يُصدر جهاز العمل WS-017 -وهو جهاز منضم إلى نطاق (domain)- تنبيهاً بعد بدء تشغيل powershell.exe باستخدام حساب غير معتاد. تؤكد عملية الفحص الأولي وجود نصوص برمجية مشبوهة ولكنها تتوقف عند هذا الحد، فتغفل آلية “الاستمرارية” (persistence) التي تظل قائمة حتى بعد إنهاء عملية PowerShell. لم يكن المهاجم بحاجة إلى ثغرة أمنية جديدة في جهاز العمل؛ بل كان بحاجة إلى حساب نطاق قابل للاستخدام وطريقة لجعل جهاز مضيف واحد ينفذ الإجراء الخاص به.
يتمثل سؤال المدافع في معرفة ما إذا كان تنبيه PowerShell حدث تنفيذ معزولاً أم خطوة ضمن تسلسل أكبر. وعلى مدار الدروس السبعة القادمة، سنحول السجلات المتبقية على WS-017 إلى جدول زمني موثق ومدعوم بالأدلة، ونحدد التغييرات التي طرأت، ونقرر نوع الاستجابة التي تدعمها الأدلة. فالنتيجة الموثقة هي التي تحدد المضيف والحساب والإجراء والوقت والأثر الرقمي (artifact) الذي يدعم الاستنتاج، بدلاً من الاعتماد فقط على مسمى التنبيه.
أبسط الحالات هي حدث تنفيذ يُظهر قيام الحساب ACME\svc_backup بتشغيل powershell.exe على الجهاز WS-017 في الساعة 09:24. يثبت هذا السجل أن عملية ما قد بدأت باستخدام ذلك الكيان (principal)، لكنه لا يوضح كيف وصل الحساب إلى المضيف، أو ما هو النص البرمجي الذي تم تشغيله، أو ما إذا تم إنشاء آلية استمرارية، أو ما إذا كانت العملية قد نجحت. وتجيب كل معلومة أو أثر لاحق عن أحد تلك الأسئلة الأكثر تفصيلاً.
قاعدة التحقيق
تعامل مع كل تنبيه كنقطة انطلاق. تحقق من صحة ادعائه باستخدام أدلة خاصة بالمضيف قبل تحديد النطاق أو السبب أو التأثير.
لمنع تحول السجلات غير ذات الصلة إلى سيناريو خاطئ، يستخدم كل مختبر نفس الحدود الثابتة. المضيف هو WS-017 والمنضم إلى النطاق ACME.LOCAL. المستخدم التفاعلي المتوقع للجهاز هو ACME\j.smith. أما الكيان المشبوه فهو ACME\svc_backup؛ وهو حساب خدمة يتطلب استخدامه على جهاز عمل خاص بمستخدم عادي تقديم تفسير لذلك. وتغطي فترة الحادث النطاق الزمني من 09:10 إلى 10:05 بالتوقيت المحلي في 14 سبتمبر 2026.
تتيح لنا هذه الثوابت الربط بين الأدلة دون افتراض أن كل حدث هو حدث ضار. يمكن لسجل الأمان (Security log) تحديد هوية الكيان من خلال حقول مثل SubjectUserName وتحديد نوع الجلسة من خلال LogonType. كما تكتسب عناصر مثل مسار صورة العملية (process image path)، ومسار السجل (registry path)، وتكوين الخدمة (service configuration) دلالتها الحقيقية فقط عند ربطها بالجهاز WS-017 وبالنطاق الزمني المحدد. إذا كان السجل يشير إلى مضيف آخر أو يقع خارج النطاق الزمني المحدد، فإننا نحتفظ به فقط عند وجود أدلة تثبت وجود علاقة مباشرة.
تُعد مجموعة “المسؤولين المحليين” (Local Administrators) حداً فاصلاً بالغ الأهمية في هذه الحالة؛ إذ ينبغي للحساب ACME\j.smith أن يعمل بصلاحيات مستخدم عادي، في حين قد تتمتع الإجراءات التي ينفذها الحساب ACME\svc_backup بصلاحيات إدارية. كما أن الملف التنفيذي نفسه يحمل دلالة تحقيقية مختلفة عند تشغيله باستخدام حساب يمتلك صلاحيات تثبيت الخدمات، أو كتابة مفاتيح السجل (Registry keys) على مستوى النظام، أو تعديل إعدادات الأمان.
يربط نطاق الحالة بين هوية النطاق (Domain identity)، وحدود الصلاحيات المحلية، والنطاق الزمني للحادثة في عرض واحد:
يحدد هذا المخطط نطاق العمل لكل سؤال لاحق. نحن نحقق في النشاط على الجهاز WS-017 خلال فترة الـ 55 دقيقة المحددة، ثم نوسع نطاق البحث فقط عندما تشير إحدى الأدلة (الآثار الرقمية) إلى ما يتجاوز تلك الحدود.
بمجرد تحديد نطاق الحالة، يجب اختيار مصادر الأدلة بناءً على السؤال الذي يمكنها الإجابة عليه، وليس لمجرد أن إحدى قنوات السجلات تبدو أكثر موثوقية. يسجل “سجل أحداث Windows” (Windows Event Log) أنشطة نظام التشغيل والأمان، بينما يضيف Sysmon بيانات قياس تفصيلية عن نقطة النهاية (endpoint telemetry) عند تهيئته للقيام بذلك. ويحتفظ “سجل النظام” (Registry) بإعدادات تظل موجودة حتى بعد انتهاء العملية (process) التي أنشأتها. لا يوجد مصدر واحد يثبت التسلسل الكامل للأحداث.
بالنسبة للجهاز WS-017، ستستخدم المختبرات اللاحقة أربع فئات من الأدلة:
Microsoft-Windows-Sysmon/Operational لربط أحداث إنشاء العمليات، ونشاط الشبكة، وإنشاء الملفات، وتغييرات السجل (registry) التي سجلها Sysmon.Microsoft-Windows-PowerShell/Operational لتحديد ما سجله PowerShell بخصوص أنشطة البرمجة النصية (scripting).HKLM و HKCU لفحص تغييرات الإعدادات على مستوى الجهاز بالكامل وعلى مستوى المستخدم.يسجل حدث النظام رقم 7045 قيام “مدير التحكم في الخدمات” (Service Control Manager) بتثبيت خدمة ما، متضمناً اسم الخدمة، ومسار الملف التنفيذي (image path)، ونوع البدء، وحساب الخدمة. في حد ذاته، يثبت الحدث 7045 إنشاء الخدمة، ولكنه لا يثبت وجود نية خبيثة. يجب علينا مقارنة المسار والحساب بالإجراءات الإدارية المتوقعة، ثم الربط بين عمليات تسجيل الدخول القريبة زمنياً وأدلة العمليات. إذا تم إنشاء خدمة ولكن لم يتم جمع مسار ملفها التنفيذي أو كان مصدر التدقيق ذو الصلة مفقوداً، فإن التحقيق سيواجه “نقطة عمياء” يجب الإقرار بوجودها بوضوح.
تختلف مصادر الأدلة من حيث التغطية، والحقول، وأنماط الفشل: