هام: لم يتم تحديث هذا الـ README والوثائق الأخرى لتعكس التغييرات التي تم إدخالها على أحدث الإصدارات التجريبية (نظرًا لحدوث الكثير من التغييرات). سيتم تحديث كل هذا في الوقت المناسب عند إصدار نسخة مستقرة (انظر خارطة الطريق حتى الإصدار التالي). لا تتردد في تشغيل الإصدارات التجريبية بنفسك وطرح الأسئلة إذا كنت بحاجة إلى مساعدة.

ما هو

EDR مع جمع القطع الأثرية مدفوعًا بالكشف. تم بناء محرك الكشف على مشروع سابق Gene المصمم خصيصًا لمطابقة أحداث Windows مقابل قواعد يحددها المستخدم.

ماذا تقصد بـ "جمع القطع الأثرية مدفوعًا بالكشف"؟

يعني ذلك أن التنبيه يمكن أن يؤدي مباشرة إلى جمع بعض القطع الأثرية (ملف، تسجيل، ذاكرة عملية). بهذه الطريقة، أنت متأكد من أنك جمعت القطع الأثرية في أقرب وقت ممكن (في الوقت الفعلي تقريبًا).

كل هذا العمل تم في وقت فراغي على أمل أن يساعد الآخرين، وآمل أن تستمتع به. ما لم أحصل على تمويل لتطوير هذا المشروع بشكل أكبر، سأستمر في تطويره على أساس أفضل جهد. سأبذل قصارى جهدي لإصلاح المشكلات في الوقت المناسب وتقديم التحديثات. لا تتردد في فتح مشكلات لتحسين هذا المشروع والحفاظ عليه حيًا.

لماذا

• توفير EDR مفتوح المصدر للمجتمع
• جعل الشفافية في قواعد الكشف لتمكين المحللين من فهم سبب تفعيل القاعدة
• تقديم بدائل كشف قوية من خلال محرك قواعد مرن
• تحسين عمليات الاستجابة للحوادث عن طريق تقليل الوقت بين الكشف وجمع القطع الأثرية بشكل كبير

كيف

ملحوظة: يمكن تشغيل وكيل EDR بشكل مستقل (بدون الاتصال بـ مدير EDR)

ما يجب أن تعرفه

• يعمل فقط على Windows باستخدام سجلات ETW
• يعتمد على Sysmon لجميع المهام الثقيلة (مكون kernel)
• محرك كشف قوي جدًا وقابل للتخصيص (مدعوم من gene)
• تم بناؤه بواسطة مستجيب للحوادث لجميع مستجيبات الحوادث بهدف جعل عملهم أقل إرهاقًا
• بصمة منخفضة -> لا حقن عمليات
• يمكن أن يتعايش مع أي منتج مضاد للفيروسات (يُنصح بتشغيله مع MS Defender)
• مصمم للإنتاجية العالية. يمكنه بسهولة إثراء وتحليل ما يصل إلى 15 مليون حدث يوميًا لكل نقطة نهاية دون تأثير على الأداء. حظًا سعيدًا لتحقيق ذلك مع SIEM.
• سهل التكامل مع الأدوات الأخرى (Splunk، ELK، MISP ...)
• مدمج مع إطار ATT&CK
• يوجد API إداري قوي لتسهيل إدارة النشر الكبير (لا توجد واجهة مستخدم رسومية بعد)

التثبيت

المتطلبات

1. تثبيت Sysmon
2. تكوين Sysmon
   • يمكنك العثور على تكوينات Sysmon محسّنة هنا
   • تسجيل أي ProcessCreate و ProcessTerminate إلزامي
3. لاحظ المسار إلى ملف Sysmon الثنائي لأنك ستحتاجه لاحقًا

ملحوظة: يمكن إجراء تصفية الأحداث بنسبة 100% باستخدام قواعد Gene، لذا لا تقلق بشأن إنشاء تكوين Sysmon معقد.

توصيات ما قبل التثبيت

للحصول على أقصى استفادة من WHIDS، قد ترغب في تحسين سياسة التسجيل الخاصة بك.

• تفعيل تسجيل وحدات PowerShell
• تدقيق إنشاء الخدمة: gpedit.msc -> Computer Configuration\Windows Settings\Security Settings\Advanced Audit Policy Configuration\System Audit Policies\System\Audit Security System Extension -> تمكين
• تفعيل تدقيق نظام الملفات. يوفر Sysmon أحداث FileCreate فقط عند إنشاء ملفات جديدة، لذا إذا كنت تريد/تحتاج إلى تسجيل أنواع أخرى من الوصول (قراءة، كتابة، ...) يجب تفعيل تدقيق نظام الملفات.
  1. gpedit.msc -> Computer Configuration\Windows Settings\Security Settings\Advanced Audit Policy Configuration\System Audit Policies\Object Access\Audit File System -> تمكين
  2. انقر بزر الماوس الأيمن على أي مجلد -> خصائص -> الأمان -> خيارات متقدمة -> التدقيق -> إضافة
     1. Select a principal (ضع هنا اسم المستخدم/المجموعة التي تريد التدقيق من أجلها). ضع مجموعة Everyone إذا كنت تريد تسجيل الوصول من أي مستخدم.
     2. Apply this to يُستخدم لتحديد نطاق سياسة التدقيق هذه بدءًا من المجلد الذي حددته
     3. Basic permissions حدد أنواع الوصول التي تريد إنشاء السجلات من أجلها
     4. موافق
  3. ستظهر سجلات تدقيق نظام الملفات في قناة سجل Security
• إذا كنت تريد مضاد فيروسات يعمل على نقاط النهاية الخاصة بك، فاحتفظ بـ Microsoft Defender، أولاً لأنه مضاد فيروسات جيد، وأيضًا لأنه يسجل التنبيهات في قناة سجل مخصصة Microsoft-Windows-Windows Defender/Operational التي يراقبها EDR.

وكيل نقطة نهاية EDR (Whids.exe)

يغطي هذا القسم تثبيت الوكيل على نقطة النهاية.

1. قم بتنزيل واستخراج أحدث إصدار لـ WHIDS من https://github.com/0xrawsec/whids/releases
2. قم بتشغيل manage.bat كـ مسؤول
3. ابدأ التثبيت عن طريق تحديد الخيار المناسب
4. تحقق من إنشاء الملفات في دليل التثبيت
5. قم بتحرير ملف التكوين عن طريق تحديد الخيار المناسب في manage.bat أو باستخدام محرر النصوص المفضل لديك
6. تخط هذه الخطوة إذا كنت تعمل مع اتصال بمدير، لأنه سيتم تحديث القواعد تلقائيًا. إذا لم يكن هناك أي شيء في دليل القواعد، ستكون الأداة عديمة الفائدة، لذا تأكد من وجود بعض قواعد gene فيه. يتم تضمين بعض القواعد مع WHIDS وسيُطلب منك اختيار ما إذا كنت تريد تثبيتها أم لا. إذا كنت تريد أحدث القواعد المحدثة، يمكنك الحصول عليها هنا (خذ المجمعة)
7. ابدأ الخدمات من الخيار المناسب في manage.bat أو أعد التشغيل فقط (الخيار المفضل وإلا ستكون بعض حقول الإثراء غير مكتملة مما يؤدي إلى تنبيهات خاطئة)
8. إذا قمت بتكوين مدير، فلا تنسَ تشغيله لتلقي التنبيهات والتفريغات

ملحوظة: في وقت التثبيت، ستكون خدمة Sysmon تابعة لخدمة WHIDS بحيث نضمن تشغيل EDR قبل أن يبدأ Sysmon في إنشاء بعض الأحداث.

مدير EDR

يمكن تثبيت مدير EDR على عدة منصات، ويتم توفير ملفات ثنائية مبنية مسبقًا لـ Windows و Linux و Darwin.

1. إنشاء شهادة TLS إذا لزم الأمر لاتصالات HTTPS
2. إنشاء ملف تكوين (هناك وسيطة سطر أوامر لإنشاء تكوين أساسي)
3. تشغيل الملف الثنائي

أمثلة التكوين

يرجى زيارة doc/configuration.md

مزيد من الوثائق

• توثيق REST API لمدير نقاط النهاية
• كيفية كتابة القواعد
• الحصول على قواعد كشف EDR
• نظرة عامة على إثراء الأحداث

المشكلات المعروفة