناسب الشبكة الصغيرة، وملخص يومي بالعربية، ولوحة بسيطة. وشرحنا المحركين في [مراقبة الشبكة واكتشاف التسلل مع Suricata وZeek](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%AA%D8%B3%D9%84%D9%84-%D9%81%D9%8A-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-ids-%D9%85%D8%B9-suricata-%D9%88-zeek/). - **التقنيات:** Linux على الجهاز، وSuricata وZeek، وPython للملخص، وSwitch يدعم المنفذ المرآة. - **البيانات:** ملفات حركة الشبكة PCAP المنشورة للتعليم في [قائمة Netresec](https://www.netresec.com/?page=PcapFiles&ref=arabroot.io) و[Malware-Traffic-Analysis.net](https://www.malware-traffic-analysis.net/?ref=arabroot.io)، تعيد تشغيلها داخل المختبر، وبعض هذه الملفات فيها برمجيات خبيثة حقيقية، فافتحها على جهاز معزول فقط. - **التقييم:** أعلى سرعة حركة يتحملها الجهاز قبل أن يسقط حزماً Packet Drop، ونسبة الكشف على الملفات المعروفة، واستهلاك المعالج والذاكرة، وقراءة الملخص مع مستخدم غير تقني. - **الصعوبة:** متوسطة إلى عالية بسبب ضبط الأداء على جهاز محدود. - **ما الذي يفشلها:** أن تجربه على شبكة السكن أو الكلية دون إذن، فهذا تنصت بنص المادة الثالثة، أو أن يغرق الملخص في التنبيهات فلا يقرؤه أحد. - **كيف تتميز:** قس الأداء بأرقام حقيقية على الجهاز، وقدم جدولاً بالقواعد التي عطلتها ولماذا. ### B5: مصيدة Honeypot على سيرفر تملكه وتغذية تهديدات Threat Intelligence **Project title:** Honeypot Deployment and Threat Intelligence Feed بدلاً من أن تقرأ عن المهاجمين، اجعلهم يأتون إليك. تستأجر سيرفراً سحابياً صغيراً باسمك، وتشغل عليه مصيدة تتظاهر بأنها سيرفر SSH ضعيف، وتسجل كل ما يكتبه المهاجم بعد دخوله، ثم تحول ما جمعته إلى مؤشرات اختراق IOC تشاركها بصيغة قياسية. وهذا مشروع قانوني لأن السيرفر ملكك وأنت لا تلمس أي نظام خارجه، بشرط ألا ترد على المهاجم ولا تحاول الوصول إلى جهازه. - **المشكلة:** فرق الأمن الصغيرة تعتمد على تغذيات تهديدات أجنبية لا تعرف ما الذي يستهدف خوادم المنطقة فعلاً. - **من يستخدمه:** محلل استخبارات التهديدات، وفريق SOC الذي يريد قوائم حظر محدثة. - **النطاق:** مصيدة [Cowrie](https://github.com/cowrie/cowrie?ref=arabroot.io) على سيرفر أو اثنين داخل المملكة وخارجها، وخط معالجة يستخرج العناوين والأوامر والملفات المرفوعة وبصماتها، وتصدير إلى [MISP](https://www.misp-project.org/?ref=arabroot.io) الذي شرحناه في معلومات التهديدات مع MISP وOpenCTI. - **التقنيات:** Cowrie، وPython، وMISP، وتصنيف الأوامر حسب تقنيات ATT&CK. - **البيانات:** ما تجمعه المصيدة نفسها خلال ثمانية أسابيع على الأقل، ومقارنة بصمات الملفات بقاعدة [MalwareBazaar](https://bazaar.abuse.ch/?ref=arabroot.io). - **التقييم:** عدد الجلسات والعناوين الفريدة، ونسبة المؤشرات التي لم تكن موجودة في التغذيات العامة يوم ظهورها، والفرق بين السيرفر داخل المملكة والسيرفر خارجها. - **الصعوبة:** متوسطة، والتحليل أهم من التثبيت. - **ما الذي يفشلها:** أن تترك المصيدة دون عزل فيستخدمها المهاجم لمهاجمة غيرك، أو أن تخالف شروط مزود السحابة، فاقرأ سياسة الاستخدام المقبول قبل أن تبدأ. - **كيف تتميز:** انشر تقريراً شهرياً قصيراً بالعربية عما رأيته، دون عناوين أفراد، فهذا محتوى نادر. ### B6: ترتيب أولوية ثغرات التبعيات SBOM مع KEV ثم EPSS **Project title:** Dependency Vulnerability Prioritization Using SBOM, KEV and EPSS كل مشروع برمجي اليوم يعتمد على مئات المكتبات، وأدوات الفحص تخرج قائمة طويلة من الثغرات المعروفة CVE، فيتوقف الفريق أمامها لأنه لا يعرف من أين يبدأ. والفكرة أداة تبني قائمة مكونات البرمجيات SBOM لكل مشروع، وتبحث عن ثغراتها، ثم ترتبها بحسب ما يستغل فعلاً وليس بحسب الدرجة فقط، وهي نفس الفكرة التي شرحناها في [أي ثغرة تصلح أولاً؟](https://arabroot.io/articles/%D8%A7%D9%8A-%D8%AB%D8%BA%D8%B1%D8%A9-%D8%AA%D8%B5%D9%84%D8%AD-%D8%A7%D9%88%D9%84%D8%A7-%D8%AA%D8%B1%D8%AA%D9%8A%D8%A8-%D8%A7%D9%88%D9%84%D9%88%D9%8A%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-cvss-epss-kev/). - **المشكلة:** مئات النتائج، وكلها تبدو «حرجة»، ولا وقت إلا لعشر منها. - **من يستخدمه:** فريق تطوير صغير، ومسؤول أمن التطبيقات. - **النطاق:** توليد SBOM بصيغة [CycloneDX](https://cyclonedx.org/?ref=arabroot.io) من الكود والـ Image عبر [Syft](https://github.com/anchore/syft?ref=arabroot.io)، والبحث في [واجهة OSV](https://google.github.io/osv.dev/api/?ref=arabroot.io)، ثم الترتيب بقائمة [الثغرات المستغلة المعروفة KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?ref=arabroot.io) ودرجة [EPSS](https://www.first.org/epss/?ref=arabroot.io)، وخطوة في خط CI تمنع الدمج عند ثغرة من قائمة KEV. - **التقنيات:** Syft، وPython أو Go، وGitea Actions أو GitHub Actions. - **البيانات:** مشاريع مفتوحة المصدر حقيقية، ومشاريع التخرج القديمة في القسم بإذن أصحابها. - **التقييم:** كم ثغرة يجب أن يعالجها الفريق في الأسبوع الأول بالترتيب الجديد مقارنة بالترتيب حسب CVSS وحده، ودقة مطابقة المكونات مقابل مراجعة يدوية لعينة. - **الصعوبة:** متوسطة. - **ما الذي يفشلها:** أن يعيد الفريق بناء أداة موجودة دون إضافة، فالإضافة هنا في الترتيب والقياس، وليس في الفحص. - **كيف تتميز:** أضف سؤال «هل الدالة الضعيفة مستدعاة فعلاً في الكود؟» لعدد صغير من اللغات، فهذا يقلل القائمة كثيراً. ### B7: زر الإبلاغ عن التصيد Phishing بالعربية ولوحة الفرز **Project title:** Arabic Phishing Report Button and Triage Dashboard برامج التوعية تقيس عادةً من ضغط على الرابط، ولكن الرقم الذي يهم فريق الأمن هو من أبلغ، وكم دقيقة مرت بين وصول الرسالة وأول بلاغ. والفكرة إضافة في برنامج البريد فيها زر «أبلغ عن رسالة مشبوهة» بالعربية، ترسل الرسالة كاملة مع ترويساتها Headers إلى لوحة فرز يرى فيها المحلل البلاغات المتشابهة مجمعة. - **المشكلة:** الموظف الذي يشك في رسالة لا يعرف لمن يرسلها، والمحلل يستقبل لقطات شاشة بلا ترويسات. - **من يستخدمه:** الموظفون، ومحلل SOC، ومسؤول التوعية. - **النطاق:** إضافة لبرنامج Thunderbird أو Roundcube، وخدمة تستقبل البلاغ وتستخرج الروابط والمرفقات والمرسل، وتجميع البلاغات المتشابهة، ورد آلي يشكر المبلغ ويخبره بالنتيجة. - **التقنيات:** JavaScript للإضافة، وPython للخدمة، و[GoPhish](https://github.com/gophish/gophish?ref=arabroot.io) للمحاكاة كما في [محاكاة التصيد مع GoPhish](https://arabroot.io/articles/%D9%85%D8%AD%D8%A7%D9%83%D8%A7%D8%A9-%D8%A7%D9%84%D8%AA%D8%B5%D9%8A%D8%AF-phishing-%D8%A8%D8%AD%D9%85%D9%84%D8%A7%D8%AA-%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87%D8%A7-%D9%85%D8%B9-gophish/). - **البيانات:** حملة محاكاة واحدة في جهة توافق كتابياً، بعد موافقة لجنة الأخلاقيات، وعينات تصيد منشورة للبحث في مختبرك. - **التقييم:** نسبة الإبلاغ، والزمن حتى أول بلاغ، وزمن الفرز للمحلل قبل الأداة وبعدها. - **الصعوبة:** متوسطة، والجزء الأصعب إداري وليس تقنياً. - **ما الذي يفشلها:** أن تتأخر موافقة الجهة أو اللجنة، فاطلبها قبل أن تكتب سطراً واحداً، وجهز خطة بديلة بمستخدمين متطوعين من الكلية. - **كيف تتميز:** واجهة عربية كاملة، ونتائج منشورة بنسب لا بأسماء، وربط بمحتوى [برنامج التوعية](https://arabroot.io/articles/%D8%A8%D8%B1%D9%86%D8%A7%D9%85%D8%AC-%D8%A7%D9%84%D8%AA%D9%88%D8%B9%D9%8A%D8%A9-%D8%A8%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/) الذي يتعلم منه الموظف بعد كل بلاغ. ### B8: قواعد كشف Sigma مختبرة، ومساهمة في المشروع المفتوح **Project title:** Tested Sigma Detection Rules with an Open Source Contribution صيغة Sigma هي اللغة المشتركة لقواعد الكشف، تكتب القاعدة مرة واحدة ثم تحولها إلى استعلام لأي منصة SIEM. والمستودع الرسمي فيه آلاف القواعد، ولكن كثيراً منها غير مختبر على بيانات حقيقية، وبعض المجالات فيها قواعد قليلة، فمثلاً مجلد سجلات sshd في [مستودع Sigma](https://github.com/SigmaHQ/sigma?ref=arabroot.io) فيه قاعدة واحدة فقط عند كتابة المقال، تبحث عن رسائل خطأ مشبوهة، ولا توجد فيه قاعدة للتخمين. - **المشكلة:** القواعد تكتب ثم تنشر دون أن يعرف أحد كم مرة تطلق إنذاراً كاذباً. - **من يستخدمه:** مهندسو الكشف Detection Engineers في أي SOC. - **النطاق:** عشرون قاعدة جديدة أو محسنة في مجالات Linux والويب، كل قاعدة معها حدث يطلقها وحدث يشبهه ولا يطلقها، واختبار آلي في CI، ومحاولة دمجها في المستودع الرسمي. - **التقنيات:** Sigma و[مواصفة Sigma](https://github.com/SigmaHQ/sigma-specification?ref=arabroot.io) بما فيها قواعد الربط Correlation، وأداة pySigma للتحويل، وWazuh أو Elastic للتجربة. - **البيانات:** [Security-Datasets](https://github.com/OTRF/Security-Datasets?ref=arabroot.io) وفيها سجلات مسجلة من محاكاة هجمات مصنفة بتقنيات ATT&CK، واختبارات [Atomic Red Team](https://github.com/redcanaryco/atomic-red-team?ref=arabroot.io) تشغلها في مختبرك. - **التقييم:** نسبة الكشف على الهجمات المسجلة، وعدد الإنذارات الكاذبة على أسبوع من سجلات مختبر عادي، وعدد القواعد المدمجة في المستودع. - **الصعوبة:** متوسطة، ومناسبة جداً لفريق من ثلاثة. - **ما الذي يفشلها:** أن تكتب القواعد دون بيانات تختبرها، فتصبح نصاً بلا قيمة. - **كيف تتميز:** مساهمة مدمجة في مشروع عالمي يستخدمه آلاف المحللين، وهي أقوى سطر يمكن أن يكتبه طالب أمن في سيرته. ### B9: كشف نقاط الوصول الدخيلة Rogue AP في شبكة الكلية بإذن **Project title:** Authorized Rogue Access Point Detection on a Campus Network نقطة وصول لاسلكية يركبها شخص في مكتبه دون علم إدارة تقنية المعلومات، أو شبكة تحمل اسم شبكة الكلية نفسه لتسرق كلمات المرور، كلاهما يفتح باباً خلف الجدار الناري. والفكرة شبكة من الحساسات الصغيرة تراقب الطيف اللاسلكي وتقارن ما تراه بقائمة الأجهزة المعتمدة. - **المشكلة:** لا أحد يعرف كم نقطة وصول غير معتمدة تعمل في المبنى. - **من يستخدمه:** إدارة تقنية المعلومات في الكلية أو أي منشأة. - **النطاق:** ثلاثة حساسات أو أكثر بمحولات لاسلكية تدعم وضع المراقبة Monitor Mode، و[Kismet](https://www.kismetwireless.net/?ref=arabroot.io) كما في [اكتشاف الأجهزة اللاسلكية الدخيلة مع Kismet](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%84%D8%A7%D8%B3%D9%84%D9%83%D9%8A%D8%A9-%D8%A7%D9%84%D8%AF%D8%AE%D9%8A%D9%84%D8%A9-%D9%85%D8%B9-kismet/)، وقائمة الأجهزة المعتمدة، وتنبيه عند ظهور شبكة تنتحل اسم الشبكة الرسمية، وتقدير تقريبي لموقع الجهاز. - **التقنيات:** Kismet، وPython، وخريطة المبنى. - **البيانات:** مسح المبنى بإذن مكتوب من إدارة تقنية المعلومات، مع تسجيل معرفات الشبكات فقط دون محتوى الحركة، ونقطة وصول «دخيلة» تضعونها بأنفسكم للاختبار. - **التقييم:** الزمن حتى كشف النقطة الدخيلة التي وضعتموها، ودقة تحديد موقعها بالأمتار، وعدد الإنذارات الكاذبة من شبكات الجيران. - **الصعوبة:** متوسطة إلى عالية، وفيها عتاد وتنقل في المبنى. - **ما الذي يفشلها:** العمل دون إذن، أو التقاط محتوى الحركة بدلاً من معرفات الشبكات فقط. - **كيف تتميز:** ربط النتيجة بتوصيات [أمن الشبكات اللاسلكية](https://arabroot.io/articles/%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A7%D8%AA-%D8%A7%D9%84%D9%84%D8%A7%D8%B3%D9%84%D9%83%D9%8A%D8%A9-wpa3-%D9%88%D9%81%D8%B5%D9%84-%D8%B4%D8%A8%D9%83%D8%A9-%D8%A7%D9%84%D8%B6%D9%8A%D9%88%D9%81-%D9%88%D8%A7%D9%8A%D9%82%D8%A7%D9%81-wps/) وتسليم تقرير مكتوب لإدارة تقنية المعلومات. ## أفكار رسائل الماجستير Master Research الأفكار الست التالية مكتوبة بصيغة سؤال، لأن الماجستير يبدأ من سؤال وليس من نظام. ولكل فكرة نذكر ما يعرفه الباحثون اليوم باختصار، وما الذي لم يحسم بعد، وكيف تقيس إضافتك. وقبل أن تختار، ابحث عن السؤال نفسه في Google Scholar وSemantic Scholar، فإذا وجدت ورقة حديثة أجابت عنه كاملاً فإما أن تغير البيانات أو اللغة أو البيئة، أو تختار سؤالاً آخر. ### M1: هل يعمل كاشف التسلل Intrusion Detection على بيانات لم يتدرب عليها؟ **Project title:** Cross-Dataset Generalization of Intrusion Detection Models مئات الأوراق تنشر كل سنة نماذج تعلم آلي تكشف التسلل بدقة تتجاوز 99% على مجموعة بيانات واحدة، ثم لا تعمل في شبكة حقيقية. وقد راجع فريق من جامعة KU Leuven مجموعة CIC-IDS2017 الشهيرة في ورقة [Troubleshooting an Intrusion Detection Dataset](https://intrusion-detection.distrinet-research.be/WTMC2021/?ref=arabroot.io)، فوجد مشكلات في توليد الحركة وبناء التدفقات واستخراج الخصائص والتصنيف، وأعاد بناء أو تصنيف أكثر من 20% من سجلاتها. لذلك فالسؤال الحقيقي ليس «كم دقة نموذجي؟» وإنما «هل يبقى نموذجي جيداً إذا تغيرت الشبكة؟». - **السؤال البحثي:** كم تنخفض دقة كاشف مدرب على مجموعة بيانات عند اختباره على مجموعة أخرى، وأي الخصائص تبقى مفيدة عبر المجموعتين، وهل يحسن التصحيح المنشور للتصنيف هذه النتيجة؟ - **البيانات:** [CIC-IDS2017](https://www.unb.ca/cic/datasets/ids-2017.html?ref=arabroot.io) التي سجلت خمسة أيام من 3 إلى 7 يوليو 2017، والنسخة المصححة من فريق KU Leuven، و[UNSW-NB15](https://research.unsw.edu.au/projects/unsw-nb15-dataset?ref=arabroot.io) وفيها تسعة أنواع من الهجمات. - **الطريقة:** توحيد الخصائص بين المجموعتين، وتدريب على واحدة واختبار على الأخرى في الاتجاهين، ومقارنة نماذج بسيطة وعميقة. - **التقييم:** مقياس F1 لكل نوع هجوم، ومعدل الإنذار الكاذب، واختبار إحصائي بين الاتجاهين، ونشر الكود والتقسيمات. - **الصعوبة:** عالية، ويكفي فيها معالج عادي مع ذاكرة كافية. - **ما الذي يفشلها:** أن تنتهي بجدول دقة جديد على مجموعة واحدة، فهذا هو ما تنتقده الفكرة نفسها. - **كيف تتميز:** أضف مجموعة ثالثة من مختبرك، ولو صغيرة، تبين ماذا يحدث في شبكة لم يرها أحد. ### M2: حقن الأوامر Prompt Injection بالعربية: هل تكتشفه الحواجز المدربة على الإنجليزية؟ **Project title:** Arabic Prompt Injection Against English-Trained LLM Guardrails كل جهة تضيف اليوم مساعداً مبنياً على نموذج لغة كبير LLM فوق بياناتها، وأول خطر في [قائمة OWASP لتطبيقات نماذج اللغة](https://genai.owasp.org/llm-top-10/?ref=arabroot.io) هو حقن الأوامر، أي نص يدسه المهاجم ليغير سلوك النموذج. وأغلب الحواجز Guardrails ومصنفات الكشف المنشورة مدربة على الإنجليزية، فماذا يحدث إذا كتب المهاجم بالعربية الفصحى، أو باللهجة، أو بخليط من العربية والإنجليزية، أو بالعربية المكتوبة بحروف لاتينية؟ - **السؤال البحثي:** كم تنخفض نسبة الكشف لمصنفات حقن الأوامر المنشورة عند الانتقال من الإنجليزية إلى العربية بأشكالها، وهل يكفي تدريب إضافي صغير بالعربية لسد الفرق؟ - **البيانات:** مجموعة [deepset/prompt-injections](https://huggingface.co/datasets/deepset/prompt-injections?ref=arabroot.io) على Hugging Face، وفيها 546 مثالاً للتدريب و116 للاختبار، تترجمها وتعيد كتابتها بالعربية وتراجع الترجمة يدوياً، وأداة [garak](https://github.com/NVIDIA/garak?ref=arabroot.io) لفحص النماذج. - **الطريقة:** بناء مجموعة اختبار عربية بأربعة أشكال، وقياس عدة مصنفات مفتوحة وحواجز جاهزة، ثم تدريب إضافي صغير وقياس الأثر. - **التقييم:** نسبة الكشف والإنذار الكاذب لكل شكل لغوي، مع فاصل ثقة، ونشر مجموعة الاختبار برخصة مفتوحة. - **الصعوبة:** متوسطة إلى عالية، والمصنفات الصغيرة تعمل على المعالج دون بطاقة رسوميات. - **ما الذي يفشلها:** ترجمة آلية دون مراجعة، فتقيس جودة المترجم بدلاً من الحاجز. - **كيف تتميز:** مجموعة الاختبار العربية نفسها إضافة يستخدمها غيرك، وقد شرحنا المخاطر في [OWASP Top 10 لتطبيقات LLM](https://arabroot.io/articles/owasp-top-10-%D9%84%D8%AA%D8%B7%D8%A8%D9%8A%D9%82%D8%A7%D8%AA-%D9%86%D9%85%D8%A7%D8%B0%D8%AC-%D8%A7%D9%84%D9%84%D8%BA%D8%A9-llm/). ### M3: فرز تنبيهات SOC بنموذج لغة: هل يوفر الوقت دون أن يضيع الهجمات؟ **Project title:** LLM-Assisted SOC Alert Triage: Time Savings Versus Missed Attacks المحلل في مركز العمليات الأمنية يقضي أغلب يومه في فرز تنبيهات أغلبها كاذب، كما وصفنا في [يوم محلل SOC](https://arabroot.io/articles/%D9%8A%D9%88%D9%85-%D9%85%D8%AD%D9%84%D9%84-soc-%D9%81%D8%B1%D8%B2-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87%D8%A7%D8%AA-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D9%82%D8%B1%D8%A7%D8%B1/). والشركات تعلن أن نماذج اللغة ستفرز التنبيهات عنه، ولكن السؤال العلمي لم يحسم: هل يتخذ المحلل قراراً أسرع وأصح عندما يقرأ ملخص النموذج، أم أنه يثق في الملخص فيفوت الهجوم الحقيقي؟ - **السؤال البحثي:** في تجربة مضبوطة مع محللين، هل يقلل ملخص نموذج اللغة زمن الفرز، وهل يزيد أو ينقص نسبة الهجمات الحقيقية التي يصنفها المحلل خطأً على أنها كاذبة؟ - **البيانات:** تنبيهات تولدها من [Security-Datasets](https://github.com/OTRF/Security-Datasets?ref=arabroot.io) واختبارات Atomic Red Team في مختبرك، مخلوطة بتنبيهات كاذبة حقيقية من حركة عادية، بحيث تعرف الإجابة الصحيحة لكل تنبيه. - **الطريقة:** مجموعتان من المحللين أو من طلاب السنة الأخيرة، واحدة بالملخص وواحدة دونه، ثم تبادل، مع موافقة لجنة الأخلاقيات. - **التقييم:** زمن الفرز لكل تنبيه، والدقة، ونسبة الهجمات الفائتة، واستبانة ثقة، واختبار إحصائي مناسب لحجم العينة. - **الصعوبة:** عالية بسبب الدراسة على البشر. - **ما الذي يفشلها:** عدد مشاركين قليل جداً، فابدأ التواصل مع جهات تعمل فيها مراكز عمليات من الشهر الأول. - **كيف تتميز:** قياس الضرر وليس السرعة فقط، فأغلب ما ينشر يقيس الوقت وينسى الهجمات الفائتة. ### M4: كلفة TLS ما بعد الكم Post-Quantum بخوارزمية ML-KEM على الأجهزة المحدودة **Project title:** Performance Cost of Post-Quantum TLS with ML-KEM on Constrained Devices نشر المعهد الوطني الأمريكي للمعايير والتقنية NIST معيار [FIPS 203](https://csrc.nist.gov/pubs/fips/203/final?ref=arabroot.io) لخوارزمية ML-KEM لتبادل المفاتيح، وبدأت المتصفحات والخوادم تستخدم تبادلاً هجيناً يجمع X25519 مع ML-KEM كما في [مسودة IETF](https://www.ietf.org/archive/id/draft-ietf-tls-ecdhe-mlkem-03.html?ref=arabroot.io). والمفاتيح والنصوص المشفرة في ML-KEM أكبر بكثير من X25519، فماذا يعني هذا لجهاز إنترنت الأشياء IoT صغير، أو لشبكة بطيئة؟ - **السؤال البحثي:** كم يزيد زمن المصافحة Handshake واستهلاك الذاكرة والطاقة عند التبادل الهجين على أجهزة محدودة، ومتى يصبح حجم الرسالة الأولى سبباً في تأخير إضافي على الشبكة؟ - **البيانات:** قياسات تجمعها بنفسك في مختبرك باستخدام [liboqs](https://github.com/open-quantum-safe/liboqs?ref=arabroot.io) و[oqs-provider](https://github.com/open-quantum-safe/oqs-provider?ref=arabroot.io) لـ OpenSSL من [مشروع Open Quantum Safe](https://openquantumsafe.org/?ref=arabroot.io)، على Raspberry Pi وعلى جهاز أصغر إن توفر. - **الطريقة:** سيرفر وعميل في مختبرك، ومحاكاة لظروف شبكة مختلفة بأداة tc، وتكرار كل قياس مئات المرات. - **التقييم:** الوسيط والمئين 99 لزمن المصافحة، والذاكرة، وحجم الحزم، مقارنة بـ X25519 وحده. - **الصعوبة:** عالية، وتحتاج صبراً على بناء المكتبات. - **ما الذي يفشلها:** قياس مواقع على الإنترنت بدلاً من مختبرك، فتختلط الشبكة بالخوارزمية، ويصبح الفحص الواسع لخوادم غيرك مسألة إذن. - **كيف تتميز:** توصية عملية لجهة تشغل أجهزة ميدانية: متى تفعل التبادل الهجين ومتى تنتظر. ### M5: تحليل البرامج الثابتة Firmware لأجهزة الشبكة المفتوحة: ما الذي تخفيه المكونات؟ **Project title:** Firmware Analysis of Open Network Devices and Their Hidden Components جهاز الراوتر أو الكاميرا يعمل ببرنامج ثابت فيه نظام تشغيل ومكتبات قديمة في الغالب، والجهة التي تشتري آلاف الأجهزة لا تعرف ما في داخلها. وتوزيعة [OpenWrt](https://downloads.openwrt.org/?ref=arabroot.io) تنشر صور البرامج الثابتة لمئات الأجهزة بإصداراتها المتتالية، فهي مادة مثالية وقانونية للبحث. - **السؤال البحثي:** ما دقة أدوات استخراج قائمة المكونات من البرامج الثابتة مقابل قائمة المكونات الحقيقية المعروفة من نظام البناء، وكم ثغرة معروفة تفوتها أو تضيفها بالخطأ؟ - **البيانات:** صور OpenWrt لعدة إصدارات ومعماريات، وقوائم الحزم الرسمية لكل إصدار كإجابة صحيحة، وأداة [FACT](https://github.com/fkie-cad/FACT%5Fcore?ref=arabroot.io) من Fraunhofer FKIE وSyft للاستخراج. - **الطريقة:** استخراج آلي، ومقارنة بالقائمة الحقيقية، ثم مطابقة بالثغرات المعروفة في OSV. - **التقييم:** الدقة Precision والاستدعاء Recall لكل أداة ولكل معمارية، ونسبة الثغرات التي تفوتها. - **الصعوبة:** عالية. - **ما الذي يفشلها:** العمل على برامج ثابتة تجارية تمنع رخصتها الهندسة العكسية، فابق مع المفتوح. - **كيف تتميز:** مجموعة تقييم منشورة تكررها أي أداة جديدة، فهذا النوع من المعايير Benchmarks نادر في هذا المجال. ### M6: انحراف البيانات Concept Drift في كشف روابط التصيد Phishing URLs **Project title:** Concept Drift in Phishing URL Detection نماذج كشف روابط التصيد تتدرب على بيانات جمعت في فترة معينة، ثم يغير المهاجمون أسلوبهم، فتنخفض دقة النموذج دون أن يلاحظ أحد. والسؤال هنا ليس بناء نموذج جديد، وإنما قياس سرعة تقادم النموذج وأفضل طريقة لتحديثه. - **السؤال البحثي:** كم تنخفض دقة نموذج مدرب على مجموعة منشورة عند اختباره على روابط جمعت بعدها بأشهر، وأي استراتيجية تحديث تعطي أفضل دقة بأقل كلفة تصنيف يدوي؟ - **البيانات:** مجموعة [PhiUSIIL](https://archive.ics.uci.edu/dataset/967/phiusiil+phishing+url+dataset?ref=arabroot.io) في مستودع UCI وفيها 134,850 رابطاً سليماً و100,945 رابط تصيد، وروابط حديثة من [PhishTank](https://phishtank.org/developer%5Finfo.php?ref=arabroot.io) و[URLhaus](https://urlhaus.abuse.ch/api/?ref=arabroot.io) تجمعها أسبوعياً، دون أن تفتح الروابط الضارة إلا في بيئة معزولة. - **الطريقة:** تدريب على البيانات القديمة، واختبار على نوافذ زمنية متتالية، ومقارنة إعادة التدريب الكاملة بالتعلم النشط Active Learning. - **التقييم:** منحنى الدقة عبر الزمن، وعدد الروابط التي احتاجت تصنيفاً يدوياً لكل استراتيجية. - **الصعوبة:** متوسطة إلى عالية. - **ما الذي يفشلها:** اختبار النموذج على نفس فترة التدريب، فيظهر أن لا انحراف. - **كيف تتميز:** أضف روابط تستهدف خدمات عربية لترى هل يختلف الانحراف فيها. ## أفكار مستهلكة Overused Ideas: كيف تحولها إلى مشروع حقيقي؟ كل مشرف في قسم أمن سيبراني رأى هذه الأفكار مرات كثيرة، وعندما يسمعها في الاجتماع الأول يعرف أن الفريق لم يبحث. والمشكلة ليست في الموضوع نفسه، وإنما في الصيغة التي تأتي بها الفكرة: بلا مستخدم، وبلا بيانات حقيقية، وبلا مقياس. ولكل فكرة منها طريقة تحولها إلى مشروع يقبل: - **«أداة فحص منافذ Port Scanner»:** Nmap موجود منذ سنوات، ولن تبني أفضل منه في فصلين، كما ترى في [استكشاف الشبكة مع Nmap](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/). حولها إلى «جرد الأصول المكشوفة لجهة صغيرة ومقارنة ما تراه بما تظن الجهة أنها تملكه»، فالقيمة في المقارنة والتقرير وليس في الفحص. - **«كاشف تسلل بالتعلم الآلي على NSL-KDD بدقة 99%»:** هذه المجموعة مبنية على بيانات من 1999، وكل نموذج يصل فيها إلى دقة عالية. حولها إلى السؤال M1: هل يعمل النموذج على بيانات لم يرها؟ - **«تطبيق تشفير ملفات بخوارزمية جديدة»:** لا تخترع خوارزمية تشفير، والسبب شرحناه في [التشفير للمطورين](https://arabroot.io/articles/%D8%A7%D9%84%D8%AA%D8%B4%D9%81%D9%8A%D8%B1-%D9%84%D9%84%D9%85%D8%B7%D9%88%D8%B1%D9%8A%D9%86-%D8%A7%D9%84%D9%87%D8%A7%D8%B4-%D9%88%D9%83%D9%84%D9%85%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B1%D9%88%D8%B1-%D9%88%D8%A7%D9%84%D9%85%D9%81%D8%A7%D8%AA%D9%8A%D8%AD/). حولها إلى «إدارة المفاتيح لفريق صغير»، أو إلى قياس M4 لكلفة الخوارزميات الجديدة المعتمدة. - **«Keylogger أو برنامج تجسس لأغراض تعليمية»:** لن يقبل أغلب المشرفين هذا الموضوع، ولن تعرضه في مقابلة عمل. حوله إلى الجهة الأخرى: كيف تكتشف هذا النوع من البرامج على جهاز، بقواعد كشف مختبرة في مختبرك كما في B8. - **«روبوت محادثة Chatbot للأمن السيبراني للجامعة»:** واجهة فوق نموذج لغة دون تقييم. حوله إلى M2: هل يحمي الحاجز هذا الروبوت من حقن الأوامر بالعربية؟ أو إلى B7 حيث يساعد النموذج المحلل في فرز البلاغات، مع قياس. - **«نظام كشف تصيد بإضافة متصفح»:** عشرات الإضافات موجودة، ونماذجها لا تقاس عبر الزمن. حولها إلى M6، أو اجعل الإضافة جزءاً من B7 لتقيس الإبلاغ. - **«منصة توعية أمنية بالفيديوهات»:** محتوى دون قياس. حولها إلى برنامج توعية يقيس نسبة الإبلاغ قبل الحملة وبعدها، بموافقة اللجنة. ولاحظ القاعدة التي تجمعها: الفكرة المستهلكة تصبح مقبولة عندما تضيف إليها مستخدماً محدداً، وبيانات حقيقية، ورقماً تقيسه قبل وبعد. فإذا وجدت نفسك تدافع عن فكرة من هذه القائمة، فاكتب لها هذه الثلاثة قبل الاجتماع. ## جدول مقارنة الأفكار Comparison Table الجدول التالي يجمع الأفكار الخمس عشرة، والصعوبة فيه نسبية بين أفكار هذا المقال، وتوفر البيانات يعني هل تستطيع أن تبدأ العمل في الأسبوع الأول أم تنتظر إذناً أو جمعاً. | الفكرة | المستوى | الصعوبة | توفر البيانات | المهارات التي تخرج بها | | ---------------------------------------------------------------------------------------------- | --------- | ---------------- | --------------------------------- | -------------------------------------- | | B1 كشف التخمين على SSHSSH Brute-force Detection and Automated Response | بكالوريوس | متوسطة | جاهزة: Loghub | تحليل السجلات، قواعد الكشف، الاستجابة | | B2 ميدان تدريب CTFA CTF-Style Cyber Range for Department Training | بكالوريوس | متوسطة إلى عالية | تكتبونها بأنفسكم | Containers، العزل، أمن الويب | | B3 أداة تقييم ECCSelf-Assessment and Evidence Collection Tool for NCA ECC Controls | بكالوريوس | متوسطة | جاهزة: نص الضوابط ومختبر | GRC، الأتمتة، التدقيق | | B4 حساس شبكة على Raspberry PiRaspberry Pi Network Security Sensor | بكالوريوس | متوسطة إلى عالية | جاهزة: ملفات PCAP منشورة | Suricata، Zeek، ضبط الأداء | | B5 مصيدة HoneypotHoneypot Deployment and Threat Intelligence Feed | بكالوريوس | متوسطة | تجمع خلال 8 أسابيع | استخبارات التهديدات، MISP | | B6 أولوية ثغرات التبعياتDependency Vulnerability Prioritization Using SBOM, KEV and EPSS | بكالوريوس | متوسطة | جاهزة: مشاريع مفتوحة | SBOM، إدارة الثغرات، CI | | B7 زر الإبلاغ عن التصيدArabic Phishing Report Button and Triage Dashboard | بكالوريوس | متوسطة | تنتظر موافقة الجهة واللجنة | أمن البريد، العامل البشري | | B8 قواعد Sigma مختبرةTested Sigma Detection Rules with an Open Source Contribution | بكالوريوس | متوسطة | جاهزة: Security-Datasets | هندسة الكشف، المساهمة المفتوحة | | B9 كشف نقاط الوصول الدخيلةAuthorized Rogue Access Point Detection on a Campus Network | بكالوريوس | متوسطة إلى عالية | تنتظر إذن تقنية المعلومات | الشبكات اللاسلكية، العتاد | | M1 تعميم كاشف التسللCross-Dataset Generalization of Intrusion Detection Models | ماجستير | عالية | جاهزة: CIC-IDS2017 وUNSW-NB15 | التعلم الآلي، منهجية التقييم | | M2 حقن الأوامر بالعربيةArabic Prompt Injection Against English-Trained LLM Guardrails | ماجستير | متوسطة إلى عالية | جزئية: تترجمها وتراجعها | أمن نماذج اللغة، بناء مجموعات الاختبار | | M3 فرز التنبيهات بنموذج لغةLLM-Assisted SOC Alert Triage: Time Savings Versus Missed Attacks | ماجستير | عالية | تولد في المختبر، والمشاركون صعبون | دراسات المستخدم، SOC | | M4 كلفة TLS ما بعد الكمPerformance Cost of Post-Quantum TLS with ML-KEM on Constrained Devices | ماجستير | عالية | تقيسها في المختبر | التشفير التطبيقي، القياس | | M5 تحليل FirmwareFirmware Analysis of Open Network Devices and Their Hidden Components | ماجستير | عالية | جاهزة: صور OpenWrt | الأنظمة المدمجة، SBOM | | M6 انحراف كشف التصيدConcept Drift in Phishing URL Detection | ماجستير | متوسطة إلى عالية | جاهزة وتتجدد أسبوعياً | التعلم الآلي عبر الزمن | ## كيف تربط مشروعك بضوابط NCA ECC؟ عندما تكتب المقترح، خصص فقرة تقول أي مكون فرعي في الضوابط الأساسية يخدمه مشروعك، فهذا يجيب عن سؤال «من سيستفيد؟» بلغة الجهات الوطنية، ويجعل الفصل الأول من التقرير أقوى. والجدول التالي يربط الأفكار بالمكونات الفرعية في ECC-2:2024 كما شرحناها في مقال الضوابط: | المكون الفرعي في ECC-2:2024 | الأفكار التي تخدمه | | -------------------------------------------------------------- | ------------------ | | 2-12 إدارة سجلات الأحداث ومراقبة الأمن السيبراني | B1، B4، B8، M3 | | 2-13 إدارة حوادث وتهديدات الأمن السيبراني | B5، B7، M3 | | 2-10 إدارة الثغرات | B6، M5 | | 2-5 إدارة أمن الشبكات | B4، B9، M1 | | 2-4 حماية البريد الإلكتروني | B7، M6 | | 2-8 التشفير | M4 | | 1-10 برنامج التوعية والتدريب بالأمن السيبراني | B2، B7 | | 1-7 و1-8 الالتزام والمراجعة الدورية | B3 | | 2-15 حماية تطبيقات الويب، و1-6 الأمن في إدارة المشاريع التقنية | B6، M2 | ولا تكتب أن مشروعك «يحقق الضابط»، فالتحقيق مسؤولية الجهة وعملياتها وسياساتها، وإنما اكتب أنه «يوفر أداة أو دليلاً يساعد على تحقيقه»، والفرق بين العبارتين يلاحظه أي عضو في اللجنة عمل في الامتثال. وإذا أردت أن تعرف أي أداة مفتوحة المصدر تخدم كل ضابط، فقد جمعناها في [تحقيق ضوابط ECC بأدوات مفتوحة المصدر](https://arabroot.io/articles/%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-ecc-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/). ## تجربة عملية Lab: نختبر جدوى الفكرة B1 على سجل حقيقي قبل أن تكتب الفكرة في المقترح، اختبر جدواها في يومين: هل البيانات موجودة فعلاً، وهل يمكن معالجتها، وهل يظهر فيها شيء يستحق القياس؟ هذا ما نسميه تجربة جدوى Feasibility Spike، وهي أقوى ما تأخذه إلى الاجتماع الأول مع المشرف، لأنها تحول «نعتقد أن» إلى «جربنا ووجدنا». ولنفرض أن فريقك اختار الفكرة B1، فالسؤال الذي نريد أن نجيب عنه هنا: إذا طبقنا قاعدة قريبة من الإعداد الافتراضي في fail2ban على سجل سيرفر حقيقي لمدة شهر تقريباً، فكم محاولة توقف، ومن يفلت منها، وهل يحظر أصحاب الحسابات أنفسهم؟ والصورة التالية تبين تصميم البرنامج الذي كتبناه للتجربة، والأفخاخ الثلاثة التي ظهرت في البيانات أثناء العمل: ![خمس مراحل متتالية: القراءة من سجل syslog الذي لا يحتوي السنة، ثم التحليل بثلاثة أنماط هي Failed وmessage repeated وAccepted، ثم النافذة المنزلقة لكل عنوان IP بحد 5 محاولات خلال 600 ثانية، ثم قرار الحظر لمدة 600 ثانية، ثم التنبيه عند الدخول الناجح من عنوان فشل قبله. وتحتها ثلاثة أفخاخ: لا توجد سنة في السطر، ورسائل message repeated عددها 36,967، واسم مستخدم فيه مسافة أضاع 202 محاولة](https://arabroot.io/content/images/2026/11/grad-projects-cyber-03-pipeline.webp) خمس مراحل من سطر السجل إلى التنبيه، وثلاثة أفخاخ لم تظهر إلا في البيانات الحقيقية ### البيانات Dataset: سجل Loghub SSH مشروع [Loghub](https://github.com/logpai/loghub?ref=arabroot.io) مجموعة سجلات أنظمة حقيقية نشرها فريق LogPAI للبحث في تحليل السجلات، ومنها سجل SSH من سيرفر حقيقي، والنسخة الكاملة منشورة على Zenodo بحجم 4.6 ميجابايت مضغوطة و73 ميجابايت بعد فك الضغط، ومعها في المستودع عينة من أول ألفي سطر، وملف بنفس العينة صنف فيه كل سطر بقالب حدث Event Template، مثل E9 للقالب «Failed password for <\*> from <\*> port <\*> ssh2». وهذا الملف المصنف مهم جداً لنا، لأنه يعطينا إجابة صحيحة نقيس عليها دقة المحلل الذي سنكتبه قبل أن نثق فيه على السجل الكامل. والسكربت التالي يجلب الملفات: ```bash curl -sSL -o OpenSSH_2k.log https://raw.githubusercontent.com/logpai/loghub/master/OpenSSH/OpenSSH_2k.log curl -sSL -o OpenSSH_2k.log_structured.csv https://raw.githubusercontent.com/logpai/loghub/master/OpenSSH/OpenSSH_2k.log_structured.csv curl -sSL -o SSH.tar.gz https://zenodo.org/api/records/8196385/files/SSH.tar.gz/content tar xzf SSH.tar.gz # -> SSH.log, 655,146 lines sha256sum SSH.tar.gz SSH.log ``` وبصمة الملفين عندنا كانت كما يلي، وتستطيع أن تقارنها لتتأكد أنك تعمل على نفس النسخة: ```text 296610a35773f58b7c295e5407fc5ccdf48beb3c544fc14a6309addf904a2712 *SSH.tar.gz 89eee9e36c182722f9fadc6e5617a4818ffc66109e7e222b8f9e8b78fc3aa2f3 *SSH.log ``` ولاحظ أننا لا نضع السجل الكامل في مجلد المختبر، لأن حجمه 73 ميجابايت، وإنما نضع العينة المصنفة وسكربت الجلب فقط، وهذه عادة جيدة في مشروع التخرج أيضاً: المستودع يحمل الكود والعينة، والبيانات الكبيرة تجلب بسكربت ومعها بصمتها. وأول خمسة أسطر من السجل تبين شكله: ```text Dec 10 06:55:46 LabSZ sshd[24200]: reverse mapping checking getaddrinfo for ns.marryaldkfaczcz.com [173.234.31.186] failed - POSSIBLE BREAK-IN ATTEMPT! Dec 10 06:55:46 LabSZ sshd[24200]: Invalid user webmaster from 173.234.31.186 Dec 10 06:55:46 LabSZ sshd[24200]: input_userauth_request: invalid user webmaster [preauth] Dec 10 06:55:46 LabSZ sshd[24200]: pam_unix(sshd:auth): check pass; user unknown Dec 10 06:55:46 LabSZ sshd[24200]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=173.234.31.186 ``` محاولة واحدة لاسم المستخدم webmaster أنتجت خمسة أسطر، وهذا أول درس: لا تعد الأسطر، وإنما اختر سطراً واحداً يمثل المحاولة. فرسالة «Failed password» تمثل المحاولة نفسها، أما سطر «pam\_unix ... authentication failure» فهو نفس المحاولة مسجلة من طبقة أخرى، وإذا عددت النوعين فسوف تضاعف الرقم. ### البرنامج Code: محلل ونافذة منزلقة Sliding Window كتبنا البرنامج `detect_bruteforce.py` بمكتبة Python القياسية فقط، دون أي حزمة خارجية، لأن تجربة الجدوى يجب أن تعمل على أي جهاز في دقائق. وقلبه ثلاثة أنماط Regular Expressions، ونافذة منزلقة لكل عنوان. والجزء التالي هو الأنماط ودالة القراءة: ```python LINE = re.compile(r'^(\w{3})\s+(\d+) (\d\d:\d\d:\d\d) (\S+) sshd\[(\d+)\]: (.*)$') # the user name is matched with (.*?) and not (\S+): attackers send names with spaces ("invalid user 0101") FAIL = re.compile(r'^Failed (password|none|publickey) for (invalid user )?(.*?) from (\S+) port \d+') REPEAT = re.compile(r'^message repeated (\d+) times: \[ Failed (password|none|publickey) for (invalid user )?(.*?) from (\S+) port') ACCEPT = re.compile(r'^Accepted (password|publickey) for (\S+) from (\S+) port \d+') def events(path, first_year=2017): """Yield (ts, kind, ip, user, count). syslog has no year: we add one when the month goes back to Jan.""" year, last_month, last_ts = first_year, None, None ... if last_month == 12 and month == 1: year += 1 ``` في الكود أعلاه لاحظ التالي: - النمط `REPEAT` موجود لأن خدمة السجل rsyslog تختصر الرسائل المتطابقة المتتالية في سطر واحد «message repeated 5 times»، وهذا السطر يمثل خمس محاولات، فنعيد العدد كما هو بدلاً من واحد. - سطر syslog التقليدي لا يحمل السنة، والسجل يبدأ في ديسمبر وينتهي في يناير، لذلك نزيد السنة عندما يرجع الشهر من 12 إلى 1، وإلا فسوف تبدو محاولات يناير وكأنها قبل محاولات ديسمبر بأحد عشر شهراً، وتنهار النافذة الزمنية كلها. - اسم المستخدم يطابق بالنمط `(.*?)` وليس `(\S+)`، وقصة هذا السطر في الفقرة التالية. أما الكشف فهو منطق بسيط: لكل عنوان قائمة Deque فيها أوقات فشله داخل النافذة، فإذا وصل عددها إلى `maxretry` خلال `findtime` ثانية نحظر العنوان `bantime` ثانية، وكل محاولة تصل منه أثناء الحظر نعدها «محجوبة» لأن الجدار الناري كان سيسقطها. وهذه القيم الثلاث اخترناها قريبة من القيم الافتراضية في ملف `jail.conf` لأداة fail2ban، وهي `bantime = 10m` و`findtime = 10m` و`maxretry = 5`، حتى تكون النتيجة مفهومة لمن يشغل fail2ban فعلاً. ### التحقق Validation: هل نثق في المحلل؟ قبل أن نشغل البرنامج على 655 ألف سطر، نقيسه على العينة المصنفة. نعتبر القالب E1 دخولاً ناجحاً، والقوالب E8 وE9 وE10 فشلاً، والقالب E14 «message repeated» فشلاً بعدده، ثم نقارن ما يخرجه المحلل سطراً بسطر. وفي التشغيل الأول كان المخرج كما يلي: ```text == validate parser against Loghub templates (2,000 labelled lines) == labelled auth lines: 525 parser hits: 524 exact matches: 524 precision: 1.000 recall: 0.998 ``` كل ما وجده المحلل صحيح، أي أن الدقة Precision كاملة، ولكنه فوت سطراً واحداً، فالاستدعاء Recall كان 0.998\. وقد يقول البعض: سطر واحد من 525، لماذا نهتم؟ والإجابة أن السطر الواحد في العينة قد يكون مئات الأسطر في السجل الكامل، لذلك طبعنا السطر الفائت: ```text 189 E10 'Failed password for invalid user 0101 from 5.188.10.180 port 36279 ssh2' ``` لاحظ المسافتين بعد «invalid user»، فالمهاجم أرسل اسم مستخدم يبدأ بمسافة، والنمط `(\S+)` لا يطابق المسافة، فسقط السطر كله. وهذا النوع من المدخلات ليس صدفة، فبرامج التخمين ترسل أسماء غريبة، وبعضها يرسل أسماء مصممة لتضليل المحللين. غيرنا النمط إلى `(.*?)` الذي يأخذ كل شيء حتى كلمة «from»، فأصبح المخرج: ```text == validate parser against Loghub templates (2,000 labelled lines) == labelled auth lines: 525 parser hits: 525 exact matches: 525 precision: 1.000 recall: 1.000 failed attempts incl. "message repeated": 532 without them: 522 naive count of pam_unix "authentication failure" lines: 494 (same attempts logged twice) ``` وفي المخرج أعلاه لاحظ التالي: - الدقة والاستدعاء كاملان الآن على العينة، وهذا لا يعني أن المحلل كامل على كل سجل، وإنما أنه لا يفوت شيئاً نعرفه. - عدد المحاولات الفاشلة 532 إذا فككنا سطور «message repeated»، و522 إذا تجاهلناها، أي أن العينة الصغيرة نفسها فيها عشر محاولات مخفية. - لو عددنا سطور pam\_unix لحصلنا على 494، وهو رقم لا يساوي أياً من الرقمين، لأن بعض المحاولات تسجل في PAM وبعضها لا يسجل، فلا تبن مشروعك على هذا السطر. وأثر هذا الإصلاح على السجل الكامل كان أكبر مما توقعنا: قبله وجد البرنامج 344,861 محاولة فاشلة من 1,008 عناوين، وبعده 345,063 محاولة من 1,010 عناوين، أي أن نمطاً واحداً أضاع 202 محاولة وعنوانين كاملين. وهذا بالضبط ما يجب أن تكتبه في فصل التقييم من تقرير المشروع: كيف تحققت من المحلل، وماذا وجدت، وكيف أصلحته. ### النتائج Results: ماذا وجد البرنامج في 28 يوماً؟ شغلنا البرنامج على السجل الكامل بالأمر التالي، وأخذ نحو 11 ثانية على جهاز مكتبي عادي بـ Python 3.13: ```bash python detect_bruteforce.py detect SSH.log ``` والمخرج سوف يكون كما يلي: ```text == 1) parse SSH.log == lines: 655147 unparsed: 0 year rollovers: 1 out-of-order timestamps: 8 "message repeated" lines: 36967 span: 2017-12-10 06:55 -> 2018-01-07 17:22 (28 days) == 2) failed attempts == failed attempts: 345063 from 1010 IPs invalid-user attempts: 20284 (5.9%) top 5 IPs: 59.63.188.30 86294, 58.242.83.25 43147, 218.65.30.30 25102, 218.87.109.156 21377, 182.100.67.120 18513 (= 56.3% of all attempts) top 5 usernames: root 323827, admin 8214, test 543, oracle 489, support 486 == 3) detection: maxretry=5 findtime=600s bantime=600s == IPs banned: 665 of 1010 ban events: 2686 attempts that arrive while the IP is banned (would be dropped): 328482 (95.2%) time from first failure to first ban: median 11s, max 512.9h IPs never banned: 345, they made 2690 attempts (0.8%); of them 61 made 5+ attempts (slow, spread over time) ``` لنقرأ المخرج جزءاً جزءاً: - **القسم الأول:** كل الأسطر قرئت، ولم يبق سطر لم يفهمه نمط السطر العام. وانتقلت السنة مرة واحدة من 2017 إلى 2018، ووجدنا 8 مواضع رجع فيها الوقت إلى الخلف، أي أن السجل ليس مرتباً تماماً، وهذا يحدث عندما تكتب عمليات sshd متعددة في نفس اللحظة تقريباً. لم تؤثر هذه المواضع على النتيجة هنا، ولكن نظاماً حقيقياً يجمع من عدة سيرفرات يجب أن يتعامل مع الترتيب بشكل صريح. و36,967 سطراً من نوع «message repeated» تعني أن تجاهل هذا النمط كان سيخفي جزءاً كبيراً من الهجوم. - **القسم الثاني:** 345,063 محاولة في 28 يوماً، أي أكثر من 12 ألف محاولة يومياً على سيرفر واحد. و94% منها تقريباً على اسم root وحده، وهذا وحده سبب كاف لتعطيل الدخول المباشر بحساب root في أي سيرفر. وخمسة عناوين فقط صنعت 56.3% من كل المحاولات، وأولها وحده 86,294 محاولة. - **القسم الثالث:** القاعدة حظرت 665 عنواناً من 1,010، وكان الجدار الناري سيسقط 95.2% من المحاولات. والوسيط بين أول فشل لعنوان وحظره 11 ثانية فقط، أي أن أغلب برامج التخمين تكشف نفسها فوراً. أما أكبر زمن فهو 512.9 ساعة، وهو عنوان فشل مرة ثم عاد بعد ثلاثة أسابيع. والأهم في هذا القسم آخر سطر: 345 عنواناً لم تحظر أبداً، ومنها 61 عنواناً نفذ كل منها خمس محاولات أو أكثر، ولكن موزعة على وقت أطول من النافذة، وهذا هو المهاجم البطيء الذي لا تراه القاعدة. ![أشرطة متناقصة: 655,147 سطراً من 10 ديسمبر 2017 إلى 7 يناير 2018، ثم 345,063 محاولة فاشلة، ثم 328,482 محاولة خلال الحظر بنسبة 95.2%، ثم 665 عنواناً حظرت من 1,010، ثم 182 دخولاً ناجحاً لتسعة مستخدمين. وتحتها ثلاث بطاقات: 56.3% من المحاولات من 5 عناوين فقط، و11 ثانية وسيط الزمن حتى الحظر، و52 دخولاً ناجحاً من عنوان فشل قبله منها 5 من عنوان حظر](https://arabroot.io/content/images/2026/11/grad-projects-cyber-04-results.webp) القاعدة البسيطة أوقفت 95.2% من المحاولات، والسؤال المهم بعدها: من أفلت منها، ومن حظرت بالخطأ؟ ### التنبيه Alert: الدخول الناجح بعد الفشل الحظر يوقف الضجيج، ولكن اللحظة التي يريدها المحلل هي الدخول الناجح الذي يأتي بعد سلسلة فشل، فقد تكون هذه آخر محاولة نجحت لأن المهاجم وجد كلمة المرور. والقسم الرابع من المخرج يجيب عن ذلك: ```text == 4) successful logins == accepted logins: 182 for users {'fztu': 30, 'jmzhu': 25, 'curi': 63, 'zachary': 7, 'suyuxin': 11, 'yuewang': 4, 'xxchen': 3, 'hxu': 38, 'tzhao': 1} accepted from an IP with earlier failures: 52; from an IP that had been banned: 5 2017-12-22 21:17:12 curi 123.255.103.142 earlier failures=8 banned_before=True 2017-12-21 14:07:31 zachary 218.17.80.182 earlier failures=7 banned_before=False 2017-12-21 17:49:35 curi 123.255.103.142 earlier failures=7 banned_before=True 2017-12-19 10:25:19 zachary 218.17.80.182 earlier failures=6 banned_before=False 2017-12-21 08:54:53 curi 123.255.103.142 earlier failures=6 banned_before=True distinct IPs behind them: 8 refined rule (IP had tried OTHER user names before this login): 1 2018-01-02 11:20:21 suyuxin 183.62.156.108 other user names tried=1 earlier failures=1 ``` لو اكتفينا بقاعدة «دخول ناجح من عنوان فشل قبله» لحصل المحلل على 52 تنبيهاً في الشهر، من 8 عناوين. ولكن عندما فتحنا السجل الخام لأول عنوان في القائمة، وجدنا نمطاً واضحاً: المستخدم curi يكتب كلمة المرور خطأ مرة أو مرتين ثم ينجح بعد ثوان، وفي 20 ديسمبر أخطأ خمس مرات خلال دقيقتين تقريباً فحظرته القاعدة، ثم دخل بعد انتهاء الحظر. أي أن صاحب الحساب نفسه هو من «هاجم» حسابه. والمستخدم zachary يفعل نفس الشيء من عنوانه في أكثر من يوم. لذلك أضفنا قاعدة أدق: نرفع التنبيه فقط إذا كان العنوان قد جرب أسماء مستخدمين أخرى قبل أن ينجح، لأن صاحب الحساب يخطئ في كلمة مروره، أما المخمن فيجرب أسماء كثيرة. فانخفضت التنبيهات من 52 إلى واحد فقط، لعنوان جرب root مرة واحدة ثم دخل باسم suyuxin، وهذا التنبيه يستحق أن ينظر فيه محلل، وقد يكون المستخدم نفسه أخطأ في اسم الحساب. وهنا نقطة مهمة لمشروعك: نحن لا نملك إجابة صحيحة تقول أي دخول ناجح كان اختراقاً فعلاً في هذا السجل، لذلك لا نستطيع أن نقول إن القاعدة الأدق «لم تفوت شيئاً». وما نستطيع قوله هو أنها خفضت التنبيهات خمسين مرة، وأن كل ما حذفته يشبه أخطاء أصحاب الحسابات. وفي المشروع الكامل، يحل الفريق هذه المشكلة بمختبر يولد فيه هجمات ناجحة معروفة ويخلطها بالسجل الحقيقي، ثم يقيس كم منها تكشفه القاعدة. ### ماذا يحدث إذا غيرنا الحد maxretry ونافذة الوقت findtime؟ كل قاعدة كشف فيها مقايضة Trade-off: إذا خفضت الحد حظرت مهاجمين أكثر وأصحاب حسابات أكثر، وإذا رفعته أفلت المهاجمون البطيئون. والأمر التالي يشغل تسع تجارب على نفس السجل: ```bash python detect_bruteforce.py grid SSH.log ``` ```text == what if: thresholds == maxretry findtime banned IPs blocked % IPs with a login, banned 3 60s 696 96.7% 1 3 600s 705 96.8% 1 3 3600s 716 96.8% 1 5 60s 661 95.1% 0 5 600s 665 95.2% 1 5 3600s 673 95.2% 1 10 60s 175 92.1% 0 10 600s 186 92.3% 0 10 3600s 192 92.3% 0 ``` ![جدول تسع تجارب بحد 3 و5 و10 محاولات ونوافذ 60 و600 و3600 ثانية: عدد العناوين المحظورة من 696 إلى 716 عند الحد 3، ومن 661 إلى 673 عند 5، ومن 175 إلى 192 عند 10، والمحاولات المحجوبة من 96.8% إلى 92.1%، وعنوان مستخدم حقيقي يحظر في كل إعداد حده 3 أو 5 إلا 5 محاولات خلال 60 ثانية. وتحته ملاحظتان: الحد العالي يترك 824 عنواناً دون حظر، والحد المنخفض يحظر صاحب الحساب](https://arabroot.io/content/images/2026/11/grad-projects-cyber-05-whatif.webp) رفع الحد من 5 إلى 10 لا يغير نسبة المحاولات المحجوبة كثيراً، ولكنه يترك أغلب العناوين دون حظر وفي المخرج أعلاه لاحظ التالي: - نسبة المحاولات المحجوبة لا تتغير كثيراً، من 92.1% إلى 96.8%، لأن العناوين الخمسة الكبيرة تحظر في كل إعداد، وهي التي تصنع أغلب الحجم. لذلك لا تجعل هذه النسبة مقياسك الوحيد في المشروع، فهي تبدو ممتازة في كل الحالات. - عدد العناوين المحظورة هو الذي يتغير بشدة: 665 عند الحد 5، و186 فقط عند الحد 10\. وعندما شغلنا الحد 10 مع نافذة 600 ثانية منفرداً، بقي 824 عنواناً دون حظر، ونفذ 540 منها خمس محاولات أو أكثر. - العمود الأخير هو صاحب الحساب curi الذي أخطأ خمس مرات في دقيقتين، فأي إعداد حده 3 أو 5 يحظره، إلا إعداد 5 محاولات خلال 60 ثانية فقط لأن أخطاءه الخمس امتدت أكثر من دقيقة. - تكبير النافذة من 60 إلى 3600 ثانية يضيف عناوين قليلة، أي أن أغلب المهاجمين في هذا السجل سريعون، والبطيء منهم يحتاج قاعدة من نوع آخر، مثل تجميع المحاولات على اسم المستخدم عبر العناوين، وهذا هو السؤال الذي يصلح لرسالة ماجستير كما رأينا. ### ماذا تأخذ من التجربة Spike إلى المقترح Proposal؟ هذه التجربة أخذت أقل من يوم عمل، وأعطتنا ما يكفي لصفحة مقترح قوية. فقد أثبتنا أن البيانات موجودة ونستطيع معالجتها في ثوان، وأن المحلل يمكن التحقق منه على عينة مصنفة، ووجدنا ثلاث مشكلات حقيقية في البيانات سيحلها المشروع بشكل منهجي، ووجدنا أن القاعدة البسيطة توقف الحجم وتفوت المهاجم البطيء وتحظر أصحاب الحسابات، ووجدنا أن تنبيه الدخول الناجح يحتاج قاعدة أدق. فاكتب في المقترح: «في تجربة أولية على سجل Loghub SSH (655,147 سطراً)، أوقفت قاعدة قريبة من إعداد fail2ban الافتراضي 95.2% من المحاولات، ولكن 345 عنواناً لم تحظر، وصاحب حساب واحد حظر بالخطأ، وأنتجت قاعدة الدخول بعد الفشل 52 تنبيهاً أغلبها أخطاء مستخدمين. يهدف المشروع إلى...». هذه الجملة وحدها تجعل المشرف يأخذ فكرتك بجدية، لأنها مبنية على أرقام وليست على حماس. والملفات كاملة في مجلد `lab` مع المقال: البرنامج `detect_bruteforce.py`، وسكربت الجلب `fetch_data.sh`، والعينة المصنفة، ومخرجات كل تشغيل في ملفات `.out`، وبصمات الملفات في `sha256.txt`. ## كيف تعرض الأفكار الثلاث على المشرف Supervisor؟ عد إلى طلب المشرف في أول المقال: ثلاث أفكار في صفحة لكل فكرة. والخطأ الشائع أن يكتب الفريق ثلاث أفكار من نفس النوع، فيختار المشرف واحدة ويشعر الفريق أنه لم يختر شيئاً. والأفضل أن تكون الأفكار الثلاث مختلفة في نوع المخاطرة: واحدة بياناتها جاهزة ونطاقها واضح مثل B1 أو B8، وواحدة فيها عتاد أو مستخدمون مثل B4 أو B7، وواحدة طموحة قد تتحول لاحقاً إلى سؤال ماجستير مثل B6\. وبهذا يرى المشرف أنكم تعرفون الفرق بين المخاطر، ويختار معكم بدلاً من أن يختار عنكم. وفي كل صفحة اكتب الحقول نفسها التي في البطاقات: المشكلة والمستخدم، والنطاق وما ستتركونه، والبيانات برابطها، والتقييم برقم، وما الذي قد يفشلها وخطتكم إذا حدث، والمكون الفرعي في ECC الذي تخدمه. وإذا استطعتم أن تضيفوا تجربة جدوى صغيرة لفكرة واحدة على الأقل، مثل التي فعلناها هنا، فأحضروها مطبوعة في صفحة واحدة. ولا تنسوا أن تذكروا في كل فكرة فيها جزء هجومي أين ستجربونها ومن يملك الهدف، قبل أن يسألكم المشرف، فهذا السؤال يأتي دائماً في مشاريع الأمن. وأخيراً اسألوا المشرف عن شيئين قبل أن تخرجوا من الاجتماع: هل يحتاج المشروع موافقة لجنة الأخلاقيات في رأيه، وهل يعرف جهة في القطاع تحتاج هذه الأداة فعلاً، فالمشروع الذي له مستخدم حقيقي خارج القسم يسهل تقييمه، وقد يتحول إلى تدريب تعاوني أو وظيفة كما شرحنا في [خطة تدريب Internship في الأمن السيبراني](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-8-%D8%A7%D9%88-12-%D8%A7%D8%B3%D8%A8%D9%88%D8%B9%D8%A7/). ## أخطاء شائعة Common Mistakes في مشاريع الأمن - **التجربة على هدف لا تملكه:** أي فحص أو محاكاة خارج مختبرك تحتاج إذناً مكتوباً، وغيابه قد يحول المشروع إلى قضية. - **دقة 99% على مجموعة بيانات واحدة:** اللجنة تعرف أن هذا الرقم سهل، فاختبر على بيانات لم يتدرب عليها النموذج، أو على مختبرك. - **عد الأسطر بدلاً من الأحداث:** كما رأينا، المحاولة الواحدة تنتج عدة أسطر، وسطر واحد قد يمثل عدة محاولات. - **قياس ما ينجح فقط:** اذكر الإنذارات الكاذبة وما فاتك، فهذا ما يميز التقييم الأمين. - **تأجيل موافقة اللجنة:** أي مشروع فيه بشر يتأخر أسابيع إذا لم تقدم الطلب في الشهر الأول. - **نطاق بلا حدود:** «منصة SOC كاملة» ليست مشروع فصلين، واختر جزءاً واحداً وقسه جيداً. - **بيانات شخصية في المستودع:** لا تضع سجلات فيها أسماء أو عناوين أفراد في مستودع عام، وراجع ما يقوله [نظام حماية البيانات الشخصية](https://arabroot.io/articles/%D8%AD%D9%85%D8%A7%D9%8A%D8%A9-%D8%A7%D9%84%D8%A8%D9%8A%D8%A7%D9%86%D8%A7%D8%AA-%D8%A7%D9%84%D8%B4%D8%AE%D8%B5%D9%8A%D8%A9-pdpl-%D9%84%D9%84%D8%AE%D8%AF%D9%85%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B3%D8%AA%D8%B6%D8%A7%D9%81%D8%A9/). ## قائمة تحقق Checklist قبل اجتماع المشرف 1. لكل فكرة مشكلة ومستخدم محدد، وليس «الجهات» عامة. 2. لكل فكرة رابط بيانات فتحته بنفسك، أو خطة واضحة لجمعها. 3. لكل تجربة هجومية هدف تملكه أو إذن مكتوب، واسم من يملك الهدف مكتوب في الصفحة. 4. إذا كان في الفكرة بشر، فطلب لجنة الأخلاقيات مجهز للتقديم. 5. لكل فكرة رقم تقيس به النجاح، ورقم تقيس به ما فاتك. 6. النطاق مكتوب بقائمة ما ستبنيه وقائمة ما لن تبنيه. 7. كل فكرة مربوطة بمكون فرعي في ECC-2:2024. 8. الأفكار الثلاث مختلفة في نوع المخاطرة. 9. تجربة جدوى صغيرة لفكرة واحدة على الأقل، بمخرج حقيقي. 10. بحثت عن كل فكرة في Google Scholar وGitHub لتعرف ما بني قبلك. ## الخلاصة وصلنا لنهاية الموضوع، وأهم ما فيه: - مشروع الأمن السيبراني يحتاج هدفاً تملكه أو بيانات منشورة أو إذناً مكتوباً، والمادة الثالثة والخامسة من نظام مكافحة الجرائم المعلوماتية تعاقبان على التنصت والدخول غير المشروع وتعطيل الخدمة. - البكالوريوس يبني نظاماً لمستخدم ويقيسه، والماجستير يجيب عن سؤال بحثي له إضافة، ونفس الموضوع يصلح للمستويين. - تسع أفكار للبكالوريوس وست للماجستير، كلها ببيانات حقيقية أو مختبر، ومربوطة بمكونات ECC-2:2024. - الفكرة المستهلكة تصبح مقبولة عندما تضيف إليها مستخدماً وبيانات حقيقية ورقماً تقيسه. - في التجربة العملية أوقفت قاعدة قريبة من إعداد fail2ban الافتراضي 95.2% من 345,063 محاولة في سجل Loghub SSH، ولكنها تركت 345 عنواناً، وحظرت صاحب حساب، وقاعدة أدق خفضت تنبيهات الدخول الناجح من 52 إلى واحد. - التحقق من المحلل على عينة مصنفة كشف نمطاً أضاع 202 محاولة في السجل الكامل، وهذا ما يجب أن يظهر في فصل التقييم. وإذا لم تختر تخصصك بعد، فابدأ من [أي تخصص تقني تختار؟](https://arabroot.io/articles/%D8%A7%D9%8A-%D8%AA%D8%AE%D8%B5%D8%B5-%D8%AA%D9%82%D9%86%D9%8A-%D8%AA%D8%AE%D8%AA%D8%A7%D8%B1-%D9%85%D8%A7-%D8%AA%D8%AF%D8%B1%D8%B3%D9%87-%D9%88%D8%A7%D9%8A%D9%86-%D8%AA%D8%B9%D9%85%D9%84/)، وإذا كنت داخل التخصص فاقرأ [تخصص الأمن السيبراني من الداخل](https://arabroot.io/articles/%D8%AA%D8%AE%D8%B5%D8%B5-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84-%D9%85%D9%86%D9%87%D8%AC-csec2017-%D9%88%D8%A7%D8%B7%D8%A7%D8%B1-%D8%B3%D9%8A%D9%88%D9%81/) لتعرف أين تقع فكرتك من المنهج. وأقرب المقالات إلى هذا الموضوع على الموقع: [![](https://arabroot.io/content/images/2026/10/major-cyber-guide-cover-cover.webp)دليلتخصص الأمن السيبراني Cybersecurity: منهج CSEC2017 وإطار سيوفماذا يقول منهج CSEC2017 عن تخصصك، وكيف تدرسه ثلاث جامعات سعودية، وما الذي يطلبه الإطار السعودي سيوف ولا تغطيه الخطط، ومن أين تكمله.](https://arabroot.io/articles/%D8%AA%D8%AE%D8%B5%D8%B5-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84-%D9%85%D9%86%D9%87%D8%AC-csec2017-%D9%88%D8%A7%D8%B7%D8%A7%D8%B1-%D8%B3%D9%8A%D9%88%D9%81/)[![](https://arabroot.io/content/images/2026/10/tech-majors-cover-cover.webp)دليلأي تخصص تقني تختار؟ ما تدرسه فعلاً وأين تعمل بعدهماذا تدرس فعلاً في كل تخصص تقني بحسب الخطط الدراسية السعودية، وأين يعمل خريجوه، ومتى يهم اسم التخصص ومتى تهم المهارة.](https://arabroot.io/articles/%D8%A7%D9%8A-%D8%AA%D8%AE%D8%B5%D8%B5-%D8%AA%D9%82%D9%86%D9%8A-%D8%AA%D8%AE%D8%AA%D8%A7%D8%B1-%D9%85%D8%A7-%D8%AA%D8%AF%D8%B1%D8%B3%D9%87-%D9%88%D8%A7%D9%8A%D9%86-%D8%AA%D8%B9%D9%85%D9%84/)[![](https://arabroot.io/content/images/2026/10/practice-labs-cover-cover.webp)دليلتدرب على الاختراق بأمان: منصات ومختبرات معزولة قانونيةنصبنا OWASP Juice Shop على شبكة معزولة واستغللنا حقن SQL بأنفسنا، ومررنا على منصات التدرب القانونية ومتى تختار كلاً منها.](https://arabroot.io/articles/%D8%AA%D8%AF%D8%B1%D8%A8-%D8%B9%D9%84%D9%89-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A8%D8%A7%D9%85%D8%A7%D9%86-%D9%85%D9%86%D8%B5%D8%A7%D8%AA-%D9%88%D9%85%D8%AE%D8%AA%D8%A8%D8%B1%D8%A7%D8%AA-%D9%85%D8%B9%D8%B2%D9%88%D9%84%D8%A9-%D9%82%D8%A7%D9%86%D9%88%D9%86%D9%8A%D8%A9/)[![](https://arabroot.io/content/images/2026/10/pentest-methodology-cover-cover.webp)دليلاختبار الاختراق المصرح به: المنهجية والإذن والتقريريواجه مسؤول نظم طلب المستشفى باختبار اختراق سنوي، فنرافقه وهو يفهم الإذن والنطاق وقواعد الاشتباك وبنية التقرير قبل أن يبدأ.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/crowdsec-cover-cover.webp)دليلCrowdSec: اكتشاف هجمات التخمين وحظرها جماعياًتتعرض سيرفرات مسؤول النظم لتخمين دائم، فيبني مختبراً يرى فيه CrowdSec يكتشف الهجوم ويصدر قرار حظر ينفذه الجدار الناري.](https://arabroot.io/articles/crowdsec-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D9%88%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D8%AA%D8%AE%D9%85%D9%8A%D9%86-brute-force/)[![](https://arabroot.io/content/images/2026/10/nca-ecc-cover-cover.webp)دليلالضوابط الأساسية للأمن السيبراني NCA ECC بلغة بسيطةكيف تقرأ الضوابط الأساسية ECC دون أن تضيع في أرقامها، وعلى من تنطبق، وما المطلوب من جهتك فعلاً في كل مكون.](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)[![](https://arabroot.io/content/images/2026/10/security-careers-cover-cover.webp)دليلأدوار الأمن السيبراني Careers: ماذا يعمل كل دور، ومن أين تبدأ؟تسعة أدوار في الأمن السيبراني من المراجع الرسمية: اليوم العادي والمهارات والأدوات، ومن أي مستوى يبدأ كل دور.](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D9%85%D8%AD%D9%84%D9%84-soc-%D8%A7%D9%84%D9%89-grc/)[![](https://arabroot.io/content/images/2026/10/cyber-internship-plan-cover-cover.webp)دليلخطة تدريب Internship في الأمن السيبراني لـ 8 أو 12 أسبوعاًخطة تدريب كاملة لقسم أمن يستقبل طلبات كثيرة بوقت مشرف قليل: فرز بمهمة حقيقية، ودفعات، ومختبر مشترك، ومعيار تقييم.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%AA%D8%AF%D8%B1%D9%8A%D8%A8-internship-%D9%81%D9%8A-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-8-%D8%A7%D9%88-12-%D8%A7%D8%B3%D8%A8%D9%88%D8%B9%D8%A7/) ## سجل التحديثات - نوفمبر 2026: كتابة المقال، ومراجعة روابط البيانات والأدوات، وقراءة المادتين الثالثة والخامسة من نظام مكافحة الجرائم المعلوماتية، وتشغيل detect\_bruteforce.py على Python 3.13 مع عينة Loghub المصنفة وسجل SSH الكامل من Zenodo.