> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# كيف يعمل وكيل EDR؟ من eBPF إلى قواعد الكشف
- URL: https://arabroot.io/articles/كيف-يعمل-وكيل-edr-على-الأجهزة/
- Published: 2026-10-10T11:15:00.000Z
- Updated: 2026-10-09T19:28:02.000Z
- Description: كيف يرى وكيل EDR ما يجري داخل كل جهاز، ولماذا سائق النواة خطر، مع تشغيل Falco يكشف فعلاً مشبوهاً.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, الاستضافة الذاتية

في المقال السابق من هذه المرحلة اختبرنا الضوابط بمنصة AEV، وكان أهم ضابط نختبره هو برنامج الكشف والاستجابة على الأجهزة Endpoint Detection and Response واختصاراً EDR، فهو العين التي ترى ما يجري داخل كل حاسوب وسيرفر. وقد يبدو من الوهلة الأولى أن EDR مجرد مضاد فيروسات أذكى، لكنه في الحقيقة شيء مختلف: فمضاد الفيروسات يسأل «هل هذا الملف خبيث؟»، أما EDR فيسأل «ما الذي تفعله هذه العملية الآن، وهل يشبه سلوكها سلوك مهاجم؟». وللإجابة على هذا السؤال يحتاج EDR أن يرى كل نداء نظام System Call وكل عملية تولد وكل ملف يفتح وكل اتصال شبكة، وهذه رؤية لا تأتي إلا من أعماق نظام التشغيل. وسوف نرى في هذا المقال من أين يأخذ EDR هذه الرؤية على Windows وLinux، ولماذا يكون سائق النواة خطراً، وكيف يكشف ويستجيب، ثم نشغل أداة مفتوحة تكشف فعلاً مشبوهاً على جهازك وتخرج تنبيهاً حقيقياً.

وهذا المقال من المرحلة المتقدمة [كيف تبني منتجات الأمن السيبراني](https://arabroot.io/start/#stage-build-security) في خارطة الطريق، وهو يكمل المقالين التاليين، فالأول اختبر EDR من الخارج، وهذا يفتحه من الداخل:

[![](https://arabroot.io/content/images/2026/10/build-aev-cover-cover.webp)دليلكيف تبني منصة محاكاة الهجمات والتحقق من التعرض AEV؟كيف تعمل منصات AEV من الداخل لتثبت أي الهجمات ينجح خلف ضوابطك، مع تشغيل Caldera بسيناريو آمن.](https://arabroot.io/articles/%D9%85%D8%AD%D8%A7%D9%83%D8%A7%D8%A9-%D8%A7%D9%84%D9%87%D8%AC%D9%85%D8%A7%D8%AA-%D9%88%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%82-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%B9%D8%B1%D8%B6-aev/)[![](https://arabroot.io/content/images/2026/10/security-oss-alternatives-cover-cover.webp)دليلحلول الأمن التجارية وبدائلها مفتوحة المصدر: متى توفر فعلاً؟لكل فئة من حلول الأمن التجارية الشائعة في السعودية بديل مفتوح المصدر، وهنا تعرف متى يوفر عليك فعلاً ومتى يكون التجاري أفضل.](https://arabroot.io/articles/%D8%AD%D9%84%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%AC%D8%A7%D8%B1%D9%8A%D8%A9-%D9%88%D8%A8%D8%AF%D8%A7%D8%A6%D9%84%D9%87%D8%A7-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/)

وسوف نناقش في هذا المقال ما يلي:

- مصادر البيانات Telemetry: ETW على Windows، وeBPF وauditd وfanotify على Linux، وماذا يجمع كل منها.
- سائق النواة Kernel Driver في مقابل وضع المستخدم User Mode، ولماذا خطأ واحد في النواة يسقط الجهاز كله.
- قواعد الكشف بصيغة Sigma، وإجراءات الاستجابة Response، وحماية الوكيل من التعطيل Tamper Protection.
- البدائل المفتوحة: وكيل Wazuh وosquery وFalco وTetragon وVelociraptor، ورخصة كل منها.
- تجربة عملية: Falco يكشف فتح ملف حساس وتشغيل Shell داخل حاوية، مع تنبيه JSON الحقيقي.

## من أين يحصل EDR على رؤيته؟

قلب EDR هو المستشعر Sensor، وهو برنامج صغير مهمته أن يرى كل ما يحدث على الجهاز ثم يوحده في شكل أحداث مفهومة: فلان شغل عملية كذا، التي فتحت الملف كذا، ثم اتصلت بالعنوان كذا. والسؤال الأول في بناء EDR هو: من أين تأتي هذه الأحداث؟ والصورة التالية تبين المصادر:

![صندوق مصادر النواة يضم ETW على Windows وkernel callbacks وeBPF وkprobes وfanotify على Linux وauditd، تخرج منه أحداث خام إلى Sensor يوحد الأحداث، ثم إلى محرك Detection بقواعد Sigma، ومنه سهمان إلى Response للعزل والإيقاف وإلى Backend للتحليل المركزي](https://arabroot.io/content/images/2026/10/build-edr-01-telemetry.webp)

الأحداث تأتي من داخل النواة، والوكيل يوحدها ثم يطبق القواعد ثم يستجيب

وعلى Windows المصدر الأساسي هو تتبع الأحداث في Windows، واسمه Event Tracing for Windows واختصاراً ETW، وهو نظام داخل Windows له ثلاثة أطراف كما تشرح [وثائق Microsoft](https://learn.microsoft.com/en-us/windows/win32/etw/about-event-tracing?ref=arabroot.io): مزودون Providers يولدون الأحداث، ومتحكمون Controllers يفتحون جلسات التتبع، ومستهلكون Consumers يقرؤون الأحداث. ويضيف EDR إلى ذلك سائق نواة يسجل دوال استدعاء Kernel Callbacks عند أحداث مهمة، مثل [PsSetCreateProcessNotifyRoutineEx](https://learn.microsoft.com/en-us/windows-hardware/drivers/ddi/ntddk/nf-ntddk-pssetcreateprocessnotifyroutineex?ref=arabroot.io) التي تنبهه عند إنشاء كل عملية، و[PsSetLoadImageNotifyRoutine](https://learn.microsoft.com/en-us/windows-hardware/drivers/ddi/ntddk/nf-ntddk-pssetloadimagenotifyroutine?ref=arabroot.io) عند تحميل كل مكتبة، و[سائق مرشح صغير Minifilter](https://learn.microsoft.com/en-us/windows-hardware/drivers/ifs/filter-manager-concepts?ref=arabroot.io) يرى عمليات الملفات.

وعلى Linux تغيرت الطريقة كثيراً في السنوات الأخيرة، والمصادر الرئيسية ثلاثة:

- **eBPF:** تقنية تشغل برامج صغيرة داخل النواة بأمان، وتصفها [صفحة ebpf.io](https://ebpf.io/what-is-ebpf/?ref=arabroot.io) بأنها تشغل برامج معزولة في سياق مميز مثل نواة نظام التشغيل، مع متحقق Verifier يضمن سلامتها. وتربط هذه البرامج ب نقاط تتبع Tracepoints أو مجسات نواة [kprobes](https://docs.kernel.org/trace/kprobes.html?ref=arabroot.io)، فترى نداءات النظام لحظة حدوثها. وهذه هي الطريقة الحديثة التي تبني عليها أدوات مثل Falco وTetragon.
- **fanotify:** واجهة ملفات، [يذكر دليلها](https://man7.org/linux/man-pages/man7/fanotify.7.html?ref=arabroot.io) أن من استخداماتها فحص الفيروسات، وتتيح اعتراض فتح الملف قبل السماح به عبر أحداث الإذن FAN\_OPEN\_PERM، فيستطيع برنامج الحماية أن يمنع الفتح لا أن يراه بعد فوات الأوان فقط.
- **auditd:** نظام التدقيق في Linux، [يضبط بأمر auditctl](https://man7.org/linux/man-pages/man8/auditctl.8.html?ref=arabroot.io)، ويعترض نداءات النظام ويسلسل إدخالات السجل، وهو مصدر قديم وموثوق لكنه أثقل وأقل مرونة من eBPF.

ولاحظ أن المصدر يحدد ما يستطيع EDR رؤيته: مصدر على مستوى النواة يرى كل شيء لحظياً، ومصدر في وضع المستخدم يرى فقط ما تغذيه به النواة، وهذه الملاحظة هي مفتاح القسم التالي.

## النواة أم وضع المستخدم؟ وحادثة أثبتت الخطر

الطريقة البسيطة أن تضع كل منطق EDR في سائق نواة Kernel Driver، فيرى كل شيء ويمنع الفعل قبل وقوعه. وهذا يعمل ويعطي أقوى رؤية، لكنه يحمل خطراً جوهرياً: الكود الذي يعمل في النواة إن أخطأ لا يسقط برنامجاً واحداً وإنما يسقط النظام كله بالشاشة الزرقاء، لأن النواة لا عازل بينها وبين العتاد. والصورة التالية تبين الموازنة:

![إلى اليسار Kernel-mode Sensor بإطار أحمر: رؤية كاملة ومنع فوري، لكن خطأ واحد يعني انهيار الجهاز، سائق النواة قوي لكن خطر. إلى اليمين User-mode Sensor بإطار أخضر: خطؤه معزول لا يسقط النظام، لكنه يعتمد على النواة لتغذيته بالأحداث، ومنطق الكشف يعمل كتطبيق عادي](https://arabroot.io/content/images/2026/10/build-edr-02-kernel-user.webp)

سائق النواة يرى كل شيء لكنه يسقط الجهاز إن أخطأ، ووضع المستخدم أكثر أماناً لكنه يعتمد على النواة في التغذية

وهذا ليس كلاماً نظرياً، فقد وقعت في 2024 حادثة عطل فيها تحديث خاطئ من برنامج حماية يعمل بسائق نواة ملايين أجهزة Windows حول العالم، وقد شرحنا تفاصيلها ودرسها في الإطلاق التدريجي ضمن [مقال طرق نشر التطبيقات](https://arabroot.io/articles/%D8%B7%D8%B1%D9%82-%D9%86%D8%B4%D8%B1-%D8%A7%D9%84%D8%AA%D8%B7%D8%A8%D9%8A%D9%82%D8%A7%D8%AA-%D9%85%D9%86-ftp-%D8%A7%D9%84%D9%89-gitops/)، فلن نعيدها هنا، لكن نتيجتها الهندسية تخصنا مباشرة: دفعت كثيراً من الصناعة نحو إخراج منطق الحماية من النواة.

وقد أعلنت Microsoft بعدها عن مبادرة مرونة Windows، [وذكرت في نوفمبر 2024](https://blogs.windows.com/windowsexperience/2024/11/19/windows-security-and-resiliency-protecting-your-business/?ref=arabroot.io) أنها تطور قدرات جديدة تتيح لمطوري منتجات الحماية بناء منتجاتهم خارج وضع النواة، أي أن تعمل برامج الحماية في وضع المستخدم كما تعمل التطبيقات، ثم [أعلنت في يونيو 2025](https://blogs.windows.com/windowsexperience/2025/06/26/the-windows-resiliency-initiative-building-resilience-for-a-future-ready-enterprise/?ref=arabroot.io) عن معاينة خاصة لمنصة أمن الأجهزة في Windows لشركائها. والاتجاه واضح: مجمع رقيق يبقى في النواة لجمع الأحداث، ومنطق الكشف الثقيل ينتقل إلى وضع المستخدم حيث يعزل خطؤه. وهذا بالضبط ما تفعله أدوات eBPF الحديثة على Linux: البرنامج الصغير في النواة يجمع فقط، والقرار في الأعلى.

## قواعد الكشف والاستجابة وحماية الوكيل

بعد أن يرى الوكيل الأحداث ويوحدها، يأتي الذكاء: كيف يميز الفعل المشبوه؟ وهنا طريقتان تعملان معاً. الأولى قواعد مكتوبة بلغة يفهمها البشر، وأشهر صيغة مفتوحة لها هي [Sigma](https://github.com/SigmaHQ/sigma?ref=arabroot.io)، وهي صيغة عامة تصف حدث سجل مشبوهاً بشكل مستقل عن المنتج، فتكتب القاعدة مرة وتحولها إلى استعلام أي محرك. وقواعد Sigma في مستودع SigmaHQ تحت رخصة قواعد الكشف Detection Rule License واختصاراً DRL. والطريقة الثانية محرك سلوكي يتعلم ما هو طبيعي على الجهاز فينبه على الشاذ، وهذا هو الجزء الذي تتفوق فيه المنتجات التجارية لأنها مدربة على ملايين الأجهزة.

ثم الاستجابة Response، وهي ما يرفع EDR فوق مجرد الكشف: عزل الجهاز عن الشبكة بضغطة زر فلا ينتشر الهجوم، وإيقاف العملية الخبيثة، وحذف ملف، وجمع الأدلة للتحقيق. وفي أدوات eBPF الحديثة مثل Tetragon يمكن تنفيذ المنع داخل النواة مباشرة بإرسال إشارة إنهاء للعملية.

وأخيراً حماية الوكيل من التعطيل Tamper Protection، فالمهاجم الذكي أول ما يفعل أن يحاول إيقاف برنامج الحماية، ولذلك يجب أن يحمي الوكيل نفسه. وعلى Windows تفعل ذلك [خدمات الحماية المحمية Protected Process Light](https://learn.microsoft.com/en-us/windows/win32/services/protecting-anti-malware-services-?ref=arabroot.io) التي لا تسمح إلا بكود موقع موثوق، وبميزة [منع تغيير إعدادات الأمان Tamper Protection](https://learn.microsoft.com/en-us/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection?ref=arabroot.io) التي تمنع تعطيل الحماية حتى عبر أدوات الإدارة. وقاعدة التصميم هنا: برنامج حماية يستطيع المهاجم إيقافه ليس حماية.

## البدائل مفتوحة المصدر

لا توجد أداة مفتوحة واحدة تعادل EDR تجارياً كاملاً بمحرك منع سلوكي مدرب، لكن توجد أدوات ممتازة تغطي الرؤية والكشف والتحقيق، وهذا هو الجزء الأكبر من القيمة:

- **وكيل Wazuh:** برخصة GPL-2.0، يقرأ سجلات Windows وLinux، ويراقب سلامة الملفات، ويطبق قواعد على الأحداث، وينفذ استجابة فعالة Active Response مثل حظر عنوان، وهو جزء من منصة Wazuh التي سنفصلها في مقال SIEM.
- **osquery:** برخصة Apache-2.0 أو GPL-2.0، يحول نظام التشغيل إلى قاعدة بيانات تسألها بلغة SQL، فتكتب استعلاماً عن العمليات المفتوحة أو الاتصالات، وقد شرحناه مع تجربة في [إدارة أجهزة الموظفين](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%85%D9%88%D8%B8%D9%81%D9%8A%D9%86-%D9%88%D8%AA%D8%A3%D9%85%D9%8A%D9%86%D9%87%D8%A7-mdm/).
- **Falco:** برخصة Apache-2.0، أداة مخرجة من مؤسسة CNCF، تراقب نداءات النظام عبر eBPF الحديث وتطبق قواعد جاهزة، وهي الأقرب إلى كشف EDR على مستوى سلوك العمليات على Linux والحاويات، وهي أداة التجربة في هذا المقال.
- **Tetragon:** من فريق Cilium، الكود الأساسي برخصة Apache-2.0 وبرامج eBPF برخص BSD وGPL، وميزته أنه يصفي وينفذ المنع داخل النواة مباشرة، فيستطيع إنهاء عملية بإشارة SIGKILL لحظة المخالفة لا بعدها.
- **Velociraptor:** برخصة AGPL-3.0، أداة استجابة حية على مئات الأجهزة تسألها كلها سؤالاً واحداً وتجمع الأدلة، وقد شرحناها في [أدوات التحقيق الرقمي](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%A7%D9%84%D8%B1%D9%82%D9%85%D9%8A-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/).

## تجربة عملية: Falco يكشف فعلاً مشبوهاً

سوف نشغل Falco بمستشعر eBPF الحديث فيراقب نداءات نظام جهازنا، ثم نشغل حاوية هدف نفعل فيها فعلين يفعلهما مهاجم عادة: نفتح ملفاً حساساً، ونشغل Shell داخل الحاوية، ونرى تنبيه Falco الحقيقي بصيغة JSON. والصورة التالية تبين المسار من حدث النواة إلى التنبيه:

![حاوية lab-sec-victim تشغل sh وcat /etc/shadow، فتصل الأحداث إلى شريط Linux Kernel syscalls execve وopen، ومنه إلى Falco بمستشعر modern eBPF مع rules وjson_output، فيخرج تنبيهان: Terminal shell in container بوسم T1059 بمستوى Notice، وRead sensitive file untrusted بوسم T1555 بمستوى Warning على الملف etc shadow](https://arabroot.io/content/images/2026/10/build-edr-03-lab.webp)

من نداء النظام في النواة إلى تنبيه JSON موسوم بتقنية ATT&CK

أولاً نتأكد أن النواة تدعم eBPF الحديث، فهو يحتاج صيغة BTF التي تصف أنواع النواة ليعمل مرة واحدة على أي إصدار Compile Once Run Everywhere:

```bash
docker run --rm --privileged debian:13.4-slim ls -la /sys/kernel/btf/vmlinux
```

فإن ظهر الملف فالنواة تدعمه. الآن نشغل Falco بمستشعر eBPF الحديث، ونفعل مخرج JSON ليسهل على أي نظام قراءته:

```bash
docker run -d --name lab-sec-falco --privileged \
  -v /sys/kernel/tracing:/sys/kernel/tracing:ro \
  -v /var/run/docker.sock:/host/var/run/docker.sock \
  -v /proc:/host/proc:ro --memory 1g \
  falcosecurity/falco:0.45.0 \
  falco -o engine.kind=modern_ebpf -o json_output=true -o stdout_output.enabled=true
```

وفي سجل Falco سوف ترى أنه فتح مصدر نداءات النظام بمستشعر eBPF الحديث:

```text
Loaded event sources: syscall
Opening 'syscall' source with modern BPF probe.
```

الآن نشغل حاوية هدف، ثم نفعل فيها الفعلين المشبوهين. ولاحظ أن قاعدة Shell تحتاج طرفية Terminal متصلة، لذلك نمرر الخيار t:

```bash
docker run -d --name lab-sec-victim --memory 128m alpine:3.22 sleep 300

# 1) فتح ملف حساس
docker exec lab-sec-victim sh -c 'cat /etc/shadow >/dev/null'

# 2) تشغيل Shell بطرفية متصلة داخل الحاوية
docker exec -t lab-sec-victim sh -c 'echo in-shell'
```

والمخرج سوف يكون تنبيهين بصيغة JSON، هذا أولهما عند فتح الملف الحساس، وهو من تشغيلنا نحن فعلاً (اختصرنا الحقول للعرض):

```json
{"priority":"Warning",
 "rule":"Read sensitive file untrusted",
 "output":"Sensitive file opened for reading by non-trusted program |
   file=/etc/shadow evt_type=open user=root process=cat
   proc_exepath=/bin/busybox parent=sh command=cat /etc/shadow
   container_name=lab-sec-victim container_image_repository=alpine",
 "tags":["T1555","container","filesystem","mitre_credential_access"],
 "source":"syscall"}
```

وهذا ثانيهما عند تشغيل ال Shell:

```json
{"priority":"Notice",
 "rule":"Terminal shell in container",
 "output":"A shell was spawned in a container with an attached terminal |
   evt_type=execve user=root process=sh parent=runc
   command=sh -c echo in-shell terminal=34816
   container_name=lab-sec-victim container_image_repository=alpine",
 "tags":["T1059","container","mitre_execution","shell"],
 "source":"syscall"}
```

في المخرج أعلاه لاحظ التالي:

- كل تنبيه يحمل اسم القاعدة التي أطلقته ومستواها، فقراءة الملف الحساس بمستوى Warning وتشغيل ال Shell بمستوى Notice، وهذا التدرج هو ما يساعد المحلل على الترتيب.
- كل تنبيه موسوم بتقنية ATT&CK: الأول T1555 سرقة بيانات اعتماد، والثاني T1059 تنفيذ أوامر، فالوسم يربط ما رآه الوكيل بلغة الهجوم المشتركة، وهو ما يتيح لاحقاً مطابقته بما حاكته منصة AEV.
- كل تنبيه يذكر العملية وأبها والأمر الكامل واسم الحاوية والصورة، وهذه هي الرؤية التي يعطيها EDR ولا يعطيها مضاد الفيروسات التقليدي: لا الملف فقط وإنما السياق الكامل للفعل.
- الصيغة JSON لأننا طلبناها، وهذا مهم عملياً لأن التنبيه يذهب بعدها إلى SIEM الذي سنبنيه في المقال التالي.

وأخيراً نحذف ما أنشأناه بأسمائه بالضبط:

```bash
docker rm -f lab-sec-falco lab-sec-victim
```

## بناء منتج كهذا: أين الصعوبة الحقيقية؟

قد تبدو العملية من الوهلة الأولى بسيطة: مستشعر يقرأ الأحداث وقواعد تطابقها. لكن في الواقع فهي غير كذلك، والصعوبة في خمسة أمور:

- **جودة الكشف Detection Quality:** كشف السلوك الخبيث دون محرك مدرب على ملايين الأجهزة صعب، والقواعد الثابتة يتجاوزها المهاجم المتمرس، فالمحرك السلوكي الجيد هو أغلى ما في المنتج التجاري.
- **الإنذارات الكاذبة False Positives:** جهاز واحد يولد ملايين الأحداث في اليوم، وقاعدة متحمسة تغرق الفريق بتنبيهات لا معنى لها حتى يتوقف عن النظر إليها، وهذا أخطر من غياب التنبيه.
- **التوسع Scale:** جمع الأحداث من جهاز واحد سهل، أما من عشرات الآلاف دون أن تثقل كل جهاز أو تغرق الشبكة أو الخادم المركزي، فمسألة تصميم دقيقة.
- **التحديثات والاستقرار Updates:** الوكيل يعمل في أعمق مكان في النظام، وتحديث خاطئ قد يسقط كل الأجهزة دفعة واحدة كما رأينا، فمنتجك يحتاج انضباط إصدار صارماً وإطلاقاً تدريجياً.
- **الثقة Trust:** أنت تطلب صلاحية كاملة على كل جهاز في المؤسسة، وهذه ثقة لا تمنح إلا لمنتج مدقق وموقع وله سجل واضح، وهي أصعب ما يبنيه منتج جديد.

### إذا أردت بناء واحدة في منطقتنا

كتابة محرك EDR تجاري كامل من الصفر، بمحرك سلوكي وسائق نواة موقع لكل إصدار Windows، مشروع ضخم ليس نقطة بداية واقعية لفريق صغير. والمدخل العملي أن تبني على المفتوح: شغل Falco أو Tetragon للرؤية على Linux والحاويات، ووكيل Wazuh وosquery على بقية الأجهزة، ثم اصنع القيمة في الطبقة التي تحتاجها المؤسسات هنا: قواعد Sigma مكتوبة لتهديدات تخص بيئاتنا، وربط التنبيهات بضوابط الهيئة الوطنية للأمن السيبراني، وتقارير بالعربية ولوحة إدارة واحدة. وهذا النوع من القيمة المحلية فوق محركات مفتوحة ناضجة هو المدخل الواقعي، لا كتابة المستشعر من الصفر، ونتجنب هنا أي أرقام عن حجم السوق لأنها تحتاج مصدراً موثقاً.

## تشتري أم تبني؟

على أجهزة Windows في بيئة فيها بيانات حساسة، التوصية العملية أن تبقي منتج EDR تجارياً للمنع السلوكي والفريق المدار الذي يراقب على مدار الساعة، فهذا تحديداً ما يصعب بناؤه وتشغيله. وتضيف فوقه الأدوات المفتوحة للرؤية والتحقيق واستجابة الحوادث، فلا تستبدل المنع التجاري وإنما تكمله. أما على سيرفرات Linux والحاويات فالأدوات المفتوحة مثل Falco وTetragon تغطي جزءاً كبيراً من الحاجة بجودة ممتازة، وقد تكفي وحدها لكثير من المؤسسات. والمقارنة الصحيحة دائماً ليست «مفتوح ضد تجاري» وإنما تكلفة التشغيل بفريق مقابل اشتراك يأتي بفريق جاهز، وهي الموازنة نفسها التي فصلناها في [مقارنة حلول الأمن](https://arabroot.io/articles/%D8%AD%D9%84%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%AC%D8%A7%D8%B1%D9%8A%D8%A9-%D9%88%D8%A8%D8%AF%D8%A7%D8%A6%D9%84%D9%87%D8%A7-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/).

## أخطاء شائعة

- الخلط بين EDR ومضاد الفيروسات؛ فالأول يراقب السلوك والسياق، والثاني يفحص الملفات، والفرق هو كل شيء في الهجمات الحديثة.
- وضع كل المنطق في سائق النواة سعياً للرؤية الكاملة؛ وخطأ واحد يسقط الجهاز، والاتجاه الحديث مجمع رقيق في النواة ومنطق في وضع المستخدم.
- تشغيل قواعد كثيرة متحمسة دفعة واحدة؛ فتغرق الفريق بإنذارات كاذبة حتى يتجاهلها، والصحيح ضبط تدريجي.
- نسيان حماية الوكيل من التعطيل؛ فأول ما يفعله المهاجم إيقاف الحماية.
- تحديث كل الأجهزة دفعة واحدة؛ والإطلاق التدريجي هو الفرق بين تحديث وكارثة.

## الخلاصة

وصلنا لنهاية الموضوع، وأهم ما فيه:

- EDR يسأل «ماذا تفعل هذه العملية» لا «هل هذا الملف خبيث»، ولذلك يحتاج رؤية من داخل النواة: ETW على Windows، وeBPF وfanotify وauditd على Linux.
- سائق النواة يعطي أقوى رؤية لكن خطأه يسقط الجهاز كله، وحادثة 2024 دفعت الصناعة نحو مجمع رقيق في النواة ومنطق في وضع المستخدم.
- الكشف قواعد مفتوحة بصيغة Sigma ومحرك سلوكي، والاستجابة عزل وإيقاف، والوكيل يحمي نفسه من التعطيل.
- البدائل المفتوحة تغطي الرؤية والكشف والتحقيق: وكيل Wazuh (GPL-2.0)، وosquery (Apache-2.0/GPL-2.0)، وFalco (Apache-2.0)، وTetragon (Apache-2.0)، وVelociraptor (AGPL-3.0).
- شغلنا Falco فعلاً وكشف فتح ملف حساس وتشغيل Shell في حاوية بتنبيهي JSON موسومين ب T1555 وT1059.
- الصعوبة في جودة الكشف والإنذارات الكاذبة والتوسع والثقة، والمدخل المحلي البناء فوق المفتوح وربطه بضوابط NCA.

وفي المقال التالي نتتبع التنبيه الذي خرج من Falco إلى وجهته: كيف يعالج محرك SIEM ملايين الأحداث القادمة من كل الأجهزة، ويطبق عليها قواعد Sigma، ثم كيف تبنى منصة استخبارات التهديدات وبوابة أمن البريد:

[![](https://arabroot.io/content/images/2026/10/build-siem-cover-cover.webp)دليلكيف يعمل محرك كشف SIEM من الداخل؟كيف يجمع SIEM ملايين السجلات ويوحدها ويطبق قواعد الكشف، مع خط أنابيب Vector وLoki وقاعدة Sigma تطلق فعلاً.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%85%D8%AD%D8%B1%D9%83-%D9%83%D8%B4%D9%81-siem-%D9%85%D9%86-%D8%A7%D9%84%D8%AF%D8%A7%D8%AE%D9%84/)[![](https://arabroot.io/content/images/2026/10/build-threat-intel-cover-cover.webp)دليلكيف تبني منصة استخبارات التهديدات؟ STIX وTAXIIكيف تجمع منصات التهديدات المؤشرات وتثريها وتشاركها، مع تجربة تطابق مغذي C2 حقيقياً بمؤشرات STIX.](https://arabroot.io/articles/%D9%85%D9%86%D8%B5%D8%A9-%D8%A7%D8%B3%D8%AA%D8%AE%D8%A8%D8%A7%D8%B1%D8%A7%D8%AA-%D8%A7%D9%84%D8%AA%D9%87%D8%AF%D9%8A%D8%AF%D8%A7%D8%AA-stix-%D9%88-taxii/)[![](https://arabroot.io/content/images/2026/10/build-email-security-cover-cover.webp)دليلكيف تعمل بوابة أمن البريد وتكشف التصيد؟كيف تفحص بوابة أمن البريد كل رسالة وتكشف التصيد والانتحال، مع تشغيل Rspamd وClamAV على رسائل اختبار.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/)[![](https://arabroot.io/content/images/2026/10/build-aev-cover-cover.webp)دليلكيف تبني منصة محاكاة الهجمات والتحقق من التعرض AEV؟كيف تعمل منصات AEV من الداخل لتثبت أي الهجمات ينجح خلف ضوابطك، مع تشغيل Caldera بسيناريو آمن.](https://arabroot.io/articles/%D9%85%D8%AD%D8%A7%D9%83%D8%A7%D8%A9-%D8%A7%D9%84%D9%87%D8%AC%D9%85%D8%A7%D8%AA-%D9%88%D8%A7%D9%84%D8%AA%D8%AD%D9%82%D9%82-%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%B9%D8%B1%D8%B6-aev/)

## سجل التحديثات

- أكتوبر 2026: كتابة المقال، وتنفيذ التجربة العملية على Docker Engine 29.8.0 مع Falco 0.45.0 بمستشعر eBPF الحديث على نواة Linux، وتوليد تنبيهي JSON حقيقيين لقراءة ملف حساس وتشغيل Shell في حاوية.