يتلقى تطبيق ويب موجود على العنوان 10.0.10.20 طلباً من حاسوب المحلل المحمول (العنوان 10.0.10.50)، بينما تصل لاحقاً دفعة من حركة البيانات (traffic burst) من العنوان 10.0.30.66 لتستهدف كلتا الشبكتين الفرعيتين الداخليتين. لا يحتاج المهاجم إلى تسجيل الدخول لترك أثر أو أدلة؛ إذ تسجل كل حزمة بيانات (packet) مصدر حركة البيانات، ووجهتها، والبروتوكول المستخدم لنقلها. ويكمن التحدي الذي يواجه المدافع في كيفية كشف كل من حركة مرور الويب المتوقعة وعمليات الفحص المشبوهة من خلال جلسة واحدة مسجلة، دون التعامل مع البيانات الملتقطة على أنها مجرد تدفق غير مفهوم من البايتات.
يضم مختبرنا الثابت حاسوب المحلل وتطبيق الويب ضمن النطاق 10.0.10.0/24 (مع وجود خادم DNS عند 10.0.10.53 وقاعدة بيانات عند 10.0.20.10). وتتصل هذه الشبكات ببعضها عبر جدار حماية وموجه (راوتر) يستخدمان العناوين 10.0.10.1 و10.0.20.1؛ بينما توجد الآلة الافتراضية الخاصة بالمهاجم بشكل منفصل عند العنوان 10.0.30.66. تبدأ عملية التقاط البيانات بحركة مرور DNS والويب، ثم تتضمن اتصالات من آلة المهاجم الافتراضية بعناوين موزعة على الشبكتين الداخليتين. وسنعود لاستخدام هذه العناوين المحددة طوال فترة الدورة التدريبية، مما يضمن وجود مرجع أساسي (baseline) معلوم لأي عمليات تصفية أو تنبيهات لاحقة.
يوضح الرسم التخطيطي التالي مواقع الأجهزة والعناوين وحركة البيانات الملتقطة:
يوضح هذا الرسم البياني أهمية عملية المسح اللاحقة. فبينما يكون لطلب العميل (client request) الموجه إلى تطبيق الويب غرضٌ متوقع، قد تشير الاتصالات المتكررة الصادرة من العنوان 10.0.30.66 إلى وجهات متعددة إلى محاولة استطلاع (reconnaissance). وفي حال فشل إجراءات الوقاية وسمح جدار الحماية بمرور حركة مرور غير مرغوب فيها، تظل عملية التقاط الحزم (packet capture) مصدراً للكشف، نظراً لأنها تسجل عنوان المصدر، وعنوان الوجهة، والبروتوكول، والتوقيت. وتُصنَّف عملية “اكتشاف خدمات الشبكة” (Network Service Discovery) ضمن تقنيات إطار عمل ATT&CK تحت الرمز T1046 (في الإصدار v20 الصادر في أكتوبر 2026)، ويمكن للمدافعين رصد نمطها الشبكي من خلال سجلات جدار الحماية، أو سجلات تدفق البيانات (flow records)، أو عمليات التقاط الحزم.
يصبح الطلب المُلتقَط مفهوماً عند النظر إليه من منظور التغليف (encapsulation)، وهي العملية التي يتم فيها وضع بيانات بروتوكول معين داخل ترويسة بروتوكول آخر. على سبيل المثال، يتطلب طلب المتصفح GET /login أكثر من مجرد النص الخاص به؛ إذ يجب أن تحمل الشبكة أيضاً معلومات حول منفذ الوجهة، وعنوان IP الخاص بالوجهة، ووجهة الشبكة المحلية.
ينظم كل من نموذج OSI ونموذج TCP/IP هذه العملية بطرق مختلفة؛ حيث يصف نموذج OSI سبع طبقات، بينما يجمع نموذج TCP/IP الحزمة عادةً في طبقات: التطبيق (application)، والنقل (transport)، والإنترنت (internet)، والربط (link). ولا يمثل أي من النموذجين شبكة منفصلة بحد ذاته، بل يصف كلاهما إطار Ethernet الذي سجله برنامج Wireshark.
بالنسبة لطلب واحد صادر من 10.0.10.50 وموجه إلى 10.0.10.20، ما هي المعلومات التي تحدد التسليم المحلي، والتسليم إلى المضيف (host)، والخدمة المستقبِلة، والصفحة المطلوبة؟ يوضح تكوين الحزمة (packet stack) أدناه هذه الحدود بشكل مرئي:
تُظهر هذه البنية (المكدس) الإجابة بدءاً من الخارج وصولاً إلى الداخل. يستخدم بروتوكول Ethernet عناوين MAC لتسليم الإطار (frame) عبر الرابط المحلي. ويحمل بروتوكول IPv4 العنوانين 10.0.10.50 و 10.0.10.20 لتمكين الموجهات (routers) من تمرير الحزمة بين الشبكات. كما يستخدم بروتوكول TCP المنفذين 51514 و 80 لتحديد طرفي الاتصال، بينما يحمل بروتوكول HTTP الأمر GET /login كبيانات للتطبيق. وبناءً على ذلك، يمكن لمحلل الحزم طرح سؤال مختلف عند كل طبقة بدلاً من البحث في جميع الحقول دفعة واحدة.
ترتيب الترويسات (Headers) اقرأ حقول الحزمة بدءاً من تسليم الرابط (link delivery)، مروراً بتسليم المضيف (host delivery)، ووصولاً إلى تسليم الخدمة (service delivery)، وذلك قبل تفسير طلب التطبيق.
نظراً لأن الإطار يحتوي على عدة طبقات في آن واحد، فإن لوحة تفاصيل الحزمة في Wireshark تقوم بتوسيعها وعرضها كمدخلات بروتوكول منفصلة. يعرض Ethernet II حقول MAC الخاصة بالطبقة الثانية (Layer 2)، ويعرض Internet Protocol Version 4 عناوين الطبقة الثالثة (Layer 3)، بينما يعرض Transmission Control Protocol المنافذ وأعلام التحكم (control flags) الخاصة بالطبقة الرابعة (Layer 4). أما المدخل الخاص بـ Hypertext Transfer Protocol (أي HTTP) فلا يظهر إلا عندما يتمكن Wireshark من التعرف على بيانات HTTP واضحة.
لا يحتوي كل إطار بالضرورة على طلب HTTP. فقبل الأمر الأول GET /login، يقوم بروتوكول TCP بإنشاء الاتصال عبر إرسال حزمة SYN من 10.0.10.50 واستلام رد SYN/ACK من 10.0.10.20. ورغم أن هذه الحزم تحدد المضيفين والمنفذين، إلا أنها لا تحمل أي طلب لصفحة ويب. تستخرج المخرجات المرجعية أدناه الحقول من نفس تدفق البيانات (flow) دون الادعاء بتنفيذها على أي نظام فعلي: