VeilGate

VeilGate هو بروكسي خداع مفتوح المصدر للفرق التي تريد رفع تكلفة الاستكشاف الأمني الآلي دون وضع قواعد حظر هشة أمام المستخدمين الحقيقيين.

إنه يقع أمام تطبيق ويب، ويقيّم كل طلب، ويختار واحدًا من ثلاث نتائج:

• حقيقي: تمرير حركة المرور النظيفة إلى التطبيق العلوي.
• تحدٍّ: مطالبة العملاء المشبوهين ولكن الغامضين بحل إثبات عمل في المتصفح.
• مصيدة: تحويل حركة مرور الوكلاء عالية الثقة إلى تطبيق وهمي حتمي.

الهدف ليس حصانة سحرية. الهدف هو اقتصاديات أفضل: إبقاء البشر والأتمتة العادية تعمل، مع جعل الماسحات المدعومة بالذكاء الاصطناعي تنفق الوقت والتوكنز والانتباه على طرق مسدودة مقنعة.

ماذا يفعل

• بروكسي عكسي مع أوضاع observe وchallenge وtarpit وauto المدعوم بالعتبات.
• إشارات كشف لوكلاء المستخدم المشبوهين، وترويسات المتصفح المتناثرة، ومسارات honeypot، وانتظام التوقيت، ومسارات الماسحات، وعلامات SQLi/XSS/OOB، وتناوب IP/UA، وسلوك الكوكيز، وشكل الرسم البياني للطلبات، وبصمات TLS الخاصة بـ JA3/JA4، وبصمات HTTP/2، وإعادة تشغيل canary، والتسجيل الفوري عبر التعلم الآلي.
• تحدي إثبات عمل في المتصفح مع كل من وسيلتي نقل cookie وترويسة X-Veilgate-Token حتى تتمكن تطبيقات SPA عبر الأصول من حل التوكن وإعادة إرفاقه في استدعاءات API اللاحقة. استجابة التحدي 401 واعية بـ SPA: تُرجع HTML لعمليات التنقل في المستوى الأعلى وJSON (مع بيانات PoW الوصفية لحلها مباشرة) لسياقات fetch/XHR.
• سلسلة مُتحقق HMAC يصدرها المشغّل للعملاء من خادم إلى خادم الذين لا يمكنهم حل PoW (انظر docs/how-to/server-to-server-hmac.md).
• استجابات تطبيق الظل مع ملفات شخصية وهمية مستقرة لكل عميل.
• حقن التلقين (prompt injection) وحقن حمولات شركية لاستجابات المصيدة.
• استمرارية SQLite للأحداث وتجميعات الميزات وسجلات التدقيق وcanaries.
• مقاييس Prometheus ولوحة معلومات خفيفة على مستمع المقاييس.
• ملفات قواعد YAML قابلة لإعادة التحميل الفوري، يغذّيها مستودع المجتمع المنفصل veilgate-rules.

بدء سريع

الخيار 1 — سكربت التثبيت (موصى به)

ينزّل الملف الثنائي، ويثبّت خدمة systemd، ويثبّت قواعد المجتمع، ويكتب إعدادًا أوليًا في وضع observe.

# One-liner
curl -sSL https://veilgate.dev/install.sh | sudo bash -s -- --upstream http://localhost:3000

# Or download first, then run
curl -sSL https://veilgate.dev/install.sh -o install.sh
sudo ./install.sh --upstream http://localhost:3000

الخيارات:

يستخدم الإعداد المُرفق rules_dir: "~/.veilgate/rules". ضمن systemd، يعمل VeilGate كمستخدم veilgate الذي يكون مجلده الرئيسي /var/lib/veilgate، لذا يُحل هذا إلى /var/lib/veilgate/.veilgate/rules.

إذا حُذف --secret في تثبيت جديد، يطلب المثبّت الإدخال على المحطات الطرفية التفاعلية، وبخلاف ذلك يولّد سرًا عشوائيًا. إذا لم يكن مستخدم الخدمة موجودًا، يسأل المثبّت قبل إنشائه على المحطات الطرفية التفاعلية ويضع الإنشاء كخيار افتراضي للتثبيتات غير التفاعلية.

بعد التثبيت:

systemctl status veilgate
journalctl -u veilgate -f

الخيار 2 — Docker

docker run -d --name veilgate \
  --network host \
  -v /etc/veilgate/veilgate.yaml:/etc/veilgate/veilgate.yaml:ro \
  -v ~/.veilgate/rules:/home/nonroot/.veilgate/rules \
  -e VEILGATE_SECRET=$(openssl rand -hex 32) \
  ghcr.io/c0oki3s/veilgate:latest -config /etc/veilgate/veilgate.yaml

الخيار 3 — البناء من المصدر

المتطلب الأساسي: Go 1.25.10 أو أحدث.

git clone https://github.com/C0oki3s/veilgate.git
cd veilgate
make build
./veilgate -config configs/veilgate.yaml

افتراضيًا، يستمع VeilGate على :8080، ويقوم بالوكالة إلى http://localhost:3000، ويعرض المقاييس على :9090.

يبدأ الإعداد الافتراضي في وضع observe — لقياس خط الأساس لحركة المرور العادية قبل تفعيل challenge أو tarpit.

أوضاع التشغيل

النشر الموصى به:

1. شغّل observe لعدة أيام على الأقل.
2. راجع المقاييس وعينات الأحداث بحثًا عن الإيجابيات الكاذبة.
3. فعّل challenge لحركة المرور الغامضة.
4. فعّل tarpit بمجرد أن تتطابق عتباتك مع بيئتك.

الإعدادات

ابدأ بـ configs/veilgate.yaml:

listen: ":8080"
upstream: "http://localhost:3000"
mode: "observe"
rules_dir: "~/.veilgate/rules"

detector:
  score_challenge_threshold: 40
  score_tarpit_threshold: 70
  trusted_ips: []
  trusted_proxies: []

metrics:
  listen: ":9090"

المرجع الكامل: مرجع الإعدادات.

القواعد

لا يأتي VeilGate مع أي قواعد مدمجة. يقرأ الملف الثنائي rules_dir عند بدء التشغيل ويعيد تحميل التغييرات مباشرة؛ إذا كان الدليل فارغًا، يبدأ بدون أي إشارات كشف. تأتي القواعد من مكان واحد:

• veilgate-rules — حزمة القواعد التي يحتفظ بها المجتمع. يقوم سكربت install.sh باستنساخها تلقائيًا عند التثبيت الأول. يمكنك أيضًا تحديثها يدويًا باستخدام الأمر الفرعي المدمج update-rules — لا إعادة بناء ولا إعادة تشغيل:

# Install the latest pack into ~/.veilgate/rules (the default location)
veilgate update-rules

# Or pin to a release tag
veilgate update-rules --dir ~/.veilgate/rules --version v1.2.0

# List available releases
veilgate update-rules --list

بعد التثبيت، يلتقط مراقب fsnotify الخاص بـ VeilGate الملفات الجديدة خلال ~500 مللي ثانية. يتم أخذ نسخة احتياطية من كل ملف موجود باسم <name>.bak قبل استبداله (مرر --no-backup للتخطي). يُسجَّل الإصدار المثبت في <rules_dir>/.rules-version.json حتى يتمكن CI والمشغّلون من التحقق مما يعمل دون الرجوع إلى بيانات git الوصفية.

تعامل مع كلا الدليلين كسياسة أمنية — راجع التغييرات قبل النشر إلى الإنتاج، خاصة detector.yaml وip_reputation.yaml. الدليل الكامل وإجراءات التراجع: docs/how-to/install-community-rules.md.

التوثيق

• البدء: التشغيل المحلي والفحوصات الأولى.
• مرجع الإعدادات: ملفات veilgate.yaml وملفات القواعد.
• النشر: تثبيت Linux/systemd.
• البنية: تدفق الطلبات وتصميم المكونات الفرعية.
• العمليات: المقاييس ولوحات المعلومات والتنبيهات والفحوصات الروتينية.
• بطاقة النموذج: سلوك إشارات التعلم الآلي وقيودها.
• فهرس المراجع: صفحات مرجعية كاملة موجهة للاستعلام.
• قواعد المجتمع: تثبيت وتحديث مجموعات القواعد التي يحتفظ بها المجتمع عبر veilgate update-rules.
• نموذج التهديدات: ما يحميه VeilGate وما لا يحميه.

ملاحظات أمنية

• انشر VeilGate فقط أمام الأنظمة التي تملكها أو تشغّلها.
• لا تعرض مستمع المقاييس مباشرة للإنترنت العام.
• عيّن VEILGATE_SECRET أو challenge.secret قبل استخدام وضع challenge أو tarpit. يرفض VeilGate بدء التشغيل خارج وضع observe مع سر التحدي الافتراضي.
• تعامل مع الملفات تحت rules/ كسياسة أمنية. راجعها وحافظ على إصداراتها.
• ابدأ بعتبات متحفظة واضبطها بناءً على حركة المرور المرصودة.

التطوير

make test
make fmt
make build

يحتوي مجلد tests ذو المستوى الأعلى على اختبارات تكامل الصندوق الأسود. توجد اختبارات الوحدات الخاصة بالحزم بجوار حزمها لأنها تتحقق من أدوات الكشف غير المُصدَّرة وبصمات TLS وtarpit ومساعدي التعلم الآلي.

الترخيص

Apache-2.0. انظر LICENSE.