مركز الأمن
الغرض من المركز وخريطته
Section titled “الغرض من المركز وخريطته”مركز الأمن هو المظلة الجامعة للأمن التشغيلي: SOC (فرز تنبيهات الأمن وحوادثه وإدارتها)، وXDR (الربط عبر المجالات والبحث عن التهديدات)، وإدارة الثغرات الأمنية، وPAM (Privileged Access Management)، وإدارة SecOps (SOAR: التقييم، والموافقات، والتراجع)، وتقارير الأمن. تذاكر هذا القسم (العائلة SOC-*) ذات سرّية قصوى: بعض الأنواع (مثل SOC-INCIDENT) لا يطّلع عليها إلا محللو SOC وCISO الخاص بالـ tenant.
تتناول هذه الصفحة صفحة الدخول، ووحدات التحكم التشغيلية (SOC L1 وXDR)، وVulnerability Cockpit، وصفحات PAM الخمس وConsole PAM، وSecOps Admin، وSecurity Report Center، وAgent Monitoring. أما GRC/ICC وعروض مديري SOC/XDR فيُشار إليها هنا لكنها موصوفة في صفحاتها الخاصة (GRC والمخاطر والامتثال والشؤون القانونية، لوحات القيادة وعروض الإدارة، Customer Service وEnterprise Service وICC).
صفحة الدخول إلى Security Hub
Section titled “صفحة الدخول إلى Security Hub”الغرض. هي نقطة الدخول إلى الأمن: تجمع البطاقات المؤدية إلى SOC وXDR والثغرات الأمنية وPAM وSecOps Admin والتقارير والأقسام المرتبطة (GRC وICC).
متى تُستخدم. في بداية جلسة العمل الأمني، لاختيار القسم الذي ستعملون عليه.
كيف تُفتح. من الصفحة الرئيسية لـ Core (بطاقة Security Hub) أو من Security Hub في سياق آخر.
ماذا تعرض. تربط البطاقات بما يلي: SOC L1، وXDR، والثغرات الأمنية، وPAM، وSecOps Admin، وIT Security Report Center، وقاعدة معرفة مجال SOC، وGRC، وICC، وOperations Cockpit بنطاق الأمن، وAgent Control Tower بنطاق security، وCMDB مع التركيز على الأمن، وITOM مع التركيز على الأمن، وعروض المديرين SOC/XDR/GRC/ICC.
كيف تُستخدم. انقروا على بطاقة القسم المطلوب؛ وتتوقف البطاقات الظاهرة على الدور (الملفات SOC وXDR وSECHUB وغيرها).
ماذا يحدث بعد ذلك. تنتقلون إلى الصفحة/وحدة التحكم المختارة مع تمرير السياق.
ملاحظات. صلاحية الاطلاع مقيّدة بشكل خاص: كثير من المحتويات يتطلب أدوار SOC/CISO.
SOC L1، فرز تنبيهات الأمن
Section titled “SOC L1، فرز تنبيهات الأمن”الغرض. هي وحدة التحكم التشغيلية لـ SOC: تجمع التنبيهات من أنظمة SIEM (عبر webhook) وتدير فرزها L1←L2←L3، حتى الحوادث المؤكَّدة. وتستخدم محرّك التخطيط نفسه الذي تستخدمه وحدة تحكم تقنية المعلومات مع المجال SOC.
متى تُستخدم. هي محطة عمل محلل SOC لفرز التنبيهات والحوادث وإدارتها.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة SOC L1.
ماذا تعرض. تخطيط من ثلاث لوحات (الطابور · التفاصيل · الأدوات) مع تحديث تلقائي وعوامل تصفية. شريط KPI للمستوى L1: التنبيهات النشطة، وما فُرز في الساعة الأخيرة، ومعدل FP (الإيجابيات الكاذبة)، وSLA الفرز، والتصعيد إلى L2. الإجراءات السريعة للمستوى L1: إسناد إليّ، وEscalate L2، و**✓ True Positive**، وFalse Positive.
عند الانتقال إلى المستويات الأعلى (L2/L3، التحليل/الاستجابة للحوادث) تتغير مؤشرات KPI والإجراءات: مؤشرات KPI Open cases وBreaches وHunt النشطة وPIR المعلّقة وIOC المستوعبة؛ والإجراءات Take over وEscalate L3 وIsolate host وBlock IOC وIR Playbook. يمكن فتح لوحة KPI الخاصة بـ SOC في نافذة («SOC L1 Dashboard»).
كيف تُستخدم. تُفرز التنبيهات (SOC-ALERT) وتُصنَّف بوصفها True/False Positive؛ ويُرقّى التنبيه المؤكَّد إلى SOC-INCIDENT (سرّية قصوى، وPIR إلزامي)؛ وتُدار بلاغات التصيّد الاحتيالي (SOC-PHISH، ويمكن فتحها أيضًا من بوابة المستخدم) وتنبيهات البرمجيات الخبيثة (SOC-MALWARE). تُفعّل إجراءات الاحتواء (Isolate host وBlock IOC) عمليات المعالجة في SOAR.
ماذا يحدث بعد ذلك. يُطلق «True Positive» التصعيد/الحادث؛ وينفّذ «Isolate/Block» إجراءات استجابة (تخضع لحواجز SOAR)؛ وكل إجراء يُتتبَّع ويُبلَّغ عنه.
ملاحظات. إجراءات المعالجة الأكثر حساسية (مثل execute_script) محمية بحواجز متعددة (انظروا SecOps Admin). صلاحية الاطلاع على الحوادث مقتصرة على SOC/CISO.
XDR Ops
Section titled “XDR Ops”الغرض. يوفّر XDR (eXtended Detection & Response) الربط بين التهديدات عبر المجالات وأدوات البحث الاستباقي عن التهديدات، ومعلومات التهديدات، والمشاركة مع المورّدين.
متى تُستخدم. للتحليل المترابط للإشارات متعددة المصادر، وحملات البحث عن التهديدات، وإدارة مؤشرات IOC، والإحاطات التنفيذية بشأن التهديدات.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة XDR.
ماذا تعرض. وحدة تحكم منظَّمة في عروض فرعية (العرض الأول: Correlation)، لكل منها مؤشرات KPI وجداول وبطاقات:
| العرض الفرعي | المحتوى |
|---|---|
| Correlation | ربط الإشارات عبر المجالات |
| Threat Intel | مؤشرات IOC والمعلومات الاستخبارية (SOC-THREAT-INTEL: TLP، ودرجة الثقة، وCVE، والجهة المهدِّدة، وتاريخ الانتهاء) |
| Unified Timeline | خط زمني موحّد للأحداث |
| Executive Brief | ملخص تنفيذي للتهديد |
| Escalation | إدارة التصعيدات |
| Lessons Learned | الدروس المستفادة بعد الحدث |
| Hunting Queries | استعلامات البحث عن التهديدات (SOC-THREAT-HUNT: الفرضية، والتقنية) |
| Vendor Sharing | المشاركة مع المورّدين/الشركاء |
| Knowledge Base | قاعدة معرفة XDR |
| Threat Landscape | مشهد التهديدات |
| Reports & Analytics | التقارير والتحليلات (وحدة التقارير المشتركة، مع الجدولة) |
كيف تُستخدم. تتنقلون بين العروض الفرعية؛ وتربطون الإشارات، وتديرون مؤشرات IOC وحملات البحث عن التهديدات، وتُعدّون الإحاطات والتقارير؛ وتُعالَج هنا ملاحظات Attack Surface Management (SOC-ASM) وSecurity Case (SOC-CASE، تحقيقات تجمع عدة تنبيهات/حوادث/مؤشرات IOC عبر روابط التذاكر).
ماذا يحدث بعد ذلك. يمكن أن تولّد عمليات الربط حوادث/قضايا؛ وتغذّي مؤشرات IOC المؤكَّدة الأنظمة الدفاعية؛ ويمكن جدولة التقارير.
ملاحظات. يستخدم عرض Reports وحدة التقارير المشتركة في المنصة.
Vulnerability Cockpit
Section titled “Vulnerability Cockpit”الغرض. تدير الثغرات الأمنية (SOC-VULN) التي ترصدها أدوات الفحص (Tenable وQualys وNessus): من الاكتشاف حتى المعالجة.
متى تُستخدم. لترتيب أولويات معالجة الثغرات وتتبّعها.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة الثغرات الأمنية.
ماذا تعرض. لوحة الثغرات مع درجة CVSS، والمضيف/CI المتأثر، والمصدر، وحالة المعالجة؛ وعند عدم وجود ملاحظات مفتوحة تعرض الحالة «لا توجد ملاحظات مفتوحة».
كيف تُستخدم. تفحصون الثغرات حسب الخطورة، وتخطّطون للمعالجة، وتربطونها بالتغييرات والأصول.
ماذا يحدث بعد ذلك. تُحدّث المعالجة الحالة؛ ويمكن أن تولّد الثغرات الحرجة حوادث.
ملاحظات. تتغذّى من أدوات الفحص عبر الاستيعاب.
PAM Hub
Section titled “PAM Hub”الغرض. هو نقطة الدخول إلى Privileged Access Management: حوكمة الوصول والحسابات وبيانات الاعتماد والجلسات والامتثال الخاصة بالامتيازات.
متى تُستخدم. لإدارة الوصول المميّز إلى الأنظمة الحساسة ومراقبته.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة PAM.
ماذا تعرض. البطاقات المؤدية إلى صفحات PAM: الوصول، والحسابات، وVault، والجلسات، والامتثال.
كيف تُستخدم. تختارون قسم PAM؛ والوظائف موصوفة في البطاقات التالية.
ماذا يحدث بعد ذلك. تُتتبَّع عمليات PAM بالكامل في سجل التدقيق.
ملاحظات. PAM مقتصر على أدوار الأمن (SOC/CISO/PAM admin).
PAM الوصول JIT/JEA
Section titled “PAM الوصول JIT/JEA”الغرض. تدير طلبات الوصول المميّز وفق نموذج JIT/JEA (Just-In-Time / Just-Enough-Access): منح محدود زمنيًا وفي حدّه الأدنى.
متى تُستخدم. عندما يحتاج مستخدم إلى وصول مميّز مؤقت إلى نظام ما.
كيف تُفتح. من PAM Hub، بطاقة الوصول.
ماذا تعرض وكيف تُستخدم. طلبات الوصول (SOC-ACCESS-REQ) مع الاعتماد (CISO/SOC) وتاريخ الانتهاء؛ تمنحون الوصول للنافذة الزمنية اللازمة وتسحبونه عند الانتهاء.
ماذا يحدث بعد ذلك. الوصول الممنوح محدود زمنيًا ويُسحب تلقائيًا؛ وكل منح يُتتبَّع.
ملاحظات. يقلّل نموذج JIT/JEA الامتيازات الدائمة إلى أدنى حد.
PAM الحسابات المميّزة
Section titled “PAM الحسابات المميّزة”الغرض. تدير جرد الحسابات المميّزة (الإدارية، وحسابات الخدمة) ودورة حياتها.
متى تُستخدم. لحصر الحسابات المميّزة وتدويرها وتعطيلها.
كيف تُفتح. من PAM Hub، بطاقة الحسابات.
ماذا تعرض وكيف تُستخدم. قائمة الحسابات المميّزة مع المالك والنظام والحالة؛ وإجراءات التدوير/التعطيل.
ماذا يحدث بعد ذلك. تُتتبَّع التغييرات؛ وتظهر الحسابات غير الممتثلة في امتثال PAM (PAM Compliance).
ملاحظات. مرتبطة بـ Vault (PAM Vault بيانات الاعتماد).
PAM Vault بيانات الاعتماد
Section titled “PAM Vault بيانات الاعتماد”الغرض. هو خزنة بيانات الاعتماد المميّزة: حفظ آمن للأسرار وتوزيعها بشكل مضبوط.
متى تُستخدم. لحفظ بيانات الاعتماد المميّزة واسترجاعها بأمان.
كيف تُفتح. من PAM Hub، بطاقة Vault.
ماذا تعرض وكيف تُستخدم. العناصر المحفوظة في الخزنة مع وصول مضبوط؛ ويخضع الاسترجاع للتفويض والتتبّع.
ماذا يحدث بعد ذلك. يُسجَّل كل وصول إلى السر في سجل التدقيق.
ملاحظات. لا تُعرض بيانات الاعتماد بنص واضح في الواجهة أبدًا أكثر من اللازم؛ وإدخال الأسرار مسؤولية المستخدم.
PAM الجلسات المميّزة
Section titled “PAM الجلسات المميّزة”الغرض. تدير الجلسات المميّزة إلى الأنظمة وتسجّلها.
متى تُستخدم. لبدء جلسة مميّزة/مراقبتها والاطلاع على تسجيلها.
كيف تُفتح. من PAM Hub، بطاقة الجلسات.
ماذا تعرض وكيف تُستخدم. الجلسات النشطة والسابقة مع المستخدم والنظام والمدة والتسجيل؛ ومن هنا يمكنكم بدء جلسة (أيضًا عبر Console PAM، Console PAM (وصول zero-knowledge)).
ماذا يحدث بعد ذلك. تُسجَّل الجلسات للتدقيق والمراجعة.
ملاحظات. تدعم نموذج zero-knowledge (Console PAM (وصول zero-knowledge)).
PAM Compliance
Section titled “PAM Compliance”الغرض. تتحقق من امتثال الوصول والحسابات المميّزة للسياسات.
متى تُستخدم. للمراجعات الدورية لامتثال PAM.
كيف تُفتح. من PAM Hub، بطاقة الامتثال.
ماذا تعرض وكيف تُستخدم. حالة الامتثال (الوصول المفرط، والحسابات اليتيمة، وعمليات التدوير الفائتة) والإجراءات التصحيحية.
ماذا يحدث بعد ذلك. تغذّي حالات عدم الامتثال الملاحظات وإجراءات المعالجة.
ملاحظات. مرتبطة بـ GRC/التدقيق.
Console PAM (وصول zero-knowledge)
Section titled “Console PAM (وصول zero-knowledge)”الغرض. تفتح وحدة تحكم مميّزة zero-knowledge إلى CI/نظام، دون كشف بيانات الاعتماد للمشغّل.
متى تُستخدم. عندما يلزم العمل على نظام أثناء معالجة تذكرة (مثل حادث على مضيف).
كيف تُفتح. من زر Console PAM في محرّر التذكرة (محرّر التذكرة) عندما تتعلق التذكرة بعنصر CI، أو من صفحة جلسات PAM.
ماذا تعرض وكيف تُستخدم. وحدة تحكم الجلسة إلى النظام، بوساطة PAM: تُحقن بيانات الاعتماد من الخزنة دون الكشف عنها.
ماذا يحدث بعد ذلك. تُسجَّل الجلسة (PAM الجلسات المميّزة) وتُتتبَّع في سجل التدقيق.
ملاحظات. نموذج zero-knowledge: يعمل المشغّل دون معرفة السر.
SecOps Admin
Section titled “SecOps Admin”الغرض. هو إعداد أتمتة الأمن (SOAR) وسياسات الاستجابة.
متى تُستخدم. لضبط تقييم المخاطر، وإدارة موافقات إجراءات المعالجة وقابليتها للتراجع.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة SecOps Admin.
ماذا تعرض. ثلاثة تبويبات:
- Risk Scoring — Weights Configuration — أوزان درجة المخاطر ومعاييرها.
- Approvals Queue — طابور موافقات إجراءات المعالجة.
- Rollback Stack — مكدّس الإجراءات القابلة للتراجع (لإلغاء معالجة ما).
كيف تُستخدم. تحدّدون أوزان التقييم؛ وتوافقون على الإجراءات في الطابور أو ترفضونها؛ وتديرون التراجع عن الإجراءات المنفَّذة.
ماذا يحدث بعد ذلك. تُنفّذ أدلة التشغيل (playbook) في SOAR الإجراءات المعتمدة؛ ويلغي التراجع الآثار حيثما كان ذلك مدعومًا.
ملاحظات. انتقل إعداد أدوات الأمن (Azure Tenant/Client ID/Secret وType وEndpoint URL) إلى Integration Center (Integration Hub والاستيراد). الإجراءات الحساسة (مثل execute_script) محمية بـ أربعة حواجز وبإدارة صارمة للأسرار.
IT Security Report Center
Section titled “IT Security Report Center”الغرض. هو تقارير الأمن: الوضع الأمني، والثغرات حسب الخطورة، والحوادث، والامتثال.
متى تُستخدم. لإعداد تقارير الأمن والاطلاع عليها.
كيف تُفتح. من صفحة الدخول إلى Security Hub، بطاقة IT Security Report Center.
ماذا تعرض وكيف تُستخدم. كتالوج تقارير الأمن مع التقييد بنطاق مجال SOC، والمعاينة، والجدولة، والتصدير.
ماذا يحدث بعد ذلك. يمكن جدولة التقارير وتصديرها.
ملاحظات. النطاق مقتصر على مجال الأمن.
Agent Monitoring
Section titled “Agent Monitoring”الغرض. تراقب وكلاء الأمن/نقاط النهاية المثبّتة على الأنظمة.
متى تُستخدم. للتحقق من تغطية الوكلاء وحالتهم (EDR/المراقبة).
كيف تُفتح. من صفحة الدخول إلى Security Hub / قسم SecOps.
ماذا تعرض وكيف تُستخدم. حالة الوكلاء لكل مضيف (الإصدار، والاتصال، والسلامة)؛ ومن هنا تحدّدون نقاط النهاية غير المغطّاة أو غير السليمة.
ماذا يحدث بعد ذلك. يمكن أن تولّد الحالات الشاذة تنبيهات/تذاكر.
ملاحظات. مكمّلة لـ Attack Surface Management (XDR Ops).
الصفحات المرتبطة بالمركز (موصوفة في مواضع أخرى)
Section titled “الصفحات المرتبطة بالمركز (موصوفة في مواضع أخرى)”من صفحة الدخول إلى الأمن يمكنكم الوصول أيضًا إلى صفحات موصوفة في صفحاتها الخاصة: GRC (GRC والمخاطر والامتثال والشؤون القانونية)، وICC (سجلّ المشاريع / العملاء)، وCMDB مع التركيز على الأمن (Asset Management وCMDB)، وITOM مع التركيز على الأمن (NOC وObservability وITOM)، وAgent Control Tower (مركز الذكاء الاصطناعي والوكلاء)، وOperations Cockpit وعروض Service Director SOC/XDR/GRC/ICC (لوحات القيادة وعروض الإدارة).