FastFinder

أداة استجابة للحوادث خفيفة الوزن لصيد التهديدات والفحص الجنائي

✨ نظرة عامة

FastFinder هي أداة استجابة للحوادث قوية وخفيفة الوزن، مصممة لمتخصصي الأمن السيبراني الذين يقومون بصيد التهديدات، والفحص الجنائي المباشر، والفرز الأولي لنقاط النهاية. تم بناؤها لكل من منصتي ويندوز ولينكس، وتتفوق في الاكتشاف السريع للملفات المشبوهة باستخدام معايير كشف متعددة.

🔍 قدرات الكشف الرئيسية

• الكشف المستند إلى المسار: مطابقة نمط مسار الملف واسمه
• التحقق من التجزئة: التحقق من صحة checksums MD5 و SHA1 و SHA256
• تحليل المحتوى: مطابقة السلاسل البسيطة وتقييم قواعد YARA المعقدة
• دعم متعدد المنصات: توافق مع ويندوز ولينكس أصلاً

🛡️ مُختبر في الميدان

• ✅ جاهز للإنتاج: تم نشره بنجاح في سيناريوهات استجابة للحوادث حقيقية
• ✅ معتمد من الصناعة: تستخدمه فرق متعددة من CERTs و CSIRTs و SOC
• ✅ أمثلة شاملة: يتضمن عينات برمجيات خبيثة حقيقية وسيناريوهات مسح الثغرات الأمنية

📸 لقطات الشاشة

واجهة المستخدم الأساسية

اختيار التهيئة

نتائج المسح والمطابقات

🚀 التثبيت

البدء السريع (موصى به)

📥 تحميل أحدث إصدار

البناء من المصدر

⚠️ ملاحظة: يتطلب التجميع الاعتماديات CGO و YARA. راجع الأدلة الخاصة بكل منصة:

• 🪟 ويندوز: دليل التجميع
• 🐧 لينكس: دليل التجميع

تثبيت Docker (لا يتطلب اعتماديات!)

أسهل طريقة لبناء FastFinder دون تثبيت أي اعتماديات:

# Build binaries for Linux and Windows
cd docker
make build-binaries

# Binaries will be in ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

حاوية تشغيل Docker

قم بتشغيل FastFinder داخل حاوية Docker ذات صلاحيات مميزة لمسح وحدات التخزين أو أنظمة الملفات المثبتة:

# Build the runtime image (includes FastFinder + YARA + editors)
.\docker-helper.ps1 build-runtime

# Run scan with configuration directory
.\docker-helper.ps1 run-runtime -ConfigPath "C:\path\to\config_folder" -ScanPath "C:\data\to\scan"

# Interactive shell mode (no scan, just shell access)
.\docker-helper.ps1 run-runtime -Interactive

المتطلبات

• وقت التشغيل: لا توجد اعتماديات مطلوبة للملفات الثنائية المجمعة مسبقًا
• التجميع: Go 1.24+، CGO، libyara
• الصلاحيات: يوصى بحقوق المسؤول للوصول الكامل إلى النظام

📖 الاستخدام

واجهة سطر الأوامر

fastfinder [OPTIONS]

الخيارات المتاحة

مستويات التفصيل

• المستوى 1: التنبيهات فقط
• المستوى 2: التنبيهات والتحذيرات
• المستوى 3: التنبيهات والأخطاء (الافتراضي)
• المستوى 4: التنبيهات والأخطاء وعمليات الإدخال/الإخراج
• المستوى 5: تفصيل كامل (لأغراض التصحيح أو تسجيل متقدم جدًا)

أمثلة سريعة

# Basic scan with configuration file
./fastfinder -c config.yaml

# Continuous monitoring mode
./fastfinder -c config.yaml -t

# Create standalone executable (x64 architecture only)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 نصيحة: يمكن تشغيل FastFinder بصلاحيات مستخدم عادية، لكن حقوق المسؤول توفر الوصول إلى جميع ملفات النظام.

المسح وتصدير الملفات المطابقة وفقًا لاحتياجاتك

أمثلة التهيئة متاحة هناك. فيما يلي مثال كامل لتهيئة فارغة. لست بحاجة لتنفيذ كل سمة إذا كنت لا تستخدم كل شيء.

input:
    path: [] # match file path AND / OR file name based on simple string 
    content:
        grep: [] # match literal string value inside file content
        yara: [] # use yara rule and specify rules path(s) for more complex pattern search (wildcards / regex / conditions) 
        checksum: [] # parse for md5/sha1/sha256 in file content 
options:
    contentMatchDependsOnPathMatch: true # if true, paths are a pre-filter for grep (string) searches only. YARA and Checksums are always evaluated.
    findInHardDrives: true	# enumerate hard drive content
    findInRemovableDrives: true # enumerate removable drive content 
    findInNetworkDrives: true # enumerate network drive content
    findInCDRomDrives: true # enumerate physical CD-ROM and mounted iso / vhd...
    findInMemory: true # check for results in processes memory
output:
    copyMatchingFiles: true # create a copy of every matching file
    base64Files: true # base64 matched content before copy
    filesCopyPath: '' # empty value will copy matched files in the fastfinder.exe folder
advancedparameters:
    yaraRC4Key: ''    # yara rules can be (un)/ciphered using the specified RC4 key
    maxScanFilesize: 2048 #  ignore files up to maxScanFileSize Mb (default: 2048)               
    cleanMemoryIfFileGreaterThanSize: 512 # clean fastfinder internal memory after heavy file scan (default: 512Mb)
eventforwarding:
  enabled: true
  buffer_size: 5
  flush_time_seconds: 10
  file: # save app activity in jsonl files
    enabled: true
    directory_path: "./event_logs"
    rotate_minutes: 1    # Rotate every minute for testing
    max_file_size_mb: 1  # Rotate at 1MB for testing
    retain_files: 5      # Keep 5 old files
  http: # forward app activity with HTTP POST json data
    enabled: false
    url: "https://your-forwarder-url.com/api/events"
    ssl_verify: false
    timeout_seconds: 10
    headers:
      Authorization: "Bearer YOUR_API_KEY"
      MY-CUSTOM-HEADER: "My-Header-Value"
    retry_count: 3
  filters:
    event_types:
      - "error"
      - "warning"
      - "alert" 
      - "info"

البحث في كل مكان أو في مسارات محددة:

• استخدم '?' في المسارات كحرف بدل بسيط (مثل powershe??.exe)
• استخدم '\*' في المسارات كحرف بدل متعدد الأحرف (مثل \*.exe)
• التعبيرات المنتظمة متاحة أيضًا، فقط قم بإحاطة المسارات بشرطات مائلة (مثل /[0-9]{8}\.exe/)
• يمكن أيضًا استخدام متغيرات البيئة (مثل %TEMP%\myfile.exe)

تحليل مسار قواعد YARA

يتم حل المسارات النسبية في ملفات YAML بالنسبة لموقع ملف التهيئة:

input:
  content:
    yara:
      - "./example_rule_linux.yar"           # Looks in same folder as config.yaml
      - "./subfolder/custom_rules.yar"       # Looks in subfolder relative to config
      - "/absolute/path/to/rule.yar"         # Absolute paths work as-is
      - "https://example.com/rules.yar"      # URLs are also supported

مثال على هيكل الدليل:

project/
├── config.yaml
├── example_rule_linux.yar          # ✅ Found by "./example_rule_linux.yar"
└── rules/
    └── custom.yar                  # ✅ Found by "./rules/custom.yar"

ملاحظات مهمة

• مسارات الإدخال دائمًا غير حساسة لحالة الأحرف (case INSENSITIVE)
• البحث عن المحتوى بسلاسل (grep) دائمًا حساس لحالة الأحرف (case SENSITIVE)
• يجب تخطي الخطوط المائلة العكسية (باستثناء التعبيرات المنتظمة)
• يجب أن توجد قواعد YARA - قواعد مفقودة ستؤدي إلى خروج FastFinder مع خطأ لمزيد من المعلومات، ألق نظرة على الأمثلة

🤝 المساهمة

نرحب بالمساهمات! يرجى الاطلاع على إرشادات المساهمة لدينا:

1. قم بعمل Fork للمستودع
2. أنشئ فرع ميزة (git checkout -b feature/amazing-feature)
3. قم بعمل Commit لتغييراتك (git commit -m 'Add amazing feature')
4. ادفع إلى الفرع (git push origin feature/amazing-feature)
5. افتح طلب سحب (Pull Request)

إعداد بيئة التطوير

# Clone the repository
git clone https://github.com/codeyourweb/fastfinder.git
cd fastfinder

# Install dependencies (see compilation guides)
# Build from source
go build -tags yara_static,gio -a -ldflags '-s -w' .

# Run tests
go test ./...

📜 الترخيص

هذا المشروع مرخص بموجب ترخيص AGPL - راجع ملف LICENSE للتفاصيل.

🚀 الدعم

• 🐛 الإبلاغ عن مشكلات: GitHub Issues
• 💬 المناقشات: GitHub Discussions
• 📧 الأمان: الإبلاغ عن الثغرات الأمنية بشكل خاص

📊 إحصائيات المشروع

🙏 شكر وتقدير

• Hilko Bengen (@hillu) على تنفيذه الرائع لـ YARA في Go وأيضًا على مساعدته الثمينة في تصحيح مشكلات CGO
• Marc Ochsenmeier على مساعدته الثمينة وملاحظاته وأيضًا لتحدثه عن مشروعي
• Vitali Kremez ✝ لإلهامي في العديد من الجوانب التي دفعتني لبناء fastfinder
• m0n4 (https://github.com/m0n4) لتحدياته التقنية المنتظمة ومساهمته الكبيرة في ولادة هذا المشروع أكثر مما كان يتخيل.

مُصمم بحب ❤️ من مجتمع الأمن السيبراني
تم إنشاؤه بواسطة Jean-Pierre GARNIER (@codeyourweb) • 2021-2026