دورة الأمن السيبراني للمبتدئين - أساسيات الإنترنت والشبكات ( كيف يعمل TCP/IP).

دورة الأمن السيبراني للمبتدئين - كيف يعمل TCP/IP وما علاقته بحمايتك على الإنترنت؟

لو سألت نفسك يومًا -  "كيف تصل الرسالة التي أرسلتها الآن إلى صاحبها في ثوانٍ معدودة؟" أو "كيف يعرف المتسلل أين يضرب بالضبط؟"
—فأنت في المكان الصحيح. الإجابة على هذه الأسئلة تبدأ كلها من مكان واحد - نموذج TCP/IP . هذا النموذج هو العمود الفقري لكل ما يحدث على الإنترنت، ولا يمكنك أن تفهم الأمن السيبراني فعلًا دون أن تفهمه جيدًا.

كيف يعمل TCP/IP وما علاقته بحمايتك على الإنترنت؟.

في هذا الدرس من دورة الأمن السيبراني للمبتدئين، سنشرح بلغة بسيطة وواضحة كيف تنتقل البيانات بين الأجهزة، وما هي الطبقات التي تمر بها، وكيف يستغل المهاجمون هذا النموذج للوصول إلى بياناتك. وفي النهاية، ستجد نصائح عملية تحميك من أبرز الثغرات. خلّيك معنا.

📌 ملاحظة للقارئ...
هذا الدرس هو الجزء الثالث من دورة الأمن السيبراني للمبتدئين. إذا لم تقرأ الدروس السابقة عن عناوين IP وبروتوكول DNS، ننصحك بالبدء منهما لأن هذا الدرس يبني عليهما مباشرة.

ما هو TCP/IP ولماذا يهمك؟

TCP/IP ليس برنامجًا تنزّله ولا إعدادًا تضبطه — هو مجموعة من القواعد والبروتوكولات التي تحدد كيف تتواصل الأجهزة مع بعضها عبر الشبكات.

الاسم نفسه مكوّن من بروتوكولين رئيسيين...

• TCP (Transmission Control Protocol) 💥 بروتوكول المسؤولية. يتأكد أن كل البيانات وصلت كاملة وبالترتيب الصحيح، ويعيد إرسال ما ضاع في الطريق.
  
  
• IP (Internet Protocol) 💥 بروتوكول العناوين. مهمته إيصال البيانات من جهاز لآخر عبر تحديد العنوان الصحيح للمرسل والمستقبل.

تخيّل أنك تريد إرسال كتاب ضخم عبر البريد. ما الذي تفعله؟ تقطّع الكتاب إلى أجزاء صغيرة (packets)، تضع على كل جزء عنوان الوجهة (IP)، ثم تثق أن البريد سيجمعها في الترتيب الصحيح عند الوصول (TCP). هذا بالضبط ما يحدث في كل عملية تصفح تقوم بها.

طبقات نموذج TCP/IP الأربع - من التطبيق إلى الكابل

النموذج مقسّم إلى أربع طبقات، وكل طبقة لها مهمة محددة. الجميل أن هذه الطبقات تعمل معًا بشكل شفاف تمامًا 💦
أنت تكتب رسالة على واتساب ولا تشغل بالك بأي من هذه الطبقات، لكنها كلها تشتغل في الخلفية.

🔢 رقم الطبقة	📋 اسم الطبقة	⚙️ المهمة الرئيسية	🔧 أمثلة على البروتوكولات
4	طبقة التطبيق	التواصل المباشر مع البرامج والمستخدم	HTTP, HTTPS, DNS, FTP, SMTP
3	طبقة النقل	ضمان وصول البيانات كاملة وبالترتيب	TCP, UDP
2	طبقة الإنترنت	توجيه الحزم عبر الشبكات المختلفة	IP, ICMP, ARP
1	طبقة الوصول للشبكة	نقل البيانات عبر الوسيط الفعلي (كابل أو لاسلكي)	Ethernet, Wi-Fi, MAC

كل مرة ترسل فيها بيانات، تنزل من الطبقة 4 إلى الطبقة 1 (عند المرسل)، وترتفع من الطبقة 1 إلى الطبقة 4 (عند المستقبل). هذا ما يسمى بالتغليف (Encapsulation) وفك التغليف (Decapsulation).

شرح مبسّط لكل طبقة

1. طبقة التطبيق 📌 💢 هي الطبقة التي تراها أنت. المتصفح، البريد الإلكتروني، تطبيق المحادثة — كل هذه تعمل هنا. البروتوكول الذي تتعامل معه يوميًا هو HTTPS وهو النسخة الآمنة من HTTP.
2. طبقة النقل 📌 💢 هنا يُقرر النظام هل يستخدم TCP أم UDP. إذا كنت تتصفح موقعًا أو تحمّل ملفًا، فالغالب TCP. إذا كنت في مكالمة فيديو أو تلعب لعبة أونلاين، فالغالب UDP.
3. طبقة الإنترنت 📌 💢 هنا تُحدَّد عناوين IP المصدر والوجهة، ويتم توجيه الحزم عبر الراوترات المختلفة حتى تصل لهدفها.
4. طبقة الوصول للشبكة 📌 💢 هي القاع — الأسلاك والإشارات اللاسلكية. هنا تتحول البيانات الرقمية إلى إشارات كهربائية أو موجات راديو.
   
   

TCP مقابل UDP - متى تستخدم كلًّا منهما؟

الفرق بين TCP وUDP من أكثر الأسئلة شيوعًا بين المبتدئين في الأمن السيبراني، وهو مهم جدًا لفهم طبيعة الهجمات لاحقًا.

⚖️ الخاصية	🔵 TCP	🟡 UDP
نوع الاتصال	يبني اتصالًا مسبقًا (Connection-oriented)	يرسل بدون اتصال مسبق (Connectionless)
الموثوقية	عالية — يعيد إرسال ما ضاع	منخفضة — لا يهتم بالحزم المفقودة
السرعة	أبطأ نسبيًا	أسرع بكثير
الاستخدامات	تصفح الويب، البريد الإلكتروني، تحميل الملفات	بث الفيديو، الألعاب أونلاين، مكالمات الصوت
الأمان	أكثر قابلية للتتبع والحماية	أسهل في استغلاله لهجمات الحرمان من الخدمة

" TCP يشبه المكالمة الهاتفية — تتصل أولًا ثم تتحدث. UDP يشبه رسالة الراديو — تبث وتأمل أن أحدًا يسمع. "

Three-Way Handshake - مصافحة الإنترنت

قبل أن يتبادل جهازان أي بيانات عبر TCP، يجب أن يتفقا على بدء الاتصال.

هذا ما يُعرف بـThree-Way Handshake أو المصافحة الثلاثية، وهي عملية بسيطة تتكون من ثلاث خطوات...

• الخطوة الأولى — SYN 💥 الجهاز المرسل يقول... "أريد التحدث معك، هل أنت جاهز؟" ويرسل حزمة SYN (Synchronize).
• الخطوة الثانية — SYN-ACK 💥 الجهاز المستقبل يرد... "نعم، أنا جاهز، وأنت هل جاهز؟" ويرسل SYN-ACK (Synchronize-Acknowledge).
• الخطوة الثالثة — ACK 💥 المرسل يؤكد... "ممتاز، نبدأ!" ويرسل ACK (Acknowledge). الاتصال مفتوح الآن.

تبدو هذه العملية تقنية، لكنها تحدث في أجزاء من الثانية في كل مرة تفتح فيها موقعًا. والأهم أنها نقطة ضعف يستغلها المهاجمون — كما سنرى بعد قليل.

كيف تنتقل البيانات - رحلة الحزمة من A إلى B

لنفهم الصورة الكاملة، تخيّل أنك تفتح موقع مصرفك البنكي. إليك ما يحدث خلف الكواليس...

1. تكتب العنوان 📌 💦 متصفحك يترجم الاسم (مثلًا bank.com) إلى عنوان IP عبر DNS.
2. المصافحة الثلاثية 📌 💦 يفتح المتصفح اتصالًا مع سيرفر البنك عبر TCP Three-Way Handshake.
3. التشفير 📌 💦 يتم الاتفاق على مفتاح تشفير (TLS Handshake) لحماية البيانات المتبادلة.
4. إرسال الطلب 📌 💦 يرسل متصفحك طلب HTTP GET مغلّفًا في حزم TCP/IP تمر عبر عدة راوترات.
5. الاستجابة 📌 💦 يرد السيرفر بحزم تحتوي بيانات الصفحة، ويجمعها متصفحك ليعرضها أمامك.
6. إغلاق الاتصال 📌 💦 بعد انتهاء الجلسة، يُغلق الاتصال بشكل نظيف عبر FIN/ACK.

💡 هل تعلم؟
في كل هذه الرحلة، حزمة البيانات قد تمر عبر 10 إلى 20 راوترًا مختلفًا قبل أن تصل إلى وجهتها، وكل هذا يحدث في أقل من ثانية واحدة.

هذا سبب أن الأمن السيبراني معقد — لأن نقاط الضعف ممكنة في أي خطوة من هذه الخطوات.

المنافذ (Ports) - أبواب الإنترنت الخفية

لا يمكن الحديث عن TCP/IP دون الحديث عن المنافذ. تخيّل أن عنوان IP هو عنوان مبنى، والمنافذ هي أرقام الشقق داخل ذلك المبنى.

جهازك يتواصل مع آلاف الخدمات المختلفة في آنٍ واحد، والمنافذ هي التي تنظّم هذه الفوضى وتضمن وصول كل حزمة إلى التطبيق الصحيح.

المنافذ أرقام تتراوح من 0 إلى 65535، وتنقسم إلى ثلاث فئات رئيسية...

• المنافذ المعروفة (0–1023) 💦 محجوزة للخدمات الأساسية مثل HTTP (80)، HTTPS (443)، FTP (21)، SSH (22)، وDNS (53). هذه المنافذ معيارية وكل نظام يعرفها.
• المنافذ المسجّلة (1024–49151) 💦 تستخدمها التطبيقات والبرامج غير الرسمية. مثلًا، MySQL يستخدم المنفذ 3306، وPostgreSQL يستخدم 5432.
• المنافذ الديناميكية (49152–65535) 💦 يُخصّصها النظام عشوائيًا للاتصالات المؤقتة من جهتك كعميل.

🔌 رقم المنفذ	📡 البروتوكول	📋 الاستخدام	⚠️ أهمية أمنية
80	HTTP	تصفح الويب غير المشفّر	عالية — لا تشفير
443	HTTPS	تصفح الويب المشفّر	منخفضة — اتصال آمن
22	SSH	الوصول الآمن للسيرفرات	متوسطة — هدف للهجمات
21	FTP	نقل الملفات	عالية — كلمة المرور بنص واضح
53	DNS	ترجمة أسماء النطاقات	متوسطة — هدف للتزوير

لماذا هذا مهم من منظور الأمن السيبراني؟

لأن المهاجم أول ما يفعله عند استهداف نظام هو فحص المنافذ المفتوحة (Port Scanning). كل منفذ مفتوح غير ضروري هو باب إضافي قد يدخل منه. القاعدة الذهبية - أغلق كل منفذ لا تحتاجه.

التغليف وفك التغليف - كيف تُبنى الحزمة وتُفكَّك؟

واحدة من المفاهيم التي يتجاوزها كثير من المبتدئين لكنها أساسية لفهم الهجمات هي عملية التغليف (Encapsulation). حين ترسل بياناتك،

كل طبقة في نموذج TCP/IP تُضيف "غلافًا" من معلوماتها الخاصة...

1. طبقة التطبيق 📌 💥 تنتج البيانات الخام مثل صفحة HTML أو بريد إلكتروني.
2. طبقة النقل 📌 💥 تُضيف رأس TCP أو UDP يتضمن أرقام المنافذ والأرقام التسلسلية. النتيجة تسمى "Segment".
3. طبقة الإنترنت 📌 💥 تُضيف رأس IP يتضمن عناوين المصدر والوجهة. النتيجة تسمى "Packet".
4. طبقة الوصول للشبكة 📌 💥 تُضيف رأس Ethernet يتضمن عناوين MAC. النتيجة تسمى "Frame" وهي ما يُرسل فعليًا عبر الكابل أو الهواء.

💡 لماذا يهم هذا في الأمن السيبراني ؟
حين يعترض المهاجم حزمة بيانات، يرى هذه الطبقات المتداخلة. إذا كانت طبقة التطبيق مشفّرة (HTTPS)، يرى الرأس الخارجي لكنه لا يستطيع قراءة المحتوى. هذا بالضبط سبب أهمية التشفير — حتى لو اعترض المهاجم الحزمة، المحتوى يبقى مجهولًا له.

كيف يُحلّل المهاجم حركة الشبكة؟ أدوات الاستطلاع

قبل أي هجوم حقيقي، يمر المهاجم بمرحلة الاستطلاع (Reconnaissance). يستخدم فيها أدوات مشروعة في الأصل لكنها قابلة للإساءة...

• Ping 💫 أبسط اختبار — يرسل حزمة ICMP ويتحقق إذا كان الجهاز مستجيبًا أم لا. المهاجم يستخدمه لمعرفة الأجهزة الحية في الشبكة.
• Traceroute / Tracert 💫 يكشف المسار الكامل الذي تسلكه الحزم بين جهازك والهدف، بما في ذلك عناوين الراوترات في الطريق. معلومات ذهبية للمهاجم.
• Nmap 💫 أداة فحص الشبكات الأكثر شهرة. تكشف المنافذ المفتوحة، أنظمة التشغيل، وإصدارات الخدمات على جهاز مستهدف.
• Wireshark 💫 يلتقط جميع الحزم المارة على الشبكة ويعرضها بتفصيل دقيق. مفيد للمتخصصين في التحليل الجنائي الرقمي، وخطر جدًا في الشبكات غير المشفّرة.
• Netcat 💫 أداة متعددة الاستخدامات تسمح بفتح اتصالات TCP/UDP مباشرة، وكثيرًا ما يستخدمها المهاجمون لإنشاء "أبواب خلفية".

" الفرق بين الهاكر الأخلاقي والمهاجم ليس الأدوات — بل النية والإذن. Nmap وWireshark أدوات يستخدمها الطرفان، لكن أحدهما يحمي والآخر يدمّر. "

 تعلّم استخدام هذه الأدوات على بيئتك الخاصة أو في بيئات تدريبية مخصصة مثل TryHackMe وHack The Box — هذا ما يفعله المحترفون لبناء خبرتهم.

TCP/IP والتشفير - لماذا HTTPS ليس كافيًا وحده؟

كثيرون يظنون أن استخدام HTTPS يعني أنهم آمنون تمامًا. الحقيقة أن HTTPS يحمي البيانات في طبقة التطبيق، لكنه لا يخفي كل شيء.

المهاجم الذي يراقب حركة شبكتك لا يزال يستطيع رؤية...

• عناوين IP المصدر والوجهة (من تتحدث مع من).
• حجم البيانات المُرسلة والمُستقبلة.
• توقيت الاتصالات ومدتها.
• اسم النطاق الذي تزوره (في معظم الحالات عبر SNI).

هذا ما يسميه المتخصصون تحليل حركة المرور (Traffic Analysis). حتى دون قراءة المحتوى، يمكن للمهاجم بناء صورة دقيقة عن نشاطك على الإنترنت.
لهذا السبب تحديدًا، استخدام VPN جنبًا إلى جنب مع HTTPS يُعطي حماية أعمق — فالـ VPN يخفي حتى عناوين IP وبيانات التوجيه.

⚠️ تنبيه مهم...
ليست كل خدمات VPN متساوية في مستوى الحماية. بعض VPNs المجانية تبيع بيانات المستخدمين أو تحتفظ بسجلات كاملة لنشاطك. اختر VPN موثوقًا بسياسة no-logs واضحة ومدققة من جهات مستقلة.

IPv4 مقابل IPv6 - التحول الذي يغيّر قواعد اللعبة

معظم الإنترنت اليوم يعمل على بروتوكول IPv4 الذي يستخدم عناوين من 4 أرقام مثل 192.168.1.1.
المشكلة أن IPv4 يدعم حوالي 4.3 مليار عنوان فقط — وهذا الرقم نفد فعليًا قبل سنوات. الحل كان IPv6 الذي يدعم عددًا هائلًا من العناوين يُقدّر بـ 340 أندليون (340 متبوعًا بـ 36 صفرًا).

من منظور الأمن السيبراني، هناك فرق مهم- IPv6 يُدمج دعمًا لبروتوكول IPsec بشكل افتراضي — وهو بروتوكول يُضيف مصادقة وتشفيرًا على مستوى طبقة الإنترنت. هذا يعالج ثغرة IP Spoofing نظريًا. لكن التطبيق الفعلي لا يزال متفاوتًا.

⚖️ الخاصية	🔵 IPv4	🟢 IPv6
طول العنوان	32 بت (مثال: 192.168.1.1)	128 بت (مثال: 2001:db8::1)
عدد العناوين	~4.3 مليار	340 أندليون (لا نهاية عملية)
التشفير المدمج	لا يوجد بشكل افتراضي	IPsec مدعوم بشكل أساسي
NAT مطلوب؟	نعم في معظم الأحيان	لا — كل جهاز له عنوانه المباشر
الانتشار الحالي	الغالبية العظمى من الإنترنت	ينمو تدريجيًا (40%+ من حركة Google)

أبرز الثغرات الأمنية في TCP/IP

هنا يبدأ الجزء الجوهري من هذا الدرس. نموذج TCP/IP صُمّم في السبعينيات للاتصال والكفاءة، لا للأمان.

ولهذا السبب يحتوي على ثغرات بنيوية يستغلها المهاجمون حتى اليوم.

1. هجوم SYN Flood

هذا النوع من هجمات الحرمان من الخدمة (DoS) يستغل المصافحة الثلاثية بطريقة ذكية. المهاجم يرسل آلاف طلبات SYN إلى السيرفر دون أن يكمل الخطوة الثالثة (ACK). النتيجة؟ السيرفر يحجز موارده انتظارًا لردود لن تأتي أبدًا، حتى يمتلئ ويتوقف عن الاستجابة للطلبات الحقيقية.

⚠️ مثال واقعي...
في عام 2016، أدى هجوم DDoS ضخم (وهو نسخة موزعة من SYN Flood) على شركة Dyn لإسقاط مئات المواقع الكبرى مثل Twitter وNetflix وPayPal لساعات طويلة.

2. اختطاف الجلسة Session Hijacking

حين تسجّل دخولك إلى موقع ما، يُعطيك السيرفر "رمز جلسة" (Session Token) — نوع من الختم الرقمي يثبت هويتك دون الحاجة لإعادة كتابة كلمة المرور في كل طلب.

المهاجم يسعى لسرقة هذا الرمز بأساليب متعددة مثل اعتراض الشبكة أو XSS، وبعدها يستطيع التصرف في حسابك كأنه أنت تمامًا.

لماذا هذا خطير في سياق TCP/IP تحديدًا؟ لأن TCP يستخدم أرقامًا تسلسلية للتحقق من الحزم، وإذا تمكّن المهاجم من التنبؤ بهذه الأرقام، يمكنه حقن حزم مزيفة في الاتصال.

3. انتحال عنوان IP — IP Spoofing

بروتوكول IP لا يتحقق من هوية المرسل 💦 يثق أن العنوان المكتوب في رأس الحزمة هو العنوان الحقيقي. المهاجم يستغل هذا بتزوير عنوان IP المصدر في الحزم التي يرسلها، ليظهر كأنه شخص آخر أو كأن الهجوم قادم من مصدر مختلف.

يُستخدم هذا بشكل شائع في هجمات DDoS لإخفاء هوية المهاجم.

🛡️ نوع الهجوم	🎯 ما الذي يستهدفه	💥 التأثير	✅ طريقة الحماية
SYN Flood	المصافحة الثلاثية في TCP	تعطيل الخدمة وإيقاف السيرفر	SYN Cookies، Rate Limiting
Session Hijacking	رمز الجلسة بعد تسجيل الدخول	سيطرة كاملة على الحساب	HTTPS، HttpOnly Cookies
IP Spoofing	طبقة الإنترنت في IP	إخفاء الهوية، تضخيم الهجمات	Ingress Filtering، IPsec

ثغرات إضافية لا يجب تجاهلها

إلى جانب الثلاث الكبرى، هناك ثغرات أخرى في نموذج TCP/IP تستحق الذكر...

• هجوم Man-in-the-Middle (MITM) 💦 المهاجم يضع نفسه بين جهازك والسيرفر، يقرأ ويعدّل ما يمر بينكما دون علمك. كان هذا خطيرًا جدًا قبل انتشار HTTPS.
• هجوم ICMP Flood (Ping Flood) 💦 إغراق الجهاز بطلبات Ping لاستنزاف موارده.
• UDP Flood 💦 إرسال كميات ضخمة من حزم UDP العشوائية لإشغال النطاق الترددي وتعطيل الخدمة.
• Port Scanning 💦 المهاجم يفحص المنافذ المفتوحة على جهازك أو السيرفر لاكتشاف نقاط الدخول الممكنة قبل الهجوم الفعلي.
  
  

كيف تحمي نفسك عمليًا؟

المعرفة النظرية مهمة، لكن ما يفرّق المبتدئ الجاد عن غيره هو التطبيق. إليك نصائح عملية مباشرة يمكنك تطبيقها اليوم...

1. تأكد من HTTPS دائمًا 📌 👈 الـ S في HTTPS تعني أن الاتصال مشفّر عبر TLS. لا تدخل بيانات حساسة في أي موقع يبدأ بـ HTTP فقط. المتصفح الحديث يحذّرك، لكن تنبّه أنت أيضًا.
2. استخدم VPN على الشبكات العامة 📌 👈 الشبكات العامة (المطاعم، المطارات، الفنادق) بيئة مثالية لهجمات MITM. VPN يشفّر بياناتك ويحمي حزم TCP/IP من الاعتراض.
3. فعّل جدار الحماية (Firewall) 📌 👈 جدار الحماية يراقب حركة الشبكة ويمنع الحزم المشبوهة. تأكد أن Firewall نظامك التشغيلي مفعّل في جميع الأوقات.
4. حدّث نظامك دومًا 📌 👈 كثير من التحديثات الأمنية تُصلح ثغرات في التعامل مع بروتوكولات الشبكة. تجاهل التحديثات = ترك نافذة مفتوحة للمهاجمين.
5. راقب المنافذ المفتوحة على أجهزتك 📌 👈 إذا كنت مطوّرًا أو مسؤولًا عن سيرفر، استخدم أدوات مثل netstat أو nmap لمعرفة المنافذ المفتوحة وأغلق ما لا تحتاجه.
6. لا تتصل بشبكات Wi-Fi مجهولة 📌 👈 المهاجم يمكنه إنشاء نقطة وصول وهمية باسم مشابه لشبكة حقيقية. قبل الاتصال، تحقق من اسم الشبكة مع موظفي المكان.

✅ نصيحة للمبتدئين...
إذا أردت تطبيق ما تعلمته بشكل عملي، جرّب تشغيل Wireshark (برنامج مجاني) على شبكتك المنزلية ولاحظ الحزم التي تمر. ستجد بعينيك كيف تبدو حزم SYN وACK و HTTP — وهذا سيغيّر نظرتك للإنترنت كليًا.

سيناريو حقيقي - كيف يبدو الهجوم من الداخل؟

لنجعل الأمر أكثر واقعية. تخيّل هذا السيناريو - أنت في مقهى وتتصل بشبكة Wi-Fi مجانية اسمها "CafeGuest". ما الذي يمكن أن يحدث إذا كان المهاجم في نفس المقهى؟

1. الخطوة الأولى 💥 ARP Poisoning 📌 المهاجم يرسل حزم ARP مزيفة تقول لجهازك... "أنا الراوتر"، وللراوتر... "أنا جهاز الضحية". الآن كل حركتك تمر عبره أولًا قبل وصولها لوجهتها الحقيقية.
2. الخطوة الثانية 💥 اعتراض الحزم 📌 يفتح المهاجم Wireshark ويبدأ التقاط كل الحزم. أي موقع تزوره بـ HTTP؟ يقرأ كل شيء بنص صريح تمامًا 💧 كلمات المرور، الرسائل، كل شيء.
3. الخطوة الثالثة 💥 SSL Stripping 📌 حتى مع HTTPS، بعض الأدوات قادرة على تحويل الاتصال لـ HTTP خلسةً إذا لم يكن الموقع يفرض HSTS. المستخدم يظن أنه آمن وهو ليس كذلك.
4. الخطوة الرابعة 💥 سرقة الجلسة 📌 إذا نجح المهاجم في الحصول على Session Cookie لحساب البريد مثلًا، يستطيع الدخول إليه دون الحاجة لكلمة المرور على الإطلاق.

🛡️ كيف تنجو من هذا السيناريو؟
الحل بسيط جدًا... شغّل VPN قبل الاتصال بأي شبكة عامة. حتى لو نجح المهاجم في ARP Poisoning، كل ما يرى هو حزم مشفّرة لا معنى لها. هذا وحده يُبطل 90% من هجمات الشبكات العامة.

المنافذ - أبواب الإنترنت الخفية

لا يمكن الحديث عن TCP/IP دون الحديث عن المنافذ. تخيّل أن عنوان IP هو عنوان مبنى، والمنافذ هي أرقام الشقق داخل ذلك المبنى.

جهازك يتواصل مع آلاف الخدمات المختلفة في آنٍ واحد، والمنافذ هي التي تنظّم هذه الفوضى وتضمن وصول كل حزمة إلى التطبيق الصحيح.

🔌 رقم المنفذ	📡 البروتوكول	📋 الاستخدام	⚠️ أهمية أمنية
80	HTTP	تصفح الويب غير المشفّر	عالية — لا تشفير
443	HTTPS	تصفح الويب المشفّر	منخفضة — اتصال آمن
22	SSH	الوصول الآمن للسيرفرات	متوسطة — هدف للهجمات
21	FTP	نقل الملفات	عالية — كلمة المرور بنص واضح
53	DNS	ترجمة أسماء النطاقات	متوسطة — هدف للتزوير

لماذا هذا مهم؟ لأن المهاجم أول ما يفعله عند استهداف نظام هو فحص المنافذ المفتوحة. كل منفذ مفتوح غير ضروري هو باب إضافي محتمل للاختراق. القاعدة الذهبية... أغلق كل منفذ لا تحتاجه.

مفاهيم مكمّلة يجب معرفتها

مع تقدمك في الأمن السيبراني، ستصطدم بهذه المفاهيم كثيرًا وهي تُكمل صورة TCP/IP...

• NAT (Network Address Translation) 💢 جهازك في المنزل يحمل عنوان IP خاصًا (مثل 192.168.1.5)، لكن الراوتر يُترجمه إلى عنوان IP عام واحد عند الخروج للإنترنت.
  هذا يُخفي بنية الشبكة الداخلية ويُقلل من تعرّضها المباشر.
  
  
• TTL (Time to Live) 💢 رقم في رأس حزمة IP يتناقص في كل راوتر تمر به. حين يصل إلى صفر تُحذف الحزمة. يمنع الحزم الضائعة من الدوران إلى الأبد،
  ويستخدمه المهاجمون أحيانًا لتحديد عدد القفزات (Hops) بين أجهزة الشبكة.
  
  
• Socket 💢 الزوج المكوّن من عنوان IP ورقم منفذ (مثلًا 93.184.216.34:443). هو الهوية الكاملة لأي اتصال شبكي. حين تفتح تبويبين في متصفحك لنفس الموقع، يستخدم كل تبويب Socket مختلفًا.
  
  
• ARP (Address Resolution Protocol) 💢 يُترجم عناوين IP إلى عناوين MAC الفيزيائية داخل الشبكة المحلية. هدف ARP Poisoning الذي رأيناه في السيناريو السابق.

📚 خريطة تعلّم مقترحة للمبتدئ الجاد...

المرحلة الأولى 💦 TCP/IP، طبقاته، المنافذ، المصافحة الثلاثية (أنت هنا الآن ✅).
المرحلة الثانية 💦 Wireshark عملي وتحليل الحزم وقراءة الرؤوس.
المرحلة الثالثة 💦 Firewalls وIDS/IPS وقراءة السجلات.
المرحلة الرابعة 💦 اختبار الاختراق الأخلاقي على بيئات مثل TryHackMe.

ربط الدروس - من IP وDNS إلى TCP/IP

الآن أصبح بإمكانك رؤية الصورة الكاملة. في الدروس السابقة تعلّمت...

• عناوين IP 💥 هي هوية كل جهاز على الشبكة.
• بروتوكول DNS 💥 يترجم الأسماء إلى عناوين IP.
• نموذج TCP/IP 💥 يحدد كيف تنتقل البيانات من جهاز لآخر عبر تلك العناوين.

الثلاثة معًا يشكّلون أساس الإنترنت كما نعرفه. وأي هجوم سيبراني تسمع عنه 💢 سواء كان تصيّدًا احتياليًا أو اختراقًا لبيانات أو هجوم حرمان من الخدمة 💢 يستغل ثغرة في أحد هذه المستويات.

" لا تستطيع حماية ما لا تفهمه. فهم كيف يعمل TCP/IP هو الخطوة الأولى الحقيقية نحو الأمن السيبراني — وليس مجرد خطوة أكاديمية. "

ما الدرس القادم؟

في الدرس القادم من دورة الأمن السيبراني للمبتدئين، سننتقل إلى عالم الجدران النارية وأنظمة كشف التسلل (IDS/IPS) — وهي أدوات مبنية مباشرة على فهمك لـ TCP/IP.

ستتعلم كيف تقرأ هذه الأنظمة حركة الشبكة وتميّز الحزم الطبيعية عن المشبوهة.

🎯 ملخص ما تعلمته في هذا الدرس...

• TCP/IP نموذج من 4 طبقات يحكم كيفية انتقال البيانات عبر الإنترنت.
• TCP موثوق وبطيء نسبيًا، UDP سريع ولكن بلا ضمان.
• المصافحة الثلاثية هي بداية كل اتصال TCP وهي نقطة ضعف محتملة.
• أبرز الثغرات: SYN Flood وSession Hijacking وIP Spoofing.
• HTTPS وVPN وجدران الحماية هي خط الدفاع الأول لأي مستخدم.