Usage:
  azazel [flags]
  azazel [command]

Commands:
  run-sandbox       تشغيل عينة برنامج ضار في حاوية Docker معزولة وتتبعها
  list-containers   عرض الحاويات قيد التشغيل
  version           طباعة الإصدار

Global Flags:
  -c, --container strings   معرفات الحاوية للتصفية (يمكن تحديد عدة)
  -o, --output string       مسار ملف الإخراج (الافتراضي: stdout)
      --pretty              تنسيق JSON للإخراج بشكل جميل
      --stdout              الطباعة أيضًا على stdout عند تعيين --output
  -v, --verbose             تسجيل مفصَّل
      --no-summary          تعطيل الملخص عند الخروج
  -h, --help                المساعدة

# دعم BTF (مطلوب)
ls /sys/kernel/btf/vmlinux

# إصدار kernel
uname -r

# استنساخ
git clone https://github.com/beelzebub-labs/azazel.git
cd azazel

# بناء حاوية التطوير
make docker-dev

# الدخول إليها (بصلاحيات مميزة، مع مساحة اسم PID/cgroup للمضيف)
make docker-dev-run

# داخل الحاوية:
make vmlinux    # توليد تعريفات أنواع النواة
make generate   # ترجمة BPF C → روابط Go
make build      # بناء الثنائي

# تتبع كل شيء، الإخراج إلى stdout
sudo ./bin/azazel

# تتبع كل شيء، حفظ إلى ملف مع JSON جميل
sudo ./bin/azazel --output events.json --pretty

# تتبع حاوية معينة فقط
sudo ./bin/azazel --container <container_id> --output events.json

# عرض الحاويات قيد التشغيل
sudo ./bin/azazel list-containers

# داخل حاوية التطوير
make test

{
  "timestamp": "2025-01-15T14:30:22.123456789Z",
  "event_type": "process_exec",
  "pid": 12345,
  "tgid": 12345,
  "ppid": 12300,
  "uid": 0,
  "gid": 0,
  "comm": "bash",
  "cgroup_id": 6789,
  "container_id": "a1b2c3d4e5f6",
  "filename": "/tmp/suspicious_binary",
  "args": "/tmp/suspicious_binary"
}

{
  "timestamp": "2025-01-15T14:30:22.234567890Z",
  "event_type": "net_connect",
  "pid": 12345,
  "tgid": 12345,
  "ppid": 12300,
  "uid": 0,
  "gid": 0,
  "comm": "curl",
  "cgroup_id": 6789,
  "container_id": "a1b2c3d4e5f6",
  "sa_family": "AF_INET",
  "dst_addr": "93.184.216.34",
  "dst_port": 443
}

========================================
 Azazel Summary
========================================
 Total events: 1847

 Event counts:
   file_open             892
   file_write            312
   process_exec           47
   net_connect            23
   ...

 Security Alerts (3):
   [MEDIUM] execution from suspicious path: /tmp/suspicious_binary (pid=12345 comm=bash)
   [MEDIUM] sensitive file access: /etc/shadow (pid=12346 comm=cat)
   [CRITICAL] memory mapped as WRITE+EXEC (possible code injection/unpacking) (pid=12347 comm=malware)
========================================

# تشغيل المختبر
docker compose up -d

# نسخ عينة إلى المختبر
docker cp ./samples/malware.elf sandbox:/tmp/sample

# تنفيذها
docker exec sandbox /tmp/sample

# تتم كتابة الأحداث إلى ./output/events.json
cat output/events.json | jq .

# تحليل عينة من البداية إلى النهاية: hash → trace → report
sudo ./analyze.sh ./samples/malware.elf 30

Usage:
  azazel [flags]
  azazel [command]

Commands:
  list-containers   عرض الحاويات قيد التشغيل
  version           طباعة الإصدار

Flags:
  -c, --container strings   معرفات الحاوية للتصفية (يمكن تحديد عدة)
  -o, --output string       مسار ملف الإخراج (الافتراضي: stdout)
      --pretty              تنسيق JSON للإخراج بشكل جميل
      --stdout              الطباعة أيضًا على stdout عند تعيين --output
  -v, --verbose             تسجيل مفصَّل
      --no-summary          تعطيل الملخص عند الخروج
  -h, --help                المساعدة

azazel/
├── main.go                          # نقطة الدخول
├── cmd/root.go                      # CLI (cobra)
├── bpf/tracer.bpf.c                 # جميع برامج eBPF (ملف واحد)
├── internal/
│   ├── tracer/
│   │   ├── tracer.go                # النواة: تحميل، ربط، قراءة الحلقة العازلة (ring buffer)
│   │   └── events.go                # أنواع الأحداث، الهياكل، التحليل
│   ├── container/
│   │   └── resolver.go              # تحويل cgroup → معرف الحاوية
│   └── output/
│       └── writer.go                # إخراج JSON + التنبيهات الإرشادية
├── test/
│   ├── simulate_malware.sh          # محاكي سلوك البرامج الضارة
│   └── run_tests.sh                 # مجموعة الاختبارات الآلية
├── Dockerfile                       # بناء متعدد المراحل للإنتاج
├── Dockerfile.dev                   # حاوية تطوير مع تبعيات البناء
├── docker-compose.yml               # بيئة المختبر الكاملة
├── analyze.sh                       # سكريبت التحليل الآلي
└── Makefile                         # نظام البناء

make docker-dev          # بناء صورة التطوير
make docker-dev-run      # الدخول إليها (مميزة + مساحات أسماء المضيف)

# داخل حاوية التطوير:
make vmlinux             # توليد vmlinux.h من BTF لنواة المضيف
make generate            # bpf2go: ترجمة BPF C → روابط Go
make build               # بناء ثنائي Go
make test                # دورة اختبار كاملة

make check-kernel

# Fork، استنساخ، ثم:
make docker-dev
make docker-dev-run
# hack hack hack
make test