تقييم الفريق الأحمر: كيف تكتب نطاقًا يُحكم عليه وتقيس الاكتشاف

أكثر ما يُشترى في هذا السوق ليس تمرينًا، بل طمأنينة. يصل العرض إلى جدول المشتريات بوصف عام: «محاكاة هجوم واقعي بأساليب المهاجمين المتقدمين»، ثم يبدأ التمرين، ثم يظهر تقرير من أربعين صفحة يذكر أن الفريق الأحمر دخل من بوابة VPN قديمة ووصل إلى خادم ملفات. يقرأ المدير التنفيذي السطر الأخير: «تم تقييم مستوى النضج: متوسط إلى جيد». ولا أحد يستطيع أن يجيب على السؤال الذي دُفع من أجله المال: هل كنا سنكتشف هذا الهجوم لو وقع الليلة، وبعد كم دقيقة، ومن كان سيراه أولًا.

السبب في هذا الغموض ليس ضعف المهاجمين، بل أن النطاق كُتب بوصفه قائمة أنشطة، لا قائمة أحكام. «استغلال ثغرات الخدمات المكشوفة» نشاط. «الوصول إلى بيانات العملاء المصنفة سري عبر مسار لا يملك صلاحية عليه إلا فريق الدفع» حكم يمكن أن يُقال عنه: تحقق أو لم يتحقق. الأول يُغلق بفاتورة، والثاني يُغلق بإصلاح.

هذا الدليل مكتوب للمشتري، لا للمهاجم: كيف تكتب تقييم فريق أحمر بحيث يصبح نتيجته رقمًا تدافع به أمام مجلس الإدارة أو المدقق أو الجهة التنظيمية، وكيف تقيس قدرة الاكتشاف التي هي في العادة الشيء الوحيد الذي يستحق أن يُدفع فيه فعلًا. ويُفترض في كل سطر أنك تملك تفويضًا مكتوبًا من جهة تملك الأصل، وأن الغرض دفاعي: أن تعرف نقاط ضعفك قبل أن يعرفها غيرك.

سؤال واحد يجيب عنه الفريق الأحمر، وليس «هل نحن مخترقون»

الفريق الأحمر لا يجيب على سؤال وجود الاختراق. هذا سؤال الفحص والمراقبة. الفريق الأحمر يجيب على سؤال أضيق وأقسى: إذا قرر مهاجم مموّل ومتحلٍّ بالصبر أن يستهدف وظيفة محددة في مؤسستي، فما أسرع ما يصل إليها، وهل سنراه، وهل تستطيع فرق الدفاع أن توقف ما لم تتوقعه؟ السؤال إذًا مزدوج: قدرة المهاجم على الوصول، وقدرة المؤسسة على الملاحظة. والثاني هو الذي يحدد قيمة التمرين، لأن الأول معروف مسبقًا: أي مؤسسة متصلة بالإنترنت قابلة للاختراق بوقت كافٍ.

هذا يعني أن تمرين الفريق الأحمر ليس بديلًا عن اختبار الاختراق ولا نسخة أغلى منه، بل نوع مختلف من الأسئلة. اختبار الاختراق يعدّ الثغرات؛ الفريق الأحمر يعدّ المسافة بين نقطة بداية معادية وبين أصل محدد، ويقيس في أثناء ذلك ما إذا كانت أدوات المراقبة التي اشتريتها في السنوات الثلاث الماضية قد نطقت.

اختبار الاختراق وتقييم الفريق الأحمر: السؤال لا حجم الجهد

الخلط بين الاثنين مكلف في الاتجاهين: من يشتري تقييم فريق أحمر بسعر مرتفع ليغطي بندًا تنظيميًا يخص اختبار الاختراق يدفع زيادة بلا مقابل، ومن يشتري اختبار اختراق ليجيب على سؤال «هل سنكتشف مهاجمًا يستخدم وصولًا مشروعًا مسروقًا» يعود بتقرير ثغرات لا يجيب. الفرق ليس في التقنية المستخدمة — كلاهما يستعمل نفس الأدوات في كثير من الأحيان — بل في الهدف، والسلطة، والزمن، وطبيعة الهدف النهائي.

الوجه	اختبار اختراق	تقييم فريق أحمر
السؤال	ما الثغرات الموجودة في هذا النظام؟	هل يستطيع مهاجم محدد الوصول إلى وظيفة محددة، وهل نراه؟
العدد	عدد أكبر من الأنظمة، عمق أقل لكل نظام	هدف أو هدفان، جهد أكبر، أسبوعان إلى ستة أسابيع
البداية	من خارج الشبكة عادة، بصلاحيات صفرية	من أي نقطة متفق عليها: وصول مقاول، جهاز موظف، حساب بائع
الهدف النهائي	إثبات الاستغلال وإصلاحه	إثبات الوصول إلى أصل محدد مع دليل لا يقبل الجدل
التخفي	غير مطلوب غالبًا	شرط أساسي، وإلا لم يُختبر الاكتشاف
المخرَج الرئيسي	قائمة نتائج مصنفة بالخطورة	خط زمني للهجوم مقابل خط زمني للاكتشاف
من يقرأ التقرير	فريق التقنية والمطورون	الإدارة العليا، والامتثال، ومركز العمليات الأمنية
الجهة التي تُلزم به	ECC 2-11 وCSCC 2-10 وPCI وغيرها	لا إلزام عام في السعودية؛ إطارات اختيارية وسياسات داخلية

السطر الأخير من الجدول هو أهم سطر في هذا المقال، وسنعود إليه بتفصيل عند الحديث عن الجهات التنظيمية: في السعودية، الضوابط السيبرانية الأساسية وضوابط الأمن السيبراني للأنظمة الحساسة تفرضان اختبار اختراق دوريًا بأرقام صريحة، ولا تفرض تمرين فريق أحمر. من يبيعك «امتثال الفريق الأحمر» يبيعك بندًا غير موجود بهذا الاسم. التمرين قرار إداري مبني على مخاطر، لا خانة تُشطب.

الهدف: أن تكتب جملة يمكن الحكم عليها

الهدف الجيد في وثيقة النطاق له ثلاثة عناصر لا ينفصل أحدها عن الآخرين: الأصل، والفعل، والدليل. الأصل شيء محدد بالاسم لا بالفئة: قاعدة بيانات المدفوعات في مركز البيانات الثاني، لا «الأنظمة المالية». الفعل فعل يمكن ملاحظته: قراءة سجل عميل واحد من خارج صلاحية الحساب، لا «الوصول إلى البيانات». الدليل ما يُقبل في جلسة إغلاق: سطر سجل، أو بصمة ملف، أو استعلام أثبت عدد السجلات التي قرأها، لا لقطة شاشة يمكن التشكيك فيها.

هدف غير قابل للحكم	هدف قابل للحكم
تقييم قدرة المؤسسة على مواجهة هجوم متقدم	إثبات قراءة سجلَّي عميل من جدول العملاء في بيئة الإنتاج عبر حساب مقاول منتهي الصلاحية، مع حفظ معرّف الاستعلام في التقرير
اختبار أمن البنية السحابية	الانتقال من حاوية تطبيق الويب إلى حساب خدمة يملك قراءة مخزن الملفات، أثناء الوجود في نفس المنطقة السحابية
محاكاة هجوم على الموظفين	الحصول على رمز جلسة موظف في قسم واحد دون تنفيذ ملف على جهازه، عبر رسالة تحاكي إدارة تقنية المعلومات
التحقق من جاهزية مركز العمليات	تنفيذ ثلاثة إجراءات في التمرين: تصعيد صلاحيات محلي، وسحب بيانات عبر HTTPS إلى نطاق يملكه العميل، والتفاف جانبي إلى خادم إدارة — وقياس زمن أول تنبيه لكل إجراء

لاحظ أن كل هدف في العمود الأيمن يمكن أن يقال عنه بجملة واحدة: تحقق / لم يتحقق / تحقق جزئيًا. وهذا ما يجعل التقرير قابلًا للتحويل إلى قرار: إذا لم يتحقق الهدف فإما أن الضابط يعمل، وإما أن السيناريو كان خارج قدرة الفريق — وهذه الثانية تُكتب في التقرير بصراحة، لأن نطاقًا أوسع من اللازم ينتج نتيجة لا معنى لها.

من الاستخبارات إلى خطة الاختبار: كيف يُبنى السيناريو

الفرق بين تمرين فريق أحمر وتمرين فريق أحمر جدّي يقع في الأسبوع الذي يسبق التمرين. في ذلك الأسبوع لا يُنفَّذ أي استغلال؛ يُجمع ما يُسمّى بالتقرير الاستخباراتي للتهديدات المستهدفة: من يستهدف قطاعك فعليًا، بأي أسماء أدوات، وبأي أسلوب وصول أولي، وما المؤشرات التي يعرفها مركز العمليات مسبقًا. هذا التقرير هو ما يحوّل السيناريو من خيال مهندس إلى تكرار لما يحدث فعلًا في القطاع. وفي خطة الاختبار بعد ذلك يُترجم كل سلوك إلى خطوة تنفيذية بترتيب يمكن تنفيذه فعلًا على بيئتك.

إطار TIBER-EU هو أشهر مثال موثّق لهذا التسلسل، وقد نُشر أول مرة في مايو 2018 ثم حُدِّث في يناير 2025 ليتوافق مع متطلبات الاختبار القائم على التهديد في لائحة DORA، تحديدًا اللائحة المفوضة (EU) 2025/1190 المؤرخة في 13 فبراير 2025. الفائدة العملية للمشتري خارج أوروبا ليست الالتزام به، بل نسخ تسلسله: تقرير استخباراتي، ثم خطة اختبار، ثم موافقة جهة رقابية داخلية، ثم تنفيذ على أنظمة الإنتاج، ثم إعادة لعب وتمرين أرجواني، ثم إغلاق وتقرير. هذا التسلسل هو ما يمنع التمرين من أن يصبح اختبار اختراق بثوب آخر.

وفي السوق السعودي يوجد مثال أقدم وأقرب: إطار العمل التجريبي للاختراق في القطاع المالي (FEER) الصادر عن البنك المركزي السعودي، وهو يُبنى على ثلاث مراحل — مرحلة استخباراتية، ومرحلة اختبار، ومرحلة إغلاق — ويجعل اختيار مزود الفريق الأحمر بيد فريق أخضر لا بيد المنفذ، ويطلب صراحةً أنواع تقارير محددة، أحدها تقرير الفريق الأحمر (RTER) الذي يكتب بالنيابة عن مزود التمرين كسجل تفصيلي للنتائج. وجود تقرير منظم في وثيقة تنظيمية عربية يمنح المشتري طريقة جاهزة لحكم على أي تقرير يُقدَّم له.

ATT&CK كمِسطرة لا كشعار على الغلاف

مصفوفة MITRE ATT&CK صارت الكلمة التي تُفتح بها كل عروض الفريق الأحمر، وأغلب العروض تكتفي بعبارة «التمرين مبني على ATT&CK» دون أن تعني شيئًا. المعنى الحقيقي يبدأ من النسخة الحالية للأرقام: كتالوج ATT&CK ‏v20.1 هو الإصدار المعتمد في 5 نوفمبر 2026، وقد صدر إصدار v20 في 13 أكتوبر 2026 بمصفوفة المؤسسات التي تحتوي 15 تكتيكًا و227 تقنية و479 تقنية فرعية و178 مجموعة و842 أداة و57 حملة و44 ضابط تخفيف و703 إستراتيجية كشف و1770 تحليلًا و106 مكوّنات بيانات.

هذه الأرقام ليست حشوًا؛ هي جواب على سؤال يجب أن تسأله: «مبني على ATT&CK» كيف؟ الفريق الذي يقول إنه يغطي 227 تقنية في ثلاثة أسابيع لا يعطي إجابات أعمق من أن كل تقنية ذُكرت مرة. التغطية الحقيقية تُقاس في اتجاهين: أي تقنيات جُرِّبت فعليًا (عدد يتراوح في التمرين الواحد بين خمس وعشرين وخمسين، لا مئتين)، وأي إستراتيجية كشف من الـ703 كانت موجودة قبل التمرين. أما مكوّنات البيانات الـ106 فهي الشيء الذي يكشف الفرق بين مبني على ATT&CK ومبني على Yahoo: هذه المكوّنات هي ما يحدد إن كان مصدر سجلاتك يستطيع أصلًا أن يُظهر السلوك الذي يحاكيه المهاجم.

اطلب في كل تقرير جدولًا من ثلاثة أعمدة: تقنية ATT&CK، ومكوّن البيانات الذي يلزمها، وهل كان متاحًا وجامعًا قبل التمرين. ستفاجأ كم من السلوك المرصود في التمارين يمر في بيئات لا تسجل الجزء الذي كان سيُظهره.

من يجب أن يكون في الغرفة: الأخضر والأبيض والأزرق والأحمر

التمرين الذي يُدار بفريقين هو في الواقع اختبار اختراق بميزانية أكبر. التعريف التشغيلي للتمرين المنسَّق يقوم على أربعة أدوار، وكل دور له رئيس جلسة وشخص بديل ومهام مكتوبة:

• الفريق الأحمر هو المنفذ: يحاكي المهاجم، ويكتب سلوكه ووقته بحيث يمكن مقارنته بسجلات الدفاع. ولا يخفي سلوكه عن الفريق الأبيض، بل يخفيانه معًا عن الفريق الأزرق.
• الفريق الأبيض (ويُسمّى الفريق الضابط في إطار TIBER-EU بعد تحديث 2025) هو مالك التمرين داخليًا: يفوض، ويطلق، ويوقف، ويقرر إن كان الاستغلال تجاوز النطاق، ويحكم في النزاعات. هو من يملك رِفعة القطع.
• الفريق الأزرق هو بيانات القياس: مركز العمليات، والصيد الاستباقي، والاستجابة. ولا يعرف. لو أُبلغ مسبقًا لصار التمرين تدريبًا مشتركًا — وهذا له قيمة، لكنها قيمة أخرى لها اسم آخر.
• الفريق الأخضر هو جهة الحوكمة والسلطة الخارجية عن الفريق الأبيض: في إطار FEER يتولى مركز مخاطر تقنية المعلومات في البنك المركزي اعتماد تغطية خطة التمرين والتحقق من الأهلية، وله أن يطلب أدلة إضافية أو يرفض جزءًا من الخطة.

ما يفقد التمرين معناه هو شكل ثالث منتشر: أن يكون الفريق الأحمر هو من عرّف النطاق، وراقب نفسه، وكتب التقرير النهائي، وحكم على جودة المؤسسة. هذا تعارض مصالح كامل. هناك فصل واحد غير قابل للتفاوض: من يهاجم لا يقيّم جودة الدفاع وحده.

قواعد الاشتباك: الوثيقة التي تجعل التمرين قانونيًا

قواعد الاشتباك ليست ملحقًا إداريًا، بل هي الوثيقة التي تحدد إن كان ما جرى خلال التمرين قد حدث بموافقة من يملك الصلاحية قانونيًا. تفويض كتابي من جهة لا تملك الأصل، أو سلطان مكتوب غير محدد، يجعل الدخول إلى أنظمة تعود لمؤسسة أخرى — أو إلى بيانات أطراف ثالثة داخل مؤسستك — فعلًا غير مشروع، مهما كان الغرض نبيلًا. وفي كل الأعمال التي نقدّمها تحت مسار عمليات الفريق الأحمر لا يبدأ التنفيذ قبل توقيع هذه الوثيقة ومن يملك السلطة على الأصول.

البند	ما يجب أن يحتويه
الأطراف	اسم الكيان المالك للأصول، ومن يوقّع بالنيابة عنه، والمزود واسم كل فرد ينفذ، والجهة التي تجيز التمرين (رقابية كانت أو داخلية)
الأصول	نطاقات ومجموعات عناوين واشتراكات سحابية ومواقع فعلية، بحسب العدد الشخصي، ومنها أسماء شركات تابعة — ولا يُذكر اسم واحد منها دون علم مالكه
الاستثناءات	أنظمة الأجهزة الطبية، وخطوط الإنتاج، وأجهزة سلامة الموظفين، وأنظمة أطراف ثالثة، ومنصات الحوسبة السحابية التي يحتاج مزودها موافقة منفصلة
الأساليب الممنوعة	التخريب، وتشفير الملفات، وإتلاف سجلات، وهندسة اجتماعية تستهدف أفرادًا بعيدًا عن سياق العمل، وتجريف بيانات حقيقية، وتنفيذ أثر على أنظمة إنتاج لا يمكن التراجع عنه
سلطة الإيقاف	من يملك إيقاف التمرين، وكيف يُبلَّغ، وفي أي مهلة، وما الحالة التي تستدعي التوقف الفوري (تأثير على عميل حقيقي، أو تعطيل خدمة، أو اكتشاف تسرب بيانات)
معالجة البيانات	ما يُجمع، وأين يُخزَّن، ومن يراه، ومتى يُحذف، وما يُنقّح قبل التقرير، وحكم المحتوى إن شمل بيانات شخصية
الأدلة والمصادر	من يملك النطاقات وأدوات القيادة والتحكم (C2) والشهادات، وهل تعود ملكيتها للعميل، وكيف تطهّر بعد التمرين
الإفصاح والتعامل مع الحوادث	ما يحدث إن كشف التمرين اختراقًا حقيقيًا قائمًا، والإطار الزمني لإبلاغ الجهة الرقابية والجهات المختصة
السرية والملكية الفكرية	تصنيف التقرير، ومن يقرأ الأداة المستخدمة، ومن يملك إعادة استخدام المواد في التسويق (والجواب الصحيح: عبر موافقة كتابية بعد التنقية)

بند واحد يستحق التفصيل: كيف يثبت التمرين أنه اختبار فريق أحمر وأنه أُجري بتفويض؟ الجواب العملي في إطار TIBER-EU هو «دليل التفويض» (attestation) الذي يصدره الفريق الضابط ويمكن مشاركته بين الجهات الرقابية لتفادي تكرار التمرين. هذا النموذج نفسه قابل للنسخ محليًا: خطاب واحد موقّع ومنظّم يُري المدقق أن العمل كان مرخصًا، وأنه جرى في الفترة الفلانية، وأن نطاقه كان محدودًا.

من يملك البنية التحتية للهجوم، ومن يوفرها

سؤال يبدو فنيًا لكنه مالي وقانوني في الوقت نفسه: أين تعيش النطاقات التي ينطلق منها الهجوم، ومن يملكها؟ الحالتان الشائعتان: أن يوفر المزود بنية تحتية يملكها هو ويستخدمها لكل عملائه، أو أن يوفر العميل نطاقًا وحساب سحابيًا مخصصًا له ويُدار من الفريق الأحمر. الثانية أفضل في التمرينات التنظيمية لأنها تمنحك نطاقًا يمكن ربطه بك، ومقالًا يمكن مراجعته، وقدرة على إغلاقه في اللحظة التي تطلبها.

المشكلة في البنية المشتركة أن عنوان IP المستخدم في هجمتك ضدك قد يكون مستخدمًا في هجوم ضد مؤسسة أخرى في نفس الأسبوع، فيظهر في قوائم الحجب أو في تقارير تهديد عامة، فيصبح التمرين مكشوفًا مسبقًا لمحللي مركز العمليات الذين يقرؤون نفس المصادر. اختبار الاكتشاف يفسد إذا عرف المدافع من أين سيأتي الهجوم. اطلب كتابةً: من يملك النطاق، وأي سجل WHOIS سيرتبط به، وهل سيُستخدم في تمرين آخر متزامن، ومن يحذف سجلات DNS بعد الإغلاق.

والجانب الأسوأ في البنية المشتركة أن الإغلاق لا يحدث دائمًا. تمرين انتهى في مارس، وبقي خادم قيادة وتحكم يعمل في يونيو، هو ثغرة حقيقية أنشأها من جاء ليحسن الأمن. في وثيقة الإغلاق يجب أن يوجد بند «تطهير الأصول» بمهام محددة: حذف النطاقات، وإبطال الشهادات، وإغلاق حسابات السحابة، وإزالة أي وكيل مراقبة من الأجهزة التي وُضِع عليها، وتأكيد كتابي من الفريق الأبيض بأن الفحص لم يجد أثرًا متبقيًا.

ما يجب أن يكون مُسجَّلًا قبل التمرين: دين المراقبة

يمكن تلخيص أكثر أسباب فشل تمارين الفريق الأحمر في كلمتين: لم يكن هناك ما يُقرأ. الفريق ينفذ سلوكًا ذا معنى، والسجلات التي كانت ستكشفه إما غير مفعّلة، أو مدتها قصيرة، أو لا تُجمع أصلًا، أو تُجمع في مكان لا يستطيع المحلل الاستعلام منه. عندها لا يقيس التمرين اكتشافًا، بل يقيس غياب بيانات — وهي نتيجة مفيدة جدًا، لكنها ليست النتيجة التي ينتظرها من دفع للتمرين.

• تغطية المصادر: سجلات المصادقة (بما فيها السحابية وهوية الخدمة)، وسجلات نقاط النهاية وعملياتها، وحركة الشبكة الشرقية والغربية، وسجلات DNS، وسجلات الوصول إلى مخازن الملفات وقواعد البيانات الحساسة. أي مصدر أساسي غائب يجعل جزءًا من السيناريو غير قابل للحكم.
• مدة الاحتفاظ: تمرين من ثلاثة أسابيع يحتاج احتفاظًا يغطي مدة التمرين كاملة مع هامش للتحليل بعد الإغلاق — لا احتفاظًا بأربعة عشر يومًا يمحو الأسبوع الأول قبل أن يجلس المحلل.
• المزامنة الزمنية: انحراف دقائق بين المضيفات ومركز السجلات يجعل المقارنة الزمنية بين مسار الهجوم وتنبيهات الدفاع بلا معنى. اطلب فحصًا للتزامن في اليوم الأول.
• قواعد الكشف الحالية: نسخة من قواعد الكشف ومحتوى الصيد قبل التمرين، بتاريخ. الهدف ليس محاسبتك على قواعد قديمة، بل التمييز بين «لم يظهر التنبيه لأن القاعدة غائبة» و«القاعدة موجودة ولم تعمل».
• سلوك الاستجابة: من يُخبر، وفي أي قناة، ومن يملك قرار العزل. القياس يشمل إجراءات لا تنبيهات فقط.

هذا التحضير هو ما يسميه بعض الممارسين «دين المراقبة»: قائمة ديون تتراكم كل سنة أخّرت فيها جمع مصدر سجل. المرحلة التي تسبق التمرين بأسبوعين ليست إضاعة وقت؛ هي التي تحدد إن كان التمرين سينتج نسبة أم سينتج اعتذارًا. وإذا كنت لا تستطيع سداد هذا الدين الآن، فالبديل الأصدق هو تمرين أصغر: هدف واحد، ونطاق محدود، وبيانات متاحة فعلًا.

نموذج القياس: أربع نسب تُعرض على الإدارة

الإدارة لا تشتري «محاكاة»، بل تشتري إجابة عن مخاطر. أربع نسب، إذا حُسبت بأمانة، تكفي لتحويل التمرين إلى قرار: نسبة الأهداف التي تحققت، ونسبة الإجراءات التي أُبلغ عنها، ومتوسط زمن أول تنبيه حتى الوصول إلى شخص، ونسبة التنبيهات التي كانت إيجابية كاذبة. وكل نسبة يجب أن تُنشر مع مقامها مكتوبًا، وإلا صارت رقمًا للعرض.

النسبة	طريقة الحساب	ما تقوله فعلًا
معدل نجاح الأهداف	أهداف تحققت ÷ أهداف في النطاق	قدرة المهاجم على الوصول؛ رقم مرتفع يعني أن ضوابط الوصول والثقة الصفرية تحتاج عملًا، لا أن الفريق ممتاز
معدل الاكتشاف	خطوات مُنفَّذة ظهر لها تنبيه ÷ كل الخطوات القابلة للكشف	كم من سلوك المهاجم كانت المراقبة قادرة على رؤيته، وليس كم تنبيهًا أُصدر
زمن أول تنبيه	الفرق بين توقيت الخطوة وتوقيت أول تنبيه مرتبط بها	سرعة الشمولية؛ تُقاس لكل خطوة تقريبًا، لا كمتوسط واحد يخفي التأخر في الخطوات الأهم
زمن الاستجابة	من التنبيه إلى أول إجراء احتواء (عزل، إبطال رمز، حجب مسار)	فعالية العملية، لا فعالية الأداة؛ أكبر فجوة عادة هنا
نسبة الإيجابيات الكاذبة	تنبيهات غير مرتبطة بالتمرين ÷ التنبيهات المراجعة في الفترة	تكلفة المراقبة الحقيقية؛ ارتفاعها يعني إرهاق المحللين، وهو سبب شائع لفوات الهجوم الحقيقي

حذّر من رقم واحد يظهر في أغلب العروض: «نسبة التغطية». تُحسب عادة بقسمة عدد تقنيات ATT&CK التي جُرِّبت على 227، فتعطي نسبة كبيرة بلا معنى، لأن نصف التقنيات لا علاقة لها ببيئتك. الرقم الصحيح هو تغطية موزونة بأهمية الأصل: هل التقنيات التي جُرِّبت هي تلك التي يستخدمها من يهدد هذا الأصل فعلًا؟

زمن الاكتشاف: كيف يُقاس دون أن يُجمِّل نفسه

زمن الاكتشاف هو الرقم الأكثر تضليلًا في تقارير التمارين، لأسباب ثلاثة. الأول أن الفريق الأحمر يبطئ عمدًا حين لا يرى تنبيهًا، فيصبح الزمن كبيرًا بلا دلالة؛ والثاني أن التنبيه قد يكون مرتبطًا بحدث آخر لم يلاحظه أحد، فيُحسب اكتشافًا وهو ليس كذلك؛ والثالث أن القياس يبدأ من الخطوة الأخيرة قبل الوصول إلى الهدف، لا من أول أثر على الشبكة.

لتفادي ذلك، ثبّت خمس قواعد في وثيقة النطاق قبل التمرين: يُسجَّل وقت كل خطوة على ساعة مركز السجلات لا ساعة الفريق؛ ويُربط التنبيه بخطوة محددة بمعرّف، لا بمجرد تطابق التوقيت؛ ويُحسب زمن الاكتشاف لكل خطوة قابلة للكشف على حدة ثم يُعرض الوسيط والمدى لا المتوسط؛ ويُفصل بين «أثر ظهر في سجل» و«تنبيه أُرسل» و«شخص قرأه وتصرف»؛ وتُكتب الحالات التي لم يظهر فيها أثر إطلاقًا كصفر في التغطية لا كزمن طويل. الفرق بين هذه الحالات الثلاث هو أغلب قيمة التمرين: مؤسسة قد ترى كل شيء ولا تقرأ شيئًا.

التقرير الذي يستحق الدفع: هيكل RTER السعودي

أفضل طريقة للحكم على تقرير قبل أن تدفع ثمنه هي مقارنته بهيكل تقرير منشور في وثيقة تنظيمية. في السعودية، ملاحق إطار FEER المنشورة في دليل قواعد البنك المركزي السعودي تحدّد مخرجات التمرين بوضوح: تقرير الفريق الأحمر (RTER) الضروري للمرحلة الاستخباراتية ويُكتب لمزود التمرين، وتقرير الفريق الأزرق الذي يوثق ما رآه الفريق الأزرق وما أرسله من تنبيهات وما فعله، وخطة العمل التصحيحية التي يعدّها الفريق الأبيض، والتقرير الملخص الذي يتضمن الملاحظات والتوصيات ويُشارَك مع اللجان المعنية عبر الجهة الرقابية.

ولكل من هذه التقارير تصنيف سرية في الإطار نفسه: التقرير التفصيلي سري، وخطة العمل التصحيحية سرية للاستخدام الداخلي، والتقرير الملخص سري للغاية. هذا التصنيف ليس تفصيلًا بيروقراطيًا؛ هو ما يحدد من يوقّع على استلام كل نسخة، وكيف تُخزَّن، وما يجوز إرساله إلى مزود خارجي ثالث. المشتري الذي يقبل تقريرًا واحدًا من أربعين صفحة يُرسل بالبريد الإلكتروني يخالف الهيكل من أول بند.

وفي أي تمرين جدي خارج السياق التنظيمي، التقرير المُقبل يجب أن يحتوي أربعة أجزاء: خطًا زمنيًا موحّدًا يضع سلوك الفريق الأحمر في عمود وتنبيهات الفريق الأزرق وإجراءاته في عمود مقابله؛ وتوصيات مصنفة على مستويين — توصية تُغلق المسار الذي سُلك، وتوصية تُحسّن الكشف عن المسار نفسه؛ ودليلًا لكل نتيجة، قابلاً لإعادة الإنتاج بخطوات مكتوبة؛ وقسمًا صريحًا باسم «ما لم يقيسه هذا التمرين». القسم الأخير هو الذي يفصل المزود المهني عن بائع الطمأنينة.

الإطار التنظيمي كسائق للنطاق، لا كضمان

اللوائح لا تطلب أن تكون آمنًا، بل تطلب أن تكون قادرًا على إثبات ما فعلت. ومع ذلك، أغلب حالات الخلط التي نراها عند المشترين الخليجيين تخص هذه النقطة بالضبط: يظن المشتري أن تمرين فريق أحمر يجعله ممتثلًا، أو أنه إلزامي. الصورة الحقيقية أدق:

الإطار	ما يفرضه فعلًا	ما يعنيه لتقييم الفريق الأحمر
الضوابط السيبرانية الأساسية ECC-2:2024 — الضابط 2-11	اختبار اختراق دوري، مع تحديد النطاق في الضابط الفرعي 2.11.3.1 (الخدمات المتصلة بالإنترنت، والبنية التحتية، والمواقع وتطبيقات الويب وتطبيقات الهواتف والأجهزة اللوحية، والبريد، وأدوات الوصول عن بعد) والدورية في 2.11.3.2	هذا هو الإلزام. التمرين لا يستبدله، والإثبات الذي يُقبل هنا هو تقرير اختبار اختراق بنطاق مطابق — لا تقرير فريق أحمر
ضوابط الأمن السيبراني للأنظمة الحساسة CSCC-1:2019 — الضابط 2-10	اختبار اختراق على الأنظمة الحساسة: 2-10-1-1 يشمل جميع المكونات التقنية للأنظمة الحساسة وجميع الخدمات الداخلية والخارجية، و2-10-1-2 يطلب فريقًا مؤهلًا، و2-10-2 يفرض مرة كل ستة أشهر على الأقل	وتيرة نصف سنوية على الأنظمة الحساسة. لا يوجد في هذه الوثيقة نص يفرض تمرين فريق أحمر — من يقول خلاف ذلك يبيعك بندًا غير موجود
إطار العمل التجريبي للاختراق في القطاع المالي FEER (البنك المركزي السعودي)	إطار تطوعي/إشرافي للمؤسسات المالية: مراحل استخباراتية واختبار وإغلاق، وفريق أخضر يختار المزود، وتقارير محددة (RTER، تقرير الفريق الأزرق، خطة تصحيحية، ملخص)، وإمكانية اختيار المؤسسة من قبل الجهة الرقابية	هنا يصبح التمرين متوقعًا تنظيميًا: النطاق والتقارير والتصنيفات كلها محددة مسبقًا، وهي أفضل قالب جاهز حتى لو لم تكن مؤسسة مالية
لائحة DORA — المادة 26 — وتحديث TIBER-EU يناير 2025	اختبار قائم على التهديد كل ثلاث سنوات على الأقل للجهات المحددة، ويمكن أن يشمل وظائف حرجة أو مهمة كاملة على أنظمة الإنتاج، مع الاستعانة بمختبر خارجي كل ثالث اختبار على الأكثر، وإلزام المؤسسات الائتمانية الكبيرة بالمختبر الخارجي	مرجع أوروبي للمعيار: دورية ثلاثية، إنتاج حقيقي، وفصل صارم بين المختبر الداخلي والخارجي. مفيد إن كنت تعمل مع مجموعة أوروبية أو تحتاج معيارًا يقنع مدققًا أجنبيًا
CBEST (بنك إنجلترا والجهات الإشرافية البريطانية، منذ 2014)	أربع مراحل: التهيئة، والاستخبارات، والاختبار، والإغلاق، مع اختبار على أنظمة الإنتاج، واعتماد المزودين عبر جهة اعتماد متخصصة	أقدم إطار وطني في هذا المجال؛ نموذج جيد لبنية المراحل، ويُظهر أن اعتماد المزود جزء من التصميم لا إجراء شكلي

الخلاصة التي يجب أن تصل إلى وثيقة النطاق: اكتب في المقدمة الإطار أو السياسة التي يخدمها هذا التمرين، واكتب بجانبها ما لا يخدمه. إذا كان الدافع امتثالًا لـ ECC أو CSCC فأنت تحتاج اختبار اختراق بنطاق مطابق وتقرير يقبل كإثبات، وإن كان الدافع قرارًا إداريًا لقياس الاكتشاف فأنت تحتاج تمرينًا — والاثنان يمكن أن يجمعهما عقد واحد على مرحلتين، بشرط ألا يُقدَّم أحدهما كأنه الآخر.

الفريق الأرجواني: من النتيجة إلى قاعدة كشف

أغلى خطوة يهملها المشترون هي التي تحوّل التمرين من حدث إلى تحسين. تمرين ينتهي بتقرير يبقى حدثًا؛ وتمرين ينتهي بقواعد كشف جديدة مُختبَرة في نفس البيئة يصبح قدرة. هذا هو معنى الفريق الأرجواني: الفريق الأحمر والفريق الأزرق يعملان معًا بعد التمرين على إعادة تنفيذ كل خطوة، والتحقق من أي قاعدة كشف تفاعلت معها، ثم كتابة القاعدة الناقصة واختبارها فورًا على نفس السلوك. وقد أفرد له إطار TIBER-EU في تحديث 2025 دليلًا مستقلًا وجعله خطوة داخل مرحلة الإغلاق، لا بندًا اختياريًا.

عمليًا، الجلسة الأرجوانية الجيدة تنتج ثلاثة أنواع من المخرجات، ولكل منها مالك وتاريخ: قاعدة كشف جديدة أو معدّلة، مع معرّف وتقنية ATT&CK التي تغطيها؛ ومصدر بيانات جديد يجب تفعيله أو توسيع مدته (وهذا قرار ميزانية، لا قرار فريق)؛ وإجراء استجابة محدّث، مثل شرط إبطال رموز الوصول عند اكتشاف سلوك جانبي. وبدون هذه المخرجات الثلاثة، فإن الجلسة الأرجوانية قد أصبحت عرضًا تقديميًا مؤجلًا.

سؤال عملي للمشتري: كم خطوة من التمرين ستدخل الجلسة الأرجوانية؟ الجواب المهني هو: كل خطوة ظهر لها أثر وكل خطوة لم يظهر لها أثر، مع أولوية للثانية — لأن الخطوات التي لم تُرَ هي التي تمثل خطرًا غير معروف، والخطوات التي رُئيت تحتاج فقط تحويل الملاحظة إلى قاعدة تُشغَّل تلقائيًا. أما إن كان الجواب «الخطوات المهمة فقط» فاعلم أن التمرين سيُغلق ناقصًا.

الصمت ليس دليلًا على السيطرة، وما لا يقوله التمرين

في مراجعة الإغلاق يحدث شيء متكرر: فريق أحمر لم يُكتشف يقول إن الدفاع قوي، وفريق أزرق لم يرَ شيئًا يقول إنه لم يحدث شيء. الحقيقة أن الصمت يفسَّر بثلاث طرق مختلفة، وواحدة فقط منها إيجابية: أن السلوك لم يظهر في السجل أصلًا؛ أو أن السجل غائب؛ أو أن السلوك ظهر ولم يُقرأ. التمييز بينها هو وظيفة الجلسة الأرجوانية، وبدونها يتحول الصمت إلى شهادة زور.

ولكل تمرين حدود يجب كتابتها بنفس وضوح النتائج، ومنها: التمرين يقيس ما جُرِّب، لا كل ما يمكن أن يحدث — والمهاجم الحقيقي لا يلتزم بقواعد الاشتباك ولا بساعات العمل ولا بحدود البيانات؛ والتمرين يقيس أداء فرق في فترة محددة، وسيختلف بعد تغيير الموظفين أو الأدوات؛ ولا يقيس استمرارية الأعمال ولا التعافي من الكارثة؛ ولا يقيس أمن الأطراف الثالثة التي استُثنيت من النطاق؛ ولا يقيس ما لا تستطيع مراقبته. ومن يبيع تقريرًا بلا هذا القسم يبيع صورة لا خريطة.

ما يحرك التكلفة: الحساب بأيام المهندس

لا نضع سعرًا على هذه الصفحة، وهذا مقصود: أي رقم ثابت في صفحة عامة يكون خاطئًا في الحالتين — يخيف مؤسسة صغيرة عن تمرين مشروع، ويعطي مؤسسة كبيرة سعرًا لا علاقة له بحجم بيئتها. لكن بنية التكلفة نفسها قابلة للنشر، وهي أهم مما يعتقده المشتري: في معظم العروض التي نراها يذهب نحو ثلاثة أرباع الجهد في التمرين الجدّي إلى ما قبل التنفيذ وما بعده، لا إلى الهجوم نفسه.

البند	ما يستهلكه من أيام المهندس	كيف تخفضه دون إفساد التمرين
الاستخبارات وخطة الاختبار	الجزء الأكبر في التمرين التنظيمي: تحديد التهديدات، وترجمة السلوك إلى خطوات، ومراجعة النطاق مع الفريق الأبيض	لا تخفضه. خفضه هو الطريقة الأسرع لتحويل التمرين إلى مسح عشوائي
التنفيذ نفسه	يتفاوت بحسب عدد الأهداف ودرجة السرية، وتستهلكه إعادة المحاولة والتكيّف لا الأداة الأولى	قلّل عدد الأهداف وزد عمقها — أفضل من خمسة أهداف سطحية
القياس والتحليل	مراجعة السجلات مع الفريق الأزرق، ومطابقة التوقيت، وتصنيف الخطوات إلى مُكتشَفة وغير مُكتشَفة	لا تخفضه أيضًا؛ هنا تُصنع النسب التي تُعرض على الإدارة
الجلسة الأرجوانية	يوم إلى ثلاثة أيام بعد التمرين، وتنتج قواعد كشف مختبرة	حدّد مسبقًا عدد الخطوات المغطاة، وإلا تمددت الجلسة بلا نهاية
التقرير والإغلاق والتطهير	كتابة الخط الزمني، والتوصيات، وإغلاق البنية التحتية، وحذف البيانات	اطلب قالب التقرير قبل الشراء؛ الاختلاف في القوالب يستهلك أيامًا بلا فائدة أمنية
التجهيز من جانبك	وقت فريقك الداخلي: مراجعة النطاق، وتحضير السجلات، وجلسات الافتتاح والإغلاق	هذا البند الذي يُنسى في الميزانية. خصص له شخصًا بدوام جزئي طوال التمرين

السؤال الذي يجب أن تطرحه على نفسك قبل الطلب: هل أحتاج هذا التمرين هذا العام، أم أحتاج أولًا إلى إغلاق فجوات معروفة؟ التمرين ليس أداة إصلاح، بل أداة قياس. مؤسسة تعرف أن لديها أنظمة لم تُرقَّع منذ سنة، وأن كلمات مرور المديرين مشتركة، لا تحتاج إلى فريق أحمر ليخبرها بذلك — تحتاج إلى تقييم ثغرات وخطة إصلاح، ثم تمرين يقيس ما تبقّى بعد الإصلاح. التمرين على بيئة مليئة بالثغرات المعروفة يقيس ما تعرفه مسبقًا ويدفعك ثمنه مرتين.

كيف تختار مزودًا: أسئلة تفصل المشغّل عن الوسيط

سوق تقييم الفريق الأحمر يحتوي ثلاثة أنواع من البائعين: مشغّلون يملكون فريقًا وبنية تحتية ومنهجية مكتوبة؛ ووسطاء يعيدون البيع بفريق مقاولين يعملون بساعات؛ ومستشارو حوكمة يقدمون الإطار والتقارير دون تنفيذ حقيقي. الثلاثة قد يبدون متشابهين في العرض. هذه أسئلة تكشف الفرق في أول اجتماع، بشرط أن تطلب جوابًا مكتوبًا لا شفهيًا:

• من ينفذ فعليًا؟ اطلب أسماء المنفذين، واسم مدير التمرين، ونسبة الوقت الذي سيقضيه كل منهم. إن كان الجواب «فريق متخصص» بلا أسماء، فالمشروع سيعاد تسليمه.
• أي إطار تستخدمون، وماذا تنسخون منه؟ الجواب المهني يذكر TIBER-EU أو FEER أو CBEST بمراحلها وتقرير الاستخبارات وخطة الاختبار، والجواب الضعيف يذكر ATT&CK فقط.
• كيف تقيسون الاكتشاف؟ اطلب مثالًا من تقرير سابق منقّح يظهر فيه خط زمني مزدوج ونِسب بمقامات مكتوبة. من لا يستطيع إظهاره لن ينتجه.
• ماذا ستفعلون إن اكتشفتم اختراقًا حقيقيًا؟ الجواب يجب أن يكون إجراءً مكتوبًا: إيقاف التمرين، وإبلاغ جهة محددة بالاسم، والانتقال إلى الاستجابة لا مواصلة الهجوم. من لا يعرف الجواب سيتصرف تحت الضغط.
• هل تعيدون استخدام البنية التحتية؟ اسأل عن ملكية النطاقات والشهادات وحسابات السحابة، وعن سجل كل تمرين سابق استخدمها.
• ما الذي لن تفعلوه؟ مزود ناضج يملك قائمة استثناءات وأساليب ممنوعة جاهزة. المزود الذي يقول «كل شيء ممكن» يقولها لأنه لم يفكر في الحدود.
• ماذا يحدث بعد التقرير؟ اطلب جلسة أرجوانية وموعدًا لإعادة الاختبار. التمرين الذي ينتهي بتقرير غير مكتمل.

وقارن دائمًا بين عرضين على أساس النطاق نفسه: عدد الأهداف، وعدد أسابيع التنفيذ، ودرجة الاستقلالية، وما إذا كان الاختبار على أنظمة الإنتاج، ووجود الجلسة الأرجوانية، وعدد أيام المهندس. العرض الأرخص عادة يخفض عدد الأهداف ويترك مرحلة القياس بلا وقت — وهو التخفيض الذي يجعل التقرير بلا قيمة.

الثلاثون يومًا التي تسبق التمرين

التمرين لا يبدأ في يوم التنفيذ، بل في اليوم الذي تفتح فيه ملف النطاق. هذا هو الترتيب العملي الذي نطلبه من كل عميل قبل شهر من الانطلاق:

1. الأسبوع الأول: تحديد الهدف القابل للحكم بصيغته النهائية، وتسمية مالك الأصل ومن يوقّع، وقائمة الأصول ببياناتها الكاملة من نطاقات واشتراكات ومزودين.
2. الأسبوع الثاني: مراجعة قواعد الاشتباك مع الإدارة القانونية، وتحديد الاستثناءات، وكتابة سياسة الإفصاح عن الحوادث، واختيار من يملك سلطة الإيقاف.
3. الأسبوع الثالث: فحص السجلات: المصادر المفعّلة، ومدة الاحتفاظ، والتزامن الزمني، وأي مصدر يجب تفعيله الآن لأن تفعيله في يوم التمرين يفسد القياس. ومراجعة نسخة قواعد الكشف وتاريخها.
4. الأسبوع الرابع: جلسات الافتتاح والإنذار: من يعرف، ومن لا يعرف، وما القناة التي تُستخدم في الطوارئ. وتحديد موعد الجلسة الأرجوانية والإغلاق والتطهير.

إن أردت تحسينًا أسرع من التمرين نفسه، فأنجز الأسبوع الثالث أولًا. نصف التمارين التي أُجريت على بيئات غير مستعدة تنتهي بنتيجة واحدة: لا سجلات كافية. وهذا ليس نتيجة أمنية، بل نتيجة إدارة سجلات — ويمكن إصلاحها قبل الدفع.

الحد القانوني: من يوقّع، ومن لا يُستهدف

كل ما سبق يسقط إذا كان التفويض ضعيفًا. القاعدة التي لا نتنازل عنها: لا تفويض من جهة لا تملك الأصل، ولا نطاق يتضمن أصولًا لا تعرف مالكها. الشركة التابعة قد تكون كيانًا قانونيًا منفصلًا، والبائع الذي يستضيف خدمة قد يكون هو المالك التقني للنظام، والسحابة العامة تحتاج إذنًا وفق شروط مزودها قبل أي اختبار. الاختبار على أصل لا تملكه هو اعتداء، ولو كان داخل حدود شبكتك المنطقية.

وكذلك في الاتجاه الآخر: التمرين لا يستهدف أفرادًا. الهندسة الاجتماعية في التمرين المهني تبقى داخل سياق العمل، ولا تتضمن إيذاءً نفسيًا ولا تهديدًا شخصيًا ولا استغلالًا لبيانات عائلية، لأن ذلك يتجاوز الغرض الأمني إلى ضرر حقيقي. وهناك خط أحمر عملي آخر: البيانات الحقيقية. أفضل الممارسات أن يجري التنفيذ على بيانات اختبار أو نسخة مخصصة، وأن تُنقّح أي أدلة قبل التقرير، وأن يكون هناك سجل حذف بتاريخ. وإذا كان الهدف نفسه هو التحقق من حماية بيانات العملاء، فالتحقق لا يحتاج إلى سحبها: يكفي إثبات الوصول إلى عدد محدود من السجلات وكتابة الرقم بدل الملف.

وأخيرًا، التمرين يتقاطع مع الالتزامات القائمة: سياسة الاستجابة للحوادث، ومتطلبات الإبلاغ في نظام حماية البيانات الشخصية، والتزامات السرية مع الأطراف الثالثة. نسّق التمرين مع من يملك خطة الاستجابة للحوادث قبل أن يبدأ، لا بعد أن يظهر اختراق حقيقي داخل التمرين. والمؤسسة التي تريد بناء هذا المسار من الأساس تجد في تدفق تقييم الفريق الأحمر ترتيبًا يبدأ بالنطاق وينتهي بإغلاق موثّق.

الخلاصة: اشترِ قياسًا، لا قصة

الفريق الأحمر الجيد لا يثبت أنك مخترق، ولا يثبت أنك آمن. هو يثبت شيئًا واحدًا محددًا: أن مهاجمًا بموارد معينة، في فترة معينة، بهدف متفق عليه، وصل أو لم يصل — وأن فريقك رأى أو لم يرَ. هذه الجملة القابلة للحكم هي كل ما تحتاج إلى شرائه. كل ما هو أكثر منها: رقم تغطية كبير، أو درجة نضج من عشر، أو تقرير من أربعين صفحة بلا خط زمني مزدوج — هو تسويق يُدفع ثمنه مرتين، مرة في الفاتورة ومرة في الثقة الزائدة التي يزرعها.

ابدأ بالهدف: جملة واحدة يعرف فيها كل من في الغرفة معنى «تحقق». اكتب النطاق وقواعد الاشتباك قبل أن تسأل عن السعر، وافحص السجلات قبل أن تدفع، وثبّت كيف ستُقاس نسبة الاكتشاف، واحتفظ بجلسة أرجوانية في العقد، واطلب قسمًا صريحًا لما لم يقيسه التمرين. هذه الخمسة معًا تفصل بين تمرين يُحسّن مؤسستك وتمرين يُحسّن ملف عرض المزود لمدة سنة.

وإن كنت لا تعرف من أين تبدأ، فالبداية الصحيحة ليست تمرينًا كاملًا: هي ورشة نطاق من نصف يوم تُخرج هدفًا واحدًا قابلًا للحكم، وقائمة سجلات يجب تفعيلها قبل أي هجوم. في كثير من المؤسسات، تلك الورشة وحدها تكشف أن نصف مشكلة الاكتشاف ليست في المراقبة، بل في أن أحدًا لم يكتب ما الذي يجب أن يُرى.