محلل أمني هو العنصر المسؤول عن اكتشاف التهديدات السيبرانية وتحليلها داخل المؤسسات. يبدأ عمله من مراقبة الشبكات، الخوادم، ونقاط النهاية باستخدام أدوات تحليل متقدمة مثل أنظمة إدارة الأحداث الأمنية (SIEM) وحلول كشف التهديد على الأجهزة (EDR). لا يقتصر دوره على إطلاق التنبيهات فقط، بل يمتد إلى التحقيق في الحوادث، تقييم مستوى الخطر، اقتراح خطط الاحتواء، والعمل على منع تكرار الهجمات عبر تحسين قواعد الكشف والاستجابة.
التحول الرقمي المتسارع واعتماد الخدمات السحابية في المنطقة العربية رفع الطلب على هذا الدور بشكل غير مسبوق. فالمؤسسات تحتاج اليوم إلى من يراقب، يحلل، ويستجيب بسرعة للتهديدات المعقدة مثل هجمات الفدية، اختراق الحسابات السحابية، والتصيد المتقدم الذي يستهدف الموظفين التنفيذيين، ما يجعل هذا الدور محوريًا في حماية البيانات واستمرارية الأعمال.
محلل أمني (Security Analyst) هو المسؤول عن مراقبة الأنظمة التقنية داخل المؤسسات لاكتشاف الهجمات والتهديدات قبل أن تتسبب في اختراق أو ضرر واسع. يعمل على تحليل سجلات الأحداث، التحقق من التنبيهات، التحقيق في مصدر التهديد، والاستجابة له عبر العزل أو الحظر أو التوصية بخطوات المعالجة. يستخدم أدوات مثل SIEM، EDR، IDS/IPS، ويعتمد على فهم الشبكات وأنظمة التشغيل والسحابة. دوره يجمع بين التحليل، التحقيق، واتخاذ القرار الأمني تحت الضغط. ومع ارتفاع الهجمات السيبرانية وتعقيدها، أصبح هذا الدور من أكثر الوظائف طلبًا لأنه يحوّل التنبيهات إلى خطوات تنفيذية لحماية البنية التقنية وتقليل أثر الحوادث.
المهام الأساسية لمحلل أمني
المراقبة الأمنية المستمرة
يراقب المحلل الأحداث القادمة من الشبكات، الأجهزة، والخدمات السحابية على مدار الساعة. تمر التنبيهات عبر منصات SIEM التي تجمع البيانات من مصادر متعددة، وتُظهرها على شكل أحداث مترابطة يمكن تحليلها. المراقبة تتطلب القدرة على التمييز بين النشاط الطبيعي والسلوك غير المعتاد الذي قد يشير إلى هجوم صامت أو تسلل مبكر.
التحقق من التنبيهات وتحليل الحوادث
عند ظهور تنبيه، يبدأ المحلل التحقيق لتحديد ما إذا كان التهديد حقيقيًا. يتم تحليل مصدر الاتصال، نوع النشاط، توقيته، والملفات المرتبطة به. يعتمد التحليل على فهم التكتيكات الهجومية المستخدمة في الهجمات الحديثة، وتتبع الأدلة الرقمية عبر السجلات وربطها ببعضها لاستخلاص صورة واضحة عن مسار الحادث.
الاستجابة واحتواء التهديدات
عند التأكد من خطورة التهديد، يتم اتخاذ خطوات فورية مثل عزل الجهاز المصاب، حظر الاتصال القادم من IP خبيث، أو إيقاف عملية مشبوهة. في حال كان التهديد سحابيًا، قد يشمل الاحتواء تعطيل حساب مخترق، إعادة تعيين الصلاحيات، أو تدوير مفاتيح الوصول لمنع استغلالها مجددًا.
التحقيق الجنائي الرقمي المبدئي
يجري المحلل تحقيقات أولية عند الحاجة، مثل فحص الأجهزة المخترقة، استخراج آثار التنفيذ، البحث عن بقاء البرامج الخبيثة، وتتبع كيفية حدوث الاختراق. يتم استخدام أدوات تحليل متخصصة لاستخراج الأدلة وبناء تسلسل زمني دقيق للحادث يساعد الفرق الأعلى مستوى في استكمال التحقيق.
إعداد التقارير الأمنية
يوثق المحلل الحادث بطريقة مفصلة، تشمل ما حدث، كيف تم اكتشافه، ما أثره المحتمل، وما الخطوات المقترحة لمنع تكراره. التقارير يجب أن تكون واضحة، دقيقة، وقابلة للتحويل إلى إجراءات تحسين داخل المنظومة الأمنية للمؤسسة.
المهارات المطلوبة للتميز في الدور
فهم الشبكات
يجب معرفة بروتوكولات الاتصال، المنافذ، آليات التوجيه، والقدرة على تحليل حركة الشبكة عبر أدوات مثل Wireshark وZeek وSuricata. فهم الشبكات يساعد المحلل على اكتشاف محاولات التسلل، الأنفاق الخفية، والاتصالات غير المصرّح بها.
إتقان أنظمة التشغيل
المحلل يحتاج معرفة عميقة بـ Windows وLinux، خصوصًا تحليل السجلات، الخدمات، الصلاحيات، والعمليات. هذا يمكّنه من فهم ما إذا كان هناك تصعيد صلاحيات، تشغيل أوامر خفية، أو تثبيت أدوات اختراق داخل النظام.
المعرفة بالتهديدات والهجمات
يجب الإلمام بأنواع الهجمات مثل: الفدية، التصيد، هجمات DDoS، اختراق الحسابات، والهجمات التي تستهدف السحابة. معرفة سلوك هذه التهديدات يمكّن المحلل من تفسير التنبيهات بشكل صحيح وتحديد أفضل طرق الاستجابة لها.
أساسيات الأمن السحابي
مع التوسع السحابي، يجب فهم IAM، مراقبة Cloud Logs، سياسات الحماية، وحلول مثل AWS GuardDuty وAzure Defender وGoogle Chronicle. الأمن السحابي لم يعد مهارة إضافية، بل جزء أساسي من عمل المحلل.
القدرة على البرمجة والكتابة النصية
ليس مطلوبًا أن يكون مطوّرًا، لكن يجب القدرة على كتابة سكربتات تحليل وأتمتة باستخدام Python وBash وPowerShell. هذا يساعد على تسريع التحقيق، جمع البيانات، وفحص التهديدات بطريقة مرنة.
التحليل المنطقي واتخاذ القرار
التهديدات لا تمنح وقتًا طويلًا للتفكير. لذلك يحتاج المحلل إلى مهارات تحليل قوية وقدرة على اتخاذ القرار الصحيح تحت الضغط، خصوصًا أثناء الحوادث الحقيقية التي تتطلب استجابة فورية.
أشهر الأدوات التي يستخدمها المحلل الأمني في 2026
- SIEM Platforms: Microsoft Sentinel، Splunk، Wazuh، Elastic Security، QRadar
- EDR Solutions: CrowdStrike، SentinelOne، Microsoft Defender ATP
- Traffic Analysis: Wireshark، Zeek، Suricata، TCPDump
- Cloud Security: AWS GuardDuty، Azure Defender، Google Chronicle
- Malware Analysis (Initial): ANY.RUN، Cuckoo Sandbox، Hybrid Analysis
- Threat Intel: MISP، OpenCTI، AlienVault OTX
- Ticketing/Workflow: Jira، TheHive، ServiceNow SecOps
- Automation: Shuffle SOAR، Tines، Python Scripts
هذه الأدوات هي الأكثر استخدامًا لأن المحلل يحتاج بيئة تربط الأحداث، تكشف السلوك الخبيث، وتتيح الاستجابة السريعة دون تعقيد.
المسار العملي لبناء مهنة محلل أمني قوي
المرحلة 1: الأساسيات
ابدأ بفهم قوي للشبكات، أنظمة التشغيل، والهجمات. هذا يشكل قاعدة التحليل الأمني. دون هذه الطبقة، تصبح الأدوات مجرد لوحات إنذار غير مفيدة.
المرحلة 2: التخصص في المراقبة والتحليل
تعلّم SIEM بعمق، خصوصًا Microsoft Sentinel لأنه الأكثر تبنّيًا، ثم Splunk أو Wazuh كمكمل. ركّز على كتابة قواعد الكشف وربط الأحداث.
المرحلة 3: الاستجابة للحوادث
تدرّب عمليًا على EDR مثل CrowdStrike وDefender ATP. افهم كيف يتم العزل، الحظر، والتحقيق في الـ endpoint.
المرحلة 4: الأمن السحابي
ابدأ بـ IAM Logs، مراقبة Cloud Activity، والتحقيق في اختراق الحسابات السحابية، لأن أغلب الهجمات الحديثة تستهدف الهوية وليس الأجهزة فقط.
المرحلة 5: الأتمتة
تعلّم أتمتة خطوات التحقيق والاستجابة عبر SOAR أو سكربتات Python وPowerShell لتسريع العمل داخل SOC.
إحصاءات واتجاهات 2026
- 72% من المؤسسات تستخدم SIEM لمراقبة التهديدات داخليًا.
- 63% من الحوادث المكتشفة تبدأ عبر نقاط النهاية وليس الجدار الناري.
- 54% من الهجمات الحديثة تستهدف حسابات Cloud IAM.
- الوظائف الأمنية في المنطقة العربية نمت 28% خلال 90 يومًا الأخيرة، خصوصًا داخل فرق SOC.
هذه الأرقام تبيّن أن المحلل الأمني اليوم يعمل على الهوية والسلوك أكثر من عمله على الأجهزة التقليدية.
قصص قصيرة من الواقع
قصة 1: إنذار لم يكن كاذبًا
في أحد مراكز العمليات الأمنية، ظهر تنبيه من SIEM يشير إلى تسجيل دخول ناجح لحساب إداري من دولة غير معتادة، تلاه تنفيذ أمر PowerShell لسحب بيانات من التخزين السحابي. ربط المحلل السجلات، عزل الحساب، وتم تدوير المفاتيح خلال 6 دقائق. لاحقًا تبيّن أن الهجوم كان يستهدف نشر فدية داخل بيئة سحابية كاملة، وتم إيقافه قبل التنفيذ.
قصة 2: جهاز موظف يخفي نفقًا
تنبيه EDR أظهر عملية مشبوهة تقوم بفتح اتصال عكسي عبر منفذ غير شائع. التحقيق كشف أن الجهاز يحتوي على أداة اختراق مثبتة منذ 9 أيام تستخدم DNS Tunneling. تم عزل الجهاز، تحليل السجلات، وحظر النطاق المستخدم للأنفاق، ثم إعادة الجهاز إلى بيئة نظيفة.
هذه القصص تبيّن أن سرعة الربط والتحليل والاستجابة هي ما يصنع الفرق بين حادث عابر واختراق مدمر.
الفرق بين محلل أمني وأدوار قريبة منه
محلل SOC
يركّز غالبًا على المراقبة والتعامل مع التنبيهات الأولية.
محلل أمني
يتوسع دوره ليشمل التحقيق، الاستجابة، وتحسين الدفاعات، وقد يشارك في Threat Hunting وCloud Investigations.
مهندس أمن
يبني ويهيكل الأنظمة ولا يعمل كثيرًا على التنبيهات اليومية.
المحلل الأمني هو الأكثر التصاقًا بالحوادث والتحقيقات اليومية، لذلك يحتاج عقلية تحليلية قوية وفهمًا شاملًا للبيئة.
أفضل الشهادات العملية لدعم المسار المهني
- CompTIA CySA+
- Blue Team Level 1 (BTL1)
- GIAC Certified Detection Analyst (GCDA)
- Splunk Core User + Splunk Analyst
- Microsoft SC-200
- Cisco CyberOps Associate
- AWS Security Specialty (بعد الخبرة)
- ISC2 CC ثم SSCP
هذه الشهادات تؤكد قدرة المحلل على الكشف، التحقيق، والاستجابة للحوادث عمليًا.
نصائح عملية للنجاح في أول 90 يومًا في الوظيفة
- لا تثق بالتنبيه حتى تثبت صحته بالتحقيق.
- ابنِ علاقات قوية مع فرق الشبكات والسحابة.
- تعلّم بنية المؤسسة أسرع من تعلّم الأدوات نفسها.
- وثّق كل حادث بدقة، لأن التوثيق هو مصدر التحسين.
- أتمت الخطوات المتكررة لتتفرّغ للتحليل العميق.
- خصّص وقتًا أسبوعيًا لـ Threat Hunting.
- تابع التهديدات التي تستهدف الهوية والسحابة أولًا.
- لا تتوقف عن التعلّم، لأن أساليب الهجوم تتغير أسرع من أي دور تقني آخر.
كيف تبدأ الآن دون تعقيد
إذا كنت تملك حاسبًا واتصالًا بالإنترنت، يمكنك بدء التدرّب العملي عبر بيئات محاكاة الهجمات، بناء مختبر SOC منزلي باستخدام Wazuh + Microsoft Sentinel Free Trial، وتوليد سجلات وتحليلها، ثم التدرب على الاستجابة للحوادث عبر سيناريوهات حقيقية مع EDR وTraffic Capture.
ابدأ صغيرًا لكن حقيقيًا. المحللون الأقوى لم يتعلموا من الكتب، بل من السجلات الحقيقية والحوادث المحاكاة.
خاتمة + دعوة لاتخاذ إجراء
الطلب على محللي الأمن السيبراني يرتفع لأن الهجمات لم تعد مسألة “هل ستحدث؟” بل “متى ستحدث؟”. أنت اليوم أمام فرصة لبناء مهنة مؤثرة تحمي فيها البيانات، الأنظمة، والهوية الرقمية. ابدأ بالتدرّب العملي على SIEM وEDR، ابنِ مختبرك، اختبر نفسك بسيناريوهات حقيقية، ثم تقدّم للشهادات التي تثبت قدرتك على التحليل والاستجابة. لا تنتظر اللحظة المثالية، لأن عالم الأمن السيبراني يكافئ من يبدأ الآن.
ابدأ رحلتك اليوم، وطوّر مهارة التحليل التي تميزك في سوق العمل. أول خطوة حقيقية قد تغيّر مسارك المهني بالكامل.
المصادر
What Does a Cybersecurity Analyst Do? Job Guide
مقال يشرح دور ومسؤوليات محلل الأمن السيبراني في مراقبة التهديدات والاستجابة للحوادث داخل المؤسسات.
https://www.coursera.org/articles/cybersecurity-analyst-job-guide
Security Operations Center (SOC) Roles and Responsibilities
مقال يشرح أدوار ومسؤوليات فرق SOC، مع تركيز على محللي الأمن في كشف التهديدات واحتواء الحوادث.
https://www.paloaltonetworks.com/cyberpedia/soc-roles-and-responsibilities
