مُصمَّم هنا، من الأساس.
كل منهج يُصمَّم هنا على مدى شهور، من سنوات من القضايا الحقيقية ومن متابعة النقطة التي يتعثر عندها المحلل.
الأدوات تتغير كل عام، أما طريقة عمل الاختراق وطريقة تحليله فلا تتغيران. الكتاب يقول شيئًا، وأرض الـSOC والـDFIR تقول شيئًا آخر. ونحن نعلّمك الاثنين.
عشرة معايير وراء كل دورة نقدّمها. نلتزم بها في كل درس ومع كل دفعة.
كل منهج يُصمَّم هنا على مدى شهور، من سنوات من القضايا الحقيقية ومن متابعة النقطة التي يتعثر عندها المحلل.
الشبكات وأنظمة التشغيل ودواخل ويندوز هي جوهر كل دورة، لا مقدمتها. تتعلم أين تولد بيانات الأداة، العملية والريجستري والسجل، قبل أن تلمس الأداة. وعندها لا تعود لوحة العرض سحرًا.
الـDNS وُجد لأن ملفًا نصيًا واحدًا لم يعد يكفي. والجدار الناري وُجد لأن الحدود سقطت. اعرف ما الذي انكسر، وستفهم الحل حتى أصل تصميمه.
كل هجوم تدرسه حدث فعلًا: في حوادث عملنا عليها بأنفسنا، أو في تحقيقات نشرتها مصادر موثوقة. حديث، وموثّق، وحقيقي.
قبل أن تتعلم الدفاع، تخطط للهجوم. لا يمكنك أن تكتشف ما لا تستطيع تخيّله، ولا أن تحقق فيه.
الكتاب يقول شيئًا، والـSOC الحقيقي يقول شيئًا آخر. كل درس يكتبه من يعمل في المجال، ويريك الاثنين.
قراءة قبل كل محاضرة، وواجب بعدها، وأجزاء تذاكرها وحدك قبل أن تسأل. المجال يحتاج محللين يتحمّلون الثقل.
كل دورة تسمّي ما لا تغطيه، وأين تتعلمه بالضبط بعدها. المحلل الذي يعرف فجواته أأمن من الذي يظن أنه اكتمل.
سيعرف الذكاء الاصطناعي معلومات أكثر منك دائمًا. نحن ندرّب ما لا يستطيعه: قراءة السياق، وبناء الفرضية، والشك في الإجابة الواضحة. ونريك أين يساعدك، وأين يضللك.
كل دورة تعلّمك السوق أيضًا: المهارات التي توظّف لها الفرق، والفجوات التي لا تجد من يسدّها، وما تطلبه الوظيفة منك فعلًا. ثم نساعدك على الوصول: مراجعة سيرتك الذاتية، والتدريب على المقابلات، والتعريف بالفرق التي توظّف. محلل أقوى، وSOC أفضل، وسوق أصح: يجب أن يربح الجميع.
ألتزم بهذه المعايير في كل دورة نقدّمها. وإن وجدت معيارًا كسرناه، أخبرني مباشرة.
لكل دورة كود، مثل IR-200. دورات المسار يبني بعضها على بعض، لكنك لست مضطرًا لأخذها كلها بالترتيب: ابدأ من حيث تحتاج، ما دمت تعرف ما تعلّمه الدورات التي قبلها.
محاضرات مباشرة مع من كتب الدورة. قراءة قبل كل محاضرة، وواجب بعدها.
Systems Internals, Enterprise Infrastructure, Adversary Tradecrafts, Analysis Process & Much More
To be announced soon.
المنهج نفسه بسرعتك أنت: دروس ومعامل واختبارات. اشترِ مرة واحدة أو ابدأ مجانًا، ويبقى معك.
Standalone sessions on how analysts think: storytelling, context, the Pyramid of Pain and pivoting
A series of standalone sessions on how analysts really think: reading an intrusion as a story, building context, going after the indicators that hurt the attacker, and pivoting without getting lost.
A practical incident response series: one intrusion, followed from the first alert to the domain controller
Follow Rider.exe through a real intrusion, from Tier 1 triage in Elastic to PsExec, identity, file and network telemetry, and the incident response decisions along the way. New episodes are added as the series continues.
خرج Signal من القضايا نفسها التي خرجت منها الدورات. هو الدقيقة الأولى من التحقيق، جاهزة لك.
ساعات من الفرز في دقيقة واحدة: أين تنظر، وما الذي لا تراه. للقراءة فقط، نحو دقيقة على Windows 10 و11 وServer.
كتابات من القضايا والمعامل، وإجابات أسئلة طرحها الطلاب ولم نملك إجابتها في لحظتها.
A weekend Process Monitor boot log turned into a full DLL side-loading study: finding a hijackable load in Google's updater service, building and stabilizing a PoC with a DLL proxy, turning it into SYSTEM persistence, and the detection and forensic opportunities it leaves behind.
اقرأ المقال
Reproducing Red Canary's mavinject.exe injection into LSASS on Windows 11: why PPL makes it fail, why Sysmon Event ID 7 only shows the successful injection, and how Event 4689 exit codes tell success from failure when the tool stays silent.
اقرأ المقال
A weekend PoC that starts PowerShell suspended with a harmless command line, rewrites the command line in its PEB and resumes it: Security 4688 and Procmon log Write-Host while PowerShell downloads an executable. How it works, the length-field trick, and how to catch it with context.
اقرأ المقال
A ShimCache entry does not mean the program ran. Walking through AppCompatCacheParser's "Executed" column, a Prefetch cross-check, the last-four-bytes assumption and where it breaks down — and why you must understand how an artifact and its tools really work before you conclude.
اقرأ المقاللفرق الـSOC والـDFIR والأمن. المعايير نفسها، مبنية حول بيئتك.
قل لنا أين يقف محللوك الآن وأين يجب أن يصلوا. نصمم المسار من أدواتك وحوادثك، ويدرّسه من كتبه، ونريك ما صار كل محلل قادرًا عليه.
نربط الدورات بأدواتك ومصادر سجلاتك ومستوى كل محلل، ونحذف ما لن يستخدمه فريقك.
فريقك وحده، في الأيام والساعات التي تسمح بها ورديّاتكم. قراءة قبل، وواجب بعد، مثل كل دفعة.
نعيد بناء الهجمات التي رآها فريقك، أو التي يجب أن يتوقعها، ليتدرّب على ما سيصل إليه فعلًا.
نتائج الاختبارات والمعامل لكل محلل: ما يستطيع التحقيق فيه الآن، لا عدد الساعات التي جلسها.