إنشاء آلة Windows افتراضية معزولة وحفظ لقطة استعادة

مرحبًا. في الدرس السابق وضعنا قاعدة العمل المهنية: لا نحلل إلا ملفًا تدريبيًا أو أصلًا نملك إذنًا واضحًا لتحليله. الآن نضيف طبقة الحماية التقنية التي تجعل هذا القرار قابلًا للتطبيق عمليًا: آلة Windows افتراضية معزولة يمكن إرجاعها إلى حالة نظيفة عبر لقطة استعادة (Snapshot).

الهدف ليس جعل أي ملف «آمنًا» لمجرد تشغيله داخل آلة افتراضية؛ فالعزل يقلل الخطر ولا يلغيه. هدفنا المباشر هو إنشاء بيئة Windows مخصصة للدورة، منعها من الوصول غير المقصود إلى الشبكة أو ملفاتك الشخصية، ثم حفظ نقطة نظيفة قبل أن تدخل إليها أي عينة تدريبية.

بنهاية الدرس ستكون لديك آلة باسم واضح، وإعدادات عزل مناسبة، ولقطة استعادة جاهزة مثل 00-clean-windows-offline.

---

ما الذي تعزله الآلة الافتراضية فعلًا؟

الآلة الافتراضية هي حاسوب برمجي له نظام تشغيل وقرص وذاكرة ومعالج افتراضيون، لكنه يعمل فوق جهازك الحقيقي، الذي يسمى المضيف (Host). أما Windows الذي ستثبته داخل الآلة فيسمى الضيف (Guest).

الفصل مهم، لكنه ليس مطلقًا. توجد «جسور» قد تنقل البيانات بين الضيف والمضيف، مثل:

• الشبكة الافتراضية.
• الحافظة المشتركة بين النظامين.
• السحب والإفلات.
• المجلدات المشتركة.
• أجهزة USB الممررة إلى الآلة الافتراضية.
• نسخ الملفات يدويًا من وإلى بيئة المختبر.

في مختبر الهندسة العكسية، القاعدة الافتراضية بسيطة:

كل مشاركة بين المضيف والضيف يجب أن تكون معطلة ما لم تكن لديك حاجة واضحة ومحددة إليها.

شاهد أولًا هذا المقطع القصير من فيديو «بناء مختبر تحليل الفيروسات والهندسة العكسية من الصفر» لقناة MrLimbo. ركّز على الفكرة الأساسية: الآلة الافتراضية بيئة مستقلة نسبيًا، وليست مجرد نافذة عادية لتشغيل البرامج.

---

اختر مستوى العزل الشبكي قبل إنشاء الآلة

الشبكة هي أهم إعداد أمني في المختبر. ليست كل الخيارات متساوية، واختيار خاطئ مثل Bridged قد يجعل الضيف يظهر على الشبكة المنزلية أو شبكة العمل كأنه جهاز مستقل حقيقي.

وضع الشبكة	هل يصل الضيف إلى الإنترنت؟	هل يتصل بالمضيف؟	الاستخدام المناسب هنا
Disabled / Not attached	لا	لا عبر الشبكة	الخيار الافتراضي قبل تشغيل أي عينة
Host-Only	لا عادةً	نعم	مختبرات مستقبلية محددة تحتاج تواصلًا محكومًا مع المضيف
NAT	نعم، عبر المضيف	محدود	تنزيل تحديث أو أداة موثوقة، ثم تعطيله
Bridged	نعم	يظهر على الشبكة المحلية مباشرة	لا تستخدمه لعينات التحليل
Internal Network	لا	لا، إلا مع ضيوف آخرين في الشبكة الداخلية	لاحقًا، عند بناء شبكة محاكاة تضم أكثر من آلة

لا تخلط بين Host-Only و«معزول تمامًا». هذا الوضع يمنع الوصول الخارجي المعتاد، لكنه يسمح للضيف بالتواصل مع المضيف. لذلك، في هذه المرحلة التي نريد فيها صورة Windows نظيفة وآمنة قبل عينات تدريبية، اختر تعطيل محول الشبكة تمامًا.

المقطع التالي يوضح الفكرة الشبكية خلف أوضاع Bridge وNAT وHost-Only. رغم أن الشرح يستخدم VMware، فالمفاهيم نفسها موجودة في VirtualBox؛ تختلف أسماء القوائم فقط.

ملاحظة أمنية مهمة

لا تتبع أي نصيحة تطلب تعطيل برنامج الحماية على جهازك الحقيقي. حافظ على تحديث Windows وعلى برنامج الحماية في النظام المضيف. وحتى داخل الضيف، لن نعطّل وسائل الحماية في هذا الدرس؛ ستعتمد المختبرات الأولى على ملفات تعليمية مصرح بها، لا على برمجيات خبيثة حقيقية.

---

إعداد الآلة: قرارات عملية تناسب جهازك

جهازك يحتوي على ذاكرة $16$ GB، وهذا يكفي لتشغيل Windows افتراضيًا بشكل مريح إذا تركت مساحة كافية للنظام المضيف.

استخدم الإعدادات التالية كنقطة بداية:

الإعداد	القيمة المقترحة	السبب
اسم الآلة	RE-Win10-Lab	اسم واضح يسهل توثيقه وتمييزه
نظام الضيف	Windows 10، إصدار $64$-bit	يطابق بيئة جهازك والدورة
الذاكرة	$4096$ MB	كافية غالبًا لبدء المختبر وتترك ذاكرة للمضيف
المعالجات	2	توازن جيد بين أداء الضيف واستقرار المضيف
القرص الافتراضي	$60$ GB ديناميكي التخصيص	مساحة مناسبة للأدوات والملفات التدريبية دون حجز المساحة كلها فورًا
الشبكة	Disabled أو إلغاء تفعيل المحول	يمنع الوصول غير المقصود إلى الإنترنت والشبكة المحلية
الحافظة المشتركة	Disabled	يمنع النسخ العرضي بين الضيف والمضيف
السحب والإفلات	Disabled	يمنع نقل ملفات بلا قصد
المجلدات المشتركة	لا شيء	يحمي ملفات المضيف من الوصول غير الضروري
USB	عطّل تمرير USB غير الضروري	لا تمرر أقراصك أو أجهزتك الشخصية للضيف

تجنب وضع مجلد الآلة الافتراضية داخل خدمة مزامنة سحابية أو مجلد شخصي حساس، مثل مجلد المستندات المتزامن تلقائيًا. اختر قرصًا محليًا يتسع للآلة، وأنشئ مجلدًا واضحًا مثل:

D:\ReverseEngineeringLab\VirtualMachines\

إذا لم يكن لديك قرص $D:$، اختر مجلدًا محليًا على القرص المتاح بشرط توفر المساحة.

---

التطبيق العملي: إنشاء Windows افتراضي في VirtualBox

خصص نحو 20 دقيقة لتنفيذ الخطوات التالية. استخدم ملف ISO رسميًا ومشروعًا لنظام Windows، ولا تستخدم ملفات ISO مجهولة المصدر.

ابدأ بفتح VirtualBox Manager ثم اختر New لإنشاء آلة جديدة.

1. تحديد الاسم وملف ISO

في نافذة Create Virtual Machine:

1. اكتب اسمًا مثل RE-Win10-Lab.
2. اختر مجلد الحفظ الذي أنشأته للمختبر.
3. في حقل ISO Image، اختر ملف Windows ISO الذي حصلت عليه من مصدر رسمي.
4. تأكد من أن النوع هو Microsoft Windows والإصدار هو Windows 10 (64-bit).
5. إذا ظهر خيار Skip Unattended Installation، اختره لتثبيت النظام يدويًا. هذا يجعلك ترى خطوات التثبيت بدل أن ينشئ VirtualBox حسابًا وإعدادات تلقائيًا.
6. اضغط Next.

استخدم أثناء تثبيت Windows حسابًا محليًا مخصصًا للمختبر إن أمكن، ولا تسجل الدخول بحسابك الشخصي الذي يحتوي بريدك وملفاتك أو كلمات مرورك. اسم مثل labuser مناسب.

2. تخصيص العتاد الافتراضي

في شاشة Hardware:

1. اضبط الذاكرة على $4096$ MB.
2. اضبط عدد المعالجات على 2.
3. لا تخصص معظم الذاكرة أو كل أنوية المعالج للضيف؛ يجب أن يبقى نظامك الحقيقي مستقرًا أثناء تشغيل الآلة.

ثم في إعداد القرص:

1. أنشئ قرصًا افتراضيًا جديدًا.
2. اختر حجمًا قدره $60$ GB.
3. إن ظهر خيار التخصيص الديناميكي، اختره. معناه أن ملف القرص على المضيف يبدأ بحجم أصغر ثم ينمو مع استخدام Windows للبيانات، حتى الحد المحدد.

بعد مراجعة الملخص، اضغط Finish.

3. عزل منافذ الاتصال قبل أول تشغيل

قبل الضغط على Start، حدد الآلة ثم اختر Settings. راجع الإعدادات التالية بهدوء:

الشبكة

انتقل إلى Network ثم:

• أزل علامة Enable Network Adapter، أو اجعل المحول Not attached بحسب إصدار VirtualBox.
• تأكد من عدم اختيار Bridged Adapter.

ستحتاج أحيانًا في المستقبل إلى الإنترنت لتنزيل تحديث موثوق أو أداة محددة. عندها فقط فعّل NAT مؤقتًا، نفّذ المهمة، ثم أعد تعطيل المحول قبل العمل على الملفات التدريبية. لا تجعل NAT أو Bridged إعدادًا دائمًا لمختبر العينات.

التكامل مع المضيف

ضمن General ثم Advanced:

• اضبط Shared Clipboard على Disabled.
• اضبط Drag'n'Drop على Disabled.

ضمن Shared Folders:

• تأكد من أن القائمة فارغة.

ضمن USB:

• لا تضف أي فلتر USB ولا تمرر قرصًا خارجيًا أو هاتفًا شخصيًا إلى الضيف دون حاجة مختبرية واضحة.

أجهزة غير لازمة

يمكنك، عند توفر الخيارات، تعطيل الكاميرا والصوت والأجهزة غير المطلوبة. تقليل المكونات المتصلة يعني تقليل مساحة الاتصال بين المختبر ونظامك الحقيقي.

4. تثبيت Windows

شغّل الآلة. سيقلع VirtualBox من ملف ISO، ثم أكمل تثبيت Windows بصورة عادية:

1. اختر اللغة وتخطيط لوحة المفاتيح المناسبين.
2. اختر الإصدار المتوافق مع ترخيصك أو بيئتك التدريبية.
3. ثبّت النظام على القرص الافتراضي الذي أنشأته.
4. أنشئ حساب مختبر منفصلًا.
5. لا تنقل ملفاتك الشخصية إلى الآلة.
6. لا تثبّت أدوات تحليل أو عينات الآن؛ نريد أولًا نقطة استعادة نظيفة.

بعد ظهور سطح مكتب Windows، تحقق بصريًا من عدم وجود اتصال شبكي. من الطبيعي أن تظهر أيقونة الشبكة كأنها غير متصلة، لأن محول الشبكة معطل في إعدادات VirtualBox.

---

لقطة الاستعادة: نقطة رجوع، وليست نسخة احتياطية

الـ Snapshot يحفظ حالة الآلة عند لحظة محددة. عند استعادته لاحقًا، يعود القرص الافتراضي وإعدادات الحالة إلى ما كانت عليه عند إنشاء اللقطة، وتختفي التغييرات اللاحقة من الحالة النشطة.

في هذا المختبر، اللقطة تعني عمليًا:

• ملف تدريبي غيّر إعدادًا أو أفسد Windows.
• أداة تحليل ثبتت بشكل خاطئ.
• تجربة تركت ملفات أو إعدادات لا تريد الاحتفاظ بها.
• تريد بدء مختبر جديد من نظام نظيف ومعلوم الحالة.

بدل إعادة تثبيت Windows، تستعيد اللقطة النظيفة.

شاهد هذا الجزء من فيديو MrLimbo لفهم فكرة اللقطة قبل إجراء تغيير كبير. ركّز على المبدأ، لا على الأدوات أو السكربتات المذكورة في المقطع.

أنشئ اللقطة الأولى بالطريقة الصحيحة

لإنشاء لقطة نظيفة:

1. أوقف Windows الافتراضي إيقافًا كاملًا من قائمة Start داخل الضيف عبر Shut down.
2. انتظر حتى تظهر حالة الآلة في VirtualBox على أنها Powered Off، لا Saved ولا Running.
3. في VirtualBox، حدد الآلة ثم افتح تبويب أو قائمة Snapshots.
4. اختر Take Snapshot.
5. سمِّها باسم دقيق، مثل:

00-clean-windows-offline

6. أضف وصفًا قصيرًا، مثل:

Windows 10 installed. Network adapter disabled.
No shared folders, clipboard, drag and drop, or samples.

استخدام لقطة مأخوذة والآلة متوقفة أفضل للمبتدئ؛ فهي تمثل حالة قرص واضحة، ولا تحفظ جلسة Windows مفتوحة أو برنامجًا يعمل في الخلفية.

كيف تستعيد اللقطة لاحقًا؟

عندما تريد التخلص من تغييرات مختبرية:

1. أوقف الآلة الافتراضية.
2. افتح تبويب Snapshots.
3. حدد 00-clean-windows-offline.
4. اختر Restore.
5. إذا عرض VirtualBox أخذ لقطة للحالة الحالية، لا تفعل ذلك إذا كانت الحالة الحالية قد تحتوي ملفًا غير موثوق أو نتيجة لا تريد الاحتفاظ بها.
6. شغّل الآلة، وستعود إلى الحالة النظيفة المسجلة.

تحذير: اللقطة ليست بديلًا عن النسخة الاحتياطية لملفاتك المهمة، وليست وسيلة موثوقة لحفظ أدلة تحليل حقيقية. اللقطات ترتبط بملفات الآلة الافتراضية نفسها وقد تستهلك مساحة مع تراكم التغييرات. استخدمها كنقطة رجوع تشغيلية للمختبر، واحتفظ بملاحظات التحليل خارج الآلة فقط عندما تكون هذه الملاحظات خالية من ملفات أو بيانات حساسة.

---

فحص التسليم قبل إدخال أي عينة

قبل اعتبار المختبر جاهزًا، نفّذ قائمة التحقق التالية. لا تنتقل إلى العينات التدريبية إن كانت أي نقطة غير واضحة.

داخل VirtualBox

• اسم الآلة واضح ومخصص للمختبر.
• يوجد ملف ISO موثوق فقط، وليس ملفًا مجهول المصدر.
• الذاكرة $4096$ MB والمعالجان 2، أو إعداد قريب يترك موارد كافية للمضيف.
• محول الشبكة معطل أو غير متصل.
• لا يوجد Bridged Adapter.
• الحافظة المشتركة والسحب والإفلات معطلان.
• لا توجد مجلدات مشتركة.
• لا توجد أجهزة USB شخصية موصلة بالضيف.
• تم إيقاف الآلة إيقافًا كاملًا.
• توجد لقطة باسم 00-clean-windows-offline.

على النظام المضيف

• لم تعطّل برنامج الحماية أو الجدار الناري في جهازك الحقيقي.
• لم تضع مجلد الآلة داخل مجلد مزامنة سحابية أو مجلد يحوي ملفات حساسة.
• لم تنقل حساباتك الشخصية أو وثائقك أو كلمات مرورك إلى الضيف.
• لديك إذن واضح للملفات التدريبية التي ستستخدمها مستقبلًا، وفق بطاقة التصريح التي أنشأتها في الدرس السابق.

إذا احتجت لاحقًا إلى نقل ملف تدريبي مصرح به إلى الضيف، لا تعيد تفعيل المشاركة الدائمة لمجرد الراحة. حدّد طريقة نقل مقصودة ومؤقتة، ثم تحقق من أن الوجهة هي مجلد المختبر داخل الضيف، لا أحد مجلداتك الحقيقية.

---

الخلاصة

أصبحت لديك الآن بنية مختبر أولية مناسبة للهندسة العكسية:

• المضيف هو Windows الحقيقي الذي يحوي بيئتك وملفاتك، ويجب أن يبقى محميًا.
• الضيف هو Windows افتراضي مخصص للدورة ولا يحتوي حساباتك أو ملفاتك الشخصية.
• أفضل إعداد أولي قبل العينات هو تعطيل الشبكة، والحافظة المشتركة، والسحب والإفلات، والمجلدات المشتركة.
• لا تستخدم Bridged للشغل على عينات تحليلية.
• اللقطة 00-clean-windows-offline هي نقطة رجوعك النظيفة قبل أي تجربة.

في الدرس التالي ستبدأ بالتعامل مع Windows من زاوية المحلل: استخدام PowerShell لاستعراض الملفات والعمليات والخدمات وجمع معلومات أولية عنها داخل المختبر.