feat: complete all SecOps tasks with full content

q5-ransomware/backup-strategy.md

@@ -0,0 +1,10 @@
+# استراتيجية Ghaymah Backup & Recovery
+
+### 1. قاعدة 3-2-1:
+* **3 نسخ:** النسخة التشغيلية، بالإضافة لنسختين إضافيتين.
+* **2 وسائط:** تخزين نسخة على Ghaymah Block Storage ونسخة على Ghaymah Object Storage.
+* **1 Off-site:** حفظ نسخة مشفرة في إقليم سحابي آخر (Cross-Region Replica) وتكون **Immutable** (غير قابلة للتعديل أو المسح).
+
+### 2. أهداف التعافي (RPO / RTO):
+* **RPO:** ساعة واحدة فقط (فقدان أقصى للبيانات لا يتعدى آخر Snapshot).
+* **RTO:** ساعتان كحد أقصى لإعادة كامل الأنظمة للعمل بكفاءة.

q5-ransomware/emergency-first-hour.md

@@ -0,0 +1,6 @@
+# خطة الطوارئ (أول 60 دقيقة)
+
+* **[00 - 15 دقيقة]:** فصل سيرفرات الـ Block Storage المتأثرة فوراً عن الشبكة (Network Isolation) لمنع الانتشار التلقائي عبر الشبكة الداخلية.
+* **[15 - 30 دقيقة]:** إيقاف جميع الـ Service Accounts ومفاتيح الـ API المربوطة بالخدمة مؤقتاً لحين حصر الإصابة.
+* **[30 - 45 دقيقة]:** سحب نسخة من ذاكرة السيرفرات (RAM Dump) للحفظ الجنائي للأدلة واكتشاف آليات التشفير المستخدمة.
+* **[45 - 60 دقيقة]:** بدء تقييم سلامة النسخ الاحتياطية وتحديد نقطة الاسترجاع المناسبة (Clean Restore Point).

q5-ransomware/prevention-plan.md

@@ -0,0 +1,5 @@
+# خطة الوقاية لمنع تكرار هجمات الفدية
+
+1. **Snapshots غير القابلة للتغيير (Immutable Snapshots):** قفل الـ Snapshots بحيث لا يستطيع أي حساب (حتى الـ Root) مسحها قبل انقضاء فترة الاحتفاظ المحمية.
+2. **تطبيق مبدأ Zero Trust:** منع وصول أي محطة عمل للـ Block Management إلا عبر VPN مخصص مع إجبار استخدام الـ MFA.
+3. **مراقبة سلوك نظام الملفات (EDR):** تفعيل تنبيهات آليّة عند استهلاك الـ IOPS العالي المفاجئ أو تعديل امتدادات الملفات بكثرة في وقت قصير.