آموزش هک شبکه با کارت‌بازی؛ پروژه‌ای که مفاهیم امنیتی پیچیده را به یک بازی کارتی تبدیل کرد

یک پروژه‌ی مستقل با نام «Project RedTeam: Contract Offensive» تلاش کرده آموزش نفوذ کنترل‌شده به شبکه را به شکل یک بازی کارتی روگلایک درآورد؛ جایی که هر کارت نقش یک تاکتیک واقعی از چارچوب MITRE ATT&CK را بازی می‌کند و نتیجه‌ی هر حرکت به وضعیت زنده‌ی یک شبکه‌ی شبیه‌سازی‌شده بستگی دارد. این رویکرد مفاهیم انتزاعی را ملموس می‌کند و بازیکن را با همان محدودیت منابع و فشار تصمیم‌گیری که یک مهاجم در دنیای واقعی تجربه می‌کند، روبه‌رو می‌گذارد.

مکانیک بازی: از تئوری تا عمل

نوآوری اصلی بازی در تبدیل اصول امنیت سایبری به مکانیک‌های روشن و قابل‌بازی‌کردن است. به‌جای یک فهرست خشک از تکنیک‌ها، تاکتیک‌های شناخته‌شده به کارت‌هایی تبدیل شده‌اند که هرکدام نقش یک حرکت مشخص را بازی می‌کنند؛ مثلا فیشینگ، ارتقای دسترسی یا حرکت جانبی (Lateral Movement). موفقیت یا شکست هیچ کارتی تصادفی نیست و به وضعیت پویای شبکه‌ای بستگی دارد که در هر اجرا به‌صورت رویه‌ای تولید می‌شود.

شبکه‌ها به‌صورت رویه‌ای تولید می‌شوند تا معماری‌های رایج سازمانی (مانند DMZ و زیرشبکه‌های داخلی) با ترکیبی از آسیب‌پذیری‌ها و مکانیزم‌های دفاعی شبیه‌سازی شوند. هر گره (سرور یا دستگاه) پروفایل آسیب‌پذیری و «وضعیت دفاعی» خود را دارد. وقتی بازیکن یک کارت بهره‌برداری را روی سرور اجرا می‌کند، بازی وضعیت شبکه را می‌سنجد: اگر آسیب‌پذیری مربوط (CVE) در آن سرور پچ نشده باشد، حرکت موفق می‌شود و وضعیت دفاعی سرور به «تضعیف‌شده» تغییر می‌کند. این تغییر می‌تواند سطح حمله به گره‌های مجاور را بالا ببرد و یک زنجیره‌ی علت‌ومعلولی راه بیندازد.

سیستم کارتی همچنین به‌عنوان یک محدودیت استراتژیک عمل می‌کند. در هر اجرا، بازیکن دستی از کارت‌ها دارد که در دسترس بودن‌شان ثابت نیست. این طراحی کمبود منابع در دنیای واقعی را بازتاب می‌دهد و بازیکن را وادار می‌کند زیر فشار، ابزارها و تاکتیک‌ها را اولویت‌بندی کند و با شرایط تطبیق دهد. نبود یک کارت کلیدی مثل حرکت جانبی می‌تواند نقشه را به‌هم بزند و بازیکن را به پیدا کردن راه‌حل جایگزین یا پرداخت هزینه مجبور کند.

شش سناریو آموزشی: از نفوذ اولیه تا فرار از دفاع

بازی مفاهیم را در شش سناریو، لایه‌به‌لایه و پیشرونده آموزش می‌دهد. هر سناریو مثل یک اکوسیستم کوچک طراحی شده که مراحل نفوذ را به زنجیره‌های علت‌ومعلولی و قابل‌اجرا تبدیل می‌کند:

۱. سناریو ۱: کسب جای پای اولیه (Initial Foothold). کارت «حمله‌ی Brute-Force به RDP» نمونه‌ای از این است که چگونه یک پورت باز ۳۳۸۹ یا یک قاعده‌ی نادرست فایروال می‌تواند به دسترسی اولیه (با سطح پایین) منجر شود.

۲. سناریو ۲: حرکت جانبی (Lateral Movement). کارت «Pass-the-Hash» نشان می‌دهد برداشت هش اعتبارنامه‌ها از فرآیند LSASS در یک گره در خطر چگونه می‌تواند برای احراز هویت روی گره‌ای با سطح دسترسی بالاتر به‌کار رود. در صورت شکست، ممکن است حساب کاربری قفل شود.

۳. سناریو ۳: ارتقای دسترسی (Privilege Escalation). با کارت «Exploit Kit» یک آسیب‌پذیری کرنل شناخته‌شده (مثل CVE-2021-34527) هدف قرار می‌گیرد تا دسترسی سطح SYSTEM به‌دست آید.

۴. سناریو ۴: خروج داده (Data Exfiltration). کارت «خروج داده» به‌صورت پنهانی و از کانال‌هایی مانند DNS tunneling داده‌های حساس را بیرون می‌برد. سیستم کشف نفوذ (IDS) می‌تواند الگوهای غیرعادی ترافیک را تشخیص دهد و سرعت خروج را محدود کند.

۵. سناریو ۵: استقرار باج‌افزار (Ransomware Deployment). اجرای کارت «باج‌افزار» فایل‌های گره‌ی هدف را در شبیه‌سازی رمزنگاری می‌کند. اگر بازیکن پیش از این داده‌ها را خارج نکرده باشد، جریمه‌ی مالی درون‌بازی اعمال می‌شود.

۶. سناریو ۶: فرار از دفاع (Defense Evasion). با کارت‌هایی مانند «غیرفعال کردن نظارت بلادرنگ Windows Defender»، فعالیت مخفیانه برای مدت محدودی پنهان می‌ماند تا فرصت انجام حرکات بعدی فراهم شود.

یک ماشین حالت پویا این سناریوها را به هم وصل می‌کند. نتیجه‌ی هر اقدام در یک سناریو می‌تواند بر مراحل بعدی اثر بگذارد؛ مثلا در خطر افتادن یک سرور در سناریوی ۱، حرکت جانبی را در سناریوی ۲ آسان‌تر می‌کند.

شکست به عنوان ابزار تشخیصی

نگاه بازی به «شکست» هم آموزشی است. شکست صرفا بازگشت به ذخیره‌ی قبلی نیست؛ یک ابزار تشخیصی قوی است. وقتی حرکتی ناموفق می‌شود — مثلا یک حمله‌ی Brute-Force — بازی دلیل مکانیکی آن را توضیح می‌دهد (شناسایی شدن فعالیت یا انتخاب ابزار نامناسب). این شکست پیامد دارد: ممکن است بدهی بازیکن بالا برود یا سامانه‌های دفاعی شبکه سازگارتر و پاسخ‌گوتر شوند. همین چرخه، ریسک و عوارض دنیای واقعی امنیت سایبری را بازآفرینی می‌کند و بازیکن را به بازنگری در استراتژی وامی‌دارد.

تعادل ظریف بین واقع‌گرایی و دسترس‌پذیری

چالش بزرگ چنین اثری حفظ تعادل بین دقت فنی و فهم‌پذیری برای مخاطب غیرمتخصص است. توسعه‌دهنده با تجربه‌ی یک‌دهه‌ای‌اش در امنیت سایبری، از «ساده‌سازی مبتنی بر کارت» استفاده کرده است. به‌جای این‌که بازیکن اسکریپت بنویسد و قواعد فایروال را دستی بررسی کند، این کار به انتخاب یک کارت مشخص خلاصه می‌شود. اما نتیجه همچنان به وضعیت شبکه وابسته است؛ اگر آسیب‌پذیری پچ شده باشد، حرکت شکست می‌خورد. به این ترتیب، واقعیت فنی حفظ می‌شود و بار شناختی روی بازیکن کم می‌شود.

در عین حال از ابزارهای هوش مصنوعی مدرن هم کمک گرفته شده تا تولید رویه‌ای شبکه‌ها و بالانس بازی سریع‌تر شود، ولی نقش آن محدود است. هوش مصنوعی کارهای تکراری مثل ساخت چیدمان شبکه را انجام می‌دهد، و محتواهای آموزشی و تطبیق آسیب‌پذیری‌ها با تکنیک‌های واقعی MITRE ATT&CK را خود توسعه‌دهنده بررسی می‌کند. این رویکرد «انسان در حلقه» جلوی ساده‌سازی افراطی را می‌گیرد.

دموی رایگان: دروازه‌ای برای آزمایش بدون ریسک

دموی کاملا رایگان، تصمیمی آموزشی است تا محدودیت زمانی و مالی حذف شود. در دمو، بازیکنان می‌توانند آزادانه آزمایش کنند، شکست بخورند و رابطه‌ی علت‌ومعلولی بین حرکات و پیامدها را کشف کنند. شکست در دمو جریمه‌ای ندارد؛ بنابراین می‌شود با خیال راحت مرزهای سیستم را آزمود و شهود بهتری نسبت به دینامیک نفوذ به شبکه به‌دست آورد.

آینده‌ی پروژه و پیامدهای گسترده‌تر

این پروژه فقط یک بازی نیست؛ یک چارچوب آموزشی مقیاس‌پذیر برای پر کردن بخشی از شکاف مهارتی امنیت سایبری است. مسیرهای گسترش شامل افزودن معماری‌های مدرن مثل محیط‌های ابری و اکوسیستم‌های اینترنت اشیاء، معرفی حالت‌های چندنفره برای شبیه‌سازی کار تیمی، و یکپارچه‌سازی با ابزارهای واقعی صنعت مانند Wireshark عنوان شده‌اند. چنین ابتکارهایی می‌توانند آموزش مفاهیم فنی پیچیده را با بازی‌سازی جلو ببرند و به تربیت نیروی کار آینده‌ی امنیت سایبری کمک کنند.