الفريق البنفسجي في الأمن السيبراني: جسر التعاون بين الهجوم والدفاع

الهدف: فهم مفهوم الفريق البنفسجي (Purple Team)، كيف يختلف عن الأحمر والأزرق، منهجيته العملية، أمثلة تمارين قابلة للتطبيق، وطرق القياس والتقارير—حتى تبني برنامجًا مستدامًا يرفع الكشف ويقلل زمن الاستجابة.

---

ما هو الفريق البنفسجي؟

الفريق البنفسجي أسلوب عمل أكثر من كونه فريقًا منفصلًا. يجمع بين خبرات الفريق الأحمر (هجومي/محاكاة خصوم) والفريق الأزرق (دفاعي/كشف واستجابة) في جلسات تعاونية مباشرة للوصول إلى نتيجتين:

1. نقل المعرفة: تحويل تكتيكات وتقنيات وإجراءات المهاجمين (TTPs) إلى قواعد كشف واستخبارات قابلة للتنفيذ.

2. تحسين مستمر: اختبار فوري → ملاحظة ما التقطته أدوات المراقبة → تعديل القواعد/السجلات → إعادة الاختبار حتى يتحقق كشف موثوق مع ضجيج منخفض.

الفرق المختصر:

• الأحمر: يثبت إمكانية الاختراق وتحقيق هدف أعمال بسرّية.

• الأزرق: يراقب ويبلغ ويستجيب للحوادث.

• البنفسجي: يوحّد الجهدين في تمارين متكررة “هجوم ↔ دفاع” لتحويل الثغرات إلى قدرات كشف.

---

متى تحتاج الفريق البنفسجي؟

• بعد اختبارات اختراق أو Red Team لا تتحول نتائجها إلى قدرات كشف حقيقية.

• عند إدخال منصة SIEM/SOAR جديدة أو تحديث تغطية سجلات.

• عندما ترتفع الإنذارات الكاذبة أو زمن الاكتشاف (MTTD).

• قبل تدقيقات أو متطلبات امتثال تتعلق بفعالية المراقبة.

---

أشكال التمرين البنفسجي

1. Adversary Emulation Workshop: اختيار مجموعة تهديد/سيناريو واتباع TTPs خطوة بخطوة مع الأزرق.

2. Atomic Testing (اختبارات ذرّية): تشغيل تقنيات صغيرة محددة (واحدة تلو الأخرى) للتحقق من التغطية.

3. Purple Sprint (1–2 أسبوع): مجموعة تقنيات حول هدف واحد (مثل سرقة بيانات حساسة) بقياس يومي للتقدم.

4. Detection Engineering Day: يوم مخصص لبناء قواعد كشف/لوحات متابعة ثم اختبارها مباشرة.

ملاحظة قانونية: كل نشاط يجب أن يكون مأذونًا كتابيًا (ROE)، ببيئة ونطاق واضحين وخطة رجوع.

---

المنهجية العملية (دورة حياة البنفسجي)

1. تحديد الهدف والمجال

   • ما هو “أثر الأعمال” الذي سنحاكيه؟ (مثال: استخراج ملف مالي/تعطيل خدمة).

   • الأنظمة/المستخدمون/الشبكات ضمن النطاق، والنوافذ الزمنية.

2. اختيار TTPs وربطها بإطار ATT&CK

   • مثال: T1059 (Execution)، T1047 (WMI)، T1003 (Credential Dumping)، T1021.002 (SMB).

3. تهيئة القياس قبل البدء

   • ما القواعد/الاستخبارات الموجودة؟ ما التغطية الحالية؟ ما خطوط الأساس (Baselines)؟

   • تعريف KPIs: MTTD/MTTR، نسبة التغطية، معدل الإنذارات الكاذبة.

4. تشغيل التقنية (Exercise)

   • الأحمر ينفّذ TTP محددة بخطوات واضحة.

   • الأزرق يراقب: هل ظهرت أحداث؟ هل أطلقت إنذارًا؟ ما جودة السياق؟

5. التحسين الفوري (Tuning)

   • تعديل سجلات/سياسات تجميع/قواعد SIEM وEDR.

   • إضافة Telemetries مفقودة (Sysmon، Windows Event IDs، سجلات Cloud).

6. إعادة الاختبار والتحقق

   • إعادة تنفيذ نفس TTP للتأكد أن الكشف صار ثابتًا مع ضجيج مقبول.

7. التوثيق والتعميم

   • حفظ القاعدة الجديدة، ربطها بـ ATT&CK، كتابة Runbook الاستجابة، وإدراجها في Matrix التغطية.

---

أدوات ومنصات مفيدة (قابلة للاستخدام القانوني)

• اختبارات ذرّية: Atomic Red Team

• محاكاة/أتمتة: CALDERA, Prelude Operator

• تغطية وتتبّع: ATT&CK Navigator (لبناء خريطة تغطية)

• قواعد كشف: Sigma (قواعد محايدة يمكن تحويلها لـ SIEM)

• مراقبة/سجلات: Sysmon + Windows Event Logging، EDR/XDR، SIEM (Splunk/Elastic/MS Sentinel…)

ركّز على مخرجات القياس لا مجرد تشغيل الأدوات.

---

مثال ورشة بنفسجية (نموذج جاهز ليوم واحد)

الهدف: كشف حركة جانبية عبر WMI وتنفيذ أمر Powershell.
السيناريو (Red):

1. تنفيذ أمر عن بعد عبر WMI على جهاز هدف في نفس الشبكة.

2. محاولة إسقاط سكربت Powershell وتشغيله.

الملاحظة (Blue):

• مراقبة أحداث Windows (Event IDs) ذات الصلة، Sysmon ProcessCreate/NetworkConnect.

• متابعة سجلات WMI-Activity، وأحداث PowerShell (Module, Script Block Logging).

التحسين (معًا):

• إضافة قاعدة SIEM تلتقط سلسلة: Remote WMI + PowerShell مشبوه + Parent-Child Process غير اعتيادي.

• ضبط الاستثناءات المسموحة (قوائم سماح لأنشطة إدارة شرعية).

إعادة الاختبار:

• تشغيل نفس الخطوات والتحقق من إطلاق إنذار “عالٍ مع سياق كافٍ” دون فيض إنذارات.

• القياسات (KPIs) التي تهم الإدارة والأمن معًا

  • MTTD/MTTR: متوسط زمن الاكتشاف/الاستجابة قبل وبعد الورشة.

  • Coverage %: نسبة تقنيات ATT&CK ذات سيناريوهات كشف معتمدة.

  • Alert Quality: انخفاض الإنذارات الكاذبة، ارتفاع نسبة “الإيجابيات الصادقة”.

  • Repeatability: هل يمكن إعادة تشغيل السيناريو والحصول على نفس النتيجة؟

  • Knowledge Transfer: عدد القواعد/الـ Runbooks الجديدة الموثقة.

  ---

  بناء برنامج Purple Team مستدام (30/60/90 يومًا)

  • 30 يومًا:

    • اختيار 10 تقنيات أساسية شائعة داخل بيئتك (Local Privilege Escalation، Lateral Movement عبر SMB/WinRM…).

    • تشغيل Atomic tests وتسجيل القياسات baseline.

  • 60 يومًا:

    • ورشتان بنفسيجيتان مركّزتان (أسبوع لكل ورشة).

    • بناء/تحسين 10–15 قاعدة كشف + 5 Runbooks استجابة.

  • 90 يومًا:

    • خريطة تغطية كاملة في ATT&CK Navigator.

    • ربط SOAR لأتمتة ردود أولية (عزل جهاز، طلب EDR scan، فتح تذكرة).

    • تقرير إداري عن تحسن MTTD/MTTR وRoadmap ربع سنوي.

  ---

  أخطاء شائعة وكيف تتجنبها

  • تحويل الجلسة إلى “عرض أدوات”. العلاج: ركّز على هدف أعمال وقياس قبلي/بعدي.

  • غياب البيانات/التليمتري. العلاج: تفعيل مصادر سجلات حرجة قبل البدء (Sysmon، Audit Policy).

  • قواعد بلا صيانة. العلاج: مراجعة دورية (Tuning) وإصدارات للقواعد.

  • عدم إشراك المالكين التقنيين. العلاج: حضور أصحاب الأنظمة المتأثرة في الورشة.

  ---

  نواتج (Deliverables) بعد كل ورشة

  • قائمة TTPs المنفذة مع معرفات ATT&CK.

  • قواعد كشف جديدة/محدّثة وروابطها في SIEM + توثيق الاستثناءات.

  • Runbooks استجابة قصيرة محدثة (من يتصرف وكيف).

  • Matrix تغطية ملوّنة قبل/بعد.

  • تقرير تنفيذي يربط التحسين بأثر أعمال (خفض المخاطر/الزمن/الضجيج).

  ---

  خاتمة

  الفريق البنفسجي يمكّنك من تحويل نتائج الهجوم إلى قدرات دفاع قابلة للقياس. السرّ هو التكرار: اختبر تقنية واحدة، ثبّت كشفها، دوّنها، ثم انتقل لغيرها. خلال أسابيع ستبني طبقات كشف متينة تقلل المفاجآت عند الأحداث الحقيقية.