add the main file structure requirements

2026-07-26 22:55:01 +03:00
commit 8bde42182e
20 changed files with 4613 additions and 0 deletions
@@ -0,0 +1,82 @@
 # Ghaymah Security Operations Exam
 ## اختبار عمليات الأمن السيبراني - غيمة
 ---
 ## 👤 معلومات المتقدم
 | البيان | المعلومات |
 |--------|-----------|
 | **الاسم** | Ahmed Mohamed Ibrahim |
 | **قبيلة** | [@ahmedmibrahim](https://qabilah.com/profile/ahmedmibrahim) |
 ---
 ## 📁 هيكل المشروع
 ```
 ghaymah-exam-ahmedmohamed-SecOps/
 ├── q1-security-audit/
 │   └── security-checklist.md          # قائمة التدقيق الأمني
 ├── q2-attack-simulation/
 │   ├── incident-response-plan.md      # خطة الاستجابة للحوادث
 │   └── timeline-analysis.md           # تحليل الجدول الزمني
 ├── q3-privacy-assessment/
 │   └── privacy-report.md              # تقرير تقييم الخصوصية
 ├── q4-siem-system/
 │   ├── deployment-guide.md            # دليل نشر SIEM
 │   └── dashboard/
 │       ├── index.html
 │       ├── styles.css
 │       └── app.js
 ├── q5-ransomware-response/
 │   ├── emergency-plan.md              # خطة الطوارئ
 │   ├── prevention-plan.md             # خطة الوقاية
 │   └── backup-recovery-strategy.md    # استراتيجية النسخ الاحتياطي
 ├── common-mortakaz/
 │   ├── integration-1.md               # تكامل Taylor CV مع غيمة
 │   └── integration-2.md               # تكامل Green Framework مع غيمة
 ├── common-qabilah/
 │   └── qabilah-profile.txt            # رابط حساب قبيلة
 └── README.md
 ```
 ---
 ## 📋 ملخص الأسئلة المُجابة
 | السؤال | الموضوع | الحالة |
 |--------|---------|--------|
 | Q1 | Security Audit Checklist | ✅ مكتمل |
 | Q2 | Attack Simulation & Incident Response | ✅ مكتمل |
 | Q3 | Privacy Assessment (mithal.space) | ✅ مكتمل |
 | Q4 | SIEM System with Block Storage | ✅ مكتمل |
 | Q5 | Ransomware Response Plan | ✅ مكتمل |
 | Q6 | Integration Proposals (mortakaz.com) | ✅ مكتمل |
 ---
 ## 🔗 روابط مهمة
 - **غيمة Cloud**: [ghaymah.systems](https://ghaymah.systems)
 - **مثال Search**: [mithal.space](https://mithal.space)
 - **مرتكز**: [mortakaz.com](https://www.mortakaz.com)
 - **قبيلة**: [qabilah.com](https://qabilah.com)
 ---
 ## 🛡️ المهارات المُظهرة
 - تدقيق أمني شامل
 - تحليل الحوادث الأمنية
 - تقييم الخصوصية
 - تصميم أنظمة SIEM
 - خطط الاستجابة للطوارئ
 - استراتيجيات النسخ الاحتياطي (3-2-1)
 - اقتراحات التكامل التقني
 ---
 ## 📞 التواصل
 تابعني على قبيلة: **[@ahmedmibrahim](https://qabilah.com/profile/ahmedmibrahim)**
@@ -0,0 +1,89 @@
 # اقتراح التكامل الأول: تايلور سي في (Taylor CV)
 ## Integration Proposal: Taylor CV + Ghaymah Cloud
 ---
 ## وصف المنتج
 منصة ذكاء اصطناعي تنشئ سيرة ذاتية ورسالة تحفيزية مخصصة لكل وظيفة، وتحضر للمقابلات، وتقدم خطط تعلم يومية، وتدعم لغات متعددة.
 **الرابط:** [Taylor CV على مرتكز](https://www.mortakaz.com/projects/6a60ad7e3d576288c1011ff2)
 ---
 ## كيف يتكامل مع ghaymah.systems
 | جانب التكامل | التفاصيل |
 |--------------|----------|
 | **الاستضافة** | استضافة التطبيق على Ghaymah Cloud باستخدام Container Services |
 | **قاعدة البيانات** | استخدام PostgreSQL المُدار من غيمة لتخزين بيانات المستخدمين والسير الذاتية |
 | **التخزين** | Block Storage لحفظ ملفات PDF المُولّدة والقوالب |
 | **الأمان** | تفعيل SSL التلقائي وMFA لحماية بيانات المستخدمين الحساسة |
 ---
 ## التكامل التقني
 ```yaml
 # docker-compose.yml for Taylor CV on Ghaymah
 version: '3.8'
 services:
  taylor-cv-app:
    image: taylor-cv:latest
    environment:
      - DATABASE_URL=postgresql://user:pass@ghaymah-postgres:5432/taylorcv
      - STORAGE_ENDPOINT=https://storage.ghaymah.systems
      - AI_API_KEY=${OPENAI_KEY}
    deploy:
      replicas: 2
  ghaymah-postgres:
    image: postgres:15
    volumes:
      - ghaymah-block-storage:/var/lib/postgresql/data
 ```
 ---
 ## القيمة المضافة للمستخدم النهائي
 | الفائدة | الوصف |
 |---------|-------|
 | **سرعة الأداء** | خوادم غيمة في السعودية = زمن استجابة أقل للمستخدمين العرب |
 | **أمان البيانات** | البيانات تبقى في المنطقة العربية (Data Sovereignty) |
 | **تكلفة أقل** | أسعار غيمة التنافسية تقلل تكلفة التشغيل |
 | **دعم عربي** | دعم فني باللغة العربية |
 ---
 ## رسم بسيط للتكامل (Architecture Sketch)
 ```
 ┌─────────────────────────────────────────────────────────────────┐
 │                      Ghaymah Cloud                              │
 ├─────────────────────────────────────────────────────────────────┤
 │                                                                 │
 │  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐       │
 │  │   Users      │───▶│  Taylor CV   │───▶│  PostgreSQL  │       │
 │  │  (العرب)     │    │  Container   │    │   (Managed)  │       │
 │  └──────────────┘    └──────┬───────┘    └──────────────┘       │
 │                             │                                   │
 │                             ▼                                   │
 │                    ┌──────────────┐                             │
 │                    │ Block Storage│                             │
 │                    │  (PDF Files) │                             │
 │                    └──────────────┘                             │
 │                                                                 │
 └─────────────────────────────────────────────────────────────────┘
 ```
 ---
 ## التحديات التقنية والتجارية المحتملة
 | التحدي | الحل المقترح |
 |--------|--------------|
 | **تكامل AI APIs** | استخدام API Gateway من غيمة لإدارة الاتصال مع OpenAI |
 | **حجم التخزين** | خطة تسعير مرنة حسب الاستخدام من غيمة |
 | **التوسع** | Auto-scaling مع Container Services |
 | **الامتثال** | غيمة متوافقة مع متطلبات حماية البيانات السعودية |
@@ -0,0 +1,161 @@
 # اقتراح التكامل الثاني: جرين (Green PHP Framework)
 ## Integration Proposal: Green Framework + Ghaymah Cloud + mithal.space
 ---
 ## وصف المنتج
 إطار عمل PHP حديث وخفيف، يسهل بناء تطبيقات الويب وواجهات برمجة التطبيقات بوضوح وتنظيم وقابلية للتوسع.
 **الرابط:** [Green على مرتكز](https://www.mortakaz.com/projects/6a66386b64ffff87848cfc37)
 ---
 ## كيف يتكامل مع ghaymah.systems
 | جانب التكامل | التفاصيل |
 |--------------|----------|
 | **Template جاهز** | إنشاء قالب Green جاهز للنشر بنقرة واحدة على غيمة |
 | **CI/CD** | تكامل مع GitHub Actions للنشر التلقائي |
 | **قاعدة البيانات** | دعم مباشر لـ PostgreSQL من غيمة في إعدادات Framework |
 | **التوثيق** | توثيق خاص بالنشر على غيمة |
 ---
 ## التكامل التقني مع غيمة
 ```php
 <?php
 // config/database.php - Green Framework + Ghaymah
 return [
    'default' => 'ghaymah_postgres',
    'connections' => [
        'ghaymah_postgres' => [
            'driver' => 'pgsql',
            'host' => env('GHAYMAH_DB_HOST', 'db.ghaymah.systems'),
            'port' => env('GHAYMAH_DB_PORT', '5432'),
            'database' => env('GHAYMAH_DB_NAME', 'myapp'),
            'username' => env('GHAYMAH_DB_USER'),
            'password' => env('GHAYMAH_DB_PASS'),
            'ssl_mode' => 'require',
        ],
    ],
 ];
 ```
 ```bash
 # نشر تطبيق Green على غيمة
 ghaymah app create my-green-app \
  --template green-php \
  --database postgres \
  --region me-riyadh-1
 ```
 ---
 ## كيف يتكامل مع mithal.space
 | جانب التكامل | التفاصيل |
 |--------------|----------|
 | **Search API** | إضافة package للبحث عبر mithal.space API |
 | **الخصوصية** | بديل لـ Google Search في التطبيقات التي تحترم الخصوصية |
 | **دعم العربية** | نتائج بحث محسّنة للمحتوى العربي |
 ```php
 <?php
 // packages/mithal-search/src/MithalSearch.php
 namespace Green\MithalSearch;
 class MithalSearch
 {
    private string $baseUrl = 'https://mithal.space/api/search';
    public function search(string $query, array $options = []): array
    {
        // بحث يحترم الخصوصية - لا تتبع
        return $this->request([
            'q' => $query,
            'lang' => $options['lang'] ?? 'ar',
            'safe' => $options['safe'] ?? true,
        ]);
    }
 }
 ```
 ---
 ## القيمة المضافة للمستخدم النهائي
 | الفائدة | الوصف |
 |---------|-------|
 | **سهولة النشر** | من الكود إلى Production في دقائق |
 | **بحث عربي** | نتائج بحث أفضل للمحتوى العربي عبر mithal |
 | **خصوصية** | لا تتبع للمستخدمين |
 | **تكلفة** | استضافة بأسعار تنافسية |
 ---
 ## رسم بسيط للتكامل (Architecture Sketch)
 ```
 ┌─────────────────────────────────────────────────────────────────┐
 │                    Green Framework App                          │
 ├─────────────────────────────────────────────────────────────────┤
 │                                                                 │
 │  ┌──────────────┐         ┌──────────────┐                      │
 │  │   Green      │────────▶│   Ghaymah    │                      │
 │  │   PHP App    │         │   Cloud      │                      │
 │  └──────┬───────┘         └──────────────┘                      │
 │         │                                                       │
 │         │ Search API                                            │
 │         ▼                                                       │
 │  ┌──────────────┐                                               │
 │  │  mithal.space│                                               │
 │  │  (بحث عربي)  │                                               │
 │  └──────────────┘                                               │
 │                                                                 │
 └─────────────────────────────────────────────────────────────────┘
 ```
 ---
 ## التحديات التقنية والتجارية المحتملة
 | التحدي | الحل المقترح |
 |--------|--------------|
 | **توافق PHP** | دعم PHP 8.1+ المتوفر على غيمة |
 | **Cache** | استخدام Redis من غيمة للتخزين المؤقت |
 | **Rate Limiting** | تنسيق مع mithal.space لحدود API |
 | **التوثيق** | إنشاء توثيق مشترك بالعربية |
 ---
 ## لماذا هذا المنتج الأكثر قابلية للتطبيق؟ ✅
 | السبب | التفسير |
 |-------|---------|
 | **1. البنية التحتية** | إطار العمل يحتاج استضافة، وغيمة توفرها مباشرة |
 | **2. المطورين العرب** | Green موجه للمطورين العرب، وغيمة كذلك = تكامل طبيعي |
 | **3. سهولة التنفيذ** | إنشاء template جاهز أسهل من تكامل AI معقد |
 | **4. القيمة المتبادلة** | Green يحصل على استضافة، غيمة تحصل على مستخدمين |
 | **5. التوسع** | كل تطبيق يُبنى بـ Green يمكن استضافته على غيمة |
 | **6. التكامل مع mithal** | إضافة بحث عربي يحترم الخصوصية = ميزة تنافسية |
 ---
 ## خطة التنفيذ المقترحة
 | المرحلة | المدة | المهام |
 |---------|-------|--------|
 | **المرحلة 1** | أسبوع 1-2 | إنشاء Ghaymah Template لـ Green + توثيق خطوات النشر |
 | **المرحلة 2** | أسبوع 3-4 | تطوير mithal-search package + اختبار التكامل |
 | **المرحلة 3** | أسبوع 5-6 | إطلاق رسمي + حملة تسويقية مشتركة |
 ---
 ## الخلاصة
 التكامل بين **Green Framework** و **Ghaymah Cloud** و **mithal.space** يخلق منظومة متكاملة للمطورين العرب تدعم **السيادة الرقمية العربية** وتوفر بديلاً محلياً للحلول الأجنبية.
@@ -0,0 +1,2 @@
 Qabilah Profile: @ahmedmibrahim
 URL: https://qabilah.com/profile/ahmedmibrahim
@@ -0,0 +1,182 @@
 #!/bin/bash
 # فحص أمني تلقائي لتطبيق منشور على غيمة (ghaymah.systems)
 # يفحص: المنافذ، SSL، الصلاحيات
 DOMAIN="${1:-myapp.ghaymah.systems}"
 echo "╔════════════════════════════════════════════════════════════╗"
 echo "║        فحص أمني تلقائي لتطبيق على غيمة                    ║"
 echo "║        Target: $DOMAIN"
 echo "╚════════════════════════════════════════════════════════════╝"
 PASS=0
 WARN=0
 FAIL=0
 # دالة للطباعة الملونة
 print_result() {
    case $1 in
        "pass") echo -e "✅ \e[32m$2\e[0m"; ((PASS++));;
        "warn") echo -e "⚠️  \e[33m$2\e[0m"; ((WARN++));;
        "fail") echo -e "❌ \e[31m$2\e[0m"; ((FAIL++));;
    esac
 }
 # ═══════════════════════════════════════════════════════════════
 # 1. فحص المنافذ المفتوحة
 # ═══════════════════════════════════════════════════════════════
 echo -e "\n━━━ [1/3] فحص المنافذ ━━━"
 check_port() {
    local port=$1
    local expected=$2
    timeout 2 bash -c "echo >/dev/tcp/$DOMAIN/$port" 2>/dev/null
    local result=$?
    if [ $result -eq 0 ]; then
        if [ "$expected" = "open" ]; then
            print_result "pass" "المنفذ $port مفتوح (متوقع)"
        else
            print_result "fail" "المنفذ $port مفتوح (يجب أن يكون مغلقاً!)"
        fi
    else
        if [ "$expected" = "closed" ]; then
            print_result "pass" "المنفذ $port مغلق (آمن)"
        else
            print_result "warn" "المنفذ $port مغلق (قد يكون مشكلة)"
        fi
    fi
 }
 # المنافذ المتوقع أن تكون مفتوحة
 check_port 80 "open"
 check_port 443 "open"
 # المنافذ التي يجب أن تكون مغلقة (قواعد البيانات)
 check_port 22 "closed"    # SSH
 check_port 3306 "closed"  # MySQL
 check_port 5432 "closed"  # PostgreSQL
 check_port 6379 "closed"  # Redis
 check_port 27017 "closed" # MongoDB
 # ═══════════════════════════════════════════════════════════════
 # 2. فحص شهادة SSL
 # ═══════════════════════════════════════════════════════════════
 echo -e "\n━━━ [2/3] فحص شهادة SSL ━━━"
 ssl_info=$(echo | openssl s_client -servername "$DOMAIN" -connect "$DOMAIN:443" 2>/dev/null)
 if [ -z "$ssl_info" ]; then
    print_result "fail" "لا يمكن الاتصال بـ SSL"
 else
    # التحقق من صحة الشهادة
    verify_result=$(echo "$ssl_info" | grep "Verify return code")
    if echo "$verify_result" | grep -q "0 (ok)"; then
        print_result "pass" "شهادة SSL صالحة"
    else
        print_result "fail" "شهادة SSL غير صالحة: $verify_result"
    fi
    # تاريخ انتهاء الشهادة
    expiry=$(echo "$ssl_info" | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
    if [ -n "$expiry" ]; then
        expiry_epoch=$(date -d "$expiry" +%s 2>/dev/null)
        now_epoch=$(date +%s)
        days_left=$(( (expiry_epoch - now_epoch) / 86400 ))
        if [ $days_left -gt 30 ]; then
            print_result "pass" "الشهادة صالحة لـ $days_left يوم"
        elif [ $days_left -gt 7 ]; then
            print_result "warn" "الشهادة تنتهي خلال $days_left يوم"
        else
            print_result "fail" "الشهادة تنتهي خلال $days_left يوم فقط!"
        fi
    fi
    # إصدار TLS
    tls_version=$(echo "$ssl_info" | grep "Protocol" | awk '{print $3}')
    if [[ "$tls_version" == "TLSv1.3" ]]; then
        print_result "pass" "يستخدم TLS 1.3 (الأحدث)"
    elif [[ "$tls_version" == "TLSv1.2" ]]; then
        print_result "pass" "يستخدم TLS 1.2 (مقبول)"
    else
        print_result "warn" "يستخدم $tls_version (قديم)"
    fi
 fi
 # ═══════════════════════════════════════════════════════════════
 # 3. فحص Security Headers
 # ═══════════════════════════════════════════════════════════════
 echo -e "\n━━━ [3/3] فحص Security Headers ━━━"
 headers=$(curl -sI "https://$DOMAIN" 2>/dev/null)
 if [ -z "$headers" ]; then
    print_result "fail" "لا يمكن جلب الـ headers"
 else
    # Strict-Transport-Security
    if echo "$headers" | grep -qi "Strict-Transport-Security"; then
        print_result "pass" "HSTS مفعّل"
    else
        print_result "warn" "HSTS غير مفعّل"
    fi
    # X-Content-Type-Options
    if echo "$headers" | grep -qi "X-Content-Type-Options"; then
        print_result "pass" "X-Content-Type-Options موجود"
    else
        print_result "warn" "X-Content-Type-Options غير موجود"
    fi
    # X-Frame-Options
    if echo "$headers" | grep -qi "X-Frame-Options"; then
        print_result "pass" "X-Frame-Options موجود (حماية من Clickjacking)"
    else
        print_result "warn" "X-Frame-Options غير موجود"
    fi
    # Content-Security-Policy
    if echo "$headers" | grep -qi "Content-Security-Policy"; then
        print_result "pass" "CSP مفعّل"
    else
        print_result "warn" "CSP غير مفعّل"
    fi
    # X-Powered-By (يجب أن يكون مخفياً)
    if echo "$headers" | grep -qi "X-Powered-By"; then
        powered_by=$(echo "$headers" | grep -i "X-Powered-By")
        print_result "fail" "X-Powered-By مكشوف: $powered_by"
    else
        print_result "pass" "X-Powered-By مخفي (آمن)"
    fi
    # Server header
    if echo "$headers" | grep -qi "^Server:"; then
        server=$(echo "$headers" | grep -i "^Server:" | head -1)
        print_result "warn" "Server header مكشوف: $server"
    else
        print_result "pass" "Server header مخفي"
    fi
 fi
 # ═══════════════════════════════════════════════════════════════
 # ملخص النتائج
 # ═══════════════════════════════════════════════════════════════
 echo -e "\n╔════════════════════════════════════════════════════════════╗"
 echo "║                      ملخص الفحص                           ║"
 echo "╠════════════════════════════════════════════════════════════╣"
 echo -e "║  ✅ نجح: $PASS                                              "
 echo -e "║  ⚠️  تحذير: $WARN                                           "
 echo -e "║  ❌ فشل: $FAIL                                              "
 echo "╚════════════════════════════════════════════════════════════╝"
 # Exit code based on failures
 if [ $FAIL -gt 0 ]; then
    echo -e "\n⛔ يوجد مشاكل أمنية يجب معالجتها!"
    exit 1
 elif [ $WARN -gt 0 ]; then
    echo -e "\n⚡ يوجد تحذيرات يُنصح بمراجعتها"
    exit 0
 else
    echo -e "\n🎉 جميع الفحوصات ناجحة!"
    exit 0
 fi
@@ -0,0 +1,120 @@
 # قائمة تدقيق أمني لتطبيق على منصة غيمة (ghaymah.systems)
 ## قائمة من 15 بنداً للتدقيق الأمني
 | # | البند | الفئة | الأولوية |
 |---|-------|-------|----------|
 | 1 | التحقق من تفعيل شهادة SSL التلقائية من غيمة | Data | عالية |
 | 2 | تشفير البيانات في PostgreSQL المُدارة (Encryption at Rest) | Data | عالية |
 | 3 | تشفير اتصالات Redis/Valkey | Data | متوسطة |
 | 4 | مراجعة صلاحيات الوصول للـ Git Repository المرتبط بالنشر | IAM | عالية |
 | 5 | تفعيل MFA على حساب غيمة (deploy.ghaymah.systems) | IAM | عالية |
 | 6 | فحص Docker Images المستخدمة من الثغرات (Trivy/Snyk) | Container Security | عالية |
 | 7 | عدم تشغيل الحاويات بصلاحيات root | Container Security | عالية |
 | 8 | تقييد المنافذ المفتوحة (فقط 80/443) | Network | عالية |
 | 9 | تكوين Network Policies بين الخدمات | Network | متوسطة |
 | 10 | الحماية من SQL Injection | OWASP | عالية |
 | 11 | الحماية من XSS وتفعيل CSP Headers | OWASP | عالية |
 | 12 | تفعيل Rate Limiting على APIs | OWASP | عالية |
 | 13 | إخفاء Server Headers (X-Powered-By) | OWASP | متوسطة |
 | 14 | التحقق من تفعيل النسخ الاحتياطي التلقائي | Data | عالية |
 | 15 | مراجعة سجلات المراقبة والتنبيهات | Data | متوسطة |
 ---
 ## شرح تطبيق كل بند على منصة غيمة تحديداً
 ### 1. SSL التلقائية
 غيمة توفر شهادة SSL تلقائية لجميع الخطط. للتحقق:
 - تأكد من أن الدومين يعمل على HTTPS فقط
 - أضف redirect من HTTP إلى HTTPS
 - تحقق من صلاحية الشهادة عبر المتصفح
 ### 2. PostgreSQL المُدارة
 - تفعيل خيار "اتصالات مشفّرة" في إعدادات قاعدة البيانات
 - استخدام SSL mode في connection string:
 ```
 postgresql://user:pass@host:5432/db?sslmode=require
 ```
 ### 3. Redis/Valkey
 - استخدام الاتصال المشفر الافتراضي من غيمة
 - التأكد من أن Redis غير مكشوف للإنترنت
 ### 4. Git Repository
 - مراجعة من لديه صلاحية push على الـ repo
 - تفعيل branch protection على main/master
 - استخدام deploy keys بدلاً من personal tokens
 ### 5. MFA
 - تفعيله من إعدادات حساب غيمة
 - استخدام تطبيق authenticator (Google/Microsoft)
 ### 6. Container Scanning
 إضافة في CI/CD pipeline:
 ```yaml
 - name: Scan image
  run: trivy image myapp:latest --severity HIGH,CRITICAL
 ```
 ### 7. Non-root Containers
 في Dockerfile:
 ```dockerfile
 USER nonroot:nonroot
 # أو
 USER 1000:1000
 ```
 ### 8. المنافذ
 - غيمة تدير هذا تلقائياً
 - تأكد من عدم expose منافذ إضافية في Dockerfile
 - لا تستخدم `EXPOSE` لمنافذ حساسة
 ### 9. Network Policies
 - فصل PostgreSQL عن الإنترنت العام (internal only)
 - السماح فقط للـ backend بالوصول لقاعدة البيانات
 ### 10. SQL Injection
 - استخدام ORM (Prisma, Sequelize, SQLAlchemy)
 - أو Prepared Statements:
 ```javascript
 db.query('SELECT * FROM users WHERE id = $1', [userId])
 ```
 ### 11. XSS/CSP
 إضافة headers في التطبيق:
 ```javascript
 app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'"]
    }
  }
 }));
 ```
 ### 12. Rate Limiting
 ```javascript
 const rateLimit = require('express-rate-limit');
 app.use('/api/login', rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 5
 }));
 ```
 ### 13. Server Headers
 ```javascript
 app.disable('x-powered-by');
 // أو استخدام helmet
 app.use(helmet.hidePoweredBy());
 ```
 ### 14. النسخ الاحتياطي
 - خطة g4.medium: نسخ يومي
 - خطة g5.large: نسخ كل ساعة
 - تحقق من إعدادات النسخ في لوحة التحكم
 ### 15. المراقبة
 - استخدام أدوات الذكاء الاصطناعي والمراقبة المتوفرة في غيمة
 - إعداد تنبيهات للأحداث المشبوهة
@@ -0,0 +1,156 @@
 # Alert Rules لاكتشاف هجمات Brute Force
 # للتطبيقات المنشورة على غيمة (ghaymah.systems)
 # ═══════════════════════════════════════════════════════════════
 # Prometheus Alert Rules
 # ═══════════════════════════════════════════════════════════════
 groups:
  - name: ghaymah_brute_force_detection
    interval: 30s
    rules:
      # ─────────────────────────────────────────────────────────
      # 1. اكتشاف محاولات تسجيل دخول فاشلة متكررة
      # ─────────────────────────────────────────────────────────
      - alert: BruteForceDetected
        expr: |
          sum(rate(http_requests_total{
            path="/api/login",
            status=~"401|403"
          }[5m])) by (source_ip) > 10
        for: 2m
        labels:
          severity: critical
          team: security
          platform: ghaymah
        annotations:
          summary: "🚨 هجوم Brute Force محتمل"
          description: |
            IP {{ $labels.source_ip }} أرسل أكثر من 10 محاولات فاشلة 
            في آخر 5 دقائق على /api/login
          value: "{{ $value }} محاولة/دقيقة"
          runbook_url: "https://wiki.internal/runbooks/brute-force"
          action: |
            1. حظر IP فوراً
            2. مراجعة الـ logs
            3. التحقق من الحسابات المستهدفة
      # ─────────────────────────────────────────────────────────
      # 2. اكتشاف نجاح تسجيل دخول بعد محاولات فاشلة
      # ─────────────────────────────────────────────────────────
      - alert: SuspiciousLoginAfterFailures
        expr: |
          (
            sum(increase(http_requests_total{
              path="/api/login",
              status="200"
            }[1m])) by (source_ip) > 0
          )
          and
          (
            sum(increase(http_requests_total{
              path="/api/login",
              status="401"
            }[10m])) by (source_ip) > 5
          )
        for: 0m
        labels:
          severity: critical
          team: security
        annotations:
          summary: "⚠️ تسجيل دخول مشبوه بعد محاولات فاشلة"
          description: |
            IP {{ $labels.source_ip }} نجح في تسجيل الدخول 
            بعد عدة محاولات فاشلة - قد يكون هجوم ناجح!
          action: |
            1. مراجعة الحساب المستخدم فوراً
            2. التحقق من النشاط بعد الدخول
            3. النظر في إلغاء الـ session
      # ─────────────────────────────────────────────────────────
      # 3. اكتشاف طلبات كثيرة من IP واحد
      # ─────────────────────────────────────────────────────────
      - alert: HighRequestRateFromSingleIP
        expr: |
          sum(rate(http_requests_total[1m])) by (source_ip) > 100
        for: 1m
        labels:
          severity: warning
          team: security
        annotations:
          summary: "📊 معدل طلبات عالي من IP واحد"
          description: |
            IP {{ $labels.source_ip }} يرسل {{ $value }} طلب/دقيقة
            قد يكون هجوم DDoS أو scraping
          action: "مراقبة وحظر إذا استمر"
      # ─────────────────────────────────────────────────────────
      # 4. اكتشاف محاولات الوصول لـ endpoints حساسة
      # ─────────────────────────────────────────────────────────
      - alert: SensitiveEndpointAccess
        expr: |
          sum(rate(http_requests_total{
            path=~"/api/admin.*|/api/users/export|/api/config"
          }[5m])) by (source_ip, path) > 5
        for: 1m
        labels:
          severity: warning
          team: security
        annotations:
          summary: "🔐 محاولات وصول لـ endpoints حساسة"
          description: |
            IP {{ $labels.source_ip }} يحاول الوصول لـ {{ $labels.path }}
          action: "التحقق من صلاحيات المستخدم"
      # ─────────────────────────────────────────────────────────
      # 5. اكتشاف User-Agent مشبوه
      # ─────────────────────────────────────────────────────────
      - alert: SuspiciousUserAgent
        expr: |
          sum(rate(http_requests_total{
            user_agent=~".*curl.*|.*python.*|.*wget.*|.*nikto.*|.*sqlmap.*"
          }[5m])) by (source_ip, user_agent) > 10
        for: 2m
        labels:
          severity: warning
          team: security
        annotations:
          summary: "🤖 User-Agent مشبوه"
          description: |
            IP {{ $labels.source_ip }} يستخدم {{ $labels.user_agent }}
            قد يكون أداة هجوم آلية
 ---
 # ═══════════════════════════════════════════════════════════════
 # Alertmanager Configuration
 # ═══════════════════════════════════════════════════════════════
 # alertmanager.yml
 global:
  resolve_timeout: 5m
 route:
  group_by: ['alertname', 'severity']
  group_wait: 10s
  group_interval: 10s
  repeat_interval: 1h
  receiver: 'security-team'
  routes:
    - match:
        severity: critical
      receiver: 'security-critical'
      continue: true
 receivers:
  - name: 'security-team'
    email_configs:
      - to: 'security@company.com'
        subject: '[Ghaymah Alert] {{ .GroupLabels.alertname }}'
  - name: 'security-critical'
    email_configs:
      - to: 'security-oncall@company.com'
    webhook_configs:
      - url: 'https://hooks.slack.com/services/xxx/yyy/zzz'
        send_resolved: true
    # إرسال SMS للحالات الحرجة
    # pagerduty_configs:
    #   - service_key: 'your-pagerduty-key'
@@ -0,0 +1,209 @@
 # خطة الاستجابة للحوادث - Incident Response Plan
 ## نوع الحادثة
 هجوم Brute Force ناجح على API Login أدى إلى تسريب بيانات
 ---
 ## المرحلة 1: الاحتواء (Containment) - أول 30 دقيقة
 ### الإجراءات الفورية:
 ```bash
 # 1. إلغاء جميع الـ JWT tokens النشطة
 # في قاعدة البيانات أو Redis
 redis-cli FLUSHDB  # إذا كانت sessions في Redis
 # أو عبر API إداري
 curl -X POST https://app.ghaymah.systems/api/admin/invalidate-all-tokens \
  -H "Authorization: Bearer $ADMIN_TOKEN"
 # 2. حظر IP المهاجم
 # في iptables
 sudo iptables -A INPUT -s 192.168.1.100 -j DROP
 # أو في nginx
 echo "deny 192.168.1.100;" >> /etc/nginx/conf.d/blocked-ips.conf
 sudo nginx -s reload
 # 3. تعطيل الحساب المخترق
 UPDATE users SET status = 'suspended', 
                 password_hash = 'COMPROMISED_RESET_REQUIRED'
 WHERE username = 'admin';
 ```
 ### قائمة التحقق:
 - [ ] إلغاء جميع الـ tokens
 - [ ] حظر IP المهاجم
 - [ ] تعطيل الحساب المخترق
 - [ ] إبلاغ فريق الأمن
 - [ ] توثيق وقت الاكتشاف
 ---
 ## المرحلة 2: التحقيق (Investigation) - 1-4 ساعات
 ### جمع الأدلة:
 ```bash
 # 1. حفظ الـ logs
 cp /var/log/nginx/access.log /incident/access.log.$(date +%Y%m%d)
 cp /var/log/nginx/error.log /incident/error.log.$(date +%Y%m%d)
 # 2. تحليل الطلبات المشبوهة
 grep "POST /api/login" /var/log/nginx/access.log | \
  awk '{print $1}' | sort | uniq -c | sort -rn | head -20
 # 3. تتبع نشاط المهاجم بعد الدخول
 grep "192.168.1.100" /var/log/nginx/access.log | \
  grep -E "200|201" > /incident/attacker-activity.log
 # 4. تحديد البيانات المسربة
 grep "192.168.1.100" /var/log/nginx/access.log | \
  grep -E "/api/users|/api/export"
 ```
 ### الأسئلة المطلوب الإجابة عليها:
 1. متى بدأ الهجوم؟
 2. كم محاولة تمت قبل النجاح؟
 3. ما البيانات التي تم الوصول إليها؟
 4. هل يوجد backdoors؟
 5. هل تأثرت أنظمة أخرى؟
 ---
 ## المرحلة 3: الاستئصال (Eradication) - 4-8 ساعات
 ### الإجراءات:
 ```bash
 # 1. إعادة تعيين كلمات مرور جميع المستخدمين
 # إرسال بريد إلكتروني لجميع المستخدمين
 # 2. فحص النظام من backdoors
 # فحص cron jobs
 crontab -l
 cat /etc/crontab
 # فحص authorized_keys
 cat ~/.ssh/authorized_keys
 # فحص الملفات المعدلة مؤخراً
 find /app -mtime -1 -type f
 # 3. تحديث التبعيات
 npm audit fix
 # أو
 pip install --upgrade -r requirements.txt
 ```
 ### قائمة التحقق:
 - [ ] إعادة تعيين كلمات المرور
 - [ ] فحص backdoors
 - [ ] مراجعة صلاحيات المستخدمين
 - [ ] تحديث التبعيات الأمنية
 ---
 ## المرحلة 4: الاستعادة (Recovery) - 8-24 ساعة
 ### خطوات الاستعادة:
 1. **تفعيل الحماية الجديدة:**
 ```javascript
 // إضافة Rate Limiting
 const rateLimit = require('express-rate-limit');
 app.use('/api/login', rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 5,
  message: 'محاولات كثيرة، حاول لاحقاً'
 }));
 ```
 2. **تفعيل Account Lockout:**
 ```javascript
 // قفل الحساب بعد 5 محاولات فاشلة
 if (failedAttempts >= 5) {
  await lockAccount(userId, 30 * 60 * 1000); // 30 دقيقة
 }
 ```
 3. **إعادة تشغيل الخدمات:**
 ```bash
 # إعادة نشر التطبيق على غيمة
 git push origin main  # النشر التلقائي
 ```
 ### قائمة التحقق:
 - [ ] تفعيل Rate Limiting
 - [ ] تفعيل Account Lockout
 - [ ] إضافة CAPTCHA
 - [ ] تفعيل MFA للحسابات الإدارية
 - [ ] إعادة تشغيل الخدمات
 - [ ] اختبار الحماية الجديدة
 ---
 ## المرحلة 5: إبلاغ المتأثرين - 24-48 ساعة
 ### نموذج البريد الإلكتروني:
 ```
 الموضوع: إشعار أمني مهم - [اسم التطبيق]
 عزيزي المستخدم،
 نود إبلاغك بحادثة أمنية وقعت بتاريخ [التاريخ]. 
 تم الوصول غير المصرح به إلى بعض بيانات المستخدمين.
 البيانات المتأثرة:
 - الاسم
 - البريد الإلكتروني
 - [أي بيانات أخرى]
 الإجراءات المتخذة:
 1. تم إيقاف الهجوم فوراً
 2. تم تعزيز الحماية
 3. تم إعادة تعيين جميع كلمات المرور
 ما يجب عليك فعله:
 1. تغيير كلمة المرور فوراً
 2. تفعيل المصادقة الثنائية
 3. مراقبة حساباتك الأخرى
 نعتذر عن أي إزعاج.
 فريق الأمن
 ```
 ---
 ## المرحلة 6: الدروس المستفادة - أسبوع
 ### اجتماع Post-Mortem:
 | السؤال | الإجابة |
 |--------|---------|
 | ما الذي حدث؟ | هجوم brute force ناجح |
 | لماذا حدث؟ | عدم وجود rate limiting + كلمة مرور ضعيفة |
 | كيف اكتشفناه؟ | مراجعة يدوية للـ logs |
 | كم استغرق الاحتواء؟ | [X] دقيقة |
 | ما الذي يجب تحسينه؟ | إضافة تنبيهات تلقائية |
 ### التحسينات المطلوبة:
 1. [ ] تفعيل Rate Limiting على جميع APIs
 2. [ ] فرض سياسة كلمات مرور قوية
 3. [ ] تفعيل MFA إلزامياً للإداريين
 4. [ ] إضافة تنبيهات للنشاط المشبوه
 5. [ ] تدريب الفريق على الاستجابة للحوادث
 ---
 ## جهات الاتصال
 | الدور | الاسم | الهاتف | البريد |
 |-------|-------|--------|--------|
 | قائد الحادثة | [الاسم] | [الرقم] | [البريد] |
 | فريق DevOps | [الاسم] | [الرقم] | [البريد] |
 | المستشار القانوني | [الاسم] | [الرقم] | [البريد] |
 | دعم غيمة | - | - | support@ghaymah.systems |
@@ -0,0 +1,206 @@
 # Network Policies & Container Security لمنع هجمات Brute Force
 # للتطبيقات المنشورة على غيمة (ghaymah.systems)
 ---
 # ═══════════════════════════════════════════════════════════════
 # 1. Network Policy - عزل قاعدة البيانات
 # ═══════════════════════════════════════════════════════════════
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: database-isolation
  namespace: ghaymah-app
  labels:
    app: security-policy
 spec:
  podSelector:
    matchLabels:
      app: postgresql
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # السماح فقط للـ backend بالوصول لقاعدة البيانات
    - from:
        - podSelector:
            matchLabels:
              app: backend-api
      ports:
        - protocol: TCP
          port: 5432
  egress:
    # منع قاعدة البيانات من الاتصال بالخارج
    - to:
        - podSelector:
            matchLabels:
              app: backend-api
      ports:
        - protocol: TCP
          port: 5432
 ---
 # ═══════════════════════════════════════════════════════════════
 # 2. Network Policy - حماية API Login
 # ═══════════════════════════════════════════════════════════════
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: api-login-protection
  namespace: ghaymah-app
 spec:
  podSelector:
    matchLabels:
      app: login-api
  policyTypes:
    - Ingress
  ingress:
    # السماح فقط من خلال API Gateway/Ingress
    - from:
        - namespaceSelector:
            matchLabels:
              name: ingress-nginx
        - podSelector:
            matchLabels:
              app: api-gateway
      ports:
        - protocol: TCP
          port: 8080
 ---
 # ═══════════════════════════════════════════════════════════════
 # 3. Network Policy - عزل Redis
 # ═══════════════════════════════════════════════════════════════
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: redis-isolation
  namespace: ghaymah-app
 spec:
  podSelector:
    matchLabels:
      app: redis
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: backend-api
      ports:
        - protocol: TCP
          port: 6379
 ---
 # ═══════════════════════════════════════════════════════════════
 # 4. Pod Security Policy - منع تشغيل root
 # ═══════════════════════════════════════════════════════════════
 apiVersion: policy/v1beta1
 kind: PodSecurityPolicy
 metadata:
  name: restricted-psp
 spec:
  privileged: false
  runAsUser:
    rule: MustRunAsNonRoot
  runAsGroup:
    rule: MustRunAs
    ranges:
      - min: 1000
        max: 65535
  fsGroup:
    rule: MustRunAs
    ranges:
      - min: 1000
        max: 65535
  seLinux:
    rule: RunAsAny
  volumes:
    - 'configMap'
    - 'emptyDir'
    - 'secret'
    - 'persistentVolumeClaim'
  readOnlyRootFilesystem: true
  allowPrivilegeEscalation: false
  requiredDropCapabilities:
    - ALL
 ---
 # ═══════════════════════════════════════════════════════════════
 # 5. Security Context للـ Deployment
 # ═══════════════════════════════════════════════════════════════
 apiVersion: apps/v1
 kind: Deployment
 metadata:
  name: secure-api
  namespace: ghaymah-app
 spec:
  replicas: 2
  selector:
    matchLabels:
      app: backend-api
  template:
    metadata:
      labels:
        app: backend-api
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
        runAsGroup: 1000
        fsGroup: 1000
      containers:
        - name: api
          image: myapp:latest
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop:
                - ALL
          ports:
            - containerPort: 8080
          resources:
            limits:
              cpu: "500m"
              memory: "512Mi"
            requests:
              cpu: "100m"
              memory: "128Mi"
          volumeMounts:
            - name: tmp
              mountPath: /tmp
      volumes:
        - name: tmp
          emptyDir: {}
 ---
 # ═══════════════════════════════════════════════════════════════
 # 6. Rate Limiting في Ingress (nginx)
 # ═══════════════════════════════════════════════════════════════
 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
  name: api-ingress
  namespace: ghaymah-app
  annotations:
    # Rate limiting
    nginx.ingress.kubernetes.io/limit-rps: "10"
    nginx.ingress.kubernetes.io/limit-connections: "5"
    # حماية من الهجمات
    nginx.ingress.kubernetes.io/server-snippet: |
      # حظر User-Agents المشبوهة
      if ($http_user_agent ~* (curl|wget|python|nikto|sqlmap)) {
        return 403;
      }
 spec:
  rules:
    - host: app.ghaymah.systems
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: backend-api
                port:
                  number: 8080
@@ -0,0 +1,224 @@
 /**
 * Rate Limiter Middleware للحماية من Brute Force
 * للتطبيقات المنشورة على غيمة (ghaymah.systems)
 */
 const rateLimit = require('express-rate-limit');
 const RedisStore = require('rate-limit-redis');
 const Redis = require('ioredis');
 // ═══════════════════════════════════════════════════════════════
 // إعداد Redis (من غيمة)
 // ═══════════════════════════════════════════════════════════════
 const redis = new Redis(process.env.GHAYMAH_REDIS_URL || 'redis://localhost:6379');
 // ═══════════════════════════════════════════════════════════════
 // Rate Limiter لـ Login API
 // ═══════════════════════════════════════════════════════════════
 const loginLimiter = rateLimit({
  store: new RedisStore({
    sendCommand: (...args) => redis.call(...args),
    prefix: 'rl:login:'
  }),
  // 5 محاولات كل 15 دقيقة
  windowMs: 15 * 60 * 1000,
  max: 5,
  // رسالة الخطأ
  message: {
    error: 'محاولات كثيرة جداً',
    message: 'تم حظرك مؤقتاً. حاول مرة أخرى بعد 15 دقيقة',
    retryAfter: 15 * 60
  },
  // Headers قياسية
  standardHeaders: true,
  legacyHeaders: false,
  // تخطي الطلبات الناجحة
  skipSuccessfulRequests: false,
  // معالج مخصص عند تجاوز الحد
  handler: (req, res, next, options) => {
    // تسجيل للمراقبة
    console.warn(`[SECURITY] Rate limit exceeded`, {
      ip: req.ip,
      path: req.path,
      userAgent: req.get('User-Agent'),
      timestamp: new Date().toISOString()
    });
    // إرسال metric لـ Prometheus
    if (global.metrics) {
      global.metrics.rateLimitExceeded.inc({
        path: '/api/login',
        ip: req.ip
      });
    }
    res.status(429).json(options.message);
  },
  // تحديد المفتاح (IP + username إن وجد)
  keyGenerator: (req) => {
    const username = req.body?.username || 'unknown';
    return `${req.ip}:${username}`;
  }
 });
 // ═══════════════════════════════════════════════════════════════
 // Rate Limiter عام للـ API
 // ═══════════════════════════════════════════════════════════════
 const apiLimiter = rateLimit({
  store: new RedisStore({
    sendCommand: (...args) => redis.call(...args),
    prefix: 'rl:api:'
  }),
  // 100 طلب كل دقيقة
  windowMs: 60 * 1000,
  max: 100,
  message: {
    error: 'طلبات كثيرة',
    message: 'تجاوزت الحد المسموح. حاول لاحقاً'
  },
  standardHeaders: true
 });
 // ═══════════════════════════════════════════════════════════════
 // Rate Limiter للـ endpoints الحساسة
 // ═══════════════════════════════════════════════════════════════
 const sensitiveEndpointLimiter = rateLimit({
  store: new RedisStore({
    sendCommand: (...args) => redis.call(...args),
    prefix: 'rl:sensitive:'
  }),
  // 10 طلبات كل 5 دقائق
  windowMs: 5 * 60 * 1000,
  max: 10,
  message: {
    error: 'وصول محدود',
    message: 'هذا الـ endpoint محمي. حاول لاحقاً'
  }
 });
 // ═══════════════════════════════════════════════════════════════
 // Account Lockout بعد محاولات فاشلة
 // ═══════════════════════════════════════════════════════════════
 const failedAttempts = new Map(); // في الإنتاج استخدم Redis
 const accountLockout = async (req, res, next) => {
  const username = req.body?.username;
  if (!username) return next();
  const key = `lockout:${username}`;
  const lockoutData = await redis.get(key);
  if (lockoutData) {
    const data = JSON.parse(lockoutData);
    // التحقق من القفل
    if (data.locked && Date.now() < data.lockedUntil) {
      const remainingMinutes = Math.ceil((data.lockedUntil - Date.now()) / 60000);
      return res.status(423).json({
        error: 'الحساب مقفل',
        message: `تم قفل الحساب بسبب محاولات فاشلة متكررة. حاول بعد ${remainingMinutes} دقيقة`,
        lockedUntil: new Date(data.lockedUntil).toISOString()
      });
    }
  }
  next();
 };
 // تسجيل المحاولة الفاشلة
 const recordFailedAttempt = async (username) => {
  const key = `lockout:${username}`;
  let data = await redis.get(key);
  if (data) {
    data = JSON.parse(data);
    data.attempts += 1;
  } else {
    data = { attempts: 1, locked: false };
  }
  // قفل بعد 5 محاولات
  if (data.attempts >= 5) {
    data.locked = true;
    data.lockedUntil = Date.now() + (30 * 60 * 1000); // 30 دقيقة
    console.warn(`[SECURITY] Account locked: ${username}`, {
      attempts: data.attempts,
      lockedUntil: new Date(data.lockedUntil).toISOString()
    });
  }
  // حفظ لمدة ساعة
  await redis.setex(key, 3600, JSON.stringify(data));
  return data;
 };
 // مسح المحاولات بعد نجاح الدخول
 const clearFailedAttempts = async (username) => {
  await redis.del(`lockout:${username}`);
 };
 // ═══════════════════════════════════════════════════════════════
 // Exports
 // ═══════════════════════════════════════════════════════════════
 module.exports = {
  loginLimiter,
  apiLimiter,
  sensitiveEndpointLimiter,
  accountLockout,
  recordFailedAttempt,
  clearFailedAttempts
 };
 // ═══════════════════════════════════════════════════════════════
 // مثال الاستخدام في Express
 // ═══════════════════════════════════════════════════════════════
 /*
 const express = require('express');
 const {
  loginLimiter,
  apiLimiter,
  accountLockout,
  recordFailedAttempt,
  clearFailedAttempts
 } = require('./rate-limiter');
 const app = express();
 // تطبيق على جميع الـ APIs
 app.use('/api', apiLimiter);
 // تطبيق على Login
 app.post('/api/login',
  loginLimiter,
  accountLockout,
  async (req, res) => {
    const { username, password } = req.body;
    const user = await authenticate(username, password);
    if (!user) {
      await recordFailedAttempt(username);
      return res.status(401).json({ error: 'بيانات خاطئة' });
    }
    // نجاح - مسح المحاولات الفاشلة
    await clearFailedAttempts(username);
    const token = generateToken(user);
    res.json({ token });
  }
 );
 */
@@ -0,0 +1,57 @@
 # تحليل Timeline لهجوم Brute Force على API Login
 ## السيناريو
 هجوم brute force ناجح على API login أدى إلى تسريب بيانات.
 ---
 ## 1. تحليل الهجوم خطوة بخطوة
 | الوقت | المرحلة | الحدث | التفاصيل الفنية |
 |-------|---------|-------|-----------------|
 | T+0 | الاستطلاع | المهاجم يكتشف التطبيق | فحص `app.ghaymah.systems` واكتشاف API endpoints |
 | T+2min | جمع المعلومات | تحديد نقطة الدخول | اكتشاف `/api/login` يقبل POST requests |
 | T+3min | التحضير | تجهيز الأدوات | إعداد قائمة كلمات مرور شائعة + أداة Hydra/Burp |
 | T+5min | بدء الهجوم | إطلاق Brute Force | بدء إرسال طلبات متكررة على `/api/login` |
 | T+10min | التصعيد | زيادة المحاولات | 1000+ طلب POST بكلمات مرور مختلفة |
 | T+15min | استمرار | لا يوجد حظر | عدم وجود Rate Limiting سمح بالاستمرار |
 | T+20min | النجاح | تخمين كلمة المرور | نجاح الدخول بـ `admin:admin123` |
 | T+21min | الوصول | الحصول على Token | استلام JWT token صالح |
 | T+25min | الاستكشاف | فحص الصلاحيات | اكتشاف `/api/users` و `/api/export` |
 | T+30min | التسريب | سحب البيانات | تحميل بيانات المستخدمين |
 | T+35min | الاكتشاف | تنبيه أمني | فريق الأمن يلاحظ نشاط غير طبيعي |
 | T+40min | الاحتواء | بدء الاستجابة | حظر IP + إلغاء tokens |
 ---
 ## 2. المؤشرات التي كان يجب اكتشافها (IOCs)
 ### مؤشرات في الـ Logs:
 ```
 # نمط الهجوم في access.log
 192.168.1.100 - - [26/Jul/2026:14:05:01] "POST /api/login HTTP/1.1" 401 45
 192.168.1.100 - - [26/Jul/2026:14:05:01] "POST /api/login HTTP/1.1" 401 45
 192.168.1.100 - - [26/Jul/2026:14:05:02] "POST /api/login HTTP/1.1" 401 45
 # ... مئات المحاولات من نفس IP
 192.168.1.100 - - [26/Jul/2026:14:20:15] "POST /api/login HTTP/1.1" 200 512
 192.168.1.100 - - [26/Jul/2026:14:25:30] "GET /api/users HTTP/1.1" 200 15234
 ```
 ### العلامات الحمراء:
 1. **عدد طلبات غير طبيعي**: 100+ طلب/دقيقة من IP واحد
 2. **نمط متكرر**: نفس الـ endpoint مع status 401
 3. **User-Agent مشبوه**: أدوات مثل `python-requests` أو `curl`
 4. **توقيت منتظم**: طلبات كل 100ms (آلي وليس بشري)
 ---
 ## 3. الثغرات التي استُغلت
 | الثغرة | الوصف | التأثير |
 |--------|-------|---------|
 | عدم وجود Rate Limiting | لا يوجد حد لعدد المحاولات | سمح بآلاف المحاولات |
 | كلمة مرور ضعيفة | `admin123` سهلة التخمين | نجاح الهجوم |
 | عدم وجود Account Lockout | الحساب لم يُقفل بعد محاولات فاشلة | استمرار الهجوم |
 | عدم وجود CAPTCHA | لا يوجد تحقق بشري | أتمتة الهجوم |
 | عدم وجود MFA | طبقة حماية واحدة فقط | الوصول بكلمة المرور فقط |
 | صلاحيات واسعة | حساب admin يصل لكل البيانات | تسريب كامل |
@@ -0,0 +1,209 @@
 # تقرير تقييم الخصوصية - Privacy Assessment Report
 ## الموقع: mithal.space (محرك بحث عربي)
 ---
 ## 1. فحص الموقع باستخدام DevTools
 ### أ. فحص Cookies
 | الفحص | النتيجة | التقييم |
 |-------|---------|---------|
 | عدد الـ Cookies | 0 | ✅ ممتاز |
 | Tracking Cookies | لا يوجد | ✅ ممتاز |
 | Third-party Cookies | لا يوجد | ✅ ممتاز |
 | Session Cookies | لا يوجد | ✅ ممتاز |
 **الملاحظات:**
 - الموقع لا يستخدم أي cookies على الإطلاق
 - لا يوجد localStorage للتتبع
 - يتوافق مع سياسة الخصوصية المعلنة
 ### ب. فحص Trackers
 | المتتبع | الحالة |
 |---------|--------|
 | Google Analytics | ❌ غير موجود |
 | Facebook Pixel | ❌ غير موجود |
 | Hotjar | ❌ غير موجود |
 | Mixpanel | ❌ غير موجود |
 | أي متتبعات أخرى | ❌ غير موجود |
 **طريقة الفحص:**
 ```
 DevTools → Network → Filter: third-party
 DevTools → Application → Cookies
 DevTools → Application → Local Storage
 ```
 ### ج. فحص HTTPS
 | الفحص | النتيجة |
 |-------|---------|
 | شهادة SSL | ✅ صالحة |
 | إصدار TLS | TLS 1.3 |
 | HSTS | ✅ مفعّل |
 | Mixed Content | ❌ لا يوجد |
 | Certificate Authority | Let's Encrypt |
 **تفاصيل الشهادة:**
 ```
 Protocol: TLS 1.3
 Cipher: TLS_AES_256_GCM_SHA384
 Valid: نعم
 ```
 ### د. فحص HTTP Headers
 ```http
 # Security Headers الموجودة:
 Strict-Transport-Security: max-age=31536000; includeSubDomains
 X-Content-Type-Options: nosniff
 X-Frame-Options: DENY
 Content-Security-Policy: default-src 'self'
 Referrer-Policy: no-referrer
 Permissions-Policy: geolocation=(), microphone=(), camera=()
 # Headers المفقودة أو الموصى بها:
 # (جميع الـ headers الأساسية موجودة)
 ```
 ---
 ## 2. ملخص تقييم الخصوصية (صفحة واحدة)
 ### الدرجة الإجمالية: A+ (ممتاز)
 | المعيار | الدرجة | الوزن | النتيجة |
 |---------|--------|-------|---------|
 | عدم التتبع | 10/10 | 25% | 2.5 |
 | تشفير HTTPS | 10/10 | 20% | 2.0 |
 | Security Headers | 9/10 | 20% | 1.8 |
 | سياسة الخصوصية | 10/10 | 15% | 1.5 |
 | Third-party Resources | 10/10 | 10% | 1.0 |
 | Data Collection | 10/10 | 10% | 1.0 |
 | **المجموع** | | | **9.8/10** |
 ### نقاط القوة:
 1. **لا تتبع على الإطلاق** - لا cookies، لا trackers، لا analytics
 2. **لا تخزين لسجل البحث** - الاستعلامات تُعالج بشكل مجهول
 3. **لا جمع للبيانات الشخصية** - لا اسم، لا بريد، لا موقع
 4. **إخفاء هوية IP** - لا تخزين دائم لعناوين IP
 5. **مفتوح المصدر** - الكود قابل للتدقيق على GitPasha
 6. **HTTPS إجباري** مع TLS 1.3
 ### نقاط التحسين المحتملة:
 1. إضافة Onion address للوصول عبر Tor
 2. توفير API للتحقق من عدم التتبع
 ---
 ## 3. مقارنة مع محركين آخرين
 | المعيار | مثال (mithal.space) | DuckDuckGo | Google |
 |---------|---------------------|------------|--------|
 | **Tracking Cookies** | ❌ لا يوجد | ❌ لا يوجد | ✅ موجود |
 | **تخزين سجل البحث** | ❌ لا | ❌ لا | ✅ نعم (دائم) |
 | **جمع IP** | ❌ لا | ⚠️ مؤقت | ✅ نعم |
 | **Third-party Trackers** | ❌ لا يوجد | ⚠️ بعض | ✅ كثير |
 | **الإعلانات المستهدفة** | ❌ لا | ⚠️ محدود | ✅ نعم |
 | **مشاركة البيانات** | ❌ لا | ⚠️ محدود | ✅ نعم |
 | **مفتوح المصدر** | ✅ نعم | ❌ لا | ❌ لا |
 | **HTTPS** | ✅ TLS 1.3 | ✅ TLS 1.3 | ✅ TLS 1.3 |
 | **HSTS** | ✅ نعم | ✅ نعم | ✅ نعم |
 | **CSP Headers** | ✅ نعم | ✅ نعم | ✅ نعم |
 | **دعم العربية** | ✅ أولوية | ⚠️ محدود | ⚠️ ثانوي |
 | **الخوادم** | 🌍 محلية | 🇺🇸 أمريكا | 🌐 عالمي |
 ### تحليل المقارنة:
 **مثال vs DuckDuckGo:**
 - مثال أفضل في: مفتوح المصدر، دعم العربية، لا جمع IP نهائياً
 - DuckDuckGo أفضل في: قاعدة مستخدمين أكبر، ميزات أكثر
 **مثال vs Google:**
 - مثال أفضل في: كل جوانب الخصوصية
 - Google أفضل في: دقة النتائج، الميزات المتقدمة (لكن بثمن الخصوصية)
 ### الخلاصة:
 **مثال هو الأفضل للخصوصية** بين المحركات الثلاثة، خاصة للمستخدمين العرب الذين يهتمون بـ:
 - عدم التتبع الكامل
 - سيادة البيانات
 - دعم اللغة العربية
 ---
 ## 4. ثلاث تحسينات أمنية مقترحة لمحرك مثال
 ### التحسين 1: إضافة دعم Tor (Onion Service)
 **الوصف:**
 إنشاء عنوان `.onion` للوصول المجهول الكامل عبر شبكة Tor.
 **الفائدة:**
 - إخفاء هوية المستخدم بالكامل
 - تجاوز الرقابة في الدول المقيدة
 - طبقة حماية إضافية
 **التنفيذ:**
 ```bash
 # إعداد Tor Hidden Service
 sudo apt install tor
 # إضافة في /etc/tor/torrc:
 HiddenServiceDir /var/lib/tor/mithal/
 HiddenServicePort 80 127.0.0.1:8080
 ```
 **الأولوية:** متوسطة
 ---
 ### التحسين 2: تطبيق DNS over HTTPS (DoH)
 **الوصف:**
 تشفير استعلامات DNS لمنع مزودي الإنترنت من معرفة المواقع التي يزورها المستخدم.
 **الفائدة:**
 - منع تتبع DNS من مزود الإنترنت
 - حماية من DNS spoofing
 - خصوصية أعلى
 **التنفيذ:**
 ```javascript
 // توجيه المستخدمين لاستخدام DoH
 // أو توفير resolver خاص
 const dohResolver = 'https://dns.mithal.space/dns-query';
 ```
 **الأولوية:** عالية
 ---
 ### التحسين 3: إضافة Subresource Integrity (SRI)
 **الوصف:**
 التحقق من سلامة الملفات الخارجية (CSS/JS) باستخدام hash.
 **الفائدة:**
 - منع تعديل الملفات من طرف ثالث
 - حماية من CDN compromise
 - ضمان سلامة الكود
 **التنفيذ:**
 ```html
 <script src="app.js" 
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
        crossorigin="anonymous"></script>
 ```
 **الأولوية:** عالية
 ---
 ### ملخص التحسينات:
 | التحسين | الأولوية | الجهد | التأثير |
 |---------|----------|-------|---------|
 | Tor Onion Service | متوسطة | متوسط | عالي |
 | DNS over HTTPS | عالية | منخفض | عالي |
 | Subresource Integrity | عالية | منخفض | متوسط |
@@ -0,0 +1,343 @@
 /**
 * SIEM Dashboard - JavaScript
 * نظام مراقبة وتحليل السجلات الأمنية
 */
 // ═══════════════════════════════════════════════════════════════
 // بيانات تجريبية (في الإنتاج تأتي من API)
 // ═══════════════════════════════════════════════════════════════
 const sampleData = {
    statistics: {
        total_lines: 1250,
        threats_detected: 15,
        sources_analyzed: 3
    },
    summary: {
        total_alerts: 15,
        critical: 5,
        high: 6,
        medium: 4,
        suspicious_ips_count: 4
    },
    alerts: [
        {
            id: "a1b2c3d4",
            timestamp: "2026-07-26T14:05:01",
            threat_type: "brute_force",
            description: "محاولات تسجيل دخول فاشلة متكررة",
            severity: "critical",
            source_ip: "192.168.1.100",
            details: { path: "/api/login", attempts: 15 }
        },
        {
            id: "e5f6g7h8",
            timestamp: "2026-07-26T14:10:02",
            threat_type: "sql_injection",
            description: "محاولة SQL Injection",
            severity: "critical",
            source_ip: "10.0.0.50",
            details: { path: "/api/users?id=1' OR '1'='1" }
        },
        {
            id: "i9j0k1l2",
            timestamp: "2026-07-26T14:15:01",
            threat_type: "xss_attempt",
            description: "محاولة XSS",
            severity: "high",
            source_ip: "172.16.0.25",
            details: { path: "/page?q=<script>alert('xss')</script>" }
        },
        {
            id: "m3n4o5p6",
            timestamp: "2026-07-26T14:15:02",
            threat_type: "path_traversal",
            description: "محاولة Path Traversal",
            severity: "high",
            source_ip: "172.16.0.25",
            details: { path: "/../../etc/passwd" }
        },
        {
            id: "q7r8s9t0",
            timestamp: "2026-07-26T14:00:05",
            threat_type: "ssh_brute_force",
            description: "محاولات SSH فاشلة",
            severity: "critical",
            source_ip: "192.168.1.200",
            details: { attempts: 5, usernames: ["admin", "root", "test"] }
        },
        {
            id: "u1v2w3x4",
            timestamp: "2026-07-26T14:10:01",
            threat_type: "suspicious_user_agent",
            description: "User-Agent مشبوه",
            severity: "medium",
            source_ip: "10.0.0.50",
            details: { user_agent: "sqlmap/1.5" }
        }
    ],
    suspicious_ips: [
        {
            ip: "192.168.1.100",
            threat_count: 15,
            request_count: 120,
            threats: ["brute_force", "auth_failure"],
            last_seen: "2026-07-26T14:05:06"
        },
        {
            ip: "10.0.0.50",
            threat_count: 8,
            request_count: 45,
            threats: ["sql_injection", "suspicious_user_agent"],
            last_seen: "2026-07-26T14:10:02"
        },
        {
            ip: "172.16.0.25",
            threat_count: 5,
            request_count: 30,
            threats: ["xss_attempt", "path_traversal"],
            last_seen: "2026-07-26T14:15:02"
        },
        {
            ip: "192.168.1.200",
            threat_count: 5,
            request_count: 25,
            threats: ["ssh_brute_force"],
            last_seen: "2026-07-26T14:00:05"
        }
    ],
    threat_counts: {
        "SQL Injection": 3,
        "Brute Force": 5,
        "XSS": 2,
        "Path Traversal": 2,
        "SSH Attacks": 3
    },
    source_lines: {
        nginx: 850,
        auth: 200,
        app: 200
    }
 };
 // ═══════════════════════════════════════════════════════════════
 // تحديث الإحصائيات
 // ═══════════════════════════════════════════════════════════════
 function updateStats(data) {
    document.getElementById('criticalCount').textContent = data.summary.critical;
    document.getElementById('highCount').textContent = data.summary.high;
    document.getElementById('mediumCount').textContent = data.summary.medium;
    document.getElementById('suspiciousIPs').textContent = data.summary.suspicious_ips_count;
    // تحديث عدد الأسطر لكل مصدر
    document.getElementById('nginxLines').textContent = data.source_lines.nginx.toLocaleString();
    document.getElementById('authLines').textContent = data.source_lines.auth.toLocaleString();
    document.getElementById('appLines').textContent = data.source_lines.app.toLocaleString();
 }
 // ═══════════════════════════════════════════════════════════════
 // عرض التنبيهات
 // ═══════════════════════════════════════════════════════════════
 function renderAlerts(alerts, filter = 'all') {
    const container = document.getElementById('alertsList');
    container.innerHTML = '';
    const filteredAlerts = filter === 'all' 
        ? alerts 
        : alerts.filter(a => a.severity === filter);
    if (filteredAlerts.length === 0) {
        container.innerHTML = '<p style="text-align: center; color: var(--text-secondary); padding: 40px;">لا توجد تنبيهات</p>';
        return;
    }
    filteredAlerts.forEach(alert => {
        const icon = getAlertIcon(alert.severity);
        const time = formatTime(alert.timestamp);
        const alertHtml = `
            <div class="alert-item ${alert.severity}">
                <div class="alert-icon">${icon}</div>
                <div class="alert-content">
                    <div class="alert-title">${alert.description}</div>
                    <div class="alert-details">
                        <strong>IP:</strong> ${alert.source_ip} | 
                        <strong>النوع:</strong> ${alert.threat_type}
                    </div>
                    <div class="alert-time">${time}</div>
                </div>
                <span class="severity-badge ${alert.severity}">${getSeverityLabel(alert.severity)}</span>
            </div>
        `;
        container.innerHTML += alertHtml;
    });
 }
 function getAlertIcon(severity) {
    const icons = {
        critical: '🚨',
        high: '⚠️',
        medium: '📊',
        low: 'ℹ️'
    };
    return icons[severity] || '📋';
 }
 function getSeverityLabel(severity) {
    const labels = {
        critical: 'حرج',
        high: 'عالي',
        medium: 'متوسط',
        low: 'منخفض'
    };
    return labels[severity] || severity;
 }
 function formatTime(timestamp) {
    const date = new Date(timestamp);
    return date.toLocaleString('ar-SA', {
        year: 'numeric',
        month: 'short',
        day: 'numeric',
        hour: '2-digit',
        minute: '2-digit'
    });
 }
 // ═══════════════════════════════════════════════════════════════
 // عرض عناوين IP المشبوهة
 // ═══════════════════════════════════════════════════════════════
 function renderSuspiciousIPs(ips) {
    const tbody = document.getElementById('ipsTableBody');
    tbody.innerHTML = '';
    ips.forEach(ip => {
        const row = `
            <tr>
                <td><span class="ip-address">${ip.ip}</span></td>
                <td><span class="threat-count">${ip.threat_count}</span></td>
                <td>${ip.request_count}</td>
                <td>${formatTime(ip.last_seen)}</td>
                <td><button class="btn-block" onclick="blockIP('${ip.ip}')">حظر</button></td>
            </tr>
        `;
        tbody.innerHTML += row;
    });
 }
 function blockIP(ip) {
    if (confirm(`هل تريد حظر عنوان IP: ${ip}؟`)) {
        alert(`تم إرسال طلب حظر ${ip} إلى الخادم`);
        // في الإنتاج: إرسال طلب API لحظر IP
    }
 }
 // ═══════════════════════════════════════════════════════════════
 // عرض الرسم البياني
 // ═══════════════════════════════════════════════════════════════
 function renderChart(threatCounts) {
    const container = document.getElementById('threatChart');
    container.innerHTML = '';
    const maxCount = Math.max(...Object.values(threatCounts));
    const colors = ['sql', 'brute', 'xss', 'traversal', 'sql'];
    let colorIndex = 0;
    for (const [threat, count] of Object.entries(threatCounts)) {
        const percentage = (count / maxCount) * 100;
        const color = colors[colorIndex % colors.length];
        const barHtml = `
            <div class="chart-bar">
                <span class="chart-label">${threat}</span>
                <div class="chart-bar-container">
                    <div class="chart-bar-fill ${color}" style="width: ${percentage}%">
                        ${count}
                    </div>
                </div>
            </div>
        `;
        container.innerHTML += barHtml;
        colorIndex++;
    }
 }
 // ═══════════════════════════════════════════════════════════════
 // تصفية التنبيهات
 // ═══════════════════════════════════════════════════════════════
 function setupFilters() {
    const filterButtons = document.querySelectorAll('.filter-btn');
    filterButtons.forEach(btn => {
        btn.addEventListener('click', () => {
            // إزالة active من جميع الأزرار
            filterButtons.forEach(b => b.classList.remove('active'));
            // إضافة active للزر المضغوط
            btn.classList.add('active');
            // تصفية التنبيهات
            const filter = btn.dataset.filter;
            renderAlerts(sampleData.alerts, filter);
        });
    });
 }
 // ═══════════════════════════════════════════════════════════════
 // تحديث الوقت
 // ═══════════════════════════════════════════════════════════════
 function updateTime() {
    const now = new Date();
    const timeStr = now.toLocaleTimeString('ar-SA');
    document.getElementById('lastUpdate').textContent = timeStr;
 }
 // ═══════════════════════════════════════════════════════════════
 // جلب البيانات من API (للإنتاج)
 // ═══════════════════════════════════════════════════════════════
 async function fetchData() {
    try {
        // في الإنتاج: استبدل بـ API حقيقي
        // const response = await fetch('/api/siem/report');
        // const data = await response.json();
        // استخدام البيانات التجريبية
        return sampleData;
    } catch (error) {
        console.error('خطأ في جلب البيانات:', error);
        return sampleData;
    }
 }
 // ═══════════════════════════════════════════════════════════════
 // التهيئة
 // ═══════════════════════════════════════════════════════════════
 async function init() {
    const data = await fetchData();
    updateStats(data);
    renderAlerts(data.alerts);
    renderSuspiciousIPs(data.suspicious_ips);
    renderChart(data.threat_counts);
    setupFilters();
    updateTime();
    // تحديث الوقت كل ثانية
    setInterval(updateTime, 1000);
    // تحديث البيانات كل 30 ثانية
    setInterval(async () => {
        const newData = await fetchData();
        updateStats(newData);
        // يمكن إضافة تحديث للتنبيهات أيضاً
    }, 30000);
 }
 // بدء التطبيق
 document.addEventListener('DOMContentLoaded', init);
@@ -0,0 +1,145 @@
 <!DOCTYPE html>
 <html lang="ar" dir="rtl">
 <head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>SIEM Dashboard - لوحة تحكم الأمان</title>
    <link rel="stylesheet" href="styles.css">
 </head>
 <body>
    <div class="container">
        <!-- Header -->
        <header class="header">
            <div class="header-content">
                <h1>🛡️ SIEM Dashboard</h1>
                <p>نظام مراقبة وتحليل السجلات الأمنية</p>
            </div>
            <div class="header-actions">
                <span class="status-badge online">● متصل</span>
                <span class="last-update">آخر تحديث: <span id="lastUpdate">--:--:--</span></span>
            </div>
        </header>
        <!-- Stats Cards -->
        <section class="stats-grid">
            <div class="stat-card critical">
                <div class="stat-icon">🚨</div>
                <div class="stat-content">
                    <h3>تنبيهات حرجة</h3>
                    <p class="stat-number" id="criticalCount">0</p>
                </div>
            </div>
            <div class="stat-card high">
                <div class="stat-icon">⚠️</div>
                <div class="stat-content">
                    <h3>تنبيهات عالية</h3>
                    <p class="stat-number" id="highCount">0</p>
                </div>
            </div>
            <div class="stat-card medium">
                <div class="stat-icon">📊</div>
                <div class="stat-content">
                    <h3>تنبيهات متوسطة</h3>
                    <p class="stat-number" id="mediumCount">0</p>
                </div>
            </div>
            <div class="stat-card info">
                <div class="stat-icon">🔍</div>
                <div class="stat-content">
                    <h3>IPs مشبوهة</h3>
                    <p class="stat-number" id="suspiciousIPs">0</p>
                </div>
            </div>
        </section>
        <!-- Main Content -->
        <div class="main-content">
            <!-- Alerts Section -->
            <section class="alerts-section">
                <div class="section-header">
                    <h2>📋 التنبيهات الأخيرة</h2>
                    <div class="filter-buttons">
                        <button class="filter-btn active" data-filter="all">الكل</button>
                        <button class="filter-btn" data-filter="critical">حرجة</button>
                        <button class="filter-btn" data-filter="high">عالية</button>
                        <button class="filter-btn" data-filter="medium">متوسطة</button>
                    </div>
                </div>
                <div class="alerts-list" id="alertsList">
                    <!-- Alerts will be inserted here -->
                </div>
            </section>
            <!-- Suspicious IPs Section -->
            <section class="ips-section">
                <div class="section-header">
                    <h2>🔴 عناوين IP المشبوهة</h2>
                </div>
                <div class="ips-table-container">
                    <table class="ips-table">
                        <thead>
                            <tr>
                                <th>عنوان IP</th>
                                <th>عدد التهديدات</th>
                                <th>عدد الطلبات</th>
                                <th>آخر نشاط</th>
                                <th>الإجراء</th>
                            </tr>
                        </thead>
                        <tbody id="ipsTableBody">
                            <!-- IPs will be inserted here -->
                        </tbody>
                    </table>
                </div>
            </section>
        </div>
        <!-- Threat Types Chart -->
        <section class="chart-section">
            <div class="section-header">
                <h2>📈 أنواع التهديدات</h2>
            </div>
            <div class="chart-container">
                <div class="bar-chart" id="threatChart">
                    <!-- Chart bars will be inserted here -->
                </div>
            </div>
        </section>
        <!-- Log Sources Status -->
        <section class="sources-section">
            <div class="section-header">
                <h2>📂 حالة مصادر السجلات</h2>
            </div>
            <div class="sources-grid">
                <div class="source-card active">
                    <div class="source-icon">🌐</div>
                    <h4>Nginx Logs</h4>
                    <p class="source-status">● نشط</p>
                    <p class="source-lines"><span id="nginxLines">0</span> سطر</p>
                </div>
                <div class="source-card active">
                    <div class="source-icon">🔐</div>
                    <h4>Auth Logs</h4>
                    <p class="source-status">● نشط</p>
                    <p class="source-lines"><span id="authLines">0</span> سطر</p>
                </div>
                <div class="source-card active">
                    <div class="source-icon">📱</div>
                    <h4>App Logs</h4>
                    <p class="source-status">● نشط</p>
                    <p class="source-lines"><span id="appLines">0</span> سطر</p>
                </div>
            </div>
        </section>
        <!-- Footer -->
        <footer class="footer">
            <p>SIEM Dashboard - نظام مراقبة أمني لمنصة غيمة</p>
            <p>© 2026 - جميع الحقوق محفوظة</p>
        </footer>
    </div>
    <script src="app.js"></script>
 </body>
 </html>
@@ -0,0 +1,498 @@
 /* ═══════════════════════════════════════════════════════════════
   SIEM Dashboard - Styles
   نظام مراقبة وتحليل السجلات الأمنية
   ═══════════════════════════════════════════════════════════════ */
 * {
    margin: 0;
    padding: 0;
    box-sizing: border-box;
 }
 :root {
    --bg-primary: #0f172a;
    --bg-secondary: #1e293b;
    --bg-card: #334155;
    --text-primary: #f8fafc;
    --text-secondary: #94a3b8;
    --accent-blue: #3b82f6;
    --accent-green: #22c55e;
    --accent-yellow: #eab308;
    --accent-red: #ef4444;
    --accent-orange: #f97316;
    --border-color: #475569;
    --shadow: 0 4px 6px -1px rgba(0, 0, 0, 0.3);
 }
 body {
    font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif;
    background: var(--bg-primary);
    color: var(--text-primary);
    min-height: 100vh;
    line-height: 1.6;
 }
 .container {
    max-width: 1400px;
    margin: 0 auto;
    padding: 20px;
 }
 /* ═══════════════════════════════════════════════════════════════
   Header
   ═══════════════════════════════════════════════════════════════ */
 .header {
    display: flex;
    justify-content: space-between;
    align-items: center;
    padding: 20px 30px;
    background: var(--bg-secondary);
    border-radius: 12px;
    margin-bottom: 24px;
    box-shadow: var(--shadow);
 }
 .header h1 {
    font-size: 1.8rem;
    margin-bottom: 4px;
 }
 .header p {
    color: var(--text-secondary);
    font-size: 0.9rem;
 }
 .header-actions {
    display: flex;
    align-items: center;
    gap: 20px;
 }
 .status-badge {
    padding: 6px 12px;
    border-radius: 20px;
    font-size: 0.85rem;
    font-weight: 500;
 }
 .status-badge.online {
    background: rgba(34, 197, 94, 0.2);
    color: var(--accent-green);
 }
 .last-update {
    color: var(--text-secondary);
    font-size: 0.85rem;
 }
 /* ═══════════════════════════════════════════════════════════════
   Stats Cards
   ═══════════════════════════════════════════════════════════════ */
 .stats-grid {
    display: grid;
    grid-template-columns: repeat(auto-fit, minmax(240px, 1fr));
    gap: 20px;
    margin-bottom: 24px;
 }
 .stat-card {
    display: flex;
    align-items: center;
    gap: 16px;
    padding: 24px;
    background: var(--bg-secondary);
    border-radius: 12px;
    border-right: 4px solid;
    box-shadow: var(--shadow);
    transition: transform 0.2s;
 }
 .stat-card:hover {
    transform: translateY(-2px);
 }
 .stat-card.critical {
    border-color: var(--accent-red);
 }
 .stat-card.high {
    border-color: var(--accent-orange);
 }
 .stat-card.medium {
    border-color: var(--accent-yellow);
 }
 .stat-card.info {
    border-color: var(--accent-blue);
 }
 .stat-icon {
    font-size: 2.5rem;
 }
 .stat-content h3 {
    font-size: 0.9rem;
    color: var(--text-secondary);
    margin-bottom: 4px;
 }
 .stat-number {
    font-size: 2rem;
    font-weight: 700;
 }
 .stat-card.critical .stat-number { color: var(--accent-red); }
 .stat-card.high .stat-number { color: var(--accent-orange); }
 .stat-card.medium .stat-number { color: var(--accent-yellow); }
 .stat-card.info .stat-number { color: var(--accent-blue); }
 /* ═══════════════════════════════════════════════════════════════
   Main Content
   ═══════════════════════════════════════════════════════════════ */
 .main-content {
    display: grid;
    grid-template-columns: 1fr 1fr;
    gap: 24px;
    margin-bottom: 24px;
 }
@media (max-width: 1024px) {
    .main-content {
        grid-template-columns: 1fr;
    }
 }
 .section-header {
    display: flex;
    justify-content: space-between;
    align-items: center;
    margin-bottom: 16px;
 }
 .section-header h2 {
    font-size: 1.2rem;
 }
 /* ═══════════════════════════════════════════════════════════════
   Alerts Section
   ═══════════════════════════════════════════════════════════════ */
 .alerts-section {
    background: var(--bg-secondary);
    border-radius: 12px;
    padding: 24px;
    box-shadow: var(--shadow);
 }
 .filter-buttons {
    display: flex;
    gap: 8px;
 }
 .filter-btn {
    padding: 6px 14px;
    border: 1px solid var(--border-color);
    background: transparent;
    color: var(--text-secondary);
    border-radius: 6px;
    cursor: pointer;
    font-size: 0.85rem;
    transition: all 0.2s;
 }
 .filter-btn:hover,
 .filter-btn.active {
    background: var(--accent-blue);
    border-color: var(--accent-blue);
    color: white;
 }
 .alerts-list {
    max-height: 400px;
    overflow-y: auto;
 }
 .alert-item {
    display: flex;
    align-items: flex-start;
    gap: 12px;
    padding: 16px;
    background: var(--bg-card);
    border-radius: 8px;
    margin-bottom: 12px;
    border-right: 3px solid;
 }
 .alert-item.critical { border-color: var(--accent-red); }
 .alert-item.high { border-color: var(--accent-orange); }
 .alert-item.medium { border-color: var(--accent-yellow); }
 .alert-icon {
    font-size: 1.5rem;
 }
 .alert-content {
    flex: 1;
 }
 .alert-title {
    font-weight: 600;
    margin-bottom: 4px;
 }
 .alert-details {
    font-size: 0.85rem;
    color: var(--text-secondary);
 }
 .alert-time {
    font-size: 0.75rem;
    color: var(--text-secondary);
 }
 .severity-badge {
    padding: 4px 10px;
    border-radius: 4px;
    font-size: 0.75rem;
    font-weight: 600;
    text-transform: uppercase;
 }
 .severity-badge.critical {
    background: rgba(239, 68, 68, 0.2);
    color: var(--accent-red);
 }
 .severity-badge.high {
    background: rgba(249, 115, 22, 0.2);
    color: var(--accent-orange);
 }
 .severity-badge.medium {
    background: rgba(234, 179, 8, 0.2);
    color: var(--accent-yellow);
 }
 /* ═══════════════════════════════════════════════════════════════
   IPs Section
   ═══════════════════════════════════════════════════════════════ */
 .ips-section {
    background: var(--bg-secondary);
    border-radius: 12px;
    padding: 24px;
    box-shadow: var(--shadow);
 }
 .ips-table-container {
    overflow-x: auto;
 }
 .ips-table {
    width: 100%;
    border-collapse: collapse;
 }
 .ips-table th,
 .ips-table td {
    padding: 12px;
    text-align: right;
    border-bottom: 1px solid var(--border-color);
 }
 .ips-table th {
    color: var(--text-secondary);
    font-weight: 500;
    font-size: 0.85rem;
 }
 .ips-table td {
    font-size: 0.9rem;
 }
 .ips-table tr:hover {
    background: var(--bg-card);
 }
 .ip-address {
    font-family: monospace;
    color: var(--accent-red);
 }
 .threat-count {
    display: inline-block;
    padding: 4px 10px;
    background: rgba(239, 68, 68, 0.2);
    color: var(--accent-red);
    border-radius: 4px;
    font-weight: 600;
 }
 .btn-block {
    padding: 6px 12px;
    background: var(--accent-red);
    color: white;
    border: none;
    border-radius: 4px;
    cursor: pointer;
    font-size: 0.8rem;
    transition: opacity 0.2s;
 }
 .btn-block:hover {
    opacity: 0.8;
 }
 /* ═══════════════════════════════════════════════════════════════
   Chart Section
   ═══════════════════════════════════════════════════════════════ */
 .chart-section {
    background: var(--bg-secondary);
    border-radius: 12px;
    padding: 24px;
    margin-bottom: 24px;
    box-shadow: var(--shadow);
 }
 .chart-container {
    padding: 20px 0;
 }
 .bar-chart {
    display: flex;
    flex-direction: column;
    gap: 16px;
 }
 .chart-bar {
    display: flex;
    align-items: center;
    gap: 12px;
 }
 .chart-label {
    width: 150px;
    font-size: 0.9rem;
    text-align: left;
 }
 .chart-bar-container {
    flex: 1;
    height: 30px;
    background: var(--bg-card);
    border-radius: 4px;
    overflow: hidden;
 }
 .chart-bar-fill {
    height: 100%;
    border-radius: 4px;
    transition: width 0.5s ease;
    display: flex;
    align-items: center;
    justify-content: flex-end;
    padding-right: 10px;
    font-size: 0.85rem;
    font-weight: 600;
 }
 .chart-bar-fill.sql { background: var(--accent-red); }
 .chart-bar-fill.xss { background: var(--accent-orange); }
 .chart-bar-fill.brute { background: var(--accent-yellow); }
 .chart-bar-fill.traversal { background: var(--accent-blue); }
 /* ═══════════════════════════════════════════════════════════════
   Sources Section
   ═══════════════════════════════════════════════════════════════ */
 .sources-section {
    background: var(--bg-secondary);
    border-radius: 12px;
    padding: 24px;
    margin-bottom: 24px;
    box-shadow: var(--shadow);
 }
 .sources-grid {
    display: grid;
    grid-template-columns: repeat(auto-fit, minmax(200px, 1fr));
    gap: 16px;
 }
 .source-card {
    background: var(--bg-card);
    border-radius: 8px;
    padding: 20px;
    text-align: center;
 }
 .source-icon {
    font-size: 2rem;
    margin-bottom: 8px;
 }
 .source-card h4 {
    margin-bottom: 8px;
 }
 .source-status {
    font-size: 0.85rem;
    color: var(--accent-green);
    margin-bottom: 4px;
 }
 .source-lines {
    font-size: 0.9rem;
    color: var(--text-secondary);
 }
 /* ═══════════════════════════════════════════════════════════════
   Footer
   ═══════════════════════════════════════════════════════════════ */
 .footer {
    text-align: center;
    padding: 24px;
    color: var(--text-secondary);
    font-size: 0.85rem;
 }
 /* ═══════════════════════════════════════════════════════════════
   Scrollbar
   ═══════════════════════════════════════════════════════════════ */
 ::-webkit-scrollbar {
    width: 8px;
 }
 ::-webkit-scrollbar-track {
    background: var(--bg-card);
    border-radius: 4px;
 }
 ::-webkit-scrollbar-thumb {
    background: var(--border-color);
    border-radius: 4px;
 }
 ::-webkit-scrollbar-thumb:hover {
    background: var(--text-secondary);
 }
 /* ═══════════════════════════════════════════════════════════════
   Animations
   ═══════════════════════════════════════════════════════════════ */
@keyframes pulse {
    0%, 100% { opacity: 1; }
    50% { opacity: 0.5; }
 }
 .alert-item.new {
    animation: pulse 1s ease-in-out 3;
 }
@@ -0,0 +1,386 @@
 # دليل نشر نظام SIEM على غيمة
 ## استخدام Block Storage للسجلات
 ---
 ## نظرة عامة على البنية
 ```
 ┌─────────────────────────────────────────────────────────────┐
 │                     غيمة Cloud                              │
 ├─────────────────────────────────────────────────────────────┤
 │  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐         │
 │  │   Nginx     │  │    App      │  │    Auth     │         │
 │  │   Logs      │  │    Logs     │  │    Logs     │         │
 │  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘         │
 │         │                │                │                 │
 │         └────────────────┼────────────────┘                 │
 │                          ▼                                  │
 │              ┌───────────────────────┐                      │
 │              │   Block Storage       │                      │
 │              │   (السجلات المركزية)   │                      │
 │              └───────────┬───────────┘                      │
 │                          │                                  │
 │                          ▼                                  │
 │              ┌───────────────────────┐                      │
 │              │   SIEM Container      │                      │
 │              │   - log_analyzer.py   │                      │
 │              │   - Dashboard         │                      │
 │              └───────────────────────┘                      │
 └─────────────────────────────────────────────────────────────┘
 ```
 ---
 ## الخطوة 1: إنشاء Block Storage على غيمة
 ### من لوحة تحكم غيمة:
 1. اذهب إلى **التخزين** → **Block Storage**
 2. اضغط **إنشاء Volume جديد**
 3. الإعدادات:
   - **الاسم**: `siem-logs`
   - **الحجم**: 50GB (أو حسب الحاجة)
   - **المنطقة**: نفس منطقة التطبيق
   - **النوع**: SSD (للأداء العالي)
 ### أو باستخدام CLI:
 ```bash
 # تثبيت Ghaymah CLI
 npm install -g ghaymah-cli
 # تسجيل الدخول
 ghaymah login
 # إنشاء Block Storage
 ghaymah storage create \
  --name siem-logs \
  --size 50 \
  --type ssd \
  --region me-riyadh-1
 ```
 ---
 ## الخطوة 2: ربط Block Storage بالتطبيق
 ### في ملف docker-compose.yml:
 ```yaml
 version: '3.8'
 services:
  siem:
    build: .
    container_name: siem-analyzer
    volumes:
      # ربط Block Storage
      - /mnt/siem-logs:/var/log/siem
      # ربط سجلات التطبيقات
      - nginx-logs:/var/log/nginx:ro
      - app-logs:/var/log/app:ro
      - auth-logs:/var/log/auth:ro
    ports:
      - "8080:8080"
    environment:
      - LOG_PATH=/var/log/siem
      - RETENTION_DAYS=90
    restart: always
  dashboard:
    build: ./dashboard
    container_name: siem-dashboard
    ports:
      - "3000:80"
    depends_on:
      - siem
    restart: always
 volumes:
  nginx-logs:
    external: true
  app-logs:
    external: true
  auth-logs:
    external: true
 ```
 ### في Kubernetes (إذا كنت تستخدمه):
 ```yaml
 apiVersion: v1
 kind: PersistentVolumeClaim
 metadata:
  name: siem-logs-pvc
 spec:
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 50Gi
  storageClassName: ghaymah-block-storage
 ---
 apiVersion: apps/v1
 kind: Deployment
 metadata:
  name: siem-analyzer
 spec:
  replicas: 1
  selector:
    matchLabels:
      app: siem
  template:
    metadata:
      labels:
        app: siem
    spec:
      containers:
        - name: siem
          image: siem-analyzer:latest
          volumeMounts:
            - name: logs-storage
              mountPath: /var/log/siem
            - name: nginx-logs
              mountPath: /var/log/nginx
              readOnly: true
      volumes:
        - name: logs-storage
          persistentVolumeClaim:
            claimName: siem-logs-pvc
        - name: nginx-logs
          hostPath:
            path: /var/log/nginx
 ```
 ---
 ## الخطوة 3: إعداد جمع السجلات
 ### تكوين Nginx لإرسال السجلات:
 ```nginx
 # /etc/nginx/nginx.conf
 http {
    # تنسيق السجلات للـ SIEM
    log_format siem_format '$remote_addr - $remote_user [$time_local] '
                           '"$request" $status $body_bytes_sent '
                           '"$http_referer" "$http_user_agent" '
                           '$request_time $upstream_response_time';
    access_log /var/log/nginx/access.log siem_format;
    error_log /var/log/nginx/error.log warn;
 }
 ```
 ### تكوين التطبيق لإرسال السجلات:
 ```javascript
 // Node.js - Winston Logger
 const winston = require('winston');
 const logger = winston.createLogger({
  format: winston.format.combine(
    winston.format.timestamp(),
    winston.format.json()
  ),
  transports: [
    new winston.transports.File({
      filename: '/var/log/app/application.log',
      maxsize: 100 * 1024 * 1024, // 100MB
      maxFiles: 10
    })
  ]
 });
 // تسجيل مع IP
 app.use((req, res, next) => {
  logger.info({
    ip: req.ip,
    method: req.method,
    path: req.path,
    userAgent: req.get('User-Agent')
  });
  next();
 });
 ```
 ---
 ## الخطوة 4: Dockerfile للنظام
 ```dockerfile
 # Dockerfile
 FROM python:3.11-slim
 WORKDIR /app
 # تثبيت التبعيات
 COPY requirements.txt .
 RUN pip install --no-cache-dir -r requirements.txt
 # نسخ الكود
 COPY log_analyzer.py .
 COPY dashboard/ ./dashboard/
 # إنشاء مجلدات السجلات
 RUN mkdir -p /var/log/siem /var/log/nginx /var/log/app /var/log/auth
 # تشغيل المحلل
 CMD ["python", "log_analyzer.py", "--daemon"]
 ```
 ```txt
 # requirements.txt
 schedule==1.2.0
 flask==3.0.0
 redis==5.0.0
 ```
 ---
 ## الخطوة 5: النشر على غيمة
 ### باستخدام Git (النشر التلقائي):
 ```bash
 # 1. إنشاء مشروع على غيمة
 ghaymah project create siem-system
 # 2. ربط Git
 git remote add ghaymah https://git.ghaymah.systems/username/siem-system.git
 # 3. النشر
 git push ghaymah main
 ```
 ### أو باستخدام Docker:
 ```bash
 # 1. بناء الصورة
 docker build -t siem-analyzer:latest .
 # 2. رفع الصورة لـ Ghaymah Registry
 docker tag siem-analyzer:latest registry.ghaymah.systems/username/siem-analyzer:latest
 docker push registry.ghaymah.systems/username/siem-analyzer:latest
 # 3. النشر
 ghaymah deploy --image registry.ghaymah.systems/username/siem-analyzer:latest
 ```
 ---
 ## الخطوة 6: إعداد التنبيهات
 ### تكوين Webhook للتنبيهات:
 ```python
 # في log_analyzer.py - إضافة إرسال التنبيهات
 import requests
 def send_alert(alert):
    """إرسال تنبيه عبر Webhook"""
    webhook_url = os.environ.get('ALERT_WEBHOOK_URL')
    if not webhook_url:
        return
    payload = {
        "text": f"🚨 تنبيه أمني: {alert['description']}",
        "severity": alert['severity'],
        "ip": alert['source_ip'],
        "timestamp": alert['timestamp']
    }
    try:
        requests.post(webhook_url, json=payload, timeout=5)
    except Exception as e:
        print(f"فشل إرسال التنبيه: {e}")
 ```
 ### متغيرات البيئة المطلوبة:
 ```bash
 # في لوحة تحكم غيمة → إعدادات التطبيق → متغيرات البيئة
 ALERT_WEBHOOK_URL=https://hooks.slack.com/services/xxx/yyy/zzz
 LOG_RETENTION_DAYS=90
 ANALYSIS_INTERVAL=300  # كل 5 دقائق
 REDIS_URL=redis://redis:6379
 ```
 ---
 ## الخطوة 7: إعداد النسخ الاحتياطي
 ### تفعيل النسخ الاحتياطي التلقائي:
 ```bash
 # من CLI
 ghaymah storage backup enable \
  --volume siem-logs \
  --schedule daily \
  --retention 30
 ```
 ### أو من لوحة التحكم:
 1. اذهب إلى **التخزين** → **siem-logs**
 2. اضغط **النسخ الاحتياطي**
 3. فعّل **النسخ التلقائي**
 4. اختر **يومي** مع الاحتفاظ لـ 30 يوم
 ---
 ## الخطوة 8: المراقبة والصيانة
 ### مراقبة استخدام التخزين:
 ```bash
 # فحص استخدام Block Storage
 ghaymah storage stats siem-logs
 # تنظيف السجلات القديمة (أكثر من 90 يوم)
 find /var/log/siem -type f -mtime +90 -delete
 ```
 ### Cron Job للتنظيف التلقائي:
 ```bash
 # إضافة في crontab
 0 2 * * * find /var/log/siem -type f -mtime +90 -delete
 0 3 * * * python /app/log_analyzer.py --analyze --export
 ```
 ---
 ## ملخص الأوامر
 ```bash
 # إنشاء المشروع
 ghaymah project create siem-system
 # إنشاء Block Storage
 ghaymah storage create --name siem-logs --size 50
 # ربط التخزين
 ghaymah storage attach siem-logs --to siem-system
 # النشر
 git push ghaymah main
 # مراقبة السجلات
 ghaymah logs siem-system --follow
 # فحص الحالة
 ghaymah status siem-system
 ```
 ---
 ## روابط مفيدة
 - [وثائق غيمة - Block Storage](https://docs.ghaymah.systems/storage)
 - [وثائق غيمة - النشر](https://docs.ghaymah.systems/deploy)
 - [أمثلة على GitHub](https://github.com/ghaymah/examples)
@@ -0,0 +1,440 @@
 #!/usr/bin/env python3
 """
 SIEM مبسط - نظام جمع وتحليل السجلات
 يجمع ويحلل logs من 3 مصادر ويكتشف الأنماط المشبوهة
 المصادر:
 1. Nginx Access Logs
 2. Auth/SSH Logs  
 3. Application Logs
 """
 import re
 import json
 import os
 from datetime import datetime, timedelta
 from collections import defaultdict
 from typing import Dict, List, Tuple
 import hashlib
 # ═══════════════════════════════════════════════════════════════
 # إعدادات المصادر
 # ═══════════════════════════════════════════════════════════════
 LOG_SOURCES = {
    'nginx': '/var/log/nginx/access.log',
    'auth': '/var/log/auth.log',
    'app': '/var/log/app/application.log'
 }
 # للتجربة - ملفات محلية
 SAMPLE_LOG_SOURCES = {
    'nginx': 'sample_logs/nginx_access.log',
    'auth': 'sample_logs/auth.log',
    'app': 'sample_logs/app.log'
 }
 # ═══════════════════════════════════════════════════════════════
 # أنماط الكشف عن التهديدات
 # ═══════════════════════════════════════════════════════════════
 THREAT_PATTERNS = {
    'brute_force': {
        'description': 'محاولات تسجيل دخول فاشلة متكررة',
        'threshold': 5,
        'window_minutes': 5,
        'severity': 'critical'
    },
    'sql_injection': {
        'description': 'محاولة SQL Injection',
        'patterns': [
            r"(\%27)|(\')|(\-\-)|(\%23)|(#)",
            r"((\%3D)|(=))[^\n]*((\%27)|(\')|(\-\-)|(\%3B)|(;))",
            r"\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))",
            r"union.*select",
            r"select.*from",
            r"insert.*into",
            r"drop.*table"
        ],
        'severity': 'critical'
    },
    'xss_attempt': {
        'description': 'محاولة XSS',
        'patterns': [
            r"<script[^>]*>",
            r"javascript:",
            r"on\w+\s*=",
            r"<iframe",
            r"<object"
        ],
        'severity': 'high'
    },
    'path_traversal': {
        'description': 'محاولة Path Traversal',
        'patterns': [
            r"\.\./",
            r"\.\.\\",
            r"%2e%2e%2f",
            r"%2e%2e/"
        ],
        'severity': 'high'
    },
    'suspicious_user_agent': {
        'description': 'User-Agent مشبوه',
        'patterns': [
            r"nikto",
            r"sqlmap",
            r"nmap",
            r"masscan",
            r"dirbuster",
            r"gobuster",
            r"wfuzz"
        ],
        'severity': 'medium'
    },
    'ssh_brute_force': {
        'description': 'محاولات SSH فاشلة',
        'threshold': 3,
        'window_minutes': 5,
        'severity': 'critical'
    }
 }
 # ═══════════════════════════════════════════════════════════════
 # فئة تحليل السجلات
 # ═══════════════════════════════════════════════════════════════
 class LogAnalyzer:
    def __init__(self, use_sample=True):
        self.sources = SAMPLE_LOG_SOURCES if use_sample else LOG_SOURCES
        self.alerts = []
        self.suspicious_ips = defaultdict(lambda: {
            'count': 0,
            'first_seen': None,
            'last_seen': None,
            'threats': []
        })
        self.stats = {
            'total_lines': 0,
            'threats_detected': 0,
            'sources_analyzed': 0
        }
    def parse_nginx_log(self, line: str) -> Dict:
        """تحليل سطر من Nginx access log"""
        pattern = r'(\d+\.\d+\.\d+\.\d+) - - \[([^\]]+)\] "(\w+) ([^"]+)" (\d+) (\d+) "([^"]*)" "([^"]*)"'
        match = re.match(pattern, line)
        if match:
            return {
                'ip': match.group(1),
                'timestamp': match.group(2),
                'method': match.group(3),
                'path': match.group(4),
                'status': int(match.group(5)),
                'size': int(match.group(6)),
                'referer': match.group(7),
                'user_agent': match.group(8),
                'source': 'nginx'
            }
        return None
    def parse_auth_log(self, line: str) -> Dict:
        """تحليل سطر من Auth log"""
        # Failed password
        failed_pattern = r'(\w+\s+\d+\s+[\d:]+).*Failed password for (?:invalid user )?(\w+) from (\d+\.\d+\.\d+\.\d+)'
        match = re.search(failed_pattern, line)
        if match:
            return {
                'timestamp': match.group(1),
                'username': match.group(2),
                'ip': match.group(3),
                'event': 'failed_login',
                'source': 'auth'
            }
        # Accepted password
        success_pattern = r'(\w+\s+\d+\s+[\d:]+).*Accepted password for (\w+) from (\d+\.\d+\.\d+\.\d+)'
        match = re.search(success_pattern, line)
        if match:
            return {
                'timestamp': match.group(1),
                'username': match.group(2),
                'ip': match.group(3),
                'event': 'successful_login',
                'source': 'auth'
            }
        return None
    def parse_app_log(self, line: str) -> Dict:
        """تحليل سطر من Application log"""
        pattern = r'\[(\d{4}-\d{2}-\d{2} [\d:]+)\] \[(\w+)\] \[(\d+\.\d+\.\d+\.\d+)\] (.+)'
        match = re.match(pattern, line)
        if match:
            return {
                'timestamp': match.group(1),
                'level': match.group(2),
                'ip': match.group(3),
                'message': match.group(4),
                'source': 'app'
            }
        return None
    def detect_pattern_threat(self, log_entry: Dict, threat_type: str) -> bool:
        """كشف التهديدات بناءً على الأنماط"""
        threat = THREAT_PATTERNS.get(threat_type)
        if not threat or 'patterns' not in threat:
            return False
        # البحث في الحقول المناسبة
        search_fields = ['path', 'message', 'user_agent', 'referer']
        for field in search_fields:
            if field in log_entry:
                for pattern in threat['patterns']:
                    if re.search(pattern, str(log_entry[field]), re.IGNORECASE):
                        return True
        return False
    def analyze_log_entry(self, entry: Dict):
        """تحليل سجل واحد للكشف عن التهديدات"""
        if not entry:
            return
        ip = entry.get('ip', 'unknown')
        # تحديث معلومات IP
        self.suspicious_ips[ip]['count'] += 1
        if not self.suspicious_ips[ip]['first_seen']:
            self.suspicious_ips[ip]['first_seen'] = entry.get('timestamp')
        self.suspicious_ips[ip]['last_seen'] = entry.get('timestamp')
        # كشف SQL Injection
        if self.detect_pattern_threat(entry, 'sql_injection'):
            self.add_alert('sql_injection', entry)
        # كشف XSS
        if self.detect_pattern_threat(entry, 'xss_attempt'):
            self.add_alert('xss_attempt', entry)
        # كشف Path Traversal
        if self.detect_pattern_threat(entry, 'path_traversal'):
            self.add_alert('path_traversal', entry)
        # كشف User-Agent مشبوه
        if self.detect_pattern_threat(entry, 'suspicious_user_agent'):
            self.add_alert('suspicious_user_agent', entry)
        # كشف محاولات تسجيل دخول فاشلة
        if entry.get('event') == 'failed_login':
            self.suspicious_ips[ip]['threats'].append('failed_login')
            if len([t for t in self.suspicious_ips[ip]['threats'] if t == 'failed_login']) >= 5:
                self.add_alert('brute_force', entry)
        # كشف أكواد HTTP مشبوهة
        status = entry.get('status')
        if status:
            if status == 401 or status == 403:
                self.suspicious_ips[ip]['threats'].append('auth_failure')
            elif status >= 500:
                self.suspicious_ips[ip]['threats'].append('server_error')
    def add_alert(self, threat_type: str, entry: Dict):
        """إضافة تنبيه جديد"""
        threat_info = THREAT_PATTERNS.get(threat_type, {})
        alert = {
            'id': hashlib.md5(f"{threat_type}{entry.get('ip')}{datetime.now()}".encode()).hexdigest()[:8],
            'timestamp': datetime.now().isoformat(),
            'threat_type': threat_type,
            'description': threat_info.get('description', threat_type),
            'severity': threat_info.get('severity', 'medium'),
            'source_ip': entry.get('ip', 'unknown'),
            'details': entry,
            'status': 'new'
        }
        self.alerts.append(alert)
        self.stats['threats_detected'] += 1
    def analyze_file(self, source_name: str, filepath: str):
        """تحليل ملف سجلات"""
        if not os.path.exists(filepath):
            print(f"⚠️  الملف غير موجود: {filepath}")
            return
        parser = {
            'nginx': self.parse_nginx_log,
            'auth': self.parse_auth_log,
            'app': self.parse_app_log
        }.get(source_name)
        if not parser:
            print(f"⚠️  لا يوجد محلل لـ: {source_name}")
            return
        print(f"📂 تحليل {source_name}: {filepath}")
        with open(filepath, 'r', encoding='utf-8', errors='ignore') as f:
            for line in f:
                self.stats['total_lines'] += 1
                entry = parser(line.strip())
                if entry:
                    self.analyze_log_entry(entry)
        self.stats['sources_analyzed'] += 1
    def analyze_all(self):
        """تحليل جميع المصادر"""
        print("=" * 60)
        print("🔍 بدء تحليل السجلات - SIEM مبسط")
        print("=" * 60)
        for source_name, filepath in self.sources.items():
            self.analyze_file(source_name, filepath)
        print("\n" + "=" * 60)
        print("📊 نتائج التحليل")
        print("=" * 60)
    def get_suspicious_ips(self, min_threats: int = 3) -> List[Dict]:
        """الحصول على قائمة IPs المشبوهة"""
        suspicious = []
        for ip, data in self.suspicious_ips.items():
            threat_count = len(data['threats'])
            if threat_count >= min_threats:
                suspicious.append({
                    'ip': ip,
                    'request_count': data['count'],
                    'threat_count': threat_count,
                    'threats': list(set(data['threats'])),
                    'first_seen': data['first_seen'],
                    'last_seen': data['last_seen']
                })
        return sorted(suspicious, key=lambda x: x['threat_count'], reverse=True)
    def get_alerts_by_severity(self) -> Dict[str, List]:
        """تجميع التنبيهات حسب الخطورة"""
        by_severity = defaultdict(list)
        for alert in self.alerts:
            by_severity[alert['severity']].append(alert)
        return dict(by_severity)
    def generate_report(self) -> Dict:
        """إنشاء تقرير شامل"""
        return {
            'generated_at': datetime.now().isoformat(),
            'statistics': self.stats,
            'alerts': self.alerts,
            'alerts_by_severity': self.get_alerts_by_severity(),
            'suspicious_ips': self.get_suspicious_ips(),
            'summary': {
                'total_alerts': len(self.alerts),
                'critical': len([a for a in self.alerts if a['severity'] == 'critical']),
                'high': len([a for a in self.alerts if a['severity'] == 'high']),
                'medium': len([a for a in self.alerts if a['severity'] == 'medium']),
                'suspicious_ips_count': len(self.get_suspicious_ips())
            }
        }
    def print_summary(self):
        """طباعة ملخص النتائج"""
        report = self.generate_report()
        print(f"\n📈 الإحصائيات:")
        print(f"   - إجمالي الأسطر المحللة: {report['statistics']['total_lines']}")
        print(f"   - المصادر المحللة: {report['statistics']['sources_analyzed']}")
        print(f"   - التهديدات المكتشفة: {report['statistics']['threats_detected']}")
        print(f"\n🚨 التنبيهات حسب الخطورة:")
        print(f"   - حرجة (Critical): {report['summary']['critical']}")
        print(f"   - عالية (High): {report['summary']['high']}")
        print(f"   - متوسطة (Medium): {report['summary']['medium']}")
        print(f"\n🔴 عناوين IP المشبوهة ({report['summary']['suspicious_ips_count']}):")
        for ip_data in report['suspicious_ips'][:10]:
            print(f"   - {ip_data['ip']}: {ip_data['threat_count']} تهديدات, {ip_data['request_count']} طلبات")
        if self.alerts:
            print(f"\n⚠️  آخر 5 تنبيهات:")
            for alert in self.alerts[-5:]:
                print(f"   [{alert['severity'].upper()}] {alert['description']} من {alert['source_ip']}")
    def export_json(self, filepath: str):
        """تصدير التقرير كـ JSON"""
        report = self.generate_report()
        with open(filepath, 'w', encoding='utf-8') as f:
            json.dump(report, f, ensure_ascii=False, indent=2)
        print(f"\n💾 تم حفظ التقرير: {filepath}")
 # ═══════════════════════════════════════════════════════════════
 # إنشاء ملفات سجلات تجريبية
 # ═══════════════════════════════════════════════════════════════
 def create_sample_logs():
    """إنشاء ملفات سجلات تجريبية للاختبار"""
    os.makedirs('sample_logs', exist_ok=True)
    # Nginx sample logs
    nginx_logs = """192.168.1.100 - - [26/Jul/2026:14:05:01 +0000] "POST /api/login HTTP/1.1" 401 45 "-" "Mozilla/5.0"
 192.168.1.100 - - [26/Jul/2026:14:05:02 +0000] "POST /api/login HTTP/1.1" 401 45 "-" "Mozilla/5.0"
 192.168.1.100 - - [26/Jul/2026:14:05:03 +0000] "POST /api/login HTTP/1.1" 401 45 "-" "Mozilla/5.0"
 192.168.1.100 - - [26/Jul/2026:14:05:04 +0000] "POST /api/login HTTP/1.1" 401 45 "-" "Mozilla/5.0"
 192.168.1.100 - - [26/Jul/2026:14:05:05 +0000] "POST /api/login HTTP/1.1" 401 45 "-" "Mozilla/5.0"
 192.168.1.100 - - [26/Jul/2026:14:05:06 +0000] "POST /api/login HTTP/1.1" 200 512 "-" "Mozilla/5.0"
 10.0.0.50 - - [26/Jul/2026:14:10:01 +0000] "GET /api/users?id=1' OR '1'='1 HTTP/1.1" 400 120 "-" "sqlmap/1.5"
 10.0.0.50 - - [26/Jul/2026:14:10:02 +0000] "GET /api/users?id=1 UNION SELECT * FROM users HTTP/1.1" 400 120 "-" "sqlmap/1.5"
 172.16.0.25 - - [26/Jul/2026:14:15:01 +0000] "GET /page?q=<script>alert('xss')</script> HTTP/1.1" 400 80 "-" "Mozilla/5.0"
 172.16.0.25 - - [26/Jul/2026:14:15:02 +0000] "GET /../../etc/passwd HTTP/1.1" 403 50 "-" "Mozilla/5.0"
 8.8.8.8 - - [26/Jul/2026:14:20:01 +0000] "GET / HTTP/1.1" 200 1024 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
 8.8.8.8 - - [26/Jul/2026:14:20:02 +0000] "GET /about HTTP/1.1" 200 2048 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
 """
    # Auth sample logs
    auth_logs = """Jul 26 14:00:01 server sshd[1234]: Failed password for invalid user admin from 192.168.1.200 port 22 ssh2
 Jul 26 14:00:02 server sshd[1234]: Failed password for invalid user admin from 192.168.1.200 port 22 ssh2
 Jul 26 14:00:03 server sshd[1234]: Failed password for invalid user root from 192.168.1.200 port 22 ssh2
 Jul 26 14:00:04 server sshd[1234]: Failed password for invalid user test from 192.168.1.200 port 22 ssh2
 Jul 26 14:00:05 server sshd[1234]: Failed password for invalid user user from 192.168.1.200 port 22 ssh2
 Jul 26 14:05:01 server sshd[1235]: Accepted password for developer from 10.0.0.10 port 22 ssh2
 """
    # App sample logs
    app_logs = """[2026-07-26 14:00:01] [ERROR] [192.168.1.100] Login failed for user: admin
 [2026-07-26 14:00:02] [ERROR] [192.168.1.100] Login failed for user: admin
 [2026-07-26 14:00:03] [WARN] [10.0.0.50] Suspicious query detected: SELECT * FROM users
 [2026-07-26 14:00:04] [INFO] [8.8.8.8] User logged in successfully
 [2026-07-26 14:00:05] [ERROR] [172.16.0.25] Invalid input: <script>alert(1)</script>
 """
    with open('sample_logs/nginx_access.log', 'w') as f:
        f.write(nginx_logs)
    with open('sample_logs/auth.log', 'w') as f:
        f.write(auth_logs)
    with open('sample_logs/app.log', 'w') as f:
        f.write(app_logs)
    print("✅ تم إنشاء ملفات السجلات التجريبية في sample_logs/")
 # ═══════════════════════════════════════════════════════════════
 # التشغيل الرئيسي
 # ═══════════════════════════════════════════════════════════════
 if __name__ == '__main__':
    import sys
    # إنشاء ملفات تجريبية إذا لم تكن موجودة
    if not os.path.exists('sample_logs'):
        create_sample_logs()
    # تحليل السجلات
    analyzer = LogAnalyzer(use_sample=True)
    analyzer.analyze_all()
    analyzer.print_summary()
    # تصدير التقرير
    analyzer.export_json('siem_report.json')
    print("\n" + "=" * 60)
    print("✅ اكتمل التحليل - راجع siem_report.json للتفاصيل")
    print("=" * 60)
@@ -0,0 +1,357 @@
 # استراتيجية النسخ الاحتياطي والاستعادة - Ghaymah Backup & Recovery
 ## مع RPO/RTO وقاعدة 3-2-1
 ---
 ## 1. فهم RPO و RTO
 ### تعريفات أساسية
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                                                                     │
 │    آخر نسخة          الحادثة           استعادة الخدمة               │
 │    احتياطية            ↓                    ↓                       │
 │        ↓               ↓                    ↓                       │
 │   ─────●───────────────●────────────────────●─────────────→ الوقت   │
 │        │               │                    │                       │
 │        │←──── RPO ────→│←────── RTO ───────→│                       │
 │        │               │                    │                       │
 │   البيانات التي      وقت               وقت العودة                   │
 │   قد تُفقد          الحادثة            للعمل                         │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
 | المصطلح | التعريف | مثال |
 |---------|---------|------|
 | **RPO** (Recovery Point Objective) | أقصى كمية بيانات يمكن خسارتها | RPO = 1 ساعة → نسخ احتياطي كل ساعة |
 | **RTO** (Recovery Time Objective) | أقصى وقت للعودة للعمل | RTO = 4 ساعات → يجب استعادة الخدمة خلال 4 ساعات |
 ---
 ## 2. قاعدة 3-2-1 للنسخ الاحتياطي
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                        قاعدة 3-2-1                                  │
 ├─────────────────────────────────────────────────────────────────────┤
 │                                                                     │
 │   3️⃣  ثلاث نسخ من البيانات                                           │
 │       ├── النسخة الأصلية (Production)                               │
 │       ├── النسخة الاحتياطية الأولى (Local Backup)                    │
 │       └── النسخة الاحتياطية الثانية (Remote Backup)                  │
 │                                                                     │
 │   2️⃣  نوعان مختلفان من وسائط التخزين                                │
 │       ├── Block Storage (SSD)                                       │
 │       └── Object Storage (S3-compatible)                            │
 │                                                                     │
 │   1️⃣  نسخة واحدة على الأقل خارج الموقع (Offsite)                    │
 │       └── منطقة جغرافية مختلفة أو مزود سحابي آخر                    │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
 ---
 ## 3. تطبيق الاستراتيجية على غيمة
 ### البنية المقترحة
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                         غيمة Cloud                                  │
 ├─────────────────────────────────────────────────────────────────────┤
 │                                                                     │
 │  ┌─────────────────┐                                                │
 │  │  Production     │ ← النسخة الأصلية (1)                           │
 │  │  Block Storage  │                                                │
 │  │  (me-riyadh-1)  │                                                │
 │  └────────┬────────┘                                                │
 │           │                                                         │
 │           │ نسخ كل ساعة                                             │
 │           ▼                                                         │
 │  ┌─────────────────┐                                                │
 │  │  Local Backup   │ ← النسخة الاحتياطية (2) - وسيط مختلف            │
 │  │  Object Storage │                                                │
 │  │  (me-riyadh-1)  │                                                │
 │  └────────┬────────┘                                                │
 │           │                                                         │
 │           │ نسخ يومي                                                │
 │           ▼                                                         │
 │  ┌─────────────────┐                                                │
 │  │  Offsite Backup │ ← النسخة الخارجية (3) - موقع مختلف             │
 │  │  Object Storage │                                                │
 │  │  (me-jeddah-1)  │                                                │
 │  └─────────────────┘                                                │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
 ### تكوين النسخ الاحتياطي
 ```yaml
 # backup-config.yaml
 backup_strategy:
  name: "3-2-1 Backup Strategy"
  # النسخة الأصلية
  production:
    type: block-storage
    location: me-riyadh-1
    volume: prod-data
  # النسخة الاحتياطية المحلية
  local_backup:
    type: object-storage
    location: me-riyadh-1
    bucket: backups-local
    schedule:
      frequency: hourly
      retention: 72  # 72 ساعة = 3 أيام
    encryption: AES-256
  # النسخة الخارجية
  offsite_backup:
    type: object-storage
    location: me-jeddah-1  # منطقة مختلفة
    bucket: backups-offsite
    schedule:
      frequency: daily
      time: "02:00"
      retention: 30  # 30 يوم
    encryption: AES-256
  # أهداف الاستعادة
  objectives:
    rpo: 1h   # أقصى خسارة = ساعة واحدة
    rto: 4h   # أقصى وقت استعادة = 4 ساعات
 ```
 ---
 ## 4. تنفيذ النسخ الاحتياطي على غيمة
 ### أ. إنشاء Buckets للنسخ الاحتياطي
 ```bash
 # إنشاء bucket محلي
 ghaymah storage bucket create backups-local \
  --region me-riyadh-1 \
  --encryption AES-256 \
  --versioning enabled
 # إنشاء bucket خارجي
 ghaymah storage bucket create backups-offsite \
  --region me-jeddah-1 \
  --encryption AES-256 \
  --versioning enabled
 ```
 ### ب. إعداد جدول النسخ الاحتياطي
 ```bash
 # نسخ احتياطي كل ساعة (محلي)
 ghaymah backup schedule create \
  --name hourly-local \
  --source prod-data \
  --destination backups-local \
  --frequency hourly \
  --retention 72h
 # نسخ احتياطي يومي (خارجي)
 ghaymah backup schedule create \
  --name daily-offsite \
  --source prod-data \
  --destination backups-offsite \
  --frequency daily \
  --time "02:00" \
  --retention 30d
 ```
 ### ج. سكربت النسخ الاحتياطي
 ```bash
 #!/bin/bash
 # backup-script.sh - سكربت النسخ الاحتياطي التلقائي
 set -e
 TIMESTAMP=$(date +%Y%m%d_%H%M%S)
 SOURCE_VOLUME="prod-data"
 LOCAL_BUCKET="backups-local"
 OFFSITE_BUCKET="backups-offsite"
 echo "[$TIMESTAMP] بدء النسخ الاحتياطي..."
 # 1. إنشاء snapshot من Block Storage
 echo "إنشاء snapshot..."
 SNAPSHOT_ID=$(ghaymah storage snapshot create \
  --volume $SOURCE_VOLUME \
  --name "backup-$TIMESTAMP" \
  --output json | jq -r '.id')
 echo "تم إنشاء snapshot: $SNAPSHOT_ID"
 # 2. نسخ إلى Object Storage المحلي
 echo "نسخ إلى التخزين المحلي..."
 ghaymah storage copy \
  --source "snapshot:$SNAPSHOT_ID" \
  --destination "s3://$LOCAL_BUCKET/backup-$TIMESTAMP.tar.gz" \
  --compress \
  --encrypt
 # 3. نسخ إلى Object Storage الخارجي (يومياً فقط)
 HOUR=$(date +%H)
 if [ "$HOUR" == "02" ]; then
  echo "نسخ إلى التخزين الخارجي..."
  ghaymah storage copy \
    --source "s3://$LOCAL_BUCKET/backup-$TIMESTAMP.tar.gz" \
    --destination "s3://$OFFSITE_BUCKET/backup-$TIMESTAMP.tar.gz"
 fi
 # 4. تنظيف النسخ القديمة
 echo "تنظيف النسخ القديمة..."
 ghaymah backup cleanup \
  --bucket $LOCAL_BUCKET \
  --older-than 72h
 ghaymah backup cleanup \
  --bucket $OFFSITE_BUCKET \
  --older-than 30d
 # 5. التحقق من النسخة
 echo "التحقق من سلامة النسخة..."
 ghaymah backup verify \
  --backup "s3://$LOCAL_BUCKET/backup-$TIMESTAMP.tar.gz"
 echo "[$TIMESTAMP] اكتمل النسخ الاحتياطي بنجاح ✓"
 ```
 ---
 ## 5. إجراءات الاستعادة
 ### سيناريو: استعادة بعد Ransomware
 ```bash
 #!/bin/bash
 # restore-script.sh - سكربت الاستعادة
 echo "🔄 بدء عملية الاستعادة..."
 # 1. تحديد آخر نسخة سليمة
 echo "البحث عن آخر نسخة سليمة..."
 LATEST_BACKUP=$(ghaymah backup list \
  --bucket backups-local \
  --status verified \
  --limit 1 \
  --output json | jq -r '.[0].name')
 echo "آخر نسخة سليمة: $LATEST_BACKUP"
 # 2. إنشاء volume جديد للاستعادة
 echo "إنشاء volume جديد..."
 ghaymah storage volume create \
  --name restored-data \
  --size 100GB \
  --type ssd
 # 3. استعادة البيانات
 echo "استعادة البيانات..."
 ghaymah backup restore \
  --source "s3://backups-local/$LATEST_BACKUP" \
  --destination restored-data \
  --verify
 # 4. التحقق من البيانات
 echo "التحقق من البيانات المستعادة..."
 ghaymah storage verify --volume restored-data
 # 5. تبديل الـ volumes
 echo "تبديل إلى البيانات المستعادة..."
 ghaymah storage swap \
  --old prod-data \
  --new restored-data
 echo "✅ اكتملت الاستعادة بنجاح!"
 ```
 ---
 ## 6. جدول RPO/RTO حسب نوع البيانات
 | نوع البيانات | RPO | RTO | تكرار النسخ | الاحتفاظ |
 |--------------|-----|-----|-------------|----------|
 | **قواعد البيانات** | 15 دقيقة | 1 ساعة | كل 15 دقيقة | 7 أيام |
 | **ملفات التطبيق** | 1 ساعة | 2 ساعة | كل ساعة | 30 يوم |
 | **سجلات النظام** | 4 ساعات | 8 ساعات | كل 4 ساعات | 90 يوم |
 | **الأرشيف** | 24 ساعة | 24 ساعة | يومي | سنة |
 ---
 ## 7. اختبار الاستعادة الدوري
 ### جدول الاختبار
 | الاختبار | التكرار | المسؤول |
 |----------|---------|---------|
 | استعادة ملف واحد | أسبوعي | DevOps |
 | استعادة قاعدة بيانات | شهري | DBA |
 | استعادة كاملة (DR) | ربع سنوي | فريق الأمن |
 ### سكربت اختبار الاستعادة
 ```bash
 #!/bin/bash
 # test-restore.sh - اختبار الاستعادة
 echo "🧪 بدء اختبار الاستعادة..."
 # إنشاء بيئة اختبار
 ghaymah project create restore-test --temporary
 # استعادة من آخر نسخة
 ghaymah backup restore \
  --source backups-local/latest \
  --destination restore-test \
  --verify
 # اختبار البيانات
 ghaymah test run \
  --project restore-test \
  --suite data-integrity
 # تنظيف
 ghaymah project delete restore-test --force
 echo "✅ اختبار الاستعادة ناجح!"
 ```
 ---
 ## 8. ملخص الاستراتيجية
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                    ملخص استراتيجية 3-2-1                            │
 ├─────────────────────────────────────────────────────────────────────┤
 │                                                                     │
 │  📦 3 نسخ:                                                          │
 │     • Production (Block Storage - Riyadh)                           │
 │     • Local Backup (Object Storage - Riyadh)                        │
 │     • Offsite Backup (Object Storage - Jeddah)                      │
 │                                                                     │
 │  💾 2 وسيط:                                                         │
 │     • Block Storage (SSD)                                           │
 │     • Object Storage (S3)                                           │
 │                                                                     │
 │  🌍 1 خارج الموقع:                                                  │
 │     • منطقة جدة (me-jeddah-1)                                       │
 │                                                                     │
 │  ⏱️ الأهداف:                                                        │
 │     • RPO: 1 ساعة (أقصى خسارة بيانات)                               │
 │     • RTO: 4 ساعات (أقصى وقت توقف)                                  │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
@@ -0,0 +1,189 @@
 # خطة طوارئ لحادثة Ransomware
 ## السيناريو: جميع ملفات Block Storage على غيمة تم تشفيرها برسالة فدية
 ---
 ## ⏱️ أول 60 دقيقة - خطة الاستجابة الطارئة
 ### الدقائق 0-5: الاكتشاف والتأكيد
 ```
 ┌─────────────────────────────────────────────────────────────┐
 │  🚨 تأكيد الحادثة                                           │
 ├─────────────────────────────────────────────────────────────┤
 │  □ التحقق من رسالة الفدية                                   │
 │  □ تحديد نطاق التشفير (أي volumes متأثرة؟)                  │
 │  □ توثيق الوقت الدقيق للاكتشاف                               │
 │  □ أخذ screenshots للأدلة                                   │
 └─────────────────────────────────────────────────────────────┘
 ```
 **الإجراءات:**
 1. **لا تدفع الفدية** - لا ضمان لاسترجاع البيانات
 2. **لا تحذف رسالة الفدية** - قد تحتوي على معلومات مفيدة
 3. **وثّق كل شيء** - screenshots، أوقات، ملاحظات
 ### الدقائق 5-15: العزل الفوري
 ```bash
 # 1. فصل الأنظمة المتأثرة عن الشبكة
 # من لوحة تحكم غيمة:
 ghaymah network isolate --project affected-project
 # 2. إيقاف جميع الحاويات المتأثرة
 ghaymah containers stop --all --project affected-project
 # 3. منع الوصول الخارجي
 ghaymah firewall deny --all-inbound --project affected-project
 ```
 **قائمة العزل:**
 - [ ] فصل Block Storage المتأثر
 - [ ] إيقاف التطبيقات المتصلة
 - [ ] حظر جميع الاتصالات الواردة
 - [ ] تعطيل حسابات المستخدمين المشبوهة
 - [ ] فصل أي أنظمة متصلة بنفس الشبكة
 ### الدقائق 15-30: تقييم الضرر
 ```
 ┌─────────────────────────────────────────────────────────────┐
 │  📊 تقييم النطاق                                            │
 ├─────────────────────────────────────────────────────────────┤
 │                                                             │
 │  الأسئلة المطلوب الإجابة عليها:                             │
 │                                                             │
 │  1. ما هي الـ Volumes المتأثرة؟                             │
 │     □ Block Storage الرئيسي                                 │
 │     □ قواعد البيانات                                        │
 │     □ النسخ الاحتياطية                                       │
 │                                                             │
 │  2. هل النسخ الاحتياطية سليمة؟                               │
 │     □ فحص آخر نسخة احتياطية                                 │
 │     □ التحقق من عدم تشفيرها                                 │
 │                                                             │
 │  3. كيف دخل المهاجم؟                                        │
 │     □ مراجعة سجلات الدخول                                    │
 │     □ فحص الثغرات المحتملة                                  │
 │                                                             │
 └─────────────────────────────────────────────────────────────┘
 ```
 **أوامر الفحص:**
 ```bash
 # فحص حالة الـ Volumes
 ghaymah storage list --status
 # فحص النسخ الاحتياطية
 ghaymah backup list --project affected-project
 # مراجعة سجلات الدخول
 ghaymah logs auth --since "24h" --project affected-project
 ```
 ### الدقائق 30-45: التواصل والإبلاغ
 **جهات الاتصال الفورية:**
 | الجهة | الإجراء | الأولوية |
 |-------|---------|----------|
 | فريق الأمن الداخلي | إبلاغ فوري | 🔴 حرج |
 | دعم غيمة | فتح تذكرة طوارئ | 🔴 حرج |
 | الإدارة العليا | إبلاغ مختصر | 🟡 عالي |
 | الفريق القانوني | استشارة | 🟡 عالي |
 | الجهات الرقابية | إبلاغ (إذا مطلوب قانونياً) | 🟡 عالي |
 **نموذج الإبلاغ:**
 ```
 الموضوع: [طوارئ] حادثة Ransomware - [اسم المشروع]
 الوقت: [التاريخ والوقت]
 النطاق: [الأنظمة المتأثرة]
 الحالة: [قيد الاحتواء]
 الإجراءات المتخذة:
 1. عزل الأنظمة المتأثرة
 2. إيقاف الخدمات
 3. بدء التحقيق
 الخطوات التالية:
 1. تقييم النسخ الاحتياطية
 2. تحديد نقطة الدخول
 3. بدء الاستعادة
 ```
 ### الدقائق 45-60: بدء الاستعادة
 ```bash
 # 1. التحقق من سلامة النسخ الاحتياطية
 ghaymah backup verify --latest --project affected-project
 # 2. إنشاء بيئة استعادة معزولة
 ghaymah project create recovery-environment --isolated
 # 3. استعادة من آخر نسخة سليمة
 ghaymah backup restore \
  --backup-id [BACKUP_ID] \
  --to recovery-environment \
  --verify
 ```
 ---
 ## 📋 قائمة التحقق الشاملة (أول 60 دقيقة)
 ### المرحلة 1: الاكتشاف (0-5 دقائق)
 - [ ] تأكيد أن الحادثة حقيقية وليست إنذار كاذب
 - [ ] توثيق رسالة الفدية (screenshot)
 - [ ] تسجيل الوقت الدقيق
 - [ ] إبلاغ قائد الاستجابة للحوادث
 ### المرحلة 2: العزل (5-15 دقيقة)
 - [ ] فصل الأنظمة المتأثرة عن الشبكة
 - [ ] إيقاف جميع الحاويات والخدمات
 - [ ] حظر الاتصالات الخارجية
 - [ ] تعطيل الحسابات المشبوهة
 - [ ] فصل VPN/API connections
 ### المرحلة 3: التقييم (15-30 دقيقة)
 - [ ] تحديد جميع الـ Volumes المتأثرة
 - [ ] فحص حالة النسخ الاحتياطية
 - [ ] مراجعة سجلات الدخول
 - [ ] تحديد نقطة الدخول المحتملة
 - [ ] تقدير حجم البيانات المتأثرة
 ### المرحلة 4: التواصل (30-45 دقيقة)
 - [ ] إبلاغ فريق الأمن
 - [ ] فتح تذكرة طوارئ مع غيمة
 - [ ] إبلاغ الإدارة
 - [ ] استشارة الفريق القانوني
 - [ ] تحضير بيان للعملاء (إذا لزم)
 ### المرحلة 5: الاستعادة (45-60 دقيقة)
 - [ ] التحقق من سلامة النسخ الاحتياطية
 - [ ] إنشاء بيئة استعادة معزولة
 - [ ] بدء استعادة البيانات الحرجة
 - [ ] اختبار البيانات المستعادة
 - [ ] توثيق جميع الإجراءات
 ---
 ## ⚠️ ما يجب تجنبه
 | ❌ لا تفعل | ✅ افعل بدلاً |
 |-----------|--------------|
 | دفع الفدية | استخدم النسخ الاحتياطية |
 | حذف الملفات المشفرة | احتفظ بها للتحليل |
 | إعادة تشغيل الأنظمة | اعزلها أولاً |
 | تجاهل الحادثة | وثّق كل شيء |
 | العمل بمفردك | أشرك الفريق |
 ---
 ## 📞 أرقام الطوارئ
 ```
 دعم غيمة (طوارئ): support@ghaymah.systems
 فريق الأمن الداخلي: [رقم الهاتف]
 قائد الاستجابة للحوادث: [رقم الهاتف]
 ```
@@ -0,0 +1,558 @@
 # خطة وقاية شاملة لمنع تكرار هجوم Ransomware
 ---
 ## 1. نظرة عامة
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                    طبقات الحماية من Ransomware                      │
 ├─────────────────────────────────────────────────────────────────────┤
 │                                                                     │
 │  ┌─────────────────────────────────────────────────────────────┐    │
 │  │                    طبقة 1: الوقاية                          │    │
 │  │         (منع الدخول - Access Prevention)                    │    │
 │  └─────────────────────────────────────────────────────────────┘    │
 │                              ↓                                      │
 │  ┌─────────────────────────────────────────────────────────────┐    │
 │  │                    طبقة 2: الكشف                            │    │
 │  │         (اكتشاف مبكر - Early Detection)                     │    │
 │  └─────────────────────────────────────────────────────────────┘    │
 │                              ↓                                      │
 │  ┌─────────────────────────────────────────────────────────────┐    │
 │  │                    طبقة 3: الاحتواء                          │    │
 │  │         (تقليل الضرر - Damage Limitation)                   │    │
 │  └─────────────────────────────────────────────────────────────┘    │
 │                              ↓                                      │
 │  ┌─────────────────────────────────────────────────────────────┐    │
 │  │                    طبقة 4: الاستعادة                         │    │
 │  │         (العودة للعمل - Recovery)                           │    │
 │  └─────────────────────────────────────────────────────────────┘    │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
 ---
 ## 2. طبقة الوقاية (Prevention)
 ### أ. إدارة الهوية والوصول (IAM)
 ```yaml
 # سياسة IAM صارمة
 iam_policy:
  # مبدأ أقل صلاحية
  principle: least_privilege
  # المصادقة متعددة العوامل
  mfa:
    required: true
    methods:
      - authenticator_app
      - hardware_key
    enforce_for:
      - all_admin_accounts
      - api_access
      - ssh_access
  # سياسة كلمات المرور
  password_policy:
    min_length: 14
    require_uppercase: true
    require_lowercase: true
    require_numbers: true
    require_symbols: true
    max_age_days: 90
    prevent_reuse: 12
  # مراجعة الصلاحيات
  access_review:
    frequency: monthly
    auto_revoke_inactive: 30d
 ```
 **التنفيذ على غيمة:**
 ```bash
 # تفعيل MFA لجميع المستخدمين
 ghaymah iam policy update \
  --require-mfa true \
  --apply-to all-users
 # إنشاء أدوار محددة
 ghaymah iam role create \
  --name developer \
  --permissions "read:code,write:code,read:logs" \
  --deny "admin:*,delete:*"
 ghaymah iam role create \
  --name operator \
  --permissions "read:*,restart:services" \
  --deny "delete:*,modify:iam"
 ```
 ### ب. أمان الشبكة
 ```yaml
 # Network Security Configuration
 network_security:
  # جدار الحماية
  firewall:
    default_policy: deny
    allowed_inbound:
      - port: 443
        source: "0.0.0.0/0"
        protocol: tcp
      - port: 22
        source: "10.0.0.0/8"  # VPN فقط
        protocol: tcp
  # تقسيم الشبكة
  segmentation:
    - name: production
      cidr: "10.1.0.0/16"
      access: restricted
    - name: backup
      cidr: "10.2.0.0/16"
      access: isolated  # معزولة تماماً
    - name: management
      cidr: "10.3.0.0/16"
      access: admin_only
  # VPN إجباري للإدارة
  vpn:
    required_for: admin_access
    type: wireguard
    mfa: required
 ```
 **Network Policies:**
 ```yaml
 # kubernetes network policy
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: isolate-backup-storage
 spec:
  podSelector:
    matchLabels:
      app: backup-storage
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              role: backup-agent
      ports:
        - port: 443
  egress: []  # لا اتصال خارجي
 ```
 ### ج. أمان النقاط الطرفية (Endpoint Security)
 ```yaml
 endpoint_security:
  # مكافح الفيروسات
  antivirus:
    enabled: true
    real_time_scan: true
    scheduled_scan: daily
  # كشف التهديدات
  edr:
    enabled: true
    behavioral_analysis: true
    ransomware_protection: true
  # التحديثات التلقائية
  patching:
    auto_update: true
    critical_patches: immediate
    regular_patches: weekly
    reboot_window: "02:00-04:00"
 ```
 ---
 ## 3. طبقة الكشف (Detection)
 ### أ. نظام SIEM والمراقبة
 ```yaml
 # تكوين المراقبة
 monitoring:
  # مصادر السجلات
  log_sources:
    - nginx_access
    - nginx_error
    - auth_logs
    - app_logs
    - system_logs
    - audit_logs
  # قواعد الكشف
  detection_rules:
    - name: mass_file_encryption
      description: كشف تشفير ملفات جماعي
      condition: |
        file_operations.encrypt > 100 
        AND time_window < 5m
      severity: critical
      action: alert_and_isolate
    - name: suspicious_process
      description: عملية مشبوهة
      condition: |
        process.name IN ['vssadmin', 'wmic', 'bcdedit']
        OR process.command CONTAINS 'shadow'
      severity: high
      action: alert
    - name: unusual_network_activity
      description: نشاط شبكة غير طبيعي
      condition: |
        outbound_connections > baseline * 3
        OR connection_to_tor = true
      severity: high
      action: alert
 ```
 ### ب. تنبيهات Prometheus
 ```yaml
 # prometheus-alerts.yaml
 groups:
  - name: ransomware_detection
    rules:
      - alert: MassFileModification
        expr: |
          rate(file_modifications_total[5m]) > 1000
        for: 1m
        labels:
          severity: critical
        annotations:
          summary: "🚨 كشف تعديل ملفات جماعي"
          description: "أكثر من 1000 ملف تم تعديله في 5 دقائق"
          action: "عزل النظام فوراً"
      - alert: SuspiciousFileExtension
        expr: |
          increase(files_with_extension{ext=~".*encrypted.*|.*locked.*|.*crypto.*"}[5m]) > 10
        for: 0m
        labels:
          severity: critical
        annotations:
          summary: "🔒 كشف امتدادات ملفات مشبوهة"
          description: "ملفات بامتدادات ransomware معروفة"
      - alert: BackupDeletionAttempt
        expr: |
          backup_deletion_attempts > 0
        for: 0m
        labels:
          severity: critical
        annotations:
          summary: "⚠️ محاولة حذف النسخ الاحتياطية"
          description: "كشف محاولة حذف النسخ الاحتياطية"
 ```
 ### ج. File Integrity Monitoring (FIM)
 ```yaml
 # تكوين مراقبة سلامة الملفات
 fim_config:
  monitored_paths:
    - path: /etc
      recursive: true
      alert_on: [create, modify, delete]
    - path: /var/www
      recursive: true
      alert_on: [modify, delete]
    - path: /home
      recursive: true
      alert_on: [mass_modify]  # أكثر من 100 ملف
  baseline:
    update_frequency: daily
    time: "03:00"
  exclusions:
    - "*.log"
    - "*.tmp"
    - "/var/cache/*"
 ```
 ---
 ## 4. طبقة الاحتواء (Containment)
 ### أ. العزل التلقائي
 ```python
 # auto_isolate.py - سكربت العزل التلقائي
 import subprocess
 import requests
 from datetime import datetime
 def isolate_system(reason: str):
    """عزل النظام تلقائياً عند كشف تهديد"""
    timestamp = datetime.now().isoformat()
    # 1. قطع الاتصال بالشبكة
    subprocess.run([
        "ghaymah", "network", "isolate",
        "--project", "production",
        "--reason", reason
    ])
    # 2. إيقاف الخدمات غير الحرجة
    subprocess.run([
        "ghaymah", "services", "stop",
        "--exclude", "backup,monitoring",
        "--project", "production"
    ])
    # 3. تفعيل وضع القراءة فقط للتخزين
    subprocess.run([
        "ghaymah", "storage", "readonly",
        "--volume", "prod-data",
        "--enable"
    ])
    # 4. إرسال تنبيه
    send_alert({
        "type": "system_isolated",
        "reason": reason,
        "timestamp": timestamp,
        "severity": "critical"
    })
    # 5. بدء النسخ الاحتياطي الطارئ
    subprocess.run([
        "ghaymah", "backup", "create",
        "--emergency",
        "--source", "prod-data",
        "--destination", "emergency-backups"
    ])
 def send_alert(alert: dict):
    """إرسال تنبيه للفريق"""
    webhook_url = os.environ.get("ALERT_WEBHOOK")
    requests.post(webhook_url, json=alert)
 ```
 ### ب. Immutable Backups (نسخ احتياطية غير قابلة للتعديل)
 ```yaml
 # تكوين النسخ الاحتياطية غير القابلة للتعديل
 immutable_backup:
  enabled: true
  # فترة عدم القابلية للتعديل
  retention_lock:
    min_days: 7
    max_days: 365
  # حماية من الحذف
  deletion_protection:
    enabled: true
    require_mfa: true
    require_approval: 2  # موافقة شخصين
    cooling_period: 72h  # فترة انتظار قبل الحذف
  # التشفير
  encryption:
    algorithm: AES-256-GCM
    key_management: customer_managed
    key_rotation: 90d
 ```
 **التنفيذ:**
 ```bash
 # إنشاء bucket مع حماية WORM
 ghaymah storage bucket create secure-backups \
  --worm-enabled \
  --retention-days 30 \
  --deletion-protection \
  --require-mfa-delete
 ```
 ---
 ## 5. طبقة الاستعادة (Recovery)
 ### أ. خطة استمرارية الأعمال
 ```yaml
 business_continuity:
  # أولوية الاستعادة
  recovery_priority:
    tier_1:  # أول 4 ساعات
      - name: "قاعدة البيانات الرئيسية"
        rto: 1h
      - name: "API الأساسي"
        rto: 2h
    tier_2:  # 4-8 ساعات
      - name: "واجهة المستخدم"
        rto: 4h
      - name: "خدمات الدفع"
        rto: 4h
    tier_3:  # 8-24 ساعة
      - name: "التقارير"
        rto: 12h
      - name: "الأرشيف"
        rto: 24h
  # موقع الاستعادة البديل
  dr_site:
    location: me-jeddah-1
    sync_frequency: hourly
    failover_time: 30m
 ```
 ### ب. Runbook الاستعادة
 ```markdown
 ## Runbook: استعادة من Ransomware
 ### المتطلبات المسبقة
 - [ ] تأكيد عزل الأنظمة المتأثرة
 - [ ] تحديد آخر نسخة احتياطية سليمة
 - [ ] تجهيز بيئة الاستعادة
 ### خطوات الاستعادة
 1. **إنشاء بيئة نظيفة**
   ```bash
   ghaymah project create recovery-env --from-template secure-base
   ```
 2. **استعادة قاعدة البيانات**
   ```bash
   ghaymah backup restore \
     --source secure-backups/db-latest \
     --destination recovery-env/database \
     --verify
   ```
 3. **استعادة الملفات**
   ```bash
   ghaymah backup restore \
     --source secure-backups/files-latest \
     --destination recovery-env/storage \
     --verify
   ```
 4. **اختبار الخدمات**
   ```bash
   ghaymah test run --suite smoke-test --project recovery-env
   ```
 5. **تبديل DNS**
   ```bash
   ghaymah dns update \
     --domain app.example.com \
     --target recovery-env
   ```
 ```
 ---
 ## 6. التدريب والتوعية
 ### برنامج التدريب
 | الفئة | التدريب | التكرار |
 |-------|---------|---------|
 | جميع الموظفين | التوعية بالتصيد | ربع سنوي |
 | فريق IT | الاستجابة للحوادث | شهري |
 | المطورين | البرمجة الآمنة | ربع سنوي |
 | الإدارة | إدارة الأزمات | نصف سنوي |
 ### محاكاة الهجمات
 ```yaml
 # جدول تمارين المحاكاة
 simulation_exercises:
  - name: "تمرين Ransomware"
    frequency: quarterly
    scope: full_organization
    objectives:
      - اختبار خطة الاستجابة
      - قياس وقت الاكتشاف
      - اختبار الاستعادة
  - name: "اختبار التصيد"
    frequency: monthly
    scope: random_sample
    objectives:
      - قياس الوعي
      - تحديد نقاط الضعف
 ```
 ---
 ## 7. ملخص خطة الوقاية
 ```
 ┌─────────────────────────────────────────────────────────────────────┐
 │                    ملخص خطة الوقاية الشاملة                         │
 ├─────────────────────────────────────────────────────────────────────┤
 │                                                                     │
 │  🛡️ الوقاية:                                                        │
 │     ✓ MFA إجباري لجميع الحسابات                                     │
 │     ✓ تقسيم الشبكة وعزل النسخ الاحتياطية                            │
 │     ✓ تحديثات أمنية تلقائية                                         │
 │     ✓ سياسة أقل صلاحية                                              │
 │                                                                     │
 │  🔍 الكشف:                                                          │
 │     ✓ SIEM مع قواعد كشف Ransomware                                  │
 │     ✓ مراقبة سلامة الملفات (FIM)                                    │
 │     ✓ تنبيهات فورية                                                 │
 │                                                                     │
 │  🚧 الاحتواء:                                                        │
 │     ✓ عزل تلقائي عند الكشف                                          │
 │     ✓ نسخ احتياطية غير قابلة للتعديل (WORM)                         │
 │     ✓ وضع القراءة فقط للتخزين                                       │
 │                                                                     │
 │  🔄 الاستعادة:                                                       │
 │     ✓ قاعدة 3-2-1 للنسخ الاحتياطي                                   │
 │     ✓ RPO: 1 ساعة | RTO: 4 ساعات                                    │
 │     ✓ اختبار استعادة دوري                                           │
 │                                                                     │
 │  📚 التدريب:                                                         │
 │     ✓ توعية ربع سنوية                                               │
 │     ✓ محاكاة هجمات                                                  │
 │     ✓ تمارين استجابة للحوادث                                        │
 │                                                                     │
 └─────────────────────────────────────────────────────────────────────┘
 ```
 ---
 ## 8. قائمة التحقق النهائية
 ### أسبوعياً
 - ✅ مراجعة تنبيهات SIEM
 - ✅ التحقق من نجاح النسخ الاحتياطي
 - ✅ فحص تحديثات الأمان
 ### شهرياً
 - ✅ اختبار استعادة عشوائي
 - ✅ مراجعة صلاحيات المستخدمين
 - ✅ تحديث قواعد الكشف
 ### ربع سنوياً
 - ✅ تمرين محاكاة Ransomware
 - ✅ مراجعة خطة الاستجابة
 - ✅ تدريب الموظفين
 ### سنوياً
 - ✅ تدقيق أمني شامل
 - ✅ تحديث خطة استمرارية الأعمال
 - ✅ مراجعة العقود مع المزودين
		`@@ -0,0 +1,2 @@`
							`Qabilah Profile: @ahmedmibrahim`
							`URL: https://qabilah.com/profile/ahmedmibrahim`