EDR & Endpoint Security practical

Sen00ooYassin Saad (Sen00oo) -

 

إزاي تطبق عمليًا اللي بتذاكره في EDR & Endpoint Security



 أولًا: ابني بيئة لاب بسيطة على جهازك

الأدوات اللي تحتاجها:

الأداةالوظيفة
🖥️ Windows 10 VMجهاز الضحية – تراقب عليه كل حاجة
🐧 Kali Linux أو Ubuntuلو هتجرب هجمات صغيرة وتراقبها
🧰 Sysmonعشان يسجللك Logs بالتفصيل
📡 Winlogbeat / Wazuh Agentعشان تبعت الـ logs لـ SIEM أو تحفظها
🧠 Sigma Rulesعشان تكتب كشف الهجمات بإيدك

لو جهازك ضعيف، ممكن تكتفي بـ Windows 10 + Sysmon وتشوف اللوجات من Event Viewer أو Wazuh.

 كل جزء بتذاكره = ليه تطبيق عملي بالشكل ده:

 1. لو بتذاكر: "Process Creation / Execution"

 التطبيق العملي:

  • فعل Sysmon على Windows.

  • افتح Notepad – شوف Event ID 1 (Process Creation).

  • شغّل cmd.exe وpowershell.exe وشوف الفرق بينهم.

  • جرّب أمر زي:

    وراقب الـ Log.

  • powershell -enc <base64 payload>

 الهدف: تتعلم إن أي برنامج بيتفتح بيترك Event واضح تقدر تبني عليه Rules.

 2. لو بتذاكر: "Persistence Mechanisms"

 التطبيق العملي:

  • شغّل سكريبت يعدل الـ Registry:

    New-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "Updater" -Value "C:\malware.exe"

  • راقب Event ID 13 في Sysmon (Registry Key Modification).

  • شوف لو فيه Rule بـ Sigma بتكشف Persistence.

 الهدف: تطبق MITRE T1547 وتتعلم إزاي الـ EDR يقدر يكتشفها.

 3. لو بتذاكر: "Network Connections"

 التطبيق العملي:

  • افتح PowerShell واكتب:

    Invoke-WebRequest -Uri http://example.com

  • شوف Event ID 3 (Network Connection) من Sysmon.

  • اربط الـ Process اللي عمل الاتصال بالـ Command اللي شغلها.

 الهدف: تكشف الـ C2 channels والإتصالات الغريبة.

4. لو بتذاكر: "Threat Hunting with EDR"

 التطبيق العملي:

  • فعّل Sigma Rules على الـ Wazuh أو Kibana.

  • حمل ملفات مشبوهة (من test sites زي testmyav.com)

  • حلل الـ Process Tree.

  • ابني فرضية: "ليه فيه powershell شغالة مع parent = outlook.exe؟"

 الهدف: تحول اللوجات لسيناريو تهديد وتربط الأحداث ببعض.

 أدوات مجانية للتطبيق المباشر:

الأداةوظيفتها
Sysmon + Event Viewerمراقبة سلوك الجهاز
Elastic SIEMمراقبة وكتابة Rules
WazuhEDR بسيط + SIEM
VelociraptorHunting وتحقيق مباشر
SigmaHQقواعد كشف الهجمات

 كل تجربة لازم تسجلها:

 ملف تحليل كل موقف:

 نوع الفعالية: Process Creation  
 Event ID: 1  
 البرنامج: powershell.exe  
 Command Line: -enc ...  
 الفرضية: محاولة تحميل ملف مشبوه  
 التوصية: Block via policy + Monitor future execution from Outlook

سجّل كل سيناريو زي كده في ملف PDF أو Markdown، يبقى عندك أرشيف تحقيقات.

 منصات جاهزة لتمارين EDR:

المنصةإيه تطبق فيها
TryHackMe – EDR & SIEM Roomsتطبيق سيناريوات وتحقيق على لوجات
BlueTeamLabs.onlineتحليل سيناريوات Endpoint واقعية
CyberDefenders.orgملفات لوج حقيقية (evtx / Sysmon)
Velociraptor Challenge LabsIncident Response حقيقي
SigmaHQ Rulesكتابة واختبار Rules بنفسك

 نصيحة ذهبية:

"كل ما تشوف Event في اللوج، اسأل نفسك:
ده طبيعي؟
ليه حصل؟
هل أقدر أعمل عليه Rule؟
هل في Tools بتستخدمه في هجوم؟

ده هو طريقك لتفكير المحلل الحقيقي."

________________________________

 


حساباتي على منصات التواصل:

المنصةالرابط أو المعرف
فيسبوك[حسابي الشخصي]
يوتيوب[قناتي الرسمية]
تويتر (X)[Sen00oo]
تليجرام (شخصي)@Sen00oo
جروب تليجرام[انضم للجروب]
قناة تليجرام[تابع القناة]
جروب واتساب[انضم للجروب]

💰 للدعم المادي:

الطريقةالتفاصيل
InstaPaysen00oo@instapay
رقم الهاتف01272834923
PayPal[رابط PayPal ]
التسميات

إرسال تعليق

أحدث أقدم

نموذج الاتصال