محلل SOC: الفريق الأزرق من الصفر

شغل الـ Blue Team، أدوار الـ SOC، إدارة الحوادث بـ TheHive، الـ threat intelligence بـ MISP، والـ SIEM بالـ Elastic Stack.

1. الأسبوع 1أساسيات الـ Blue Team وتجهيز المعمل

   • 1شغل المدافع: الفرق بين event و alert و incidentتطبيق عملي: تبني المعمل الـ virtual بتاعك وتبدأ أول rooms في TryHackMe.

2. الأسبوع 2جوه الـ SOC

   • 1أدوار Tier 1 و 2 و 3، وإزاي تبني شبكة سهل تدافع عنهاتطبيق عملي: ترتّب مجموعة alerts حسب نوعها وأهميتها.

3. الأسبوع 3إدارة الحوادث

   • 1حياة الـ case: من الـ alert لحد التقريرتطبيق عملي: تفتح case وتحقق فيها وتوثّقها في TheHive.

4. الأسبوع 4الـ Threat Intelligence

   • 1مؤشرات الاختراق وطريقة تفكير المهاجمتطبيق عملي: تستورد IoCs في MISP وتطابقها مع الـ logs بتاعتك.

5. الأسبوع 5الـ SIEM بالـ Elastic Stack

   • 1تجميع الـ logs بـ Elasticsearch و Logstash و Kibanaتطبيق عملي: تدوّر بـ KQL وتعمل أول dashboard للـ SOC.

التقاط الترافيك وقرايته بـ Wireshark، وهجمات الـ DNS والويب والإيميل والـ phishing وإزاي تكشفها.

1. الأسبوع 6التقاط ترافيك الشبكة

   • 1الـ packets والـ TAPs والـ SPAN، وقراية الترافيك في Wiresharkتطبيق عملي: تطلّع الاتصالات المشبوهة من ملف PCAP.

2. الأسبوع 7الـ DNS والهجمات اللي بتستخبى فيه

   • 1DNS tunneling و fast flux والـ domains المتولّدة أوتوماتيكتطبيق عملي: تكشف قناة command and control مستخبية في ترافيك الـ DNS.

3. الأسبوع 8ترافيك الويب: HTTP و HTTPS

   • 1الـ requests والـ headers، محاولات الاختراق، والترافيك المتشفّرتطبيق عملي: تمسك download خبيث في logs الويب بـ Zeek.

4. الأسبوع 9الإيميل والـ phishing

   • 1الـ headers بتاعة الإيميل و SPF و DKIM و DMARCتطبيق عملي: تفكّك إيميل phishing موجّه وتفحص المرفق بتاعه.

logs الـ Windows و Sysmon و Linux، توحيد الـ logs وتحليلها، وفحص الملفات المشبوهة بأمان.

1. الأسبوع 10الـ logs في Windows

   • 1المهاجم بيتحرك إزاي على الأجهزة، والدفاع على أكتر من طبقةتطبيق عملي: تشغّل وتراجع أهم logs في Windows ومعاها Sysmon.

2. الأسبوع 11قراية أحداث Windows

   • 1تشغيل الـ processes، رفع الصلاحيات، وتعديلات الـ Registryتطبيق عملي: تتتبّع اختراق خطوة بخطوة في Event Viewer و Sysmon.

3. الأسبوع 12logs الـ Linux وتوحيد الداتا

   • 1‏/var/log و auditd، وإزاي logs من مصادر مختلفة تبقى بنفس الشكلتطبيق عملي: تزوّد معلومات على الـ logs وتعمل منها visualizations.

4. الأسبوع 13الملفات المشبوهة

   • 1أنواع الملفات والـ magic bytes والكود المتلخبط عمدًا، من غير ما تشغّلهتطبيق عملي: تفحص عيّنة malware بأمان وتطلّع الـ hashes بتاعتها.

ترتيب أولويات الـ alerts، التحليل المنظّم، تقليل الـ false positives، وأساسيات الأتمتة بـ SOAR.

1. الأسبوع 14فرز الـ alerts والتحليل المنظّم

   • 1زحمة الـ alerts، الأولويات، وإزاي تختبر الفرضيات بتاعتكتطبيق عملي: تحدي بوقت: تفرز طابور alerts شبه الحقيقية.

2. الأسبوع 15ضبط الـ detections والأتمتة

   • 1تقليل الـ false positives، كتابة detection rules، وأساسيات SOARتطبيق عملي: تظبط rule بتطلع alerts كتير على الفاضي، وتعمل automation لخطوة من الفرز.

عزل الأجهزة المصابة، التحضير للإنترفيو، مسابقة CTF للتخرج، والمشروع النهائي: تحقيق كامل في هجوم وتقرير incident.

1. الأسبوع 16عزل الهجوم، الشغل، ومسابقة التخرج

   • 1عزل الأجهزة المصابة، التحضير للإنترفيو، و CTF للـ Blue Teamتطبيق عملي: تعزل جهاز مصاب، وبعدين تدخل مسابقة الـ CTF بتاعة التخرج.

أيوه. الكورس بيبدأ من الصفر، والشبكات اللي هتحتاجها بنشرحها قبل ما تستخدمها على طول.

منصة تدريب أونلاين. بنحلّ مسار SOC Level 1 بتاعها أسبوع بأسبوع جنب الكورس، وبتخلص ومعاك profile الشركات تقدر تشوفه. الحساب المجاني كفاية عشان تبدأ.

بيغطي المهارات اللي شهادات الـ SOC analyst بتختبرها، زي GIAC GSOC، فهيبقى أساس قوي لو حبيت تمتحنها بعدين. الامتحان نفسه بيتحجز ويتدفع لوحده.

لا، لو الكورس مكتوب عليه من الصفر. ولو مش عارف تختار مسار، ابدأ بـ Starter.

كل محاضرة متسجلة وهتلاقيها في الأبليكيشن 6 شهور، وتقدر تسأل عليها في المحاضرة اللي بعدها.

الاتنين. تحضر في المكان أو تدخل أونلاين لايف، وتقدر تغيّر لو احتجت.

بعد ما نكلمك ونأكدلك مكانك. تقدر تقسّط على قسطين، بمحفظة موبايل أو كاش، وبتاخد إيصال على كل دفعة.

أيوه، لو حضرت 80% من المحاضرات وجبت 75% في التاسكات الأسبوعية. وكل شهادة ليها لينك أي حد يقدر يفتحه ويتأكد منها.