EagleEye - نظام كشف التسلل القائم على المضيف ونظام مراقبة الشبكة

هذا المشروع يحتاج إلى الكثير من العمل ليكون جاهزًا للاستخدام لأنه مشروع تخرجي، لذا فهو ليس سهل الاستخدام، مخصص فقط للمستخدمين ذوي الخبرة، نسخة تجريبية (beta)، وقد نشرته/أعددته لأغراض تعليمية فقط!

• يتكون EagleEye من جزأين:
  • العميل (مكتوب بلغة Golang)
    • الغرض: التقاط كل حزمة على الجهاز واستخراج التفاصيل المهمة في البروتوكولات الشهيرة ثم إرسال جميع البيانات المجمعة إلى الماستر إذا كان متصلًا بالإنترنت!
    • الاستخدام: يجب تثبيته على كل جهاز تريد مراقبته (مثال: أجهزة الموظفين في الشركات).
  • الماستر: (مكتوب بلغة Python وBootstrap)
    • الغرض: استقبال كل حزمة تُرسل من العملاء، وعرضها منظمة في جدول مراقبة الواجهة الرسومية، وعرض معلومات الأجهزة المتصلة مثل مستخدم النظام الحالي/معلومات النظام، ومقارنة البيانات الملتقطة مع نماذج التهديدات المكتوبة مسبقًا، ثم تنبيه مستخدم الماستر أخيرًا بشأن التهديدات الأمنية المحتملة في الشبكة كما يفعل نظام IDS نموذجي!
    • الاستخدام: يجب تشغيله على خادم في نفس شبكة العملاء (مثال: خادم يديره قسم تقنية المعلومات أو فريق القرصنة الأزرق (blue team) في الشركة ربما).

لمزيد من المعلومات، ستحتاج إلى القراءة عن أنظمة كشف التسلل (IDS) وأنواعها. أنصح بدليل NIST.

لقطات الشاشة

الواجهة الرسومية الرئيسية

---

جدول المراقبة

لاحظ أن الأزرار في الجدول تمنحك القدرة على تصدير الجدول بصيغة (CSV, Excel, PDF)، ونسخ بيانات الجدول إلى الحافظة، وطباعة بيانات الجدول إذا أردت.

بحث جدول المراقبة

بحث بسيط

بحث مفصّل

كما ترى، يمنحك البحث هنا القدرة على البحث عن أي شيء ممثل في الجدول.

---

جدول الأجهزة المتصلة

عندما يتصل عميل جديد بالعميل

معلومات عن كل عميل

لاحظ أن الجدول يتم تحديثه تلقائيًا كل 5 ثوانٍ أو عند تحديث الصفحة!

---

جدول التهديدات

عند اكتشاف تهديدات

تفاصيل حول أي تهديدات محتملة تم اكتشافها + مرجع عند النقر

إشعار سطح المكتب للتهديدات

لاحظ أن الجدول يتم تحديثه تلقائيًا كل 5 ثوانٍ أو عند تحديث الصفحة!

---

تعليمات التثبيت

العميل

المتطلبات

• يدعم نظام Windows فقط حاليًا (بسبب البيانات المأخوذة من السجل، يجب تغيير ذلك).
• التعليمات التالية

تعليمات التثبيت

1. تأكد من تثبيت Golang.
2. ثبّت مكتبة gopacket باستخدام هذا الأمر: go get github.com/google/gopacket
3. قم بتنزيل وتثبيت npcap من هنا.
4. غيّر المتغيرات التالية في الكود وفقًا لاحتياجاتك:

• Line57: غيّر المتغير url إلى رابط الماستر الحالي الخاص بك
• Line59: غيّر المتغير device إلى واجهة الشبكة التي تريد الاستماع إليها؛ بالنسبة لنظام Windows ستحتاج إلى هذه المقالة!
• Line66: غيّر المتغير filter إلى الفلتر الذي تريده لالتقاط حزم الشبكة أو اتركه فارغًا كما هو (إذا كنت تريد التقاط جميع الحزم). صيغة الفلتر هي bpf وهي نفسها المستخدمة في بحث Wireshark، ويمكنك تعلمها من هذا الدليل. لقد تركت بعض الأمثلة في التعليقات أيضًا، لمن يريد استخدامها.

5. في CMD انتقل إلى مجلد العميل، بالطبع.
6. الآن يمكنك تشغيل العميل كسكريبت باستخدام هذا الأمر: go run main.go
7. لتجميعه/بنائه، يمكنك استخدام الأمر التالي: go build -o client.exe main.go، وربما قد تحتاج إلى هذا الدليل.
8. إذا فعلت كل هذه الأمور، فعش حياتك يا رجل 😆 (أمزح)

---

الماستر

المتطلبات

• أي نظام تشغيل.
• التعليمات التالية، إنها أسهل بكثير من العميل لا تقلق LOL!

تعليمات التثبيت

1. تأكد من تثبيت Python 3 (الإصدار 3.5 وما فوق) و pip.
2. في CMD انتقل إلى مجلد الماستر ثم ثبّت المتطلبات باستخدام هذا الأمر: pip install -r requirements.txt أو python -m pip install -r requirements.txt
3. إذا كنت تستخدم Windows وكانت الطباعة الملونة في CMD تهمك، قم بتشغيل هذا الأمر: pip install -r coloring-requirements.txt أو python -m pip install -r coloring-requirements.txt
4. الآن بعض المتغيرات لتغييرها وفقًا لاحتياجاتك 😆

• Line21: غيّر المتغير host_port إلى المنفذ الذي تريد أن تخدم عليه (الافتراضي: 8000)
• Line23: غيّر المتغير serve_localhost إلى True إذا كنت تريد تشغيل الماستر على المضيف المحلي فقط (الافتراضي: True)
• Line24: غيّر المتغير view_browser إلى True إذا كنت تريد أن يفتح الماستر رابط الخدمة في المتصفح تلقائيًا (الافتراضي: True)

5. الآن يمكنك تشغيل الماستر بواسطة python interface.py
6. استمتع :)

قائمة المهام TODO

• توسيع الواجهة الرسومية (تسجيل دخول المستخدم، الإعدادات...)
• إضافة إشعارات عبر البريد الداخلي والرسائل النصية القصيرة.
• تحسين استخدام الشبكة
• إضافة المزيد من نماذج التهديدات خاصة الأكثر تعقيدًا مثل الهجمات القائمة على انتحال ARP.
• إضافة تقارير مفصّلة لجدول التهديدات الأمنية.
• إضافة القدرة على التحقق من حالة كل عميل وتغييرها إذا لم يكن الجهاز نشطًا وغير متصل بالإنترنت لمدة، لنقل، ساعة واحدة.
• جعل العميل يعمل على المزيد من المنصات.
• إنشاء واجهة رسومية للإعداد للعميل (أكثر سهولة للمستخدم)
• يحدد لاحقًا