أنواع الهاكرز أوسع بكتير من الصورة اللي في الأفلام: شخص ملثم قدام شاشات سودا. كلمة “هاكر” بتتقال في الأخبار كأنها شتيمة، لكن الحقيقة إنها بتوصف أشخاص وأساليب مختلفة؛ فيه خبير أمن سيبراني بتستعين بيه شركة عشان يكتشف الثغرات قبل المهاجمين، وفيه مجرم إلكتروني هدفه سرقة بياناتك أو ابتزازك.
في المقال ده هنتعرف على أشهر أنواع الهاكرز، والفرق بين White Hat وBlack Hat وGrey Hat، وإزاي الهجمات بتحصل، وإيه خطوات الحماية من الاختراق كمستخدم أو كمطور، وتتصرف إزاي لو حسابك أو سيرفرك اتعرض لهجوم.
الخلاصة في أربع نقط:
- الهاكر مش دايمًا مجرم؛ أهم حاجتين تفرق بيهم بينه وبين المهاجم هما وجود إذن واضح وطبيعة الهدف من النشاط.
- الأنواع المعروفة: White Hat وBlack Hat وGrey Hat، وبعدهم Script Kiddies وHacktivists وجهات مدعومة من دول ومهاجمين من جوه المؤسسة.
- أغلب الاختراقات بتبدأ من حاجات بسيطة: رسالة تصيّد، أو باسورد ضعيف ومكرر، أو برنامج مش متحدّث.
- ابدأ الحماية بباسورد مختلف لكل حساب، وتحقق متعدد العوامل، وتحديثات منتظمة، ونسخ احتياطية معزولة ومختبرة.
المحتويات
- أولاً: أنواع الهاكرز: مين هو الهاكر أصلاً؟
- ثانياً: الأنواع الرئيسية في جدول
- ثالثاً: White Hat وGrey Hat: الفرق في الإذن
- رابعاً: Red Team وBlue Team جوه الشركات
- خامساً: إزاي بيدخلوا فعلاً
- سادساً: إزاي تحمي نفسك كمستخدم
- سابعاً: إزاي تحمي مشروعك كمطور
- ثامناً: لو اتخترقت، ابدأ بالخطوات دي
- تاسعاً: أخطاء شائعة هتقابلك
- عاشراً: تبدأ تتعلم الأمن السيبراني منين؟
- أسئلة شائعة عن أنواع الهاكرز والحماية من الاختراق
- مصادر موثوقة للتعلم
أولاً: أنواع الهاكرز: مين هو الهاكر أصلاً؟
الكلمة في الأصل كانت بتوصف حد شاطر بيحب يفهم الأنظمة ويجرب حدودها، من غير ما يكون فيها معنى جريمة. مع الوقت الإعلام ركّزها على اللي بيخترق بغرض الضرر. ولما نقول “هاكر” النهارده فالأدق إننا نسأل سؤالين: هل معاه إذن؟ وإيه نيته؟
النقطة القانونية مهمة: اختبار نظام أو الدخول عليه من غير تصريح صريح ممكن يعرّضك للمساءلة القانونية، حتى لو نيتك المساعدة أو إنك تبلغ صاحب الموقع عن ثغرة. التفاصيل بتختلف حسب الدولة والظروف، فمتفترضش إن اكتشاف الثغرة أو الإبلاغ عنها بعد الدخول بيحوّل التصرف تلقائيًا لعمل قانوني. الإذن المكتوب ونطاق الاختبار الواضح هما الأساس.
ثانياً: الأنواع الرئيسية في جدول
ملحوظة مهمة: مش كل الصفوف في الجدول بتصنف الهاكرز بنفس الطريقة. White Hat وBlack Hat بيركزوا على الإذن والسلوك، وHacktivist على الدافع، وInsider على علاقة الشخص بالمؤسسة، أما APT فبيوصف تهديدًا متقدمًا ومستمرًا. ممكن بعض التصنيفات تتداخل في الواقع.
التقسيم ده مش قانون رسمي، وفيه تسميات تانية بتتقابل (زي Red Hat وBlue Hat وGreen Hat) بتختلف من مصدر للتاني، فخد الألوان كوصف تقريبي مش كتصنيف ثابت.
ثالثاً: White Hat وGrey Hat: الفرق في الإذن
الـ White Hat بيشتغل بإذن مكتوب ونطاق واضح: إيه المسموح يتفحص وإيه لأ. ده بيحصل في اختبارات الاختراق اللي بتطلبها الشركات، وفي برامج مكافآت الثغرات (bug bounty) على منصات زي HackerOne، اللي بتدفع للباحث مقابل ثغرة بيبلغ عنها بشكل مسؤول.
الـ Grey Hat هو اللي بيفحص من غير إذن، وغالبًا من غير نية ضرر: يلاقي ثغرة ويبلغ صاحب الموقع، أو ينشرها. المشكلة إن النية الحسنة مش بتلغي إن الدخول من غير تصريح مخالفة، وممكن صاحب النظام يتعامل معاك كمهاجم. فلو عايز تتعلم، جرب على بيئة تجارب أو على نظامك إنت، أو انضم لبرنامج رسمي بقواعد واضحة.
ولو الأمن عجبك كمجال، أساسه بيبدأ من اللي بتعمله دلوقتي: فهم الشبكات والويب. ابدأ بمقال أساسيات الشبكات ومقال أمان تطبيقات الويب.
رابعاً: Red Team وBlue Team جوه الشركات
جوه المؤسسات الكبيرة الأدوار دي بتتقسم لفرق، وده تقسيم وظيفي مش أخلاقي:
- Red Team: بتحاكي أساليب مهاجم حقيقي داخل نطاق متفق عليه، وبتختبر قدرة المؤسسة على اكتشاف الهجوم والتعامل معاه، مش مجرد البحث عن ثغرات تقنية.
- Blue Team: بتدافع عن الأنظمة، وبتراقب السجلات والتنبيهات، وبتكتشف الحوادث وبتحتويها وبتحسن وسائل الحماية.
- Purple Team: بتخلي الفريقين يتبادلوا المعلومات، فكل تجربة هجوم تتحول لتحسين في الدفاع.
لو أنت مطور، شغلك أقرب لدور الـ Blue Team من غير ما تسميه: كل مرة بتقفل ثغرة أو بتضيف مراقبة، فأنت بتدافع.
خامساً: إزاي بيدخلوا فعلاً
الواقع أبسط من الأفلام. هجمات كتير مش بتحتاج ثغرة خارقة أو مجهولة؛ ممكن تبدأ من حساب اتسرق، أو إعداد أمني غلط، أو برنامج قديم فيه ثغرة معروفة. دي أشهر الطرق اللي لازم تفهمها:
- التصيّد (Phishing): رسالة أو موقع بيتنكر في شكل جهة موثوقة عشان تدخل بياناتك بنفسك.
- بيانات دخول ضعيفة أو مسربة: باسورد سهل، أو نفس الباسورد على أكتر من موقع، فلو موقع اتسرب يتجرب على باقي حساباتك.
- برامج مش متحدثة: ثغرات معروفة ولها إصلاح، بس محدش نزله.
- إعدادات غلط: قاعدة بيانات مفتوحة للإنترنت أو Port مش مفروض يتفتح، زي اللي اتكلمنا عنه في مقال الشبكات على الكلاود.
- ثغرات في التطبيق نفسه: زي SQL Injection وXSS اللي شرحناهم في مقال أمان تطبيقات الويب.
- سلسلة التوريد: مكتبة أو أداة بتعتمد عليها اتخترقت، زي قصة هجوم xz Utils.
وفيه عنصر بيظهر في أكتر من طريقة: الهندسة الاجتماعية (Social Engineering)، يعني إقناعك تعمل خطوة تفتح للمهاجم الباب. ممكن يستغل الاستعجال أو الخوف أو الثقة، زي رسالة بتقول إن حسابك هيتقفل، أو مكالمة من شخص بيدّعي إنه من الدعم الفني. القاعدة العملية: متشاركش كلمة السر أو كود التحقق مع أي شخص عبر مكالمة أو رسالة. استخدم الكود بنفسك فقط داخل التطبيق أو الموقع الرسمي، لما تكون أنت اللي بدأت تسجيل الدخول.
سادساً: إزاي تحمي نفسك كمستخدم
- باسورد مختلف لكل حساب: استخدم مدير باسوردات يولّد ويحفظ باسوردات طويلة وعشوائية، فمتحتاجش تفتكرها.
- التحقق متعدد العوامل (MFA): فعّله على الإيميل والبنوك والحسابات المهمة. مفاتيح الأمان أو Passkeys بتوفر مقاومة أفضل للتصيّد، وتطبيقات المصادقة عادةً أفضل من الاعتماد على الرسائل النصية وحدها. أي طبقة تحقق إضافية أفضل من كلمة سر فقط.
- اتشكك في أي رسالة مستعجلة: قبل ما تدوس على لينك، شوف عنوان المرسل والرابط الحقيقي. وبدل اللينك، افتح الموقع بنفسك من المتصفح.
- حدّث كل حاجة: نظام التشغيل والمتصفح والتطبيقات. شغل التحديث التلقائي.
- نسخ احتياطية: قاعدة 3-2-1 نقطة بداية كويسة: ثلاث نسخ من البيانات، على وسيطين مختلفين، ونسخة واحدة خارج المكان الأساسي. والأهم إن نسخة تكون غير متصلة بالشبكة أو غير قابلة للتعديل، وتجرّب استعادة الملفات منها بانتظام. وجود نسخة احتياطية مش كفاية لو المهاجم يقدر يمسحها هي كمان.
- حمّل من المصادر الرسمية بس: وراجع صلاحيات التطبيقات، واحذف البرامج اللي مبقتش بتستخدمها، واقفل الوصول اللي مش محتاجه.
- اعرف لو بياناتك اتسربت: موقع Have I Been Pwned بيقولك لو إيميلك ظهر في تسريبات معروفة.
سابعاً: إزاي تحمي مشروعك كمطور
اللي فوق بيحميك كمستخدم. كمطور فيه مسؤولية زيادة، لأن غلطة في مشروعك بتأثر على ناس تانية:
- اعتبر أي مدخل من المستخدم مش موثوق، واستخدم استعلامات محمية، زي ما شرحنا في مقال أمان الويب.
- متحطش الأسرار (مفاتيح، باسوردات قاعدة البيانات) في الكود أو في GitHub. استخدم ملف .env وملف .gitignore، وراجع مقال استخدام GitHub.
- طبّق مبدأ أقل صلاحية (Least Privilege): كل مستخدم وخدمة ياخدوا الصلاحيات اللي محتاجينها فقط. خلي قاعدة البيانات في شبكة خاصة، واقفل أي Port مش ضروري.
- فعّل HTTPS، زي اللي في مقال Nginx.
- راجع الاعتماديات: ثبّت الإصدارات بشكل منظم، وتابع التحديثات الأمنية، وشغّل فحص ثغرات المكتبات بانتظام. متنساش إن فحص المكتبات مش بديل عن مراجعة كودك نفسه.
- راقب الأداء والأخطاء عشان تلحق السلوك غير المعتاد بدري، زي اللي في مقال المراقبة. ومتسجلش كلمات السر أو Access Tokens داخل الـ logs.
- راجع الصلاحيات ومعدلات الطلبات: متكتفيش بإخفاء زرار في الواجهة؛ لازم تتحقق من صلاحية المستخدم على السيرفر مع كل طلب حساس. واستخدم Rate Limiting لتقليل محاولات تسجيل الدخول المتكررة.
- احمِ كلمات السر: متخزنهاش كنص عادي أو بتشفير قابل للاسترجاع. استخدم خوارزمية مخصصة لتجزئة كلمات السر زي Argon2id أو bcrypt من خلال مكتبة موثوقة.
وأمرين عمليين تبدأ بيهم النهارده: استخدم مفتاح SSH بدل تسجيل الدخول بكلمة سر، وافحص اعتماديات مشروع Node.js. خلي بالك إن npm audit بيكشف ثغرات معروفة في الحزم اللي بيعتمد عليها مشروعك، لكنه مش بيختبر منطق التطبيق أو يضمن إن الكود آمن.
# مفتاح SSH حديث (بدل الدخول بالباسورد)
ssh-keygen -t ed25519 -C "you@example.com"
# فحص ثغرات المكتبات في مشروع Node
npm auditتنبيه: متوقفش تسجيل الدخول بكلمة السر على السيرفر قبل ما تتأكد إن مفتاح SSH شغال وإن عندك وسيلة دخول بديلة. احتفظ بالمفتاح الخاص في مكان آمن ومتشاركهش مع أي حد.
ثامناً: لو اتخترقت، ابدأ بالخطوات دي
لو شكيت إن حسابك أو سيرفرك اتخترق، التصرف السريع بيفرق. الترتيب ده مناسب في أغلب الحالات:
- استخدم جهازًا موثوقًا ونظيفًا. أمّن الإيميل الأساسي المرتبط بالحسابات أولًا لو كان معرضًا للخطر، وبعدها غيّر كلمة سر الحساب المصاب وأي حساب تاني استخدم نفس الكلمة.
- فعّل MFA، واعمل تسجيل خروج من كل الجلسات والأجهزة، وألغِ كلمات مرور التطبيقات أو مفاتيح API والجلسات اللي مش بتعرفها.
- راجع نشاط تسجيل الدخول، وأرقام ووسائل الاسترداد، والتطبيقات المتصلة بالحساب. احذف أي جهاز أو وسيلة استرداد أو تطبيق مش بتعرفه.
- بلّغ الخدمة أو البنك لو الموضوع فيه فلوس.
- لو سيرفر أو شبكة شركة: اعزل الأنظمة المتأثرة لتقليل انتشار الهجوم، واحتفظ بالسجلات والأدلة المتاحة قبل إعادة التثبيت أو المسح. وثّق التوقيتات والتغييرات، واستعن بمختص استجابة للحوادث لو النظام عليه بيانات أو خدمات مهمة.
- حدد سبب الاختراق ونطاقه، وغيّر المفاتيح وكلمات السر والأسرار اللي ممكن تكون اتكشفت. بعد إزالة سبب الاختراق، استرجع من نسخة احتياطية نظيفة ومختبرة، وتأكد من تأمين النظام قبل إعادته للخدمة.
تاسعاً: أخطاء شائعة هتقابلك
- الظن إن “أنا مش مهم، محدش هيستهدفني”. أغلب الهجمات آلية وبتجرب أي حد.
- استخدام نفس الباسورد على أكتر من حساب.
- الاعتماد على الرسايل النصية كوسيلة وحيدة للتحقق بخطوتين.
- تأجيل التحديثات لأنها “مزعجة”.
- عدم وجود نسخ احتياطية، أو وجودها كلها على نفس الجهاز أو الشبكة من غير اختبار الاستعادة.
- الاعتقاد إن مضاد الفيروسات أو الـ VPN وحده كفاية للحماية؛ الأمان محتاج طبقات وإعدادات سليمة وسلوك واعي.
- تجربة اختراق على مواقع حقيقية “للتعلم”. ده ممكن يعرضك لمساءلة قانونية، والأفضل تستخدم معامل تدريب مخصصة أو نظام تملكه وعندك تصريح باختباره.
بعد ما فهمنا الفرق بين الأنواع وطرق الهجوم، فاضل سؤال مهم: لو المجال عجبك وعايز تتعلمه، تبدأ منين من غير ما تعرض نفسك أو غيرك للخطر؟
عاشراً: تبدأ تتعلم الأمن السيبراني منين؟
لو هدفك تبقى Ethical Hacker أو تشتغل في Penetration Testing، متبدأش بالأدوات قبل الأساسيات. فهمك للشبكات وأنظمة التشغيل والويب هو اللي هيخليك تعرف الأداة بتعمل إيه، والنتيجة معناها إيه، وإزاي تصلّح المشكلة بعد اكتشافها.
- أساسيات الشبكات: افهم IP, DNS, TCP/UDP, Ports, HTTP/HTTPS، وإزاي الأجهزة بتتواصل مع بعضها.
- Linux وأنظمة التشغيل: اتعلم التعامل مع الـ Terminal، والصلاحيات، والعمليات، والخدمات، والـ logs.
- أساسيات البرمجة والويب: افهم HTML, JavaScript، وطلبات HTTP، وواجهات API، وقواعد البيانات، وتسجيل الدخول والصلاحيات.
- مفاهيم الأمن: ادرس إدارة الهوية والصلاحيات، والتشفير، وإدارة الثغرات، ومبدأ أقل صلاحية، وتأمين التطبيقات.
- تدريب قانوني: طبّق في معامل تدريب مصممة للاختبار، زي PortSwigger Web Security Academy، واقرأ OWASP Top 10 لفهم مخاطر تطبيقات الويب الشائعة.
خلي عندك قاعدة ثابتة: متختبرش موقع أو شبكة أو جهاز مش ملكك إلا بتصريح واضح ونطاق محدد. التعلم العملي مهم، لكن لازم يكون في بيئة مسموح لك تختبرها.
أسئلة شائعة عن أنواع الهاكرز والحماية من الاختراق
هل كل الهاكرز مجرمين؟
لا. فيه متخصصين أمن سيبراني بيختبروا الأنظمة وبيكتشفوا الثغرات بإذن صاحبها، وده من أدوار White Hat. اللي بيحدد مش اللقب وحده، لكن التصريح ونطاق العمل وطريقة التعامل مع البيانات والثغرات.
إيه الفرق بين White Hat وBlack Hat؟
White Hat بيختبر الأنظمة بتصريح وهدفه تحسين الأمان، أما Black Hat فبيستغل الأنظمة من غير حق لتحقيق مكسب أو إحداث ضرر، زي سرقة البيانات أو الابتزاز.
هل اكتشاف ثغرة من غير إذن يعتبر عملًا قانونيًا؟
متفترضش كده. مجرد إن نيتك الإبلاغ عن الثغرة مش معناه إن اختبار النظام من غير تصريح مسموح. استخدم برنامج Bug Bounty أو سياسة إفصاح عن الثغرات بتحدد الأنظمة المسموح اختبارها والقواعد المطلوبة.
هل مضاد الفيروسات أو VPN كفاية للحماية؟
لا. الأدوات دي ممكن تكون جزء من الحماية، لكنها مش بديل عن كلمات مرور فريدة، وتحقق متعدد العوامل، وتحديثات منتظمة، ونسخ احتياطية، وإعدادات آمنة. مفيش أداة واحدة بتمنع كل أنواع الهجمات.
أعمل إيه لو حسابي اتسرق؟
ابدأ بتأمين الإيميل المرتبط بالحساب من جهاز موثوق، وغيّر كلمات المرور المكشوفة، وسجّل الخروج من الجلسات الأخرى، وألغِ وسائل الوصول غير المعروفة، وفعّل MFA. ولو الحساب مالي أو عليه بيانات حساسة، تواصل مع الجهة المسؤولة فورًا.
مصادر موثوقة للتعلم والتوسع
- OWASP Top 10:2025: قائمة حديثة بالمخاطر الأساسية لتطبيقات الويب.
- NIST Digital Identity Guidelines: إرشادات الهوية الرقمية والتحقق وإدارة وسائل المصادقة.
- PortSwigger Web Security Academy: شروحات ومعامل تفاعلية مجانية للتدريب على أمان تطبيقات الويب.
- Have I Been Pwned: للتحقق مما إذا كان بريدك الإلكتروني ظهر في تسريبات بيانات معروفة.
الخلاصة: افهم أنواع الهاكرز وابدأ بالحماية من الاختراق
معرفة أنواع الهاكرز مش مجرد حفظ أسماء زي White Hat وBlack Hat وGrey Hat؛ الأهم إنك تفهم الفرق بين اختبار أمني بتصريح وهجوم بيستغل بياناتك أو نظامك. بالنسبة للمستخدم، ابدأ بكلمات مرور فريدة وتحقق متعدد العوامل وتحديثات ونسخ احتياطية. وبالنسبة للمطور، اهتم بالصلاحيات وتأمين الأسرار والاعتماديات والمراقبة والاستجابة للحوادث.
الأمان مش إعداد بتفعّله مرة وتنساه؛ هو مجموعة عادات ومراجعات مستمرة بتقلل فرص الاختراق وبتحد من أثره لو حصل. ابدأ بخطوة واحدة النهارده، وشاركنا في التعليقات: إيه أكتر نقطة محتاج تطبقها في حساباتك أو مشروعك؟
اكتشاف المزيد من كود التطور
اشترك للحصول على أحدث التدوينات المرسلة إلى بريدك الإلكتروني.
