مجمّع استخبارات التهديدات

منصة استخبارات تهديدات ذاتية الاستضافة تجمع خلاصات RSS من أكثر من 60 مورّدًا أمنيًا، وتُجري فرزًا بالذكاء الاصطناعي، وتربط النتائج بجرد الأصول لديك في RunZero، وتُظهر تنبيهات قابلة للتنفيذ عبر لوحة تحكم ويب بالوضع الداكن.

مصمّمة لتعمل بشكل مستقل مع الاعتماد الصفري على السحابة، أو مدمجة بالكامل في بيئة Azure/Entra/Sentinel — اختر الطبقة التي تناسب ما لديك.

---

طبقات النشر

الطبقة	السكربت	الفرز بالذكاء الاصطناعي	المصادقة	التخزين	ما تحصل عليه
الأساسية	scripts/setup-basic.sh	معطّل	مفتاح API محلي	Postgres محلي (Docker)	تجميع الخلاصات، استخراج مؤشرات الاختراق، مصفوفة MITRE، لوحات التحكم — بلا ذكاء اصطناعي، بلا سحابة، ولا شيء للتسجيل فيه
الأساسية + API	scripts/setup-basic-api.sh	Anthropic (مباشر)	مفتاح API محلي	Postgres محلي (Docker)	كل ما سبق، بالإضافة إلى فرز الخطورة/TTP/الملخص بالذكاء الاصطناعي
Azure + API	scripts/setup-azure.ps1	Azure AI Foundry	Microsoft Entra ID SSO	Postgres الخاص بك (Azure DB for PostgreSQL، إلخ)	نشر كامل إلى Azure Container Apps، مع SSO وأدوار لكل مستخدم. (تكامل خط أنابيب detections.ai قادم في إصدار مستقبلي — انظر أدناه.)

جميع الطبقات الثلاث تشغّل نفس كود التطبيق تمامًا — الشيء الوحيد الذي يتغير هو متغيرات البيئة التي يتم تعيينها. راجع متغيرات البيئة للحصول على المرجع الكامل.```bash

Basic — no AI, no cloud

./scripts/setup-basic.sh

Basic + API — adds direct Anthropic triage

./scripts/setup-basic-api.sh

Azure + API — full SIEM-integrated deployment (PowerShell 7+, az CLI)

./scripts/setup-azure.ps1

تقوم السكربتات البرمجية bash هذان بتشغيل حاوية Postgres محلية، وتطبيق المخطط، وإنشاء `backend/.env` / `frontend/.env.local` لك — ثم طباعة الأمرين لبدء التطبيق فعليًا (`pip install` + تشغيل الواجهة الخلفية، `npm install` + تشغيل خادم تطوير الواجهة الأمامية). `setup-azure.ps1` هو غلاف رفيع حول `infra/provision.ps1`، وهو دليل النشر الفعلي لـ Azure Container Apps.

---

## الميزات

- **تجميع التغذية** — يستقصي أكثر من 60 تغذية RSS أمنية من المستوى 1/2/3 وفق جدول زمني؛ يزيل التكرار ويصفّي المحتوى الترويجي تلقائيًا
- **الفرز بالذكاء الاصطناعي** — يصنّف كل مدخل حسب الخطورة (حرجة/عالية/متوسطة/منخفضة/معلوماتية)، وتقنيات MITRE ATT&CK، وملخص باللغة الإنجليزية البسيطة. معياري المزوّد: واجهة Anthropic API المباشرة أو Azure AI Foundry، قابل للتبديل عبر متغير بيئة واحد دون فقدان أي وظيفة في كلا الحالتين
- **استخراج مؤشرات الاختراق** — يستخرج تلقائيًا عناوين IP والنطاقات وعناوين URL وتجزئات الملفات وثغرات CVE من كل مدخل
- **تكامل RunZero** — يزامن جرد الأصول لديك ويربط معلومات التهديدات بالأصول الحية؛ يطابق ثغرات CVE وأسماء البرمجيات وإصدارات أنظمة التشغيل وعناوين IP. ثلاث علامات فرعية تحت `RUNZERO`: **المطابقات** (المدخلات المرتبطة بجردك، قابلة للتصفية حسب الخطورة/التاريخ/الثقة/KEV)، و**التعرض** (الوضع المؤكد/المحتمل على مستوى المؤسسة مع تتبع المعالجة)، و**المقاييس** (اتجاهات الاستقبال مقابل المعالجة بمرور الوقت)
- **مكدسك** — حدّد البرمجيات/نظام التشغيل في بيئتك؛ يعيد تقييم جميع المدخلات حسب الصلة
- **سجل مؤشرات الاختراق** — سجل قابل للبحث لجميع المؤشرات المستخرجة مع مراجع متقاطعة للمدخلات وتصدير STIX/CSV
- **مصفوفة MITRE ATT&CK** — خريطة حرارية لتغطية التقنيات عبر معلومات التهديدات المستوعبة
- **لوحة صحة التغذية** — حالة الاستقصاء لكل تغذية، وتتبع الإخفاقات المتتالية، وحجم المقالات على مدى 7 أيام
- **الاكتشافات** — واجهة مراجعة من 9 علامات (انظر أدناه) تغطي كل ما هو مسجّل كاكتشاف، سواء كان مولّدًا بالذكاء الاصطناعي، أو مستوردًا من ملفاتك الخاصة، أو مُزامَنًا من مساحة عمل Sentinel حية
- **مصادقة معيارية** — Microsoft Entra ID SSO مع وصول قائم على الأدوار، أو مفتاح API محلي مشترك واحد دون أي اعتماد على Azure. يُكتشف تلقائيًا بواسطة الواجهة الأمامية؛ انظر [أوضاع المصادقة](#auth-modes)

### ميزتان متعلقتان بالاكتشافات

يحتوي هذا المستودع فعليًا على شيئين مترابطين لكن قابلين للاستخدام بشكل مستقل تحت مظلة "الاكتشافات":

1. **علامة تبويب `DETECTIONS`** — واجهة مراجعة قائمة بذاتها، مقسّمة إلى تسع علامات فرعية:
   - **جميع الاكتشافات** — الكتالوج الكامل للتحليلات المسجّلة، قابل للتصفية حسب التقنية/التصرف/حالة المراجعة، وكل منها قابل للتوسيع لعرض وصفه و KQL الكامل.
   - **اكتشافات Defender المخصصة** — نفس الكتالوج، مقيّد بالاكتشافات الموجّهة لقواعد الاكتشاف المخصصة في Microsoft Defender for Endpoint بدلًا من قواعد تحليلات Sentinel.
   - **مراجعات المواءمة** — كلما تم تسجيل تحليل اكتشاف مقابل تقنية MITRE، يقارن فحص بالذكاء الاصطناعي تغطيته الفعلية بوصف MITRE نفسه لتلك التقنية. وعندما ينحرف أو يغطي التقنية جزئيًا فقط، يظهر هنا كعنصر مراجعة بشري مع تعليل الذكاء الاصطناعي، وإصلاح KQL مقترح، ونتيجة التحقق الخاصة بذلك الإصلاح (بوابة ثابتة + اختبار خلفي) — وليس اقتراحًا أعمى أبدًا.
   - **تنبيهات التصرف** — قائمة انتظار لكشف التآكل: أي تحليل معتمد تتدهور بياناته أو تبدأ قاعدته الأساسية في إظهار الأخطاء يُعلَّم هنا لإعادة المراجعة، ويُسمّى باكتشافه الخاص بدلًا من تقنية MITRE المشتركة فقط.
   - **عمليات البحث المولّدة** — تُجمَّع الاكتشافات في عمليات بحث (واحدة لكل ملف مستورد اليوم؛ وواحدة لكل مقال معلومات تهديدات/مشروع detections.ai مصدر بمجرد إطلاق ذلك التكامل)، بما يطابق ميزة Hunts في Microsoft Sentinel نفسها. يمكن مزامنة عملية بحث إلى مساحة عمل Sentinel حقيقية ككائن `Microsoft.SecurityInsights/hunts` بالإضافة إلى استعلامات البحث المحفوظة المكوّنة لها (مقيّدة بـ `SENTINEL_HUNTING_SYNC_ENABLED` و `mode` — إيقاف/يدوي/تلقائي — قابل للتهيئة لكل فريق في الإعدادات > إعدادات API؛ وليس دفعًا تلقائيًا صامتًا أبدًا إلا إذا اشتركت في ذلك).
   - **عمليات بحث Sentinel** — الجرد الحي لما هو منشور فعليًا في ميزة Hunting في مساحة عمل Sentinel لديك، مسحوبًا مباشرة من ARM بدلًا من سجل المزامنة الخاص بهذا التطبيق؛ ويتضمن اقتراحات اختبار/ضبط لكل استعلام يمكنك تطبيقها أو تجاهلها في مكانها.
   - **قواعد تحليلات Sentinel** — نفس الفكرة لقواعد التحليلات في Microsoft Sentinel (`Microsoft.SecurityInsights/alertRules`) — وهو نوع مورد Sentinel متميز عن Hunting، لأن هذه هي ما يُطلق فعليًا الحوادث/التنبيهات وفق جدول زمني — مع نفس سير عمل تطبيق/تجاهل اقتراحات الضبط.
   - **الاكتشافات المحلية** — انظر [التشغيل بدون Sentinel أو مزوّد ذكاء اصطناعي](#running-without-sentinel-or-an-ai-provider-local-detections-import) أدناه.
   - **سجل التدقيق** (للمشرفين فقط) — سجل عبر المسارات لكل فحص شغّله هذا التطبيق فعليًا: نتائج بوابة/فحص التحكم للاكتشافات المولّدة بالذكاء الاصطناعي، ومحاولات مزامنة عمليات بحث Sentinel، وتشغيلات اختبار استعلامات بحث Sentinel/قواعد التحليلات، مجمّعة في قائمة واحدة مقسّمة إلى صفحات وقابلة للتصفية — تغطي عمدًا ما لا تغطيه أي علامة مراجعة منفردة بمفردها.