grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
reboot
# تحقق:
cat /proc/cmdline | grep initcall_blacklist

├── README.md                      # هذا الملف
├── LICENSE                        # رخصة MIT
├── playbook/
│   ├── index.html                 # دليل الاستجابة التفاعلي (13 تبويبًا)
│   └── triage_playbook.md         # دليل فرز محلل SOC
├── sigma/
│   ├── afalg_socket_creation.yml  # مقبس AF_ALG بواسطة غير الجذر
│   ├── afalg_bind_aead_string.yml # سلسلة خوارزمية authencesn
│   └── afalg_splice_chain.yml     # قاعدة السلسلة السلوكية
├── auditd/
│   └── cve-2026-31431.rules       # مجموعة قواعد auditd كاملة
├── falco/
│   └── afalg_container.yml        # كشف AF_ALG في الحاويات
├── wazuh/
│   └── cve-2026-31431.xml         # قواعد ترابط Wazuh
├── yara/
│   └── copyfail_artifacts.yar     # كشف ملفات PoC الأثرية
├── ebpf/
│   └── copyfail_monitor.bt        # مراقب bpftrace في الوقت الفعلي
├── queries/
│   ├── splunk.spl                 # استعلامات بحث Splunk SPL
│   ├── defender_sentinel.kql      # استعلامات Sentinel/MDE KQL
│   ├── elastic.eql                # تسلسلات Elastic EQL
│   └── qradar.aql                 # استعلامات QRadar AQL
├── mitigate/
│   ├── mitigate_debian.sh         # تخفيف Debian/Ubuntu
│   └── mitigate_rhel.sh           # عائلة RHEL (طريقة grubby)
└── check/
    └── is_vulnerable.sh           # فحص الثغرة الآمن

# 1. تحقق من وجود الثغرة
sudo bash check/is_vulnerable.sh

# 2. طبق التخفيف
sudo bash mitigate/mitigate_rhel.sh    # عائلة RHEL
sudo bash mitigate/mitigate_debian.sh  # Debian/Ubuntu

# 3. انشر قواعد auditd
sudo cp auditd/cve-2026-31431.rules /etc/audit/rules.d/
sudo augenrules --load

# 4. انشر قواعد Wazuh
sudo cp wazuh/cve-2026-31431.xml /var/ossec/etc/rules/local_rules.xml
sudo systemctl restart wazuh-manager

# 5. انشر قاعدة Falco (Kubernetes)
sudo cp falco/afalg_container.yml /etc/falco/rules.d/
sudo systemctl restart falco

# 6. شغّل مراقب eBPF (في الوقت الفعلي)
sudo bpftrace ebpf/copyfail_monitor.bt

# 7. افحص ملفات PoC
yara yara/copyfail_artifacts.yar /tmp/ /dev/shm/ /var/tmp/