> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# مصطلحات الأمن السيبراني للمبتدئين: من CVE إلى Purple Team
- URL: https://arabroot.io/articles/مصطلحات-الامن-السيبراني-للمبتدئين-cve-و-soc/
- Published: 2026-10-25T18:17:53.000Z
- Updated: 2026-10-26T03:21:04.000Z
- Description: ماذا تعني الكلمات التي تتكرر في كل عرض أمني، من رقم الثغرة وخطورتها إلى أدوات المراقبة SOC والفرق الحمراء والزرقاء.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, أساسيات, الاستضافة الذاتية

يصلك عرض من شركة أمنية فيه سطر مثل «مراقبة SOC على مدار الساعة مع SIEM وEDR، واختبار Red Team سنوي، ومعالجة كل ثغرة CVE بدرجة CVSS أعلى من 7 خلال أسبوعين»، وفي اليوم نفسه يسألك المدير هل هذا ما نحتاجه أم أن عندنا شيئاً قريباً منه. والمشكلة أن هذه الكلمات تتكرر في كل عرض وكل إطار وكل إعلان وظيفة، وكل كلمة منها تشير إلى شيء مختلف تماماً: بعضها رقم لثغرة، وبعضها أداة تثبتها، وبعضها فريق من الناس، ولا يمكنك أن تقارن عرضين أو أن تخطط لما تحتاجه قبل أن تعرف أين يقف كل مصطلح.

وهذا المقال هو أول مقال في [مرحلة الأمن السيبراني: الدفاع والاختبار](https://arabroot.io/start/#stage-security) في خريطة التعلم، وهدفه أن تعرف معنى كل مصطلح ومكانه وما الذي يقابله من أدوات مفتوحة المصدر، ثم تنتقل إلى المقالات العملية التي تشرح كل أداة بالتفصيل. وسوف نتناول في هذا المقال ما يلي:

- لغة الثغرات: CVE وCWE وCVSS وKEV، مع سجل حقيقي لثغرة Log4Shell نقرؤه من واجهة API.
- الفرق بين الحدث Event والتنبيه Alert والحادث Incident، لأن كل أدوات الدفاع مبنية عليه.
- أدوات الكشف: ال SIEM وال EDR وال IDS وال IPS، وأين يقف كل منها في الشبكة.
- مركز العمليات الأمنية SOC: لماذا هو فريق وإجراءات وليس منتجاً.
- الفرق الملونة: الأحمر Red Team والأزرق Blue Team والبنفسجي Purple Team والأبيض White Team.
- أين تظهر هذه المصطلحات في الضوابط الأساسية للأمن السيبراني NCA ECC.
- أخطاء شائعة في فهمها، وجدول مختصر تحفظه.

## لغة الثغرات Vulnerabilities: أربع كلمات تصف أي ثغرة

الثغرة Vulnerability هي خطأ في برنامج أو إعداد يسمح لشخص بأن يفعل ما لا يجب أن يفعله، مثل تنفيذ كود على السيرفر أو قراءة بيانات غيره. والمشكلة أن الثغرة الواحدة كانت تظهر قديماً بأسماء مختلفة عند كل مورد وكل أداة فحص، فلا تعرف هل التنبيه الذي وصلك من أداة الفحص هو نفسه الذي قرأته في نشرة المورد أم ثغرة أخرى، ولذلك اتفق المجال على أربع كلمات يصف بها أي ثغرة، والصورة التالية تبينها على ثغرة Log4Shell الشهيرة:

![أربع بطاقات من اليمين: الاسم CVE-2021-44228، ونوع الخطأ CWE-502، والخطورة CVSS 10.0 حرجة مع سلسلة المتجه، وقائمة KEV تؤكد الاستغلال منذ 10 ديسمبر 2021، وتحتها مقياس CVSS من منخفضة إلى حرجة](https://arabroot.io/content/images/2026/10/security-terms-01-vuln-language.webp)

ثغرة Log4Shell بالكلمات الأربع: الاسم والنوع والخطورة وهل استغلت فعلاً

- **الاسم CVE (Common Vulnerabilities and Exposures):** رقم فريد للثغرة على شكل `CVE-السنة-الرقم`، يصدره [برنامج CVE](https://www.cve.org/About/Overview?ref=arabroot.io) عبر جهات معتمدة اسمها [CNA](https://www.cve.org/ProgramOrganization/CNAs?ref=arabroot.io)، وأغلبها هي الموردون أنفسهم، فثغرة Log4Shell أصدرت رقمها مؤسسة Apache نفسها. والرقم لا يقول شيئاً عن الخطورة، فهو اسم فقط يجعل كل الأدوات والنشرات تتحدث عن الشيء نفسه.
- **نوع الخطأ CWE (Common Weakness Enumeration):** تصنيف للغلطة البرمجية التي سببت الثغرة، مثل [CWE-502](https://cwe.mitre.org/data/definitions/502.html?ref=arabroot.io) لفك تسلسل بيانات غير موثوقة Deserialization of Untrusted Data. وهذا التصنيف يهم المطور أكثر من مدير السيرفر، لأنه يقول له ما الخطأ الذي يجب ألا يتكرر في كوده.
- **الخطورة CVSS (Common Vulnerability Scoring System):** رقم من 0 إلى 10 تحدده [مواصفة CVSS](https://www.first.org/cvss/v4.0/specification-document?ref=arabroot.io) من منظمة FIRST، ويحسب من أسئلة مثل هل يمكن استغلالها عبر الشبكة، وهل تحتاج حساباً، وهل تحتاج أن يضغط المستخدم شيئاً. والإجابات تكتب في سلسلة اسمها المتجه Vector، فالمتجه `AV:N/AC:L/PR:N/UI:N` يعني عبر الشبكة Network، وبسهولة Low، ودون صلاحيات None، ودون تفاعل None.
- **هل استغلت؟ KEV (Known Exploited Vulnerabilities):** [قائمة تنشرها وكالة CISA الأمريكية](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?ref=arabroot.io) للثغرات التي ثبت أن مهاجمين يستغلونها فعلاً، ومعها مؤشر [EPSS](https://www.first.org/epss/?ref=arabroot.io) الذي يقدر احتمال الاستغلال في الأيام القادمة.

وقد شرحنا في مقال [إدارة الثغرات Vulnerability Management](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/) كيف تستخدم CVSS وEPSS وKEV معاً لترتيب الأولوية، ولماذا يخدعك رقم الإصدار على التوزيعات، فلن نكرره هنا، ويكفي أن تتذكر قاعدة واحدة: CVSS يقيس شدة الثغرة نفسها، ولا يقول هل سيرفرك متأثر بها ولا هل يستغلها أحد الآن.

### تجربة صغيرة: اقرأ سجل CVE من المصدر

لا تحتاج حساباً ولا أداة خاصة لتقرأ سجل أي ثغرة، فبرنامج CVE ينشر كل سجل بصيغة JSON عبر واجهة API مفتوحة، والأمر التالي يطلب سجل Log4Shell ويستخرج منه الكلمات الأربع باستخدام `jq`. نحفظ أولاً الاستعلام في ملف `q.jq`:

```text
{
  id: .cveMetadata.cveId,
  cna: .cveMetadata.assignerShortName,
  published: .cveMetadata.datePublished,
  cwe: [.containers.cna.problemTypes[].descriptions[].cweId],
  cvss: [.containers.adp[].metrics[]? | .cvssV3_1 // empty | {baseScore, baseSeverity, vectorString}],
  kev_added: [.containers.adp[].metrics[]? | select(.other.type == "kev") | .other.content.dateAdded]
}
```

ثم نطلب السجل:

```bash
curl -s https://cveawg.mitre.org/api/cve/CVE-2021-44228 | jq -f q.jq
```

والمخرج سوف يكون كما يلي:

```json
{
  "id": "CVE-2021-44228",
  "cna": "apache",
  "published": "2021-12-10T00:00:00.000Z",
  "cwe": [
    "CWE-502",
    "CWE-400",
    "CWE-20"
  ],
  "cvss": [
    {
      "baseScore": 10,
      "baseSeverity": "CRITICAL",
      "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H"
    }
  ],
  "kev_added": [
    "2021-12-10"
  ]
}
```

في المخرج أعلاه لاحظ التالي:

- الحقل `cna` قيمته `apache`، أي أن المورد هو من أصدر الرقم ووصف الثغرة، وهذا ما يجعل [سجل CVE](https://www.cve.org/CVERecord?id=CVE-2021-44228&ref=arabroot.io) أدق مصدر لوصف الثغرة، أما الدرجة فقد تختلف بين جهة وأخرى.
- درجة CVSS في السجل لم يضعها المورد وإنما أضافتها CISA في قسم اسمه ADP، و[قاعدة NVD](https://nvd.nist.gov/vuln/detail/CVE-2021-44228?ref=arabroot.io) تعطي الدرجة نفسها 10.0 بالإصدار 3.1 من CVSS، وتعطي 9.3 بالإصدار القديم 2.0، ولذلك اذكر دائماً إصدار CVSS مع الرقم.
- تاريخ الإضافة إلى KEV هو يوم النشر نفسه، وهذا نادر، ومعناه أن الاستغلال بدأ قبل أن يكتمل الإصلاح عند أغلب الناس.

💡

في 24 نوفمبر 2021 أبلغ مهندس من Alibaba Cloud مؤسسة Apache بالثغرة، ثم ظهرت تفاصيلها علناً في 9 ديسمبر قبل الموعد، فأصدرت Apache الإصدار 2.15.0 في 10 ديسمبر. وبحسب [تقرير مجلس مراجعة الأمن السيبراني CSRB](https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022%5F508.pdf?ref=arabroot.io) رصدت إحدى الشركات ارتفاعاً في الفحص بحثاً عن الثغرة بعد أقل من ساعتين من نشرها، وصرفت وزارة فيدرالية أمريكية واحدة 33,000 ساعة عمل على الاستجابة لها، والسبب الأكبر أن الجهات لم تكن تعرف أين توجد مكتبة Log4j داخل أنظمتها. والدرس أن معرفة الكلمات الأربع لا تنفعك دون جرد Inventory لما تشغله.

## الحدث Event والتنبيه Alert والحادث Incident: ثلاث كلمات لا تخلط بينها

قبل أن نصل إلى الأدوات نحتاج ثلاث كلمات يبنى عليها كل ما يأتي، لأن كل أداة دفاع تحول الأولى إلى الثانية، وكل فريق دفاع يقرر هل الثانية هي الثالثة:

- **الحدث Event:** أي شيء يحدث ويمكن تسجيله، مثل محاولة دخول SSH فاشلة، أو طلب HTTP، أو تشغيل برنامج. وسيرفر واحد مشغول ينتج آلاف الأحداث في الساعة، وأغلبها طبيعي.
- **التنبيه Alert:** حدث أو مجموعة أحداث طابقت قاعدة Rule كتبها أحد، مثل «خمس محاولات دخول فاشلة من عنوان واحد خلال دقيقة». والتنبيه سؤال وليس حكماً، فقد يكون موظفاً نسي كلمة المرور.
- **الحادث Incident:** تنبيه تحقق منه شخص فوجد أنه يهدد فعلاً سرية البيانات أو سلامتها أو توفر الخدمة، وهنا تبدأ [الاستجابة للحوادث Incident Response](https://csrc.nist.gov/pubs/sp/800/61/r3/final?ref=arabroot.io) بخطتها ومسؤولياتها.

ومن هذه الكلمات يأتي مصطلحان سوف تسمعهما كثيراً: الإنذار الخاطئ False Positive وهو تنبيه ظهر ولا يوجد خلفه هجوم، والهجوم الفائت False Negative وهو هجوم حقيقي لم يظهر له أي تنبيه. والثاني أخطر بكثير، لكن الأول هو ما يتعب الفريق كل يوم، فالفريق الذي يستقبل مئات التنبيهات الخاطئة يتوقف بعد أسابيع عن قراءتها، وعندها يمر التنبيه الحقيقي بينها دون أن يراه أحد.

## أدوات الكشف Detection: أين يقف كل مصطلح؟

لنفرض أن لديك عشرة سيرفرات وثلاثين جهازاً للموظفين، وتريد أن تعرف إذا دخل أحد إلى شبكتك. فالحل الأول الذي يخطر على البال هو أن تفتح سجلات كل سيرفر عند الحاجة، وهذا لا يعمل إطلاقاً، لأنك لن تعرف متى تكون «الحاجة»، ولأن المهاجم الذي يصل إلى السيرفر يمسح سجلاته أولاً. والحل الثاني أن تجمع السجلات في مكان واحد، وهو أفضل، لكن السجلات وحدها لا ترى ما يحدث داخل الجهاز ولا ما يمر في الشبكة دون أن يسجله أحد. ولذلك تتكون منظومة الكشف من ثلاثة مصادر وصندوق واحد يجمعها وفريق يقرر، والصورة التالية تبينها:

![ثلاثة مصادر على اليمين: وكيل EDR على جهاز وسيرفر، وحساس IDS على الشبكة، والسجلات من الجدار الناري والتطبيقات، تتجه كلها إلى نظام SIEM في الوسط الذي يطلق تنبيهاً إلى مركز العمليات الأمنية SOC على اليسار حيث يفرز المحللون التنبيه ويبدأون الاستجابة](https://arabroot.io/content/images/2026/10/security-terms-02-soc.webp)

المصادر تجمع الأحداث، وال SIEM يربطها، وال SOC يقرر

### نظام SIEM: المكان الذي تلتقي فيه السجلات

ال SIEM اختصار Security Information and Event Management، وهو نظام يجمع السجلات Logs من كل المصادر ويحفظها في مكان واحد ويبحث فيها، ثم يربط Correlate بين أحداث من مصادر مختلفة. والربط هو الفائدة الحقيقية، فمحاولة دخول فاشلة على سيرفر حدث عادي، وخمسون محاولة فاشلة ثم دخول ناجح من العنوان نفسه ثم تشغيل `curl` لتنزيل ملف قصة مختلفة تماماً، ولا تراها إلا إذا كانت الأحداث الثلاثة في مكان واحد. وتعريف [NIST](https://csrc.nist.gov/glossary/term/security%5Finformation%5Fand%5Fevent%5Fmanagement?ref=arabroot.io) المختصر له هو «برنامج يوفر التسجيل المركزي لأنواع متعددة من السجلات»، أما الضوابط الأساسية للأمن السيبراني فتعرفه بأنه نظام يدير ويحلل سجلات الأحداث الأمنية في الوقت الحقيقي ويطبق قواعد الربط ويرفع التقارير. ومن أمثلته مفتوحة المصدر Wazuh وGraylog، وقد قارنا تكلفته بالحلول التجارية في مقال [حلول الأمن التجارية وبدائلها مفتوحة المصدر](https://arabroot.io/articles/%D8%AD%D9%84%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%AC%D8%A7%D8%B1%D9%8A%D8%A9-%D9%88%D8%A8%D8%AF%D8%A7%D8%A6%D9%84%D9%87%D8%A7-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/).

### ال EDR: ما يحدث داخل الجهاز

ال EDR اختصار Endpoint Detection and Response، وهو وكيل Agent يثبت على كل جهاز وسيرفر، ويراقب ما لا تراه السجلات العادية: أي برنامج شغل أي برنامج آخر، وأي ملف تغير، وأي اتصال شبكي فتحه أي برنامج. والفرق بينه وبين برنامج مكافحة الفيروسات Antivirus القديم أن مكافحة الفيروسات تقارن الملفات بقائمة بصمات Signatures معروفة، أما ال EDR فيسجل السلوك ويحتفظ به، فإذا اكتشفت بعد أسبوع أن جهازاً اخترق تستطيع أن تعود وترى ما حدث عليه خطوة بخطوة، ويستطيع أيضاً أن يستجيب Response فيعزل الجهاز عن الشبكة أو يوقف برنامجاً. وستسمع أيضاً XDR، وهو توسيع للفكرة نفسها يجمع بيانات الأجهزة مع الشبكة والبريد والسحابة في منصة واحدة. ومن الأدوات مفتوحة المصدر القريبة منه وكيل Wazuh و[Velociraptor](https://docs.velociraptor.app/?ref=arabroot.io)، وقد شرحنا طريقة عمل الوكيل من الداخل في مقال [كيف يعمل وكيل EDR على الأجهزة](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D9%88%D9%83%D9%8A%D9%84-edr-%D8%B9%D9%84%D9%89-%D8%A7%D9%84%D8%A3%D8%AC%D9%87%D8%B2%D8%A9/).

### ال IDS وال IPS: ما يمر في الشبكة

نظام كشف التسلل IDS (Intrusion Detection System) يقرأ حركة الشبكة ويقارنها بقواعد لهجمات معروفة أو بسلوك غير طبيعي، ثم يطلق تنبيهاً، وتعريفه عند [NIST](https://csrc.nist.gov/glossary/term/intrusion%5Fdetection%5Fsystem?ref=arabroot.io) هو برنامج يجعل عملية كشف التسلل آلية. أما نظام منع التسلل IPS (Intrusion Prevention System) فيقف في طريق الحركة نفسها، فإذا طابقت قاعدة [حاول إيقافها](https://csrc.nist.gov/glossary/term/intrusion%5Fprevention%5Fsystem?ref=arabroot.io) قبل أن تصل. والفرق العملي مهم: ال IDS يقرأ نسخة من الحركة من منفذ مراقبة Mirror Port أو جهاز تنصت TAP، فإذا تعطل لا تتوقف الشبكة، أما ال IPS فكل حزمة تمر من خلاله، فإذا أخطأ في قاعدة أوقف خدمة سليمة، ولهذا تبدأ أغلب الفرق بوضع الكشف فقط ثم تحول القواعد المجربة إلى منع.

وهناك تقسيم آخر بحسب المكان: NIDS على الشبكة مثل [Suricata](https://suricata.io/?ref=arabroot.io) و[Zeek](https://zeek.org/?ref=arabroot.io)، وHIDS على الجهاز نفسه يراقب سجلاته وملفاته، ووكيل Wazuh يقوم بالدور الثاني. وتذكر أن ال IDS على الشبكة لا يرى محتوى الحركة المشفرة بـ TLS، فيرى من يتصل بمن ومتى وكم، ولا يرى ما بداخل الطلب، وهذا سبب إضافي لوجود ال EDR على الأجهزة. والمرجع الأساسي لهذا الموضوع هو دليل [NIST SP 800-94](https://csrc.nist.gov/pubs/sp/800/94/final?ref=arabroot.io).

### مركز العمليات الأمنية SOC: الفريق الذي يقرأ التنبيهات

ال SOC اختصار Security Operations Center، وهو الفريق والإجراءات التي تراقب التنبيهات وتفرزها Triage وتقرر ما الذي يحتاج استجابة، سواءً كان غرفة فيها شاشات ومناوبة على مدار الساعة أو شخصين في فريق صغير يقرآن التنبيهات في ساعات العمل. وقد يتساءل البعض: إذا كان عندي SIEM فهل عندي SOC؟ والإجابة لا، فال SIEM أداة تنتج التنبيهات، وال SOC هو من يقرؤها ويعرف ماذا يفعل بها، والجهة التي تشتري SIEM ولا تعين أحداً لقراءته تملك سجلاً مرتباً للهجوم بعد وقوعه فقط. ولذلك تلجأ الجهات الصغيرة غالباً إلى مزود خدمة مدارة MSSP (Managed Security Service Provider) أو خدمة كشف واستجابة مدارة MDR (Managed Detection and Response)، فيراقب المزود التنبيهات ويبلغها بما يحتاج قراراً.

وفيما يلي ملخص الأدوات الأربع:

| المصطلح   | ماذا يرى؟                                | أين يعمل؟                                 | مثال مفتوح المصدر        |
| --------- | ---------------------------------------- | ----------------------------------------- | ------------------------ |
| SIEM      | السجلات من كل المصادر، ويربط بينها       | سيرفر مركزي                               | Wazuh، Graylog           |
| EDR       | العمليات والملفات والاتصالات داخل الجهاز | وكيل على كل جهاز وسيرفر                   | وكيل Wazuh، Velociraptor |
| IDS / IPS | حركة الشبكة، دون محتوى المشفر منها       | حساس على الشبكة، أو في طريق الحركة لل IPS | Suricata، Zeek           |
| SOC       | التنبيهات القادمة من كل ما سبق           | فريق وإجراءات، داخلي أو مدار              | لا ينطبق، فهو أشخاص      |

## الفرق الملونة: الأحمر والأزرق والبنفسجي والأبيض

الألوان جاءت من التدريبات العسكرية، حيث يلعب فريق دور العدو ويدافع فريق آخر، وانتقلت إلى الأمن السيبراني بالمعنى نفسه تقريباً، والصورة التالية تبين الفرق بينها:

![الفريق الأبيض في الأعلى يكتب قواعد الاشتباك والنطاق، وتحته ثلاث بطاقات: الفريق الأحمر بحاسوب أحمر يحاكي المهاجم بإذن مكتوب، والفريق البنفسجي بشخصين أحمر وأزرق وثلاث خطوات، والفريق الأزرق بدرع أخضر يراقب ويستجيب](https://arabroot.io/content/images/2026/10/security-terms-03-teams.webp)

الأحمر يكتشف الطريق، والأزرق يغلقه، والبنفسجي يربطهما، والأبيض يضع القواعد

- **الفريق الأحمر Red Team:** بحسب [تعريف NIST](https://csrc.nist.gov/glossary/term/red%5Fteam?ref=arabroot.io) هو مجموعة مصرح لها بأن تحاكي قدرات مهاجم محتمل ضد المؤسسة، وهدفه أن يثبت أثر الهجوم الناجح وما الذي يعمل وما لا يعمل في الدفاع. والفرق بينه وبين اختبار الاختراق Penetration Testing أن اختبار الاختراق يحاول أن يجد أكبر عدد من الثغرات في نطاق محدد خلال أيام، أما الفريق الأحمر فيأخذ هدفاً واحداً مثل «الوصول إلى قاعدة بيانات العملاء» ويحاول الوصول إليه بهدوء كما يفعل مهاجم حقيقي، وغالباً دون أن يعرف فريق الدفاع بالموعد.
- **الفريق الأزرق Blue Team:** بحسب [NIST](https://csrc.nist.gov/glossary/term/blue%5Fteam?ref=arabroot.io) هو الفريق المسؤول عن الدفاع والحفاظ على الوضع الأمني، وفي الواقع هو فريقك اليومي: من يقوم بتقوية السيرفرات Hardening ويراقب ال SIEM ويستجيب للحوادث، سواءً كان هناك فريق أحمر أم لا.
- **الفريق البنفسجي Purple Team:** ليس فريقاً ثالثاً بموظفين جدد، وإنما طريقة عمل يجلس فيها الفريقان معاً، فينفذ الأحمر خطوة هجوم واحدة، ويبحث الأزرق في الوقت نفسه هل ظهرت في ال SIEM، وإن لم تظهر يكتب قاعدة Rule جديدة ويعيدان الخطوة. والفائدة أن كل خطوة هجوم تتحول إلى قاعدة كشف في اليوم نفسه، بدلاً من تقرير يصل بعد شهر ويقرؤه الفريق الأزرق متأخراً، والمرجع الذي يستخدمه الفريقان لترقيم هذه الخطوات هو [MITRE ATT&CK](https://attack.mitre.org/?ref=arabroot.io).
- **الفريق الأبيض White Team:** بحسب [NIST](https://csrc.nist.gov/glossary/term/white%5Fteam?ref=arabroot.io) مجموعة صغيرة تعرف مسبقاً بنشاط الفريق الأحمر، وتراقبه وتتأكد أن الاختبار لا يتجاوز الحدود المتفق عليها، فهو من يكتب قواعد الاشتباك Rules of Engagement والنطاق Scope، ومن يوقف الاختبار إذا خرج عنهما، ومن يميز بين هجوم الاختبار وهجوم حقيقي يصادف أن يقع في الوقت نفسه.

🛑

لا تقم بتجربة أي أداة هجوم على نظام لا تملكه أو لا تملك إذناً مكتوباً باختباره، حتى لو كان الهدف «مجرد فحص منافذ»، والسبب أن الفحص دون إذن قد يخالف الأنظمة ويوقف خدمات الآخرين، وكل مقالات الفريق الأحمر في هذه المرحلة تعمل على مختبر Lab من Containers تملكها أنت فقط.

## أين تظهر هذه المصطلحات في الضوابط الأساسية NCA ECC؟

إذا كانت جهتك تخضع [للضوابط الأساسية للأمن السيبراني NCA ECC](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/) فسوف تقابل أغلب هذه المصطلحات في نص [الإصدار ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io) نفسه، وأهمها:

| المكون الفرعي في ECC                             | ماذا يطلب باختصار؟                                                                                                                                               | المصطلحات                     |
| ------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------- |
| 2-10 إدارة الثغرات                               | اكتشاف الثغرات دورياً، وتصنيفها بحسب خطورتها (2-10-3-2)، ومعالجتها بحسب التصنيف والمخاطر (2-10-3-3)                                                              | CVE، CVSS                     |
| 2-11 اختبار الاختراق                             | نطاق يشمل كل الخدمات المقدمة عبر الإنترنت ومكوناتها التقنية (2-11-3-1)، واختبارات دورية (2-11-3-2)                                                               | Penetration Testing، Red Team |
| 2-12 إدارة سجلات الأحداث ومراقبة الأمن السيبراني | تفعيل السجلات للأصول الحساسة والحسابات المميزة، وتحديد تقنيات SIEM لجمعها (2-12-3-3)، والمراقبة المستمرة (2-12-3-4)، والاحتفاظ بها 12 شهراً على الأقل (2-12-3-5) | SIEM، SOC                     |
| 2-13 إدارة حوادث وتهديدات الأمن السيبراني        | خطط الاستجابة والتصعيد، وتصنيف الحوادث، وإبلاغ الهيئة بها، ومعلومات التهديدات                                                                                    | Incident، Threat Intelligence |

ولاحظ أن الضوابط تطلب «تحديد تقنيات SIEM» و«المراقبة المستمرة» ولا تحدد منتجاً بعينه، فالمدقق يسأل عن الدليل على أن السجلات تجمع وتراقب وتحفظ المدة المطلوبة، وهذا ما تستطيع تحقيقه بأدوات مفتوحة المصدر إذا وثقته، كما شرحنا في مقال [مصطلحات GRC](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/).

## أخطاء شائعة Common Mistakes في فهم المصطلحات

- **معاملة CVSS كأنها مستوى الخطر على مؤسستك:** ثغرة بدرجة 9.8 في برنامج لا تشغله لا تعني لك شيئاً، وثغرة بدرجة 6.5 على سيرفرك المكشوف للإنترنت ومذكورة في KEV أولى منها، والسبب أن الخطر Risk يحسب من الثغرة ومن مكانها عندك ومن احتمال استغلالها معاً.
- **شراء SIEM واعتباره SOC:** الأداة دون شخص يقرأ تنبيهاتها كل يوم ودون إجراء مكتوب لما يفعله عند التنبيه لا تكشف شيئاً في الوقت المناسب.
- **الخلط بين فحص الثغرات واختبار الاختراق:** فحص الثغرات Vulnerability Scan أداة آلية تبحث عن إصدارات وإعدادات معروفة، واختبار الاختراق عمل شخص يحاول أن يستغل ويربط الثغرات ليصل إلى هدف، والضوابط تطلب الاثنين لأن كل واحد منهما يرى ما لا يراه الآخر.
- **تحويل كل قواعد ال IDS إلى منع من أول يوم:** قاعدة واحدة خاطئة في ال IPS توقف خدمة سليمة، فابدأ بالكشف وراقب الإنذارات الخاطئة أسبوعين، ثم حول القواعد المجربة إلى منع.
- **اعتبار الفريق الأحمر خصماً للفريق الأزرق:** الهدف من كليهما واحد، والفريق الأحمر الذي يكتب تقريراً لا يتحول إلى قواعد كشف وإصلاحات قد صرف وقته في إثبات ما يعرفه الجميع.

## جدول المصطلحات Glossary

| المصطلح                          | المعنى في سطر                                                     |
| -------------------------------- | ----------------------------------------------------------------- |
| CVE                              | رقم عالمي فريد لثغرة واحدة                                        |
| CWE                              | نوع الغلطة البرمجية التي سببت الثغرة                              |
| CVSS                             | درجة شدة الثغرة من 0 إلى 10، مع إصدار المواصفة                    |
| KEV / EPSS                       | هل استغلت فعلاً، وما احتمال استغلالها قريباً                      |
| Event / Alert / Incident         | ما حدث، وما طابق قاعدة، وما ثبت أنه هجوم                          |
| False Positive / False Negative  | تنبيه دون هجوم، وهجوم دون تنبيه                                   |
| SIEM                             | جمع السجلات من كل المصادر والربط بينها والتنبيه                   |
| EDR / XDR                        | مراقبة السلوك داخل الأجهزة والاستجابة عليها، وتوسيعها لمصادر أخرى |
| IDS / IPS                        | كشف التسلل في حركة الشبكة، ومنعه إذا كان في طريقها                |
| SOC / MSSP / MDR                 | الفريق الذي يقرأ التنبيهات، داخلي أو خدمة مدارة                   |
| Red / Blue / Purple / White Team | من يهاجم بإذن، ومن يدافع، وطريقة عملهما معاً، ومن يضع القواعد     |

## الخلاصة

وصلنا لنهاية الموضوع، وأهم ما يجب أن تتذكره:

- CVE اسم وCVSS شدة وKEV دليل على الاستغلال، ولا يقول أي منها هل سيرفرك متأثر، فهذا يحتاج جرداً لما تشغله.
- الحدث شيء حدث، والتنبيه سؤال، والحادث هجوم ثبت، وكثرة الإنذارات الخاطئة تجعل الفريق يتجاهل التنبيه الحقيقي.
- ال EDR يرى ما يحدث داخل الجهاز، وال IDS يرى الشبكة، والسجلات ترى التطبيقات، وال SIEM يجمعها ويربط بينها.
- ال SOC فريق وإجراءات، وأداة دون شخص يقرؤها لا تعد مراقبة.
- الأحمر يهاجم بإذن مكتوب، والأزرق يدافع، والبنفسجي يحول كل خطوة هجوم إلى قاعدة كشف، والأبيض يضع النطاق والقواعد.

وفي المقالات القادمة من هذه المرحلة سوف ننتقل من المصطلحات إلى التطبيق: كيف يفكر المهاجم خطوة بخطوة مع MITRE ATT&CK، ثم تقوية السيرفر وقياسها، والحظر الجماعي مع CrowdSec، ثم الجانب الأحمر بإذن ومنهجية: اختبار الاختراق المصرح به، وKali Linux، وNmap.

[![](https://arabroot.io/content/images/2026/10/vuln-management-cover-cover.webp)دليلإدارة الثغرات Vulnerability Management: هل سيرفرك متأثر؟كيف تعرف خلال ساعات أن ثغرة جديدة تمس سيرفراتك، ولماذا يخدعك رقم الإصدار، وكيف ترتب الإصلاح وتتأكد أنه تم فعلاً.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/)[![](https://arabroot.io/content/images/2026/10/security-oss-alternatives-cover-cover.webp)دليلحلول الأمن التجارية وبدائلها مفتوحة المصدر: متى توفر فعلاً؟لكل فئة من حلول الأمن التجارية الشائعة في السعودية بديل مفتوح المصدر، وهنا تعرف متى يوفر عليك فعلاً ومتى يكون التجاري أفضل.](https://arabroot.io/articles/%D8%AD%D9%84%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%AA%D8%AC%D8%A7%D8%B1%D9%8A%D8%A9-%D9%88%D8%A8%D8%AF%D8%A7%D8%A6%D9%84%D9%87%D8%A7-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/)[![](https://arabroot.io/content/images/2026/10/mitre-attack-cover-cover.webp)دليلMITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوةلغة موحدة لسلوك المهاجمين مبنية على حوادث موثقة، نقرأ بها هجوم فدية حقيقياً مرحلة بمرحلة ونربط كل خطوة بالدفاع المقابل.](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/)[![](https://arabroot.io/content/images/2026/10/server-hardening-cover-cover.webp)دليلتقوية السيرفر Hardening وقياسها مع Lynis ومعايير CISالتقوية حالة تقاس برقم لا شعور، فنقيس خادم Debian قبل وبعد بأداتي Lynis وCIS ونرى الفرق على السيرفر نفسه.](https://arabroot.io/articles/%D8%AA%D9%82%D9%88%D9%8A%D8%A9-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1-hardening-%D9%88%D9%82%D9%8A%D8%A7%D8%B3%D9%87%D8%A7-%D9%85%D8%B9-lynis-%D9%88-cis/)[![](https://arabroot.io/content/images/2026/10/crowdsec-cover-cover.webp)دليلCrowdSec: اكتشاف هجمات التخمين وحظرها جماعياًنبني مختبراً من حاويتين، نشن تخميناً حقيقياً على SSH، ونرى CrowdSec يكتشفه ويصدر قرار حظر ينفذه الجدار الناري.](https://arabroot.io/articles/crowdsec-%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D9%88%D8%AD%D8%B8%D8%B1-%D8%A7%D9%84%D8%AA%D8%AE%D9%85%D9%8A%D9%86-brute-force/)[![](https://arabroot.io/content/images/2026/10/pentest-methodology-cover-cover.webp)دليلاختبار الاختراق المصرح به: المنهجية والإذن والتقريرالأمر الذي ينفذه المختبر هو نفسه أمر المهاجم، والفرق ورقة: الإذن والنطاق وقواعد الاشتباك، ثم تقرير يصلح الفريق على أساسه.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D8%AE%D8%AA%D8%B1%D8%A7%D9%82-%D8%A7%D9%84%D9%85%D8%B5%D8%B1%D8%AD-%D8%A8%D9%87-%D8%A7%D9%84%D9%85%D9%86%D9%87%D8%AC%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D8%A7%D8%B0%D9%86-%D9%88%D8%A7%D9%84%D8%AA%D9%82%D8%B1%D9%8A%D8%B1/)[![](https://arabroot.io/content/images/2026/10/nmap-cover-cover.webp)دليلاستكشاف الشبكة والمنافذ والخدمات مع Nmapنشغل Nmap على مختبر من Containers نملكها بثلاث خدمات، ونمر على الاكتشاف وفحص المنافذ وكشف الإصدار ومحرك السكربتات NSE بمخرج حقيقي.](https://arabroot.io/articles/%D8%A7%D8%B3%D8%AA%D9%83%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D9%86%D8%A7%D9%81%D8%B0-%D9%85%D8%B9-nmap/)

## تدريب عملي Practice

- اختر ثلاثة برامج تشغلها على سيرفراتك، وابحث عن آخر CVE لكل منها في [cve.org](https://www.cve.org/?ref=arabroot.io)، ثم اقرأ سجلها بالأمر أعلاه واكتب درجة CVSS وهل هي في KEV.
- اكتب على ورقة مصادر الأحداث عندك اليوم: هل لديك سجلات مركزية؟ هل لديك وكيل على الأجهزة؟ هل يقرأ أحد التنبيهات كل يوم؟ والإجابات الثلاث هي خريطتك لما تحتاجه من هذه المرحلة.

## سجل التحديثات

- أكتوبر 2026: كتابة المقال، وقراءة سجل CVE-2021-44228 من واجهة CVE API يوم 25 أكتوبر 2026، ومراجعة المكونات 2-10 إلى 2-13 في نص ECC-2:2024.