> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# تمرين الطاولة Tabletop: جرب خطة الاستجابة قبل الحادثة
- URL: https://arabroot.io/articles/تمرين-الطاولة-tabletop-exercise-جرب-خطة-الاستجابة-قبل-الحادثة/
- Published: 2026-10-28T11:07:49.000Z
- Updated: 2026-10-28T13:16:14.000Z
- Description: مشينا فريقاً على سيناريو فدية بست حقن، فأظهر التمرين خمس ثغرات في الخطة وقراراً بلا مالك، وحولنا نقاشه إلى أرقام وأوامر عمل.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, الاستضافة الذاتية, التشغيل والنسخ الاحتياطي

عندك خطة استجابة للحوادث مكتوبة، وكتيبات تشغيل Playbooks جاهزة، وملف PDF أنيق اعتمده المدير قبل سنة. ثم يقع أول حادث حقيقي مساء خميس: ملفات المشاركة على سيرفر المحاسبة تحولت إلى امتداد غريب، ورسالة فدية على الشاشة. وفي الدقائق الأولى تكتشف أن الخطة أجابت عن كل شيء إلا الأسئلة التي تحتاجها الآن: من يملك صلاحية عزل سيرفر الإنتاج في وقت إقفال الرواتب؟ أين قائمة التواصل خارج ساعات العمل؟ النسخة الاحتياطية الأخيرة، متى جربنا استعادتها؟ الخطة التي لم تجرب ليست خطة، وإنما وثيقة، والفرق بينهما يظهر في أول حادثة، وثمنه عندها أيام لا ساعات.

وأرخص طريقة لتجرب الخطة قبل الحادثة هي تمرين الطاولة Tabletop Exercise: جلسة نقاشية يجلس فيها الفريق، ويمشي المنسق بهم على سيناريو حادثة، ويقررون بصوت عال عند كل تطور، دون أن يلمسوا أي نظام حقيقي. فتظهر الثغرات في الورق، حيث تكلفك ساعة، لا في الحادثة، حيث تكلفك أياماً وبيانات عملاء. وقد ذكرنا التمرين بإيجاز في [مقال خطة الاستجابة](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)، وهنا نفتحه كاملاً: كيف تصممه، وتديره، وتقيسه، وتحوله إلى تغييرات في الخطة، مع تمرين كامل جاهز وسكربت يحول نقاشه إلى أرقام.

[![](https://arabroot.io/content/images/2026/10/ir-playbooks-cover-cover.webp)دليلخطة الاستجابة للحوادث Incident Response وكتيبات التشغيل Playbooksخطة استجابة وكتيبا حساب مخترق وفدية على NIST SP 800-61r3، مع مختبر نستعيد فيه البيانات من نسخة restic.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)[![](https://arabroot.io/content/images/2026/10/thehive-lab-cover-cover.webp)دليلالاستجابة للحوادث Incident Response مع TheHiveحولنا تنبيهاً عن دخول مريب إلى حساب FTP إلى قضية في TheHive بمهام ومؤشرات وأسلوب ATT&CK، وقسنا ما تسمح به الرخصة فعلاً.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/)[![](https://arabroot.io/content/images/2026/10/dfir-basics-cover-cover.webp)دليلالتحقيق الرقمي DFIR للمبتدئين: احفظ الأدلة قبل أن تنظف السيرفرماذا تفعل عندما تشك أن سيرفرك مخترق، ولماذا تمسح إعادة التشغيل والتنظيف الأدلة التي تحتاجها لتعرف ما حدث.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-dfir/)

وسوف نناقش في هذا المقال ما يلي:

- لماذا التمرين أرخص من الحادثة، وما يقوله تقييم CISA عن الإجراءات التي لا تتبع.
- سلم التمارين من الندوة إلى التمرين الكامل، وأين يقع تمرين الطاولة ولماذا تبدأ به.
- متى تحتاج التمرين، ومن يحضره، ومن يديره، بحسب دليل NIST SP 800-84.
- دورة التمرين: التصميم، والتجهيز، والتنفيذ، والتقييم، وتحديث الخطة.
- تمرين كامل جاهز لشركة صغيرة: سيناريو فدية بست حقن Injects، وأسئلة كل حقنة.
- جلسة المراجعة الساخنة Hotwash وتقرير ما بعد التمرين After Action Report.
- تجربة عملية: سكربت يحول ورقة جمع البيانات إلى مقاييس وأوامر عمل.
- التبليغ النظامي في المملكة: ما تطلبه الهيئة الوطنية ونظام حماية البيانات، وكيف يختبره التمرين.
- أخطاء شائعة، وقائمة تحقق.

## لماذا التمرين أرخص من الحادثة؟

قد يتساءل البعض: إذا كانت الخطة مكتوبة ومعتمدة، فلماذا نحتاج أن نجربها؟ والإجابة أن الخطة تصف ما يجب أن يحدث، والتمرين يكشف ما سيحدث فعلاً، والفرق بينهما هو كل ما لم يفكر فيه كاتب الخطة. فالخطة تقول «يعزل الفريق السيرفر المصاب»، ولا تقول من يملك صلاحية إيقاف سيرفر الإنتاج، ولا ماذا لو كان إيقافه يوقف الرواتب، ولا من يوافق إذا رفض مالك النظام. هذه التفاصيل لا تظهر في القراءة، وتظهر في أول سؤال يطرحه المنسق.

والدليل على أن التقني ليس المشكلة يأتي من جهات ناضجة. فقد وصف [تقرير الفريق الأحمر في CISA](https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-059a?ref=arabroot.io) لعام 2023 كيف اخترق فريق التقييم جهة بنية تحتية كبيرة لم تكتشف نشاطه طوال التقييم، رغم وضعها الأمني الناضج، وكانت إحدى توصيات CISA أن تجري الجهة تقييمات منتظمة تتأكد أن إجراءاتها مكتوبة ويمكن أن يتبعها فريق الأمن والموظفون. أي أن وجود الإجراء لا يكفي، والمطلوب أن يكون قابلاً للاتباع فعلاً، وهذا ما يختبره التمرين. والتمرين في جوهره تطبيق لمبدأ الاستعداد Preparedness الذي تضعه أطر الاستجابة مثل [خطة الاستجابة](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/) في قلبها: أرخص ساعة تنفقها على حادثة هي الساعة التي تنفقها قبل أن تقع.

## سلم التمارين: من النقاش إلى العملية

تمرين الطاولة ليس الشكل الوحيد لاختبار الخطة، وإنما درجة في سلم. ويصنف [دليل NIST SP 800-84](https://csrc.nist.gov/pubs/sp/800/84/final?ref=arabroot.io) للتدريب والاختبار والتمارين هذه الدرجات إلى نوعين كبيرين: تمارين نقاشية Discussion-based يتكلم فيها الناس، وتمارين عملية Operations-based يتحركون فيها فعلاً. والصورة التالية تبين السلم:

![أربع درجات من اليمين: ندوة Seminar لشرح الخطة بلا قرارات، ثم تمرين الطاولة Tabletop يناقش فيه الفريق سيناريو ويقرر بصوت عال دون لمس نظام وهنا نحن، ثم تمرين وظيفي Functional يشغل أجزاء من الخطة فعلاً مثل استعادة نسخة، ثم تمرين كامل Full-Scale محاكاة حية بكل الفرق والأنظمة أعلى تكلفة وأقرب للحادثة](https://arabroot.io/content/images/2026/10/tabletop-exercise-01-ladder.webp)

تمرين الطاولة أرخص الدرجات وأسرعها، وأفضل نقطة بداية لأي فريق

- **الندوة Seminar:** شرح الخطة للفريق لأول مرة، بلا سيناريو ولا قرارات. مكانها عندما تكون الخطة جديدة أو الفريق جديداً.
- **تمرين الطاولة Tabletop:** نقاش حول سيناريو، يقرر فيه الفريق بصوت عال، دون لمس أي نظام. أرخص اختبار حقيقي للخطة، وموضوع هذا المقال.
- **التمرين الوظيفي Functional:** تشغيل أجزاء من الخطة فعلاً، مثل استعادة نسخة احتياطية على بيئة اختبار، أو تفعيل قناة التواصل البديلة. أقرب للواقع، وأغلى.
- **التمرين الكامل Full-Scale:** محاكاة حية بكل الفرق والأنظمة، أعلى تكلفة وأقرب للحادثة، ومكانها الجهات الكبيرة بعد أن تنجح في الدرجات الأدنى.

ولماذا تبدأ بالطاولة لا بالأعلى؟ لأن أغلب ثغرات الخطة ليست تقنية، وإنما في الأدوار والقرارات والتواصل، وهذه كلها تظهر في النقاش دون أن تحتاج أن تعطل نظاماً حقيقياً. والتمرين الذي يعطل الإنتاج ليختبر الخطة قد يصنع الحادثة التي يحاول الاستعداد لها. فابدأ حيث التكلفة أقل والدرس أوضح، ثم اصعد.

## متى تحتاجه، ومن يحضره، ومن يديره؟

يقول دليل NIST إن التمرين ليس حدثاً سنوياً أعمى، وإنما يجرى دورياً وعند كل تغيير يستحق: بعد تعديل كبير في الخطة، أو تغيير في الفريق، أو دخول نظام جديد مهم، أو صدور متطلب تنظيمي جديد. والسبب أن الخطة تصف واقعاً، والواقع يتغير: موظف يملك صلاحية حرجة ترك الشركة، أو مورد جديد يدير نظام المحاسبة، فالخطة التي كانت صحيحة قبل ستة أشهر صارت تصف فريقاً لم يعد موجوداً.

وقبل أي تمرين، احصل على موافقة الإدارة، فهذا كما يؤكد الدليل خطوة أساسية لا شكلية، لأن التمرين يأخذ وقت أشخاص مهمين، وقد يكشف قصوراً يحتاج ميزانية لإصلاحه. والمشاركون هم كل من له دور في الخطة، والصورة التالية تبين الأدوار في الغرفة:

![أربع لوحات: المنسق Facilitator يقود النقاش ويقدم الحقن ويعيد التركيز إلى الأهداف، وجامع البيانات Data Collector يسجل من قرر ماذا ومتى وأي سؤال بلا جواب ولا يشارك في النقاش، والمشاركون Participants كل من له دور في الخطة من محلل ومدير وتشغيل وقانوني وعلاقات ومورد، والعميل الموثوق Trusted Agent من يعرف الخطة بعمق ويساعد في بناء سيناريو دقيق](https://arabroot.io/content/images/2026/10/tabletop-exercise-02-roles.webp)

جامع البيانات دور مستقل لا يشارك في النقاش، لأن من يناقش لا يكتب جيداً

- **المنسق Facilitator:** يقود النقاش، ويقدم الحقن Injects واحدة واحدة، وأهم مهارته أن يعيد الفريق إلى أهداف التمرين إذا تاه في تفاصيل السيناريو. وهو ليس حكماً يصحح، وإنما ميسر يجعل الفريق يقرر.
- **جامع البيانات Data Collector:** يسجل من قرر ماذا ومتى، وأي سؤال ظهر بلا جواب، وهذا هو مصدر تقرير ما بعد التمرين. ولا يشارك في النقاش، لأن من ينشغل بالنقاش لا يكتب جيداً.
- **المشاركون Participants:** من له دور في الخطة فعلاً، لا من يتوفر فقط. ونصيحة NIST هنا دقيقة: لا تجلس أعضاء الفريق الواحد معاً، ليفكر كل منهم باستقلال، فيظهر إن كان القرار يعتمد على شخص واحد لو غاب لتوقف كل شيء.
- **العميل الموثوق Trusted Agent:** من يعرف الخطة بعمق ويساعد في بناء سيناريو دقيق دون أن يكشفه للمشاركين مسبقاً، حتى تكون ردودهم عفوية.

وفي شركة صغيرة قد يكون المشاركون أربعة أشخاص، والمنسق واحداً منهم أو مستشاراً خارجياً، والمهم ليس الحجم وإنما الأدوار: من يميسر، ومن يكتب، ومن يقرر. وتمرين المستوى القيادي يختلف عن تمرين المستوى التشغيلي: الأول أسئلته عن القرار والإشراف ويستغرق ساعتين إلى أربع، والثاني أسئلته عن الإجراءات التفصيلية وقد يطول، ثم يجمع بينهما تمرين مشترك يختبر التنسيق بين المستويين.

## دورة التمرين: من التصميم إلى تحديث الخطة

التمرين ليس جلسة مرتجلة، وإنما دورة من خمس خطوات، والصورة التالية تبينها:

![خمس خطوات: صمم Design الموضوع والنطاق والأهداف والمشاركون تبدأ قبل شهر، ثم جهز Develop دليل المنسق بالسيناريو والحقن والأسئلة ودليل المشارك ومعايير التقييم، ثم نفذ Conduct المنسق يمشي بالفريق على الحقن ويختم بجلسة مراجعة ساخنة، ثم قيم Evaluate تقرير ما بعد التمرين بما نجح وما تعثر وأوامر عمل، ثم حدث Update تنفذ الأوامر على الخطة وتحدد موعد التمرين القادم](https://arabroot.io/content/images/2026/10/tabletop-exercise-03-cycle.webp)

قيمة التمرين كلها في الخطوتين الأخيرتين، لا في الجلسة نفسها

### التصميم Design: الأهداف أولاً

تبدأ من الهدف لا من السيناريو. وأهداف أي تمرين طاولة ثلاثة كما يحددها الدليل: التحقق من محتوى الخطة والسياسات والإجراءات، والتحقق من أدوار المشاركين ومسؤولياتهم كما هي مكتوبة، والتحقق من الترابط بين الأدوار. ثم تحدد الموضوع، مثل الاستجابة لحادثة فدية، والنطاق، أي من المستوى المستهدف، والمشاركين بناء عليهما. وتبدأ هذه الخطوة قبل موعد التمرين بوقت كاف، شهر لتمرين بسيط وثلاثة لتمرين كبير معقد، لأن التصميم أطول مراحل التمرين لا الجلسة.

### التجهيز Develop: دليل المنسق ودليل المشارك

بعد التصميم تكتب مواد التمرين، وأهمها وثيقتان. دليل المنسق Facilitator Guide يحتوي الغرض والنطاق والأهداف، والسيناريو، وهو سرد متسلسل لحادثة افتراضية، وقائمة الأسئلة التي تخدم كل هدف، ونسخة من الخطة. ودليل المشارك Participant Guide مثله بلا قائمة الأسئلة الكاملة، وبقائمة قصيرة توجه المشارك إلى نوع القضايا التي ستناقش. وتحدد معايير التقييم قبل التمرين لا بعده، حتى يعرف جامع البيانات ما الذي يلتقطه.

💡

نصيحة من الدليل يخطئ فيها الكثيرون: السيناريو القصير أفضل من الطويل. ففي التمارين ذات السيناريو المفصل الطويل يقضي المشاركون وقتهم في تشريح السيناريو ومناقشة تفاصيله بدل الوصول إلى أهداف التمرين. فاكتب سيناريو موجزاً، وادخر التفاصيل للحقن التي تقدمها واحدة واحدة.

وقبل أن نبدأ التمرين، تحتاج أن تحدد معايير التقييم Evaluation Criteria، وهي ما يقيس نجاح التمرين. والمعيار ليس «هل حل الفريق الحادثة؟» فالحادثة متخيلة، وإنما «هل أجاب الفريق عن أسئلة كل حقنة بقرار له مالك؟ وكم استغرق؟ وأي سؤال بقي بلا جواب؟». وهذه المعايير تكتب قبل التمرين لا بعده، لسببين: الأول أن جامع البيانات يحتاج أن يعرف ما يلتقط وهو يستمع، والثاني أنك إذا كتبت المعايير بعد أن ترى النتيجة فستكتبها لتناسب ما حدث، لا لتقيسه. وأبسط مجموعة معايير لتمرين صغير هي الأعمدة نفسها التي في ورقة جمع البيانات: من قرر، كم استغرق، وأي ثغرة ظهرت.

ومن مواد التمرين وثيقة صغيرة يغفل عنها الكثيرون: الإحاطة Briefing التي تفتح الجلسة، وفيها جدول الأعمال والقواعد. وأهم قاعدة فيها أن التمرين ليس تقييماً للأشخاص، وإنما للخطة، وأن لا إجابة خاطئة في النقاش، لأن الهدف أن تظهر الثغرات لا أن ينجح أحد. وهذه الجملة في بداية التمرين تغير نبرته كلها: فالفريق الذي يشعر أنه يحاكم يدافع عن نفسه ويخفي ما لا يعرفه، والفريق الذي يشعر أنه يحسن خطة مشتركة يكشف الثغرات بصدق. ولذلك ينبه الدليل أيضاً على أن تحصل على موافقة الإدارة مسبقاً، فحضور مدير يفاجأ بقصور لم يعرف أنه سيظهر قد يحول التمرين إلى مواجهة بدل تدريب.

### التنفيذ Conduct: الحقن والمراجعة الساخنة

يجرى التمرين في قاعة، يرحب المنسق بالمشاركين، ويطلب أن يعرف كل منهم بنفسه ودوره، ثم يعرض السيناريو الأول ويطلق النقاش بسؤال مصمم ليثير القرار أو التنسيق. ثم يقدم الحقن Injects، وهي تطورات جديدة في السيناريو تدفع النقاش خطوة. وإذا لم يحدث النقاش طبيعياً، يحفزه المنسق بأسئلة من دليله حتى تتحقق كل الأهداف. وبعد انتهاء النقاش مباشرة تأتي جلسة المراجعة الساخنة Hotwash: يسأل المنسق المشاركين أين شعروا أنهم أبلوا حسناً، وأين يحتاجون تدريباً، وأي أجزاء الخطة تحتاج تحديثاً. وهذه الجلسة القصيرة أثمن عشر دقائق في التمرين كله، لأن الانطباعات فيها طازجة.

وللمنسق مهارة تظهر في اللحظات الصعبة: عندما يصمت الفريق، أو عندما يتفق الجميع بسرعة على جواب خاطئ. ففي الصمت يحفز بسؤال موجه إلى شخص بعينه: «أنت يا مسؤول التشغيل، من يتصل بك لو حدث هذا في الثالثة فجراً؟». وفي الاتفاق السريع المريح يختبر بسؤال معاكس: «قلتم نعزل السيرفر، فماذا لو كان عليه نظام الطلبات الذي يعمل الآن؟ ومن يقرر أن إيقافه مقبول؟». وهذا التوتر المصطنع هو ما يكشف أن القرار الذي بدا سهلاً له أطراف لم يفكر فيها أحد. والمنسق الجيد لا يعطي الإجابة أبداً، حتى لو عرفها، لأن لحظة إعطائه الإجابة تتوقف الثغرة عن الظهور، ويخرج الفريق مرتاحاً والخطة ما زالت ناقصة.

### التقييم والتحديث Evaluate and Update

ما يخرج من المراجعة الساخنة، مع ملاحظات جامع البيانات، يدخل في تقرير ما بعد التمرين After Action Report. ويحتوي التقرير خلفية التمرين وأهدافه ومشاركيه وسيناريوه، ثم الملاحظات الموثقة، ثم توصيات لتحسين الخطة. ثم يسند منسق الخطة أوامر عمل Action Items إلى أشخاص بأسمائهم لتحديث الخطة، وينفذها، ويحدد موعد التمرين القادم. والخطأ الذي يفرغ التمرين من قيمته هو التوقف عند التنفيذ: تمرين جرى، وكتب عنه تقرير، ولم يتغير في الخطة شيء. فالتمرين الذي لا يحدث الخطة ترفيه، لا استعداد.

## تمرين كامل جاهز: فدية على سيرفر المحاسبة

الآن نبني تمريناً كاملاً لشركة توزيع صغيرة، هي نفسها الشركة التي رافقتنا في مسار الأمن. والهدف: التحقق من كتيب الفدية وخطة التواصل والتبليغ. والسيناريو موجز عمداً: «صباح أحد، لاحظ فريق التشغيل أن النسخ الاحتياطي الليلي فشل، ثم بدأ الموظفون يبلغون أن ملفات المشاركة لا تفتح». وبقية القصة تأتي حقنة حقنة، والصورة التالية تجمع الحقن الست مع القرار الذي تفرضه كل واحدة والثغرة التي أظهرتها في تمرين حقيقي أجريناه:

![جدول من ست حقن: 1 في 09:00 فشل النسخ الليلي برسالة وصول مرفوض يفرض من يفرز ومتى يصعد ولم تظهر ثغرة فالفرز سليم، 2 في 09:12 ملفات المشاركة تتحول إلى امتداد غريب يفرض تأكيد الحادثة وتصنيفها وأظهر أنه لا معيار مكتوب للتصنيف، 3 في 09:20 رسالة فدية تطلب دفعاً يفرض قرار العزل ومن يملكه وأظهر أن صلاحية عزل الإنتاج غير محددة، 4 في 09:35 المحاسبة تسأل لماذا توقف النظام يفرض إبلاغ مالك الأصل قبل العزل وأظهر أنه لا توجد قائمة ملاك وقنوات اتصال، 5 في 09:50 النسخة الاحتياطية الأخيرة مشفرة أيضاً يفرض قرار الاستعادة ومن أين وأظهر أنه لم تجرب استعادة منذ ستة أشهر، 6 في 10:20 الملفات فيها بيانات عملاء شخصية يفرض هل تسرب يستوجب الإشعار وأظهر أن لا أحد يعرف مهلة 72 ساعة](https://arabroot.io/content/images/2026/10/tabletop-exercise-04-injects.webp)

كل حقنة تفرض قراراً، وكل قرار بلا جواب ثغرة في الخطة

ولاحظ كيف صممت الحقن لتختبر كل جزء من الخطة بالترتيب: الفرز، ثم التصنيف، ثم الاحتواء، ثم التواصل، ثم التعافي، ثم التبليغ النظامي. وكل حقنة تفتح سؤالاً لا جواب تقنياً له فقط، وإنما قرار ومالك: الحقنة الثالثة لا تسأل «كيف نعزل؟» وإنما «من يملك صلاحية العزل، ومتى يستخدمها؟»، والحقنة الرابعة تضيف ضغط العمل الحقيقي، فالمحاسبة تريد نظامها في وقت إقفال الرواتب، وهنا يظهر التوتر بين الأمن والعمل الذي تحله الخطة الجيدة مسبقاً لا أثناء الحادثة.

وأسئلة المنسق لكل حقنة هي أداته الحقيقية، فالحقنة تقدم الحدث، والسؤال يحوله إلى قرار. وهذه أمثلة من أسئلة تمريننا: في الحقنة الثانية «ما معيارنا لتصنيف هذا حادثة؟ ومن يملك قرار التصنيف؟ وهل يتغير التصنيف الآن أم بعد التحقيق؟»، وفي الحقنة الثالثة «من يملك صلاحية عزل سيرفر الإنتاج؟ وهل يحتاج موافقة؟ وكم يأخذ الحصول عليها في صباح أحد؟»، وفي الحقنة الخامسة «أين آخر نسخة نثق بها؟ وكيف نعرف أنها غير مشفرة؟ ومن يقرر إعادة البناء من الصفر إن لم تكن؟». ولاحظ أن الأسئلة كلها عن «من» و«متى» و«كيف نعرف»، لا عن «ما البرنامج الذي نستخدمه»، لأن التمرين يختبر القرار والتنسيق، لا المعرفة التقنية.

وهذا التمرين يختلف عن تمرين الحساب المخترق الذي قدمناه في [مقال خطة الاستجابة](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)، فهناك كان التركيز على الاحتواء السريع، وهنا على التعافي والتبليغ، وهذا مقصود: كل تمرين يختبر زاوية، ومجموعة تمارين عبر السنة تغطي الخطة كلها. ولا تبدأ من الصفر إذا أردت سيناريوهات أخرى، فوكالة CISA تنشر أكثر من مئة حزمة تمارين جاهزة في [حزم تمارين الطاولة CTEP](https://www.cisa.gov/resources-tools/services/cisa-tabletop-exercise-packages?ref=arabroot.io)، فيها سيناريوهات الفدية والتصيد والتهديد الداخلي، مع أهداف وأسئلة نقاش ومراجع، تعدلها لبيئتك.

### أي سيناريوهات تدور عليها خلال السنة؟

تمرين واحد لا يختبر كل الخطة، فكل سيناريو يضيء زاوية ويترك غيرها في الظل. لذلك تبني برنامجاً من تمارين قصيرة متعددة عبر السنة، كل واحد يختبر نوعاً من الحوادث التي تواجهها شركتك فعلاً. وأكثرها فائدة للشركات الصغيرة والمتوسطة: حساب موظف مخترق بعد تصيد، وفدية على سيرفر مشترك كالذي بنيناه هنا، وتسرب بيانات عملاء من تطبيق الويب، وتعطل مورد يدير نظاماً مهماً مثل المحاسبة أو البريد، وموظف مغادر أخذ بيانات معه. ولكل نوع زاوية مختلفة: سيناريو الحساب يختبر الاحتواء السريع، وسيناريو الفدية يختبر التعافي، وسيناريو المورد يختبر التنسيق الخارجي والعقود، وسيناريو التسرب يختبر التبليغ النظامي.

والقاعدة العملية أن تبدأ من أكثر ما يرجح أن يحدث لك، لا من أكثر ما يخيف. فالشركة التي كل بياناتها عند مورد سحابي أولى بها أن تمرن على تعطل المورد من أن تمرن على اختراق متقدم لن تراه، والمتجر الذي يحمل بيانات بطاقات أولى بأن يمرن على التسرب والتبليغ. واختر حوادث من واقع قطاعك: ما الذي حدث لشركة شبيهة نشر عنها خبر موثوق؟ فهذا سيناريو جاهز وواقعي أكثر من أي سيناريو متخيل.

وفي الحقنة الأولى عمداً لم تظهر ثغرة، فالفريق فرز فشل النسخ الليلي بشكل سليم وصعده في الوقت المناسب، وهذا مهم في تصميم التمرين: ليست كل حقنة فخاً، وبعضها يؤكد أن جزءاً من الخطة يعمل، فيخرج الفريق وقد عرف ما يحسنه لا ما يخطئ فيه فقط. ولو كانت كل حقنة كارثة لشعر الفريق أن التمرين محاكمة لا تدريب، وهذا يقلل صدق مشاركتهم في المرة القادمة. فوازن بين حقن تكشف ثغرة وحقن تؤكد قدرة، والهدف أن يخرج الفريق أقدر لا أكثر إحباطاً.

## تجربة عملية: من ورقة النقاش إلى أرقام

التمرين نقاش، ولكن مخرجاته يجب أن تكون أرقاماً تقارنها عبر الزمن، وإلا بقي انطباعات تنسى. لذلك يملأ جامع البيانات أثناء التمرين ورقة جمع، صف لكل حقنة، فيها من قرر، وكم دقيقة استغرق القرار، وأي ثغرة ظهرت، وأي قسم من الخطة تمسها. وهذه ورقة التمرين الذي أجريناه، بصيغة CSV:

```text
inject,time,event,decision_expected,who_decided,minutes_to_decide,gap,plan_section
1,09:00,نسخ احتياطي ليلي فشل مع رسالة وصول مرفوض إلى مجلد المشاركة,من يفرز ومتى يصعد,محلل الفرز,4,,النسخ الاحتياطي
2,09:12,ملفات المشاركة تتحول إلى امتداد غريب والموظفون يبلغون,تأكيد الحادثة وتصنيفها,المحلل والمدير,9,لا يوجد معيار مكتوب لتصنيف الخطورة,تصنيف الحادثة
3,09:20,رسالة فدية على السيرفر تطلب دفعاً,قرار العزل ومن يملكه,المدير,18,صلاحية عزل سيرفر الإنتاج غير محددة مسبقاً,الاحتواء
4,09:35,المحاسبة تسأل لماذا توقف النظام في وقت إقفال الرواتب,إبلاغ مالك النظام قبل العزل,غير محدد,25,لا توجد قائمة ملاك الأصول وقنوات اتصالهم,التواصل
5,09:50,النسخة الاحتياطية الأخيرة مشفرة هي الأخرى,قرار الاستعادة ومن أين,المدير وفريق التشغيل,30,لم تجرب استعادة منذ ستة أشهر ولا نسخة خارج الموقع,التعافي
6,10:20,الملفات المشفرة فيها بيانات عملاء شخصية,هل تسرب يستوجب الإشعار ومن يتصل بالجهات,المستشار والقائد,22,لا أحد يعرف مهلة الإشعار 72 ساعة ولا من يتصل بالهيئة,التبليغ النظامي
```

ثم نشغل سكربتاً صغيراً يحول هذه الورقة إلى الجزء القابل للقياس من تقرير ما بعد التمرين: زمن كل قرار، والثغرات المفتوحة، والأقسام التي تحتاج تحديثاً. ولا يحتاج إلا Python:

```python
"""Turns a tabletop data-collection sheet (the Master Scenario Events List with what the team actually decided)
   into the measurable part of an after-action report: time to each decision, open gaps, and which plan sections
   need updating. The exercise is a discussion, but its output should be numbers you can track across exercises."""
import csv, sys
rows = list(csv.DictReader(open(sys.argv[1], encoding="utf-8")))
mins = [int(r["minutes_to_decide"]) for r in rows]
gaps = [r for r in rows if r["gap"].strip()]
undecided = [r for r in rows if not r["who_decided"].strip() or r["who_decided"].strip() == "غير محدد"]
print(f"injects: {len(rows)}   total facilitated time: {sum(mins)} min   slowest decision: inject {rows[mins.index(max(mins))]['inject']} ({max(mins)} min)")
print(f"decisions with no clear owner: {len(undecided)}   open gaps found: {len(gaps)}\n")
print("gaps to close (one action item each):")
for r in gaps:
    print(f"  inject {r['inject']} [{r['plan_section']}]: {r['gap']}")
print("\nplan sections needing an update:", ", ".join(sorted({r["plan_section"] for r in gaps})))
```

```bash
docker run --rm -v "$(pwd -W):/w" -w /w python:3.13.17-slim python aar.py msel.csv
```

والمخرج سوف يكون كما يلي:

```text
injects: 6   total facilitated time: 108 min   slowest decision: inject 5 (30 min)
decisions with no clear owner: 1   open gaps found: 5

gaps to close (one action item each):
  inject 2 [تصنيف الحادثة]: لا يوجد معيار مكتوب لتصنيف الخطورة
  inject 3 [الاحتواء]: صلاحية عزل سيرفر الإنتاج غير محددة مسبقاً
  inject 4 [التواصل]: لا توجد قائمة ملاك الأصول وقنوات اتصالهم
  inject 5 [التعافي]: لم تجرب استعادة منذ ستة أشهر ولا نسخة خارج الموقع
  inject 6 [التبليغ النظامي]: لا أحد يعرف مهلة الإشعار 72 ساعة ولا من يتصل بالهيئة

plan sections needing an update: الاحتواء, التبليغ النظامي, التعافي, التواصل, تصنيف الحادثة
```

![أربع لوحات بأرقام حقيقية من السكربت: الزمن 108 دقيقة نقاش على ست حقن وأبطأ قرار قرار الاستعادة 30 دقيقة، وثغرات مفتوحة 5 من ست حقن كل ثغرة أمر عمل، وقرار بلا مالك 1 إبلاغ مالك الأصل قبل العزل، وأقسام الخطة لتحديث 5 التصنيف والاحتواء والتواصل والتعافي والتبليغ النظامي](https://arabroot.io/content/images/2026/10/tabletop-exercise-05-aar.webp)

الأرقام من سكربت يقرأ ورقة جمع البيانات، فتقارن تمرين هذا الربع بالذي قبله

في المخرج أعلاه لاحظ التالي:

- ثماني وخمس حقن أظهرت خمس ثغرات، أي أن تمريناً واحداً لثلاث ساعات تقريباً أعطى خمسة أوامر عمل محددة، كل واحد منها لو اكتشف في الحادثة لكلف يوماً.
- أبطأ قرار كان قرار الاستعادة، ثلاثين دقيقة، لأن الفريق اكتشف أثناء النقاش أن النسخة الأخيرة مشفرة ولا نسخة خارج الموقع، فتحول السؤال من «كيف نستعيد؟» إلى «هل نستطيع أصلاً؟».
- قرار واحد بلا مالك: إبلاغ مالك الأصل قبل العزل، فلم يعرف أحد من المسؤول عن إبلاغ المحاسبة قبل إيقاف نظامها، وهذه فجوة تواصل كلاسيكية.
- خمسة أقسام من الخطة تحتاج تحديثاً، وهذه هي قائمة أوامر العمل جاهزة، يسند كل سطر إلى شخص بموعد.

وفائدة السكربت ليست في تمرين واحد، وإنما في المقارنة: بعد ثلاثة أشهر تعيد التمرين، وتقارن الأرقام. هل قلت الثغرات من خمس إلى اثنتين؟ هل نزل زمن قرار الاستعادة من ثلاثين دقيقة إلى خمس بعد أن كتبتم من يملك القرار؟ هذا ما يحول التمرين من حدث إلى برنامج يقيس تحسنه، وهو ما يطلبه المدقق عندما يسأل: كيف تتأكدون أن خطة الاستجابة تعمل؟

ولعل أهم ما في هذا التمرين أنه يكشف ترابط الثغرات: فثغرة التعافي (لا نسخة نثق بها) وثغرة التبليغ (لا نعرف المهلة) تبدوان منفصلتين، ولكنهما تجتمعان في أسوأ لحظة، فالفريق الذي لا يستطيع الاستعادة يحتاج وقتاً أطول، وفي هذا الوقت الأطول تمر مهلة الإشعار النظامي التي لا يعرفها. أي أن ثغرتين صغيرتين في الورق تصنعان أزمة واحدة كبيرة في الحادثة. وهذا ما لا يظهر إلا عندما تمشي على السيناريو كاملاً، حقنة بعد حقنة، لا عندما تراجع كل قسم من الخطة وحده.

## التبليغ النظامي: ما يختبره التمرين في المملكة

الحقنة السادسة هي الأهم في سياقنا، لأنها تنقل الحادثة من مشكلة تقنية إلى التزام نظامي. فعندما تبين أن الملفات المشفرة فيها بيانات عملاء شخصية، يصبح السؤال: من نبلغ، ومتى، وبأي سند؟ والصورة التالية تجمع الإجابة:

![ثلاث لوحات: داخلياً القائد خلال دقائق من تأكيد حادثة متوسطة أو عالية ومالك الأصل قبل أي عزل والقانوني قبل أي تبليغ خارجي مع قناة بديلة إن كان البريد مخترقاً، والهيئة الوطنية للأمن السيبراني بالضابط 2-13-3-3 في ECC إبلاغ الهيئة بالحوادث و2-13-3-4 مشاركة التنبيهات والمؤشرات والتقارير، وتسرب بيانات شخصية إشعار الجهة المختصة بحسب نظام PDPL عند العلم بالتسرب بالمهلة التي تحددها اللائحة](https://arabroot.io/content/images/2026/10/tabletop-exercise-06-saudi.webp)

هذه الأسئلة يجب أن يجيب عنها التمرين في الورق، لا الحادثة الحقيقية

- **الهيئة الوطنية للأمن السيبراني:** الضابط 2-13-3-3 في [وثيقة ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io) يطلب إبلاغ الهيئة بالحوادث السيبرانية، والضابط 2-13-3-4 يطلب مشاركة التنبيهات ومؤشرات الاختراق وتقارير الحوادث معها. فالتمرين يسأل: من يتصل بالهيئة، وبأي قناة، وما المعلومة التي تطلبها؟ وإن لم تعرف الإجابة في الورق، فستبحث عنها أثناء الحادثة وقتها أثمن.
- **تسرب البيانات الشخصية:** إذا شمل الحادث بيانات شخصية، يسري نظام حماية البيانات الشخصية PDPL، الذي يلزم جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها، بالمهلة التي تحددها اللائحة التنفيذية. وقد شرحنا تفاصيل الإشعار ومن يتصل بمن في [مقال حماية البيانات الشخصية PDPL](https://arabroot.io/articles/%D8%AD%D9%85%D8%A7%D9%8A%D8%A9-%D8%A7%D9%84%D8%A8%D9%8A%D8%A7%D9%86%D8%A7%D8%AA-%D8%A7%D9%84%D8%B4%D8%AE%D8%B5%D9%8A%D8%A9-pdpl-%D9%84%D9%84%D8%AE%D8%AF%D9%85%D8%A7%D8%AA-%D8%A7%D9%84%D9%85%D8%B3%D8%AA%D8%B6%D8%A7%D9%81%D8%A9/)، والمهم هنا أن التمرين هو ما يكشف أن الفريق لا يعرف هذه المهلة قبل أن تبدأ.
- **التواصل الداخلي:** القائد يبلغ خلال دقائق من تأكيد حادثة متوسطة أو عالية، ومالك الأصل يخبر قبل أي عزل، والقانوني يستشار قبل أي تبليغ خارجي. وإذا كان البريد أو المحادثة الداخلية على النظام المصاب، فلا تناقش الحادثة فيه، لأن المهاجم قد يقرأ، ولهذا تكون في الخطة قناة بديلة معروفة مسبقاً.

ولاحظ أن هذه كلها قرارات تنظيمية وقانونية، لا تقنية، وهي بالضبط ما يصعب حله أثناء الحادثة ويسهل حله في تمرين هادئ. فالتمرين لا يختبر هل يعرف فريقك كيف يزيل الفدية، وإنما هل يعرف من يتصل بالهيئة، وكم أمامه من الوقت، ومن يتحدث للعملاء. وهذا هو الفرق بين فريق استعد وفريق يرتجل.

### تمرين عن بعد ولفريق صغير جداً

لا يحتاج تمرين الطاولة قاعة ولا فريقاً كبيراً. فيمكن أن يجرى عبر مكالمة مرئية، بشرط أن يبقى الفصل بين الأدوار: منسق يميسر، وجامع بيانات يكتب في ملف مشترك، ومشاركون يقررون. وفي شركة من أربعة أشخاص، قد يجمع شخص دورين، والأهم أن يصرح بذلك: «أنا الآن أتحدث بصفتي مسؤول التقنية، لا بصفتي القائد». وحتى الشخص الواحد يستطيع أن يجري شكلاً مبسطاً: يأخذ سيناريو CTEP جاهزاً، ويمشي على حقنه، ويكتب لكل سؤال «هل عندي جواب مكتوب؟»، فما لا جواب له ثغرة. وهذا أضعف من تمرين جماعي، لأنه يفقد التنسيق بين الأدوار الذي هو نصف الفائدة، ولكنه خير من لا شيء، وهو نقطة بداية جيدة قبل أن يكبر الفريق.

وما لا يفعله تمرين الطاولة يجب أن يكون واضحاً أيضاً: هو لا يثبت أن النسخة الاحتياطية تعمل، وإنما يكشف أنكم لا تعرفون متى جربتموها؛ ولا يثبت أن العزل ممكن تقنياً، وإنما يكشف من يملك قراره. فالتمرين يختبر الخطة والقرارات والتواصل، أما التحقق التقني الفعلي، مثل استعادة نسخة على بيئة اختبار، فذلك تمرين وظيفي أعلى في السلم، والأمران يكملان بعضهما: الطاولة تكشف الثغرة، والوظيفي يثبت أن الإصلاح يعمل.

والمهل الزمنية في التبليغ النظامي هي بالضبط ما يحول التمرين من تدريب نظري إلى اختبار حقيقي، لأنها تفرض سؤالاً لا مهرب منه: لو علمنا بالتسرب مساء خميس، فمتى تبدأ المهلة، ومن يستطيع أن يبلغ في عطلة نهاية الأسبوع؟ وهذا يكشف أن التبليغ ليس قراراً تقنياً يؤجل إلى يوم العمل، وإنما التزام له ساعة بداية. فالفريق الذي يكتشف في التمرين أن مهلة الإشعار تبدأ من لحظة العلم لا من يوم العمل التالي، يضيف إلى خطته قناة تبليغ تعمل في العطلات، وهذا تغيير صغير في الورق يحمي من مخالفة كبيرة في الواقع.

## أخطاء شائعة

- **التوقف عند التنفيذ:** تمرين جرى وكتب عنه تقرير ولم يغير في الخطة شيئاً، فضاعت قيمته كلها.
- **سيناريو طويل مفصل:** فيقضي الفريق وقته في تشريحه بدل الوصول إلى أهداف التمرين، والدليل ينصح بالقصير.
- **لا جامع بيانات:** فتضيع الملاحظات، ويصبح التقرير انطباعات لا أرقاماً تقارن.
- **دعوة من يتوفر لا من له دور:** فيغيب صاحب القرار الحقيقي، ويقرر في التمرين من لن يقرر في الحادثة.
- **المنسق يصحح بدل أن يميسر:** فيعطي الإجابات بدل أن تظهر الثغرات، فيخرج الجميع راضين والخطة ما زالت ناقصة.
- **تجاهل القرارات بلا مالك:** «سنعرف من يتصل بالهيئة وقتها» جملة تكلف ساعات في الحادثة.
- **عدم اختبار التعافي:** التمرين الذي لا يصل إلى سؤال «من أين نستعيد، ومتى جربنا آخر مرة؟» يترك أخطر ثغرة مخفية.
- **تمرين واحد في السنة يغطي كل شيء:** فلا يختبر شيئاً بعمق، والأفضل تمارين قصيرة متعددة كل واحد يختبر زاوية.

## قائمة تحقق لتمرين الطاولة

| المرحلة     | السؤال                                                              |
| ----------- | ------------------------------------------------------------------- |
| قبل التمرين | هل وافقت الإدارة؟ وهل حددنا الأهداف قبل السيناريو؟                  |
| المشاركون   | هل حضر كل صاحب دور في الخطة، لا من يتوفر فقط؟                       |
| الأدوار     | هل يوجد منسق وجامع بيانات منفصل؟                                    |
| السيناريو   | هل هو موجز، وتأتي التفاصيل في الحقن؟                                |
| التغطية     | هل تختبر الحقن الفرز والتصنيف والاحتواء والتواصل والتعافي والتبليغ؟ |
| التبليغ     | هل عرف الفريق من يتصل بالهيئة ومتى، ومهلة إشعار تسرب البيانات؟      |
| التعافي     | هل وصلنا إلى سؤال: من أين نستعيد، ومتى جربنا آخر مرة؟               |
| المراجعة    | هل أجرينا جلسة مراجعة ساخنة فور انتهاء النقاش؟                      |
| التقرير     | هل كتبنا تقريراً بأرقام: زمن القرار، الثغرات، أقسام الخطة؟          |
| بعد التمرين | هل لكل ثغرة أمر عمل بمالك وموعد، وموعد للتمرين القادم؟              |

وينتهي التمرين بسؤال لا يقل أهمية عن أسئلة الحقن: ما موعد التمرين القادم، وأي زاوية يختبر؟ فبرنامج التمارين ليس سلسلة أحداث منفصلة، وإنما دورة تتعلم: كل تمرين يحدث الخطة، والتمرين التالي يتأكد أن التحديث عمل، ويختبر زاوية جديدة. والفريق الذي يمرن أربع مرات في السنة، كل مرة على سيناريو مختلف لساعتين، يغطي خطته أفضل من فريق يمرن مرة واحدة ليوم كامل، لأن التمارين القصيرة المتكررة تبقي الخطة حية في أذهان الناس، لا وثيقة تقرأ مرة في السنة. وهذا الإيقاع المنتظم هو ما يحول الاستعداد من حدث إلى عادة، ومن وثيقة في الدرج إلى مهارة في الفريق. وهذا الرقم، ثماني وخمس حقن، ليس كثيراً، فتمرين طاولة جيد نادراً ما يتجاوز ثماني حقن، لأن ما بعدها يرهق الفريق ويقل تركيزه، والهدف عمق النقاش لا كثرة الأحداث.

## الخلاصة

- الخطة التي لم تجرب وثيقة لا خطة، وأرخص اختبار لها تمرين الطاولة: نقاش يقرر فيه الفريق دون لمس نظام.
- ابدأ من أسفل سلم التمارين، فأغلب ثغرات الخطة في الأدوار والقرارات والتواصل، وكلها تظهر في النقاش.
- الأدوار ثلاثة: منسق يميسر، وجامع بيانات يكتب ولا يناقش، ومشاركون هم أصحاب الأدوار الحقيقية.
- السيناريو موجز، والتفاصيل تأتي حقنة حقنة، وكل حقنة تفرض قراراً ومالكاً لا حلاً تقنياً فقط.
- قيمة التمرين في التقييم والتحديث: تقرير بأرقام، وأمر عمل لكل ثغرة بمالك وموعد.
- في تمريننا أعطت ست حقن خمس ثغرات وقراراً بلا مالك وخمسة أقسام للتحديث، في ثلاث ساعات تقريباً.
- التمرين يكشف أن الفريق لا يعرف من يتصل بالهيئة ومهلة إشعار التسرب، قبل الحادثة لا أثناءها.

وأقرب المقالات إلى هذا الموضوع في المسار:

[![](https://arabroot.io/content/images/2026/10/ir-playbooks-cover-cover.webp)دليلخطة الاستجابة للحوادث Incident Response وكتيبات التشغيل Playbooksخطة استجابة وكتيبا حساب مخترق وفدية على NIST SP 800-61r3، مع مختبر نستعيد فيه البيانات من نسخة restic.](https://arabroot.io/articles/%D8%AE%D8%B7%D8%A9-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%88%D9%83%D8%AA%D9%8A%D8%A8%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%B4%D8%BA%D9%8A%D9%84/)[![](https://arabroot.io/content/images/2026/10/thehive-lab-cover-cover.webp)دليلالاستجابة للحوادث Incident Response مع TheHiveحولنا تنبيهاً عن دخول مريب إلى حساب FTP إلى قضية في TheHive بمهام ومؤشرات وأسلوب ATT&CK، وقسنا ما تسمح به الرخصة فعلاً.](https://arabroot.io/articles/%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%AC%D8%A7%D8%A8%D8%A9-%D9%84%D9%84%D8%AD%D9%88%D8%A7%D8%AF%D8%AB-incident-response-%D9%85%D8%B9-thehive/)[![](https://arabroot.io/content/images/2026/10/dfir-basics-cover-cover.webp)دليلالتحقيق الرقمي DFIR للمبتدئين: احفظ الأدلة قبل أن تنظف السيرفرماذا تفعل عندما تشك أن سيرفرك مخترق، ولماذا تمسح إعادة التشغيل والتنظيف الأدلة التي تحتاجها لتعرف ما حدث.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-dfir/)[![](https://arabroot.io/content/images/2026/10/compromised-linux-cover-cover.webp)دليلفحص سيرفر Linux مخترق دون أن تفسد الأدلةفحصنا سيرفراً مخترقاً في المختبر خطوة خطوة بالطريقة الصحيحة، فوجدنا برنامجاً من ملف محذوف وأمر ls مزروعاً ووقتاً مزوراً، دون أن نفسد دليلاً.](https://arabroot.io/articles/%D9%81%D8%AD%D8%B5-%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-linux-%D9%85%D8%AE%D8%AA%D8%B1%D9%82-%D8%AF%D9%88%D9%86-%D8%A7%D9%86-%D8%AA%D9%81%D8%B3%D8%AF-%D8%A7%D9%84%D8%A7%D8%AF%D9%84%D8%A9/)[![](https://arabroot.io/content/images/2026/10/backup-321-cover-cover.webp)دليلالنسخ الاحتياطي بقاعدة 3-2-1 واختبار الاستعادةكيف تحدد كم بيانات تقبل أن تخسر، وتبني نسخاً لا يستطيع المخترق حذفها، وتتأكد أنك تستطيع استعادتها فعلاً.](https://arabroot.io/articles/%D8%A7%D9%84%D9%86%D8%B3%D8%AE-%D8%A7%D9%84%D8%A7%D8%AD%D8%AA%D9%8A%D8%A7%D8%B7%D9%8A-%D8%A8%D9%82%D8%A7%D8%B9%D8%AF%D8%A9-3-2-1-%D9%88%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%B3%D8%AA%D8%B9%D8%A7%D8%AF%D8%A9/)[![](https://arabroot.io/content/images/2026/10/soc-triage-cover-cover.webp)دليليوم محلل SOC: فرز التنبيهات Alert Triage من التنبيه إلى القرارستة عشر تنبيهاً حقيقياً من Wazuh وSuricata نفرزها واحداً واحداً بالإثراء من Zeek حتى القرار والتصعيد.](https://arabroot.io/articles/%D9%8A%D9%88%D9%85-%D9%85%D8%AD%D9%84%D9%84-soc-%D9%81%D8%B1%D8%B2-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87%D8%A7%D8%AA-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D9%86%D8%A8%D9%8A%D9%87-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D9%82%D8%B1%D8%A7%D8%B1/)

## سجل التحديثات

- أكتوبر 2026: كتابة المقال، وإجراء تمرين طاولة بست حقن، وتحويل ورقته إلى مقاييس بسكربت على Python 3.13.17، بالاستناد إلى NIST SP 800-84 وضوابط ECC-2:2024.