ThePhish

ThePhish هي أداة تحليل آلي لرسائل البريد الإلكتروني التصيدية تعتمد على TheHive و Cortex و MISP. وهي تطبيق ويب مكتوب بلغة Python 3 ويستند إلى Flask، يقوم بأتمتة عملية التحليل بأكملها بدءًا من استخراج المؤشرات (observables) من عنوان الرسالة ومحتواها وصولاً إلى صياغة حكم نهائي في معظم الحالات. بالإضافة إلى ذلك، فإنه يسمح للمحلل بالتدخل في عملية التحليل والحصول على تفاصيل إضافية حول البريد الإلكتروني الذي يتم تحليله إذا لزم الأمر. للتفاعل مع TheHive و Cortex، يستخدم TheHive4py و Cortex4py، وهما عميلا Python API اللذان يسمحان باستخدام REST APIs المتاحة من TheHive و Cortex على التوالي.

جدول المحتويات

• نظرة عامة
• مثال استخدام ThePhish
  • يرسل المستخدم بريدًا إلكترونيًا إلى ThePhish
  • يقوم المحلل بتحليل البريد الإلكتروني
• التنفيذ
• التثبيت
  • التثبيت باستخدام Docker و Docker Compose
  • التثبيت من الصفر
• تكوين المحللات (analyzers)
  • تكوين مستويات المحللات
  • المحللات المختبرة
  • تفعيل محلل MISP
  • تفعيل محلل Yara
• تفعيل مستجيب Mailer
• استخدام القائمة البيضاء
• المساهمة في TheHive4py
• المساهمة في Cortex-Analyzers
• الترخيص
• المنشورات الأكاديمية
• من يتحدث عن ThePhish
• مستودعات GitHub التي تذكر ThePhish
• الإسناد

نظرة عامة

يوضح الرسم البياني التالي كيفية عمل ThePhish على مستوى عالٍ:

1. يبدأ المهاجم حملة تصيد ويرسل بريدًا إلكترونيًا تصيديًا إلى مستخدم.
2. يمكن للمستخدم الذي يتلقى هذا البريد الإلكتروني إرساله كمرفق إلى صندوق البريد الذي يستخدمه ThePhish.
3. يتفاعل المحلل مع ThePhish ويختار البريد الإلكتروني لتحليله.
4. يقوم ThePhish باستخراج جميع المؤشرات (observables) من البريد الإلكتروني وينشئ حالة (case) على TheHive. يتم تحليل المؤشرات بفضل Cortex ومحللاته.
5. يحسب ThePhish حكمًا (verdict) بناءً على أحكام المحللات.
6. إذا كان الحكم نهائيًا، تُغلق الحالة ويُبلغ المستخدم. بالإضافة إلى ذلك، إذا كان البريد الإلكتروني ضارًا، يتم تصدير الحالة إلى MISP.
7. إذا لم يكن الحكم نهائيًا، يلزم تدخل المحلل. يجب عليه مراجعة الحالة على TheHive مع النتائج التي قدمتها المحللات المختلفة لصياغة حكم، ثم يمكنه إرسال الإشعار إلى المستخدم، وتصدير الحالة إلى MISP اختياريًا، وإغلاق الحالة.

مثال استخدام ThePhish

يهدف هذا المثال إلى توضيح كيف يمكن للمستخدم إرسال بريد إلكتروني إلى ThePhish لتحليله، وكيف يمكن للمحلل تحليل هذا البريد الإلكتروني فعليًا باستخدام ThePhish.

يرسل المستخدم بريدًا إلكترونيًا إلى ThePhish

يمكن للمستخدم إرسال بريد إلكتروني إلى عنوان البريد الإلكتروني الذي يستخدمه ThePhish لجلب رسائل البريد الإلكتروني لتحليلها. يجب إعادة توجيه البريد الإلكتروني كمرفق بتنسيق EML لمنع تلوث عنوان البريد الإلكتروني. في هذه الحالة، عميل البريد المستخدم هو Mozilla Thunderbird وعنوان البريد المستخدم هو عنوان Gmail.

يقوم المحلل بتحليل البريد الإلكتروني

ينتقل المحلل إلى صفحة الويب الخاصة بـ ThePhish وينقر على زر "قائمة رسائل البريد الإلكتروني" للحصول على قائمة رسائل البريد الإلكتروني لتحليلها.

عندما ينقر المحلل على زر "تحليل" الخاص بالبريد الإلكتروني المحدد، يبدأ التحليل ويظهر تقدمه على واجهة الويب.

في هذه الأثناء، يقوم ThePhish باستخراج المؤشرات (عناوين URL، النطاقات، عناوين IP، عناوين البريد الإلكتروني، المرفقات وتجزئة تلك المرفقات) من البريد الإلكتروني ثم يتفاعل مع TheHive لإنشاء الحالة.

يتم إنشاء ثلاث مهام داخل الحالة.

بعد ذلك، يبدأ ThePhish في إضافة المؤشرات المستخرجة إلى الحالة.

في هذه المرحلة، يتم إخطار المستخدم عبر البريد الإلكتروني بأن التحليل قد بدأ بفضل مستجيب Mailer.

يسمح وصف المهمة الأولى لمستجيب Mailer بإرسال الإشعار عبر البريد الإلكتروني.

بعد إغلاق المهمة الأولى، تبدأ المهمة الثانية ويتم تشغيل المحللات على المؤشرات. يظهر تقدم التحليل على واجهة الويب أثناء تشغيل المحللات.

يمكن أيضًا عرض تقدم التحليل على TheHive، بفضل البث المباشر الخاص به.

بمجرد انتهاء جميع المحللات من تنفيذها، تُغلق المهمة الثانية وتُبدأ المهمة الثالثة، ثم يحسب ThePhish الحكم. نظرًا لأن الحكم هو "ضار"، يتم وضع علامة على جميع المؤشرات التي تبين أنها ضارة كمؤشرات خطر (IoC). في هذه الحالة، يتم وضع علامة على مؤشر واحد فقط كمؤشر خطر.

ثم يتم تصدير الحالة إلى MISP كحدث (event)، مع سمة واحدة تمثل المؤشر المذكور أعلاه.