الفريق الأحمر والفريق الأزرق والفريق البنفسجي: تطور اختبارات الأمن الهجومية

ما وراء اختبار الاختراق

مفهوم اختبارات الأمن العدائية أقدم من الإنترنت نفسه. صاغ الجيش الأمريكي مصطلح “الفريق الأحمر” (red team) في تمارين محاكاة الحرب الباردة، حيث كانت مجموعة مخصصة (حمراء) تُحاكي التكتيكات السوفيتية ضد الدفاعات الأمريكية (زرقاء). انتقلت هذه الممارسة إلى أمن المعلومات في أوائل الألفية الثالثة، في البداية كامتداد لاختبار الاختراق — محاولات مرخصة لاستغلال ثغرات الأنظمة. لكن بينما يركز اختبار الاختراق على اكتشاف واستغلال الثغرات الفردية ضمن نطاق وإطار زمني محددين، فإن عمليات الفريق الأحمر تُحاكي دورة الحياة الكاملة لهجوم خصم حقيقي: الاستطلاع، الوصول الأولي، الثبات، الحركة الجانبية، تصعيد الامتيازات، وتحقيق الهدف.

هذا التمييز بالغ الأهمية. قد يكشف اختبار الاختراق أن تطبيق ويب عرضة لحقن SQL. لكن تمرين الفريق الأحمر يكتشف أن بريداً إلكترونياً احتيالياً يمكنه تجاوز بوابة البريد الإلكتروني، وتسليم حمولة تتفادى كشف نقاط النهاية، وإنشاء ثبات عبر مهمة مجدولة، والتحرك جانبياً باستخدام بيانات اعتماد مسروقة من تفريغ الذاكرة، وتصعيد الامتيازات حتى مسؤول النطاق، واستخراج الملكية الفكرية الأكثر حساسية للمؤسسة — كل ذلك دون اكتشاف طوال مدة العملية. يختبر الفريق الأحمر ليس التكنولوجيا فحسب بل الأشخاص والعمليات وقدرات الكشف كنظام متكامل.

بلغت قيمة السوق العالمية لاختبارات الاختراق والاختبارات الأمنية العدائية نحو 2.7 مليار دولار في 2025، مدفوعة بالمتطلبات التنظيمية (PCI DSS وقانون المرونة التشغيلية الرقمية للاتحاد الأوروبي وCBEST في القطاع المالي البريطاني تفرض جميعها شكلاً من أشكال الاختبار العدائي)، والاختراقات البارزة التي كشفت عن إخفاقات في الكشف.

---

مجموعة أدوات الفريق الأحمر: المنهجيات والأدوات

تتبع عمليات الفريق الأحمر الحديثة منهجيات منظمة مستوحاة من السلوك الفعلي للخصوم. أصبح إطار MITRE ATT&CK — قاعدة معرفية متاحة عالمياً ومستمدة تجريبياً من تكتيكات وتقنيات الخصوم بناءً على ملاحظات واقعية — المعيار الفعلي لتنظيم أنشطة الفريق الأحمر. يُفهرس ATT&CK عدد 216 تقنية و475 تقنية فرعية عبر 14 فئة تكتيكية (من الاستطلاع إلى التأثير)، كل منها مرتبط باستخدام موثق من قبل مجموعات تهديد محددة.

تعكس أدوات المهنة هذا التطور. يظل Cobalt Strike، الذي طُوّر أصلاً كمنصة شرعية لمحاكاة الخصوم، الأداة التجارية الأكثر استخداماً من قبل الفرق الحمراء رغم إساءة استخدامه الواسعة من قبل جهات تهديد فعلية. تدعم حمولة “Beacon” الخاصة بـ Cobalt Strike اتصالات القيادة والتحكم (C2) المشفرة، والتنفيذ في الذاكرة، وحقن العمليات، وجمع بيانات الاعتماد، والحركة الجانبية. تبلغ تكلفة ترخيص Cobalt Strike نحو 5,900 دولار لكل مشغل سنوياً. تشمل البدائل Brute Ratel C4 والأُطر مفتوحة المصدر مثل Sliver (الذي طوره BishopFox) وMythic.

لمحاكاة الخصوم الآلية، تتيح منصة Caldera من MITRE للفرق إنشاء خطط هجوم آلية باستخدام تقنيات ATT&CK. يوفر Atomic Red Team، الذي طوره Red Canary، مكتبة اختبارات مركزة لتقنيات ATT&CK الفردية. يمثل الجمع بين تمارين الفريق الأحمر المُدارة بشرياً ومحاكاة الخصوم الآلية أفضل ممارسة حالية للمؤسسات ذات البرامج الأمنية الناضجة.

---

الثورة البنفسجية: اختبارات الأمن التعاونية

القيد في عمليات الفريق الأحمر التقليدية هو أنها عدائية بطبيعتها — يُقاس نجاح الفريق الأحمر بتفاديه للفريق الأزرق (مدافعو المؤسسة). يخلق هذا ديناميكية محصلة صفرية حيث يميل الفريق الأحمر لتجنب المناطق التي يعرف أنه سيُكتشف فيها، ولا يتعلم الفريق الأزرق عن إخفاقاته إلا في جلسة استخلاص بعد العملية قد تأتي بعد أسابيع أو أشهر.

ظهر الفريق البنفسجي (purple teaming) استجابةً لهذا القيد. في تمرين الفريق البنفسجي، يعمل المشغلون الهجوميون والدفاعيون بشكل تعاوني وتكراري. ينفذ الفريق الأحمر تقنية محددة (مثلاً MITRE ATT&CK T1059.001 — تنفيذ PowerShell)، يراقب الفريق الأزرق أنظمة الكشف في الوقت الفعلي، ويعملان معاً لفهم: هل انطلق الكشف؟ إذا لم ينطلق، فلماذا؟ ما مصادر السجلات المفقودة؟ يمكن لتمرين الفريق البنفسجي تغطية 50 إلى 100 تقنية ATT&CK في أسبوع واحد، مُنتجاً تحسينات فورية وعملية في تغطية الكشف.

اعتُمد نهج الفريق البنفسجي من قبل مؤسسات تتراوح بين شركات الخدمات المالية الملتزمة بإطار TIBER-EU (إطار اختبار الاختراق الأخلاقي المبني على استخبارات التهديدات، الذي طُوّر بشكل مشترك من قبل البنك المركزي الأوروبي والبنوك المركزية الوطنية في الاتحاد الأوروبي) وشركات التكنولوجيا التي تدير برامج فريق بنفسجي مستمرة. ساهمت شركة SpecterOps، التي تأسست عام 2017 على يد عناصر سابقين من وكالة الأمن القومي واستخبارات الدفاع، في نشر هذه المنهجية.

---

اختبارات الفريق الأحمر المدعومة بالذكاء الاصطناعي والمشهد المهني

يُعد دمج الذكاء الاصطناعي في اختبارات الأمن العدائية التطور الأكثر أهمية في هذا المجال حالياً. يمكن لأدوات الفريق الأحمر المدعومة بالذكاء الاصطناعي توليد رسائل تصيد إلكتروني سياقية أكثر إقناعاً بكثير من البدائل القائمة على القوالب، وتحديد مسارات الهجوم تلقائياً عبر بيئات Active Directory المعقدة، وتكييف تقنياتها في الوقت الفعلي بناءً على الاستجابات الدفاعية. تقدم شركات مثل Pentera (التي أدخلت قدرات مدفوعة بالذكاء الاصطناعي في سبتمبر 2025، وتخدم الآن أكثر من 1,200 مؤسسة) وXM Cyber وHorizon3.ai (التي تربط منصتها NodeZero بين التكوينات الخاطئة والثغرات غير المُصلحة وبيانات الاعتماد المجمعة لرسم مسارات هجوم حقيقية) منصات اختبار اختراق مستقلة.

التداعيات على عناصر الفريق الأحمر البشريين دقيقة. تتفوق الأدوات الآلية في الاتساع — اختبار آلاف التكوينات ومسارات الهجوم بسرعة الآلة. لكنها تفتقر إلى الإبداع والحكم السياقي وقدرة الهندسة الاجتماعية. النموذج الناشئ هجين: يتولى الذكاء الاصطناعي الاستطلاع الأولي وفحص الثغرات، ويركز المشغل البشري على الاستغلال الإبداعي والهجمات متعددة المتجهات.

المسار المهني من مختبر اختراق إلى مشغل فريق أحمر ثم قائد فريق أحمر هو من أكثر المسارات ربحية في الأمن السيبراني. يتقاضى كبار مشغلي الفريق الأحمر في الاستشارات الكبرى (Mandiant، CrowdStrike، NCC Group) رواتب أساسية تتراوح بين 130,000 و200,000 دولار في الأسواق الأمريكية. تُعد شهادات مثل OSCP (Offensive Security Certified Professional) وCRTO (Certified Red Team Operator) وGXPN (GIAC Exploit Researcher and Advanced Penetration Tester) المراجع المعتمدة. بالنسبة لمحترفي الأمن السيبراني الجزائريين، يوفر مسار الفريق الأحمر أجوراً تنافسية عالمياً يمكن الوصول إليها عبر العمل عن بُعد — بشرط الاستثمار في المهارات والشهادات والسجل المهني الذي يطلبه أصحاب العمل الدوليون.

---

---

المصادر والقراءات الإضافية

• MITRE ATT&CK Framework — Enterprise Techniques
• Cobalt Strike — Adversary Simulation and Red Team Operations
• BishopFox Sliver — Open Source Adversary Emulation Framework
• MITRE Caldera — Automated Adversary Emulation Platform
• Red Canary Atomic Red Team Library
• ECB TIBER-EU Framework
• Bank of England CBEST Threat Intelligence-Led Assessments
• SpecterOps — About
• Pentera — Automated Security Validation
• Horizon3.ai — Autonomous Penetration Testing
• Offensive Security OSCP Certification
• Penetration Testing Market Size and Growth — Fortune Business Insights