الأمن السيبراني
مقابلة مع عبدالله الماضي و مؤيد الموسى:
مؤيد الموسى:
#كيف بدأت وطورت نفسك؟
اذا كنا نتكلم من ناحية سيكورتي لازم يعرف الشخص اولاً مافيه شيء اسمه سيكيورتي من الجامعة، كل السكيورتي الي بتشتغل عليه بيكون من نفسك، من تعلم ذاتي من كورسات، الجامعة ماتعطيك ولا ١٪ من المعرفة في المجال، إلا يمكن مادة مقدمة للسكيورتي تعطي مبادئ لكنها جدا قديمة. مجال السكيورتي تحته أكثر من مجال، فصعب جدا على الطالب يلم في محتواها كلها، فأفضل شي ممكن تسويه من وجهة نظري فيه كورس اسمه Penetration Testing Student (PTS) بتعرف كيف السكيورتي يمشي وكيف الاختراق يصير (دائماً أصعب شيء في السكيورتي تعرف كيف الاختراق يصير أصلاً؟)، ميزته يعلمك الpentest بتفاصيله البدائية ومنها بتعرف كيف أنت كـdefender أو كموظف في شركة كيف تتصدى لها، فأرى أنه أفضل كورس، بالنسبة CEH Course أرى أنه عبارة عن كذبة! وأكبر غلط انك تاخذه، نجي لSecurity+ أشوف انها مضيعة وقت. Network+ مقبولة لأن الشبكات جدا مهمة.
أي شيء في السيكيورتي مبني على ٣ عناصر فقط: Operating system, Networks, Programming.
لازم ما توقف قراءة بالمجال، مشكلة السكيورتي بيكون عندك قلق نقص معلومات! لأن كل يومين يطلع شيء جديد. لازم تطبق
#أبرز المصادر والشهادات؟
في دورات من الانترنت و موجود مصادر كثيرة لها لكن الاهم انك تبدأ تطبع في موقع جدا جدا مهم اسم immersive lab هذا موقع مجانا للطلاب موقع انا اضمن اذا خلصت كل الشركات بتتنافس عليك لأن المعلومات اللي فيه غير طبيعة و كلها في واقعنا. في ال pentest : اولا PTS و PTP و OSCP هذي الثلاث دورات تضمن للشركة و لك انك Pentest محترف ثم تأتي SANS.
#نصيحة للي حاب يدخل هالمجال؟
لازم توصخ يدك بالشغل شبه يومي المجال يتحرك بسرعة كبيرة فلازم تكون ملم بالجديد ولا تستنقص نفسك إذا كان المجال صعب تحتاج مدة لين تفهم المجال بالشكل الصحيح اهم شئ لا توقف عن التعلم و اسأل كثير, لازم تتعلم ثلاث اشياء مهمة لأن السكيورتي مبني عليها:
- Network بشكل خفيف.
- Operation System بشكل عميق إذا كنت تبقى تحترف مجال أمن المعلومات.
- Programming للمرحلة المتقدمة.
#طريقة التواصل معك؟
عبدالله الماضي:
#كيف بدأت وطورت نفسك؟
بدايتي كانت بدري شوي في اولى متوسط تقريباً ، كان عندنا منتدى و اخترق منتدانا واحد الله يسامحه اكثر من مرة 😂 ، كان فيه مشكلة بينه و بين اللي مسوين الاستضافة و كل ما فضى اخترق سيرفراتهم. المهم حسيت الموضوع جميل ما كانت فيه مصادر تسوى في وقتها خصوصاً المصادر العربية كلها كانت سطحية و ما عجبني الموضوع و بعدها بديت اشوف اشياء متعمقة شوي (اجنبية) بس ما كنت مرة كويس في البرمجة في وقتها و كان حدي صفحات بسيطة و queries مفقعة فكنت اواجه شوي مشاكل في التعلم. تركت الموضوع فترة و ركزت على البرمجة و رجعت اتعلم ثغرات الويب بخلفية برمجية أفضل و صار الموضوع اوضح و الثغرات صارت منطقية بالنسبة لي و عشان اتأكد اني فاهم و اطور نفسي في الموضوع بديت ابرمج الثغرات بنفسي و اتحدى نفسي اني اوصل بشكل يدوي لنقطة معينة الثغرة ما تقدمها لي مباشرة (مثلاً SQL injection تسمح لك احياناً تكتب ملفات فأحاول اخليها تسوي لي ملف مصاب بثغرة RCE الثغرة هذي تسمح لي اعطي اوامر للسيرفر) … الطريقة هذي طورتني كثير و طورت نظرتي لأي Feature يمر علي.
#أبرز المصادر والشهادات؟
المصادر كثيرة صراحة و انصح في اي مجال حاب تتعلمه تبحث في كل مكان ، بالنسبة لبعض المصادر اللي اقترحها :
١- موقع medium في حال كنت تبحث عن مقال في موضوع محدد.
٢- موقع Youtube
٣- طبعاً Google
٤- موقع pentesteracademy
موقع pentesteracademy مدفوع لكن محتواه جداً ممتاز .
٥- موقع pentester lab
٦- موقع OWASP
هذا اللي في بالي وقت كتابتي ، لكن الانترنت مليان مصادر.
أماكن تقدر تتدرب فيها و تتعلم عليها بدون ما يسحبونك الشرطة :
١- موقع hackthebox
2- موقع vulnhub
الشهادات :
١- شهادات شركة elearnsecurity
ميزة الشركة هذي ان تعليمهم ممتاز و اون لاين و شهاداتهم لها وزنها ، طبعاً المحتوى جداً محترم و فيها labs تطبق عليها اللي تتعلمه. في حال كنت مبتدئ كورس ال PTS يعتبر خيار جداً ممتاز.
٢- شهادات شركة offensive security
طبعاً شركة offensive security غنية عن التعريف و هم اللي مسوين توزيعة kali linux بس طريقتهم في التعليم مختلفة ، يعطونك مبادئ و ال labs تحتاج بحث زيادة عشان تقدر تخترقهم ، يعتمدون على ال self learning شهاداتهم لها وزن ثقيل في السوق و اختبارها عادةً مو سهل و عملي طبعاً. ما ينصح بها في حال كنت مبتدئ ، اذا مستواك متوسط او اعلى خذها واستمتع ، عيبها الوحيد هي ان لاباتها ثغراتها قديمة شوي وتحتاج تحديث بس هذا مو معناها ان اللابات ان ال labs بتكون سهلة.
٣- شهادات SANS
طبعاً SANS شهاداتهم جداً قوية بس تحتاج قرض عشان تاخذها ، فالافضل انك تخليها اذا توظفت و تطلبها من الجهة اللي تشتغل فيها.
#نصيحة للي حاب يدخل هالمجال؟
أول شي انصحك تتعلم برمجة قبل ما تدخل المجال ، برمج لك كم مشروع و خصوصاً مشاريع ال web ، لان المواقع هي اوسع الابواب اللي ممكن تدخل بها على النظام اللي تسوي له اختبار اختراق. تعلم اساسيات الشبكات و تعلم كيف تشتغل انظمة التشغيل (كيف تشتغل مو كيف تستخدمها). في بداياتك حاول ما تستخدم ادوات قدر المستطاع ، خصوصاً ادوات مثل ال metasploit و ال sqlmap تعلم كيف تستغل الثغرات يدوياً و كيف تعدل الاستغلالات بالشكل اللي يناسبك. تعلم كيف تبني ادواتك بنفسك (بيفيدك الشي هذا كثيير قدام) و اهم شي تعلم كيف الثغرة اللي تحاول تستغلها تشتغل و ليش الاستغلال قدر يوصلك للمكان اللي وصلت له و كيف تقدر تعدل عليه عشان توصل اشياء ثانية. المجال جميل جداً بس الاحتمالات فيه كثيرة و الافكار فيه تفتح عقلك و حبة حبة بتلاحظ انك بديت تفكر بطريقة مختلفة وانت تستغل ثغرة معينة او تحاول تلقى ثغرة.
#طريقة التواصل معك؟