ما هو الـ CTF، ما العَلَم، كيف تعمل سلسلة القتل، وكيف تُسلّم وتنجح — كلّ ما تحتاجه قبل أن تبدأ _اقرأ هذا الفصل كاملاً قبل أن تلمس المختبر. يوفّر عليك ساعات من الحيرة._

Cybersecurity Bootcamp، Phase 1: Red Team Foundations فصل تمهيديّ للكابستون. لا يفترض معرفة سابقة بالـ CTF. يشرح التحدّي، لا يحلّه.

كيف تقرأ هذا المستند

هذا الفصل هو خريطتك للكابستون. يشرح الفكرة والقواعد والتسليم والأخلاقيّات، لا الخطوات التقنيّة للحلّ. الخطوات تجدها في المختبر نفسه وفي صفحة الكابستون. اقرأه مرّةً من أوّله إلى آخره، ثمّ ارجع إليه كلّما التبس عليك شيء.

كالعادة: النصّ عربيّ RTL، والمصطلحات التقنيّة القصيرة (CTF, flag, Pull Request) داخل جمل عربيّة بين backticks.

جدول المحتويات

قبل أن تبدأ: ما تحتاجه جاهزاً

القسم 0القسم 0: ما هو الـ CTF ولماذا نتعلّم به

CTF اختصار لـ Capture The Flag، أي «التقط العَلَم». وهو أسلوب تعليميّ ومسابقة في الأمن السيبرانيّ: تُوضَع أمامك مهمّة أمنيّة حقيقيّة الطابع داخل بيئة آمنة، وإذا أنجزتها حصلت على عَلَم يُثبت نجاحك. العَلَم نصّ قصير تُسلّمه لتُثبت أنّك وصلت.

لماذا نتعلّم بهذه الطريقة؟ لأنّ الأمن السيبرانيّ مهارة عمليّة لا تُحفَظ. لا يكفي أن تقرأ عن التصيّد؛ عليك أن تُفكّر كمهاجم، وتبني، وتُخطئ، وتُصحّح. الـ CTF يمنحك ملعباً تفعل فيه ذلك دون أن تُؤذي أحداً: البيئة وهميّة، والأهداف غير حقيقيّة، والخطأ بلا ثمن.

للـ CTF نوعان شائعان تحتاج أن تُميّزهما:

• Jeopardy: تحدّيات منفصلة، لكلّ منها عَلَم، تحلّها بأيّ ترتيب. أكثر الأنواع شيوعاً للتعلّم.
• Attack-Defense: فريقان، كلّ فريق يُهاجم خدمات الآخر ويُدافع عن خدماته في الوقت نفسه. أقرب إلى المنافسة الحيّة.

كابستونك من نوع قريب من الأوّل: مهمّة موجّهة لها هدف واحد وعَلَم واحد، تُنفّذها في مختبرك.

✅ اختبر نفسك: القسم 0

1. بجملة واحدة: ما معنى CTF؟
2. لماذا نتعلّم الأمن الهجوميّ عبر تحدٍّ بدل الحفظ النظريّ؟
3. ما الفرق بين Jeopardy وAttack-Defense؟

القسم 1القسم 1: كيف نستعمل الـ CTF في معسكر إسكندر

الـ CTF في المعسكر ليس لعبةً جانبيّة، بل طريقة الإثبات. في نهاية كلّ مرحلة تُثبت أنّك أتقنت مهاراتها بتحدٍّ عمليّ لا بامتحان ورقيّ. تبني أداةً، أو تخترق هدفاً، أو تُدافع عن نظام، ويكون العَلَم شاهداً على أنّك فعلت.

كابستون المرحلة الأولى، سلسلة القتل، هو أوّل هذه التحدّيات وأهمّها: تأخذ كلّ ما تعلّمته في بناء الأدوات والهندسة الاجتماعيّة وتُركّبه في عمليّة واحدة من طرف إلى طرف. ما تتعلّمه هنا، من قراءة التحدّي بعناية إلى احترام قواعده، يتكرّر في كلّ كابستون لاحق.

ملاحظة: الهدف ليس «جمع الأعلام» بل إتقان المهارة. العَلَم نتيجة، لا غاية. من يبحث عن اختصار للعَلَم يُضيّع التعلّم الذي صُمّم التحدّي لأجله.

✅ اختبر نفسك: القسم 1

1. ما دور الـ CTF في إثبات مهاراتك عبر المعسكر؟
2. لماذا نقول إنّ العَلَم نتيجة لا غاية؟

القسم 2القسم 2: ما هو العَلَم (Flag)؟

العَلَم نصّ فريد بالشكل ISK{...} يُثبت أنّك وصلت إلى هدف التحدّي. حين تُنجز المهمّة يظهر لك علمك، فتنسخه وتُسلّمه في البوّابة.

أهمّ خاصيّة فيه: علمك مبنيّ على رمزك الخاصّ. حين تبدأ التحدّي من البوّابة تحصل على رمز فريد لك وحدك (بالشكل ISK-XXXXXXXX)، ومنه يُشتَقّ علمك. لهذا:

• لكلّ طالب علمٌ مختلف. نسخ علم زميلك لا ينفع: علمه مبنيّ على رمزه لا على رمزك، فلن يُقبل في حسابك.
• العَلَم يُثبت أنّك أنت من وصل، في حسابك أنت.

لكن كن صريحاً مع نفسك: العَلَم يُثبت الوصول، لا جودة عملك. الإثبات الأقوى لإتقانك هو مساهمتك البرمجيّة في الجزء الثاني، وفيديو العرض الاختياريّ الذي يُظهر كيف فكّرت ونفّذت. التحدّي يكافئ الفهم، لا نسخ نصّ.

✅ اختبر نفسك: القسم 2

1. ما شكل العَلَم، ومن أين يأتي؟
2. لماذا لا ينفع أن تنسخ علم زميلك؟
3. ما الذي يُثبت جودة عملك أكثر من العَلَم نفسه؟

القسم 3القسم 3: كابستون سلسلة القتل — الجزآن

الكابستون جزآن مستقلّان، تُنجزهما بأيّ ترتيب، وكلاهما مطلوب للشهادة:

الجزء الأوّل: العمليّة. تُنفّذ سلسلة قتل تصيّد كاملة في مختبر محليّ آمن على جهازك، ضدّ شركة وهميّة اسمها Rafid Financial Services. تستطلع الموقع، تختار الهدف والذريعة، تصوغ رسالة التصيّد، وحين تقنع الضحيّة المُحاكاة يظهر علمك. تُسلّم العَلَم في البوّابة.

الجزء الثاني: المساهمة. تفتح Pull Request على مستودع الـ keylogger، بأيّ تحسين حقيقيّ ولو بسيط. يُثبت أنّك تُتقن دورة عمل المطوّر لا الهجوم وحده. إن كنت لا تعرف Git بعد، ابدأ من فصل Git وGitHub.

إتمام الجزأين معاً يمنحك شهادة إتمام الكابستون.

لماذا جزآن؟ لأنّ خبير الفريق الأحمر الكامل يُهاجم ويبني. الجزء الأوّل يُثبت أنّك تستطيع أن تُنفّذ، والثاني أنّك تستطيع أن تقرأ الكود وتتعاون كمهندس.

✅ اختبر نفسك: القسم 3

1. ما الجزآن، وهل يجب إنجازهما بترتيب معيّن؟
2. ما الذي يُثبته كلٌّ منهما عنك؟
3. ما شرط الحصول على الشهادة؟

القسم 4القسم 4: كيف تُشغّل المختبر

المختبر محاكاة تعليميّة آمنة تماماً تعمل على جهازك: بلا بريد حقيقيّ، بلا برمجيّة ضارّة، بلا هدف أو شبكة حقيقيّة، ضدّ شركة وهميّة على نطاق .local غير قابل للتوجيه. حين تُشغّله يبدأ خادم بريد محليّ مع واجهة ويب في متصفّحك، فتُنفّذ كلّ شيء من المتصفّح. خادم البريد محليّ لا يُرسل إلى الخارج، تماماً كما في الفصل الخامس.

الخطوات العامّة (التفاصيل في المختبر وصفحة الكابستون):

1. سجّل الدخول في https://iskander.sh/capstone واضغط ابدأ لتحصل على رمزك.
2. نزّل المختبر من مستودعه على GitHub، وفُكّ الضغط.
3. شغّل الأمر، فيفتح متصفّحك على http://localhost:8000:

python lab.py

1. في المتصفّح: الصق رمزك، ثمّ افتح موقع شركة Rafid وافعل استطلاعك: من يعالج الفواتير؟ أيّ مورّد تنتحل صفته؟ أيّ موضوع يُعالَج في اليوم نفسه؟
2. صُغ رسالة التصيّد في المتصفّح وأرسِلها. تُسلَّم عبر SMTP إلى خادم البريد المحليّ، حيث تقرأها الضحيّة المُحاكاة.
3. إن اقتنعت الضحيّة ظهر علمك؛ وإن رُفضت الرسالة أخبرك المختبر بالسبب لتُحسّنها.

انتبه: الأمر python lab.py يُشغّل المختبر فقط، ثمّ تُكمل كلّ شيء في المتصفّح: الرمز، والاستطلاع، وإرسال الرسالة.

✅ اختبر نفسك: القسم 4

1. ماذا يفعل الأمر python lab.py، وأين تُكمل بقيّة العمل؟
2. لماذا نقول إنّ المختبر محاكاة آمنة، وإلى أين يذهب البريد الذي تُرسله؟
3. ماذا تفعل إن رفضت الضحيّة المُحاكاة رسالتك؟

القسم 5القسم 5: التسليم والشهادة والخصم

• الجزء الأوّل: انسخ العَلَم الذي أظهره المختبر وسلّمه في https://iskander.sh/capstone.
• الجزء الثاني: افتح طلب الدمج على مستودع الـ keylogger، ثمّ انسخ رابطه وسلّمه في حقل الجزء الثاني في بوّابة الكابستون نفسها، فيُربط بحسابك وتراجعه الإدارة.
• الشهادة: بعد التحقّق من الجزأين تحصل على شهادة إتمام الكابستون.
• الخصم: الفيديو الاختياريّ (القسم التالي) يمنحك خصم ٥٠٪ على أيّ دورة مستقبليّة كاملة السعر. لا يشمل دورة الفريق الأزرق ولا الباقة ما دام خصم Winter Arc قائماً.

✅ اختبر نفسك: القسم 5

1. أين تُسلّم عَلَم الجزء الأوّل، وأين تُسلّم رابط طلب الدمج؟
2. ما شرط الشهادة، وما شرط الخصم؟

القسم 6القسم 6: مكافأة الفيديو وضوابط YouTube

الفيديو اختياريّ تماماً ولا يؤثّر في نجاحك: انشر فيديو عرضٍ لحلّك على YouTube بوسم #IskanderChallenge، وبعد مراجعته تحصل على خصم ٥٠٪.

لكنّ YouTube يمنع محتوى «كيفيّة سرقة بيانات الدخول» والتصيّد، ويسمح بالمحتوى التعليميّ فقط حين يكون سياقه واضحاً. التزِم بهذه القواعد ليبقى فيديوك متوافقاً وحسابك آمناً:

1. اجعل العنوان تعليميّاً لا هجوميّاً: «جولة في تحدّي Iskander» أو «Challenge Walkthrough»، لا «كيف تخترق» أو «كيف تصطاد».
2. أظهِر بوضوح أنّ كلّ شيء يعمل على مختبر محليّ على جهازك (العناوين المحليّة مثل localhost)، وأنّه محاكاة لا هجوم على نظام أو شخص حقيقيّ.
3. أضِف تنويهاً صريحاً نطقاً في بداية الفيديو، ونصّاً في الوصف.
4. ركّز على المنهجيّة والتعلّم، لا على وصفة قابلة للتكرار ضدّ ضحايا حقيقيّين.
5. اذكر السياق والمخاطر: التصيّد ونشر البرمجيّات الخبيثة على أهداف حقيقيّة جريمة، وهذا تدريب دفاعيّ لفهم الهجوم حتّى نوقفه.

قالب التنويه (قُله في البداية وانسخه في الوصف): «هذا عرض تعليميّ لتحدّي محاكاة يعمل بالكامل على مختبر محليّ على جهازي، بلا أيّ نظام أو شخص أو بيانات حقيقيّة، ضمن معسكر Iskander للأمن السيبرانيّ. الهدف تعليميّ ودفاعيّ.»

✅ اختبر نفسك: القسم 6

1. هل الفيديو شرط للنجاح؟ وما الذي يمنحه؟
2. اذكر ثلاث قواعد تُبقي فيديوك متوافقاً مع سياسات YouTube.
3. لماذا لا يكفي أن تقول «لا تجرّب هذا في الواقع» وحدها؟

القسم 7القسم 7: الأخلاقيّات والقانون

هذا هو الجزء الذي لا يُساوَم عليه. كلّ ما في هذا الكابستون محاكاة آمنة لهدف وهميّ على جهازك. أمّا في الواقع:

• التصيّد وانتحال الهويّة لجمع بيانات الناس جريمة.
• نشر برمجيّة خبيثة على نظام لا تملكه جريمة.
• حتّى «الاختبار» على نظام أو شخص دون إذن صريح مكتوب جريمة.

نتعلّم الهجوم لسبب واحد: لنفهمه فنُحسن الدفاع عنه. من يحمل هذه المهارة يحمل مسؤوليّةً بقدرها. استعمل ما تعلّمته هنا على ما تملك أو ما أُذِن لك به كتابةً، لا غير.

✅ اختبر نفسك: القسم 7

1. لماذا نتعلّم الهجوم أصلاً؟
2. ما الشرط الوحيد الذي يجعل اختبار نظامٍ مشروعاً؟

القسم 8القسم 8: الخلاصة والجسر إلى التحدّي

الآن تعرف ما تحتاجه لتبدأ:

• الـ CTF طريقة تعلّم وإثبات عمليّة، والعَلَم نتيجته لا غايته.
• علمك فريد مبنيّ على رمزك، فالنسخ لا ينفع، والإثبات الأقوى هو مساهمتك وفيديوك.
• الكابستون جزآن: عمليّة بعَلَم، ومساهمة بطلب دمج، وإتمامهما يمنح الشهادة.
• المختبر محاكاة آمنة تُشغّلها بـ python lab.py وتُدخِل رمزك في لوحة التحكّم في المتصفّح.
• الفيديو اختياريّ ويمنح خصماً، ضمن ضوابط YouTube.
• الأخلاق والقانون قبل كلّ شيء.

لكنّك ما زلت في البداية

هذا الفصل شرح القواعد لا الحلّ. الحلّ يحتاج أن تقرأ موقع الشركة بعناية، وتُفكّر كمهاجم، وتُخطئ وتُصحّح. ابدأ الآن.

🧭 ما التالي

افتح بوّابة الكابستون، اضغط ابدأ لتحصل على رمزك، ونزّل المختبر وشغّله. وإن كان الجزء الثاني يحتاج Git، فابدأ من فصل Git وGitHub.

وتذكّر القاعدة نفسها التي تحكم كلّ ما تتعلّمه هنا: تعلّم الطريق حتّى تستطيع إغلاقه.