SentinelThread-Forensics

🛡️ Sentinel Thread Pro

منصة الفحص الجنائي السريعة لنظام ويندوز

📋 المهمة

في عمليات مراكز العمليات الأمنية (SOC) الحديثة، يُعتبر التحليل اليدوي لسجلات EVTX حكماً بالإعدام على متوسط وقت الاستجابة (MTTR). تم بناء Sentinel Thread Pro لسد الفجوة بين السجلات الأولية الضخمة والاستخبارات الجنائية القابلة للتنفيذ. من خلال تنسيق محرك Hayabusa (المبني بلغة Rust) وخط أنابيب بيانات بلغة بايثون، يحوّل هذا الأداة آلاف الأحداث المليئة بالضوضاء إلى جدول زمني نظيف ومرتب للتهديدات في غضون ثوانٍ.

🚀 الميزات الهندسية الرئيسية

• فحص سريع للغاية: يعالج ملفات .evtx الضخمة باستخدام نواة Hayabusa لتحليل فوري تقريباً.
• كشف مدعوم بـ Sigma: دعم أصلي لقواعد Sigma ومنطق الكشف من Yamato Security لصيد سلوكيات الخصوم.
• ربط مع ATT&CK: يقوم تلقائياً بربط الأحداث المكتشفة بتكتيكات وتقنيات MITRE ATT&CK® .
• واجهة مستخدم ذكية: لوحة تحكم تفاعلية مبنية مع Streamlit مصممة للمحللين، تتيح تصفية عميقة حسب الشدة أو اسم المضيف أو معرفات القواعد المحددة.
• تطبيع بيانات نظيف: طبقة تطبيع مخصصة تتعامل مع الاختلافات في المخطط بين إصدارات المحركات الجنائية المختلفة.

🏗️ كيف يعمل (الهندسة المعمارية)

1. الاستيراد: يقوم المستخدم برفع قطعة أثرية عبر واجهة المستخدم.
2. التنفيذ: يقوم الواجهة الخلفية بلغة بايثون بتشغيل عملية فرعية غير تفاعلية لـ Hayabusa مع العلامات الصارمة --no-wizard و --json-timeline.
3. التنقية: معالج يعتمد على Pandas ينظف مخرجات JSON الخام، ويحل تعارضات أسماء الحقول ويحسب درجات التهديد.
4. التصور: تقوم لوحة التحكم المدارة بالحالة بتقديم البيانات كجدول زمني جنائي تفاعلي.

🛠️ الإعداد والنشر

1. المتطلبات الأساسية

• بايثون 3.10 أو أحدث.
• ملف Hayabusa الثنائي. قم بتنزيله ووضعه في مجلد bin/.

2. التثبيت

# Clone the repository
git clone https://github.com/Adham504/SentinelThread-Forensics.git
cd SentinelThread-Forensics

# Set up the environment
python3 -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# Install the stack
pip install -r requirements.txt

3. تشغيل التطبيق

قم بتشغيله دائماً من مجلد src لضمان سلامة المسار:

cd src
streamlit run app.py

📂 هيكل المشروع

SentinelThread/
├── bin/              # Forensic Binaries (Exempt from Git)
├── logs/             # Where you store the .evtx file to process
├── output/           # Generated JSON/CSV results
├── rules/            # Hayabusa/Sigma detection logic
├── sigma_repo/       # Extended community rules
├── src/              # The Core Logic
│   ├── app.py              # Main Entry & UI State
│   ├── engine_handler.py   # Subprocess Orchestrator
│   └── data_processor.py   # Pandas Normalization Logic
└── requirements.txt