MANTIS

MANTIS اختصار لـ Multi-source Analysis and Threat Intelligence Search. MANTIS هو منصة عمل لاستخبارات التهديدات (threat intelligence) لإثراء مؤشرات الاختراق (IOC)، وجمع استخبارات التهديدات السيبرانية من المصادر المفتوحة (OSINT CTI)، ومراقبة برامج الفدية والاختراقات، وعمليات YARA، وتحليل تشابه البرمجيات الخبيثة، والتحقيقات المدعومة بالذكاء الاصطناعي.

أبرز الميزات

• IOC Search: كشف تلقائي أو بحث يدوي عن التجزئات (hashes) والنطاقات وعناوين IP وعناوين URL والكلمات المفتاحية وأهداف البنية التحتية.
• MANTIS AI: محادثة واعية بالأدلة، وملخصات، وتوصيات بالتحول (pivot)، ووضع وكيل مستقل، وسير عمل قضايا AEAD، وتقييم الإسناد (attribution)، وتحليل الارتباط، ومساعدة YARA، وملخصات CTI، وتصدير التقارير.
• Infrastructure Hunting (Infra Hunt & C2 Catalog): التحول من أي بذرة (IP، نطاق، ASN، CIDR، SHA-256 لشهادة) إلى بنية تحتية للخصوم. يستخرج JA4/JARM، وشهادات TLS، وfavicon MMH3، وترويسات HTTP؛ ويقارن مرجعيًا مع أكثر من 1,000 دليل C2 منسّق (Cobalt Strike، Sliver، Havoc، Metasploit، وغيرها)؛ ويربط عبر Shodan وCensys وFOFA وNetlas وURLScan وSilent Push وDriftnet وValidin وEtugen؛ ويقيّم المرشحين عبر التحقق المضاد للضوضاء من GreyNoise، مع تصور بياني تفاعلي وتكرار مجدول.
• AI Binary Analysis Lab: هندسة عكسية أصلية (PE، ELF، Mach-O) وإدارة .NET، مع خلفيتين بلا واجهة لـ IDA Pro وGhidra، واستعادة رموز GoReSym، وإعادة تسمية الدوال/المتغيرات تلقائيًا، وتصدير مساحة عمل AI دون اتصال، وتحقيق مستقل داخل قاعدة البيانات، وتقارير متعددة الصيغ (HTML، MD، PDF)، وإنشاء قضية MANTIS بنقرة واحدة.
• VirusTotal Bulk Samples Downloader: تنزيل دفعات من البرمجيات الخبيثة حسب MD5 أو SHA-1 أو SHA-256 (حتى 50 تجزئة) مباشرة إلى مجلدات محلية عبر واجهة File System Access API في المتصفح أو إنشاء ملفات ZIP مشفرة بـ AES-256 محمية بكلمة مرور (infected)، متكاملة مع مراقبة VT Live Hunt.
• Threat Knowledge: تصفح الجهات الفاعلة للتهديدات في MISP Galaxy، والبرمجيات الخبيثة/الأدوات، وبرامج الفدية، ومجموعات نشاط Microsoft، ومجموعات Tidal، وبائعي المراقبة، وعائلات Malpedia، وملفات تعريف الجهات الفاعلة في Kaspersky TIP.
• MISP Intelligence: الاستعلام من نسخة MISP مُهيأة كمصدر ارتباط سياقي سلبي للقراءة فقط لأحداث IOC والوسوم والمجرات (galaxies) والمشاهدات وقوائم التحذير والتقارير والمؤشرات ذات الصلة.
• Ransomware Monitor: تتبع الضحايا الأخيرين والمجموعات والاتجاهات والدول وملاحظات الفدية وعناوين العملات المشفرة والبنية التحتية وقوائم المراقبة من RansomLook وRansomware.live وملاحظات ThreatLabz.
• YARA Ecosystem: استكشاف مستودعات YARA المحلية، وفحص العينات، والتحقق من صحة القواعد، وتشغيل اختبارات corpus/path/upload، وحفظ قواعد مساحة العمل، واستخدام AI لشرح القواعد أو إصلاحها.
• Similarity Engine: بناء الكيانات من العينات، واستخراج الميزات الثابتة والميزات الاختيارية لـ IDA/Hex-Rays، ومقارنة العينات، وفحص الدوال/الكتل/أنماط API، وضبط العتبات.
• CTI Articles: استيعاب خلاصات RSS/CTI، واستخراج مؤشرات IOC، وإدارة الفئات والمصادر، والبحث في مجموعة المقالات المحلية، وطلب ملخصات AI للمقالات.
• Vulnerability Intelligence: تتبع بيانات CVE/PoC، وسياق CISA KEV، والاستغلالات العامة الرائجة، واستخبارات الحزم الخبيثة في OSV.
• Telegram Toolkit: مراقبة قنوات Telegram عبر MTProto، وتحليل سجلات برامج سرقة المعلومات (stealer logs)، وتتبع تعرض الأهداف، وإدارة تحقيقات bot-token، والتحقق من الأدلة الرقمية.
• X Monitor: جمع وتصفية حسابات X/Twitter المراقبة وأحاديث أمن المعلومات للكشف عن مؤشرات IOC والثغرات الناشئة.
• Breach Watcher: تجميع بيانات DailyDarkWeb وRecentBreaches وDataBreach.watch وHaveIBeenPwned وDataBreaches.net وInfostealers Stats وLeak-Lookup.
• Today's Intelligence: تجميع يومي لمقالات CTI والثغرات المستغلة وPoCs ونشاط برامج الفدية والإشارات الاجتماعية ومخرجات موجز/تقرير AI الاختيارية.

البنية

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI ليس روبوت محادثة عامًا مُضافًا إلى واجهة المستخدم. فهو يقرأ سياق الصفحة المضغوط، ونتائج المزوّدين، والنتائج الحالية، والنص المرئي، وحالة القضية، والأدلة التي يختارها المحلل. ويمكنه بعد ذلك الاستدلال بشأن التحقيق النشط مع الحفاظ على ضوابط الحماية السلبية/للقراءة فقط.

قدرات الذكاء الاصطناعي

• المساعدة: اطرح أسئلة حول مجموعة النتائج الحالية أو صفحة التحقيق.
• تلخيص النتائج: تحويل بطاقات المزوّدين الخام إلى ملاحظات موجزة للمحلل.
• التوصية بنقاط التحول: ترتيب إجراءات المتابعة السلبية وتصفية نقاط التحول المزعجة.
• مقارنة العلاقات: ربط الكيانات والأدلة مع معالجة التداخل/التناقض.
• الإسناد: تقييم إسناد الفاعل/المجموعة المرشّحة مع فئات الأدلة والتناقضات والأدلة المفقودة ونطاقات الثقة.
• تحقيق الوكيل: تنفيذ اختيار الخطوة التالية المستقلة المحدودة عبر إجراءات الواجهة الأمامية المعتمدة.
• تشغيل قضية AEAD: تنفيذ Acquire وEnrich وDiscover/Pivot وAnalyze وDeliver مقابل أدلة القضية.
• صياغة التقارير: بناء تقارير القضايا، وتصديرات Markdown، وتصديرات JSON، وتقارير HTML المحفوظة، وملفات ZIP المحمولة لمساحة عمل الذكاء الاصطناعي.
• مساعد YARA: شرح القواعد، وتحليل أخطاء التحقق، واقتراح الإصلاحات، والإصلاح التلقائي لمشكلات الصياغة الآمنة، ومراجعة نتائج الاختبار.
• CTI AI: تلخيص مقالات CTI وإنتاج موجزات/تقارير الذكاء الاصطناعي لاستخبارات اليوم.
• التدقيق والسلامة: تخزين قرارات الأدوات، وحالة الموافقة، وبيانات العمليات الوصفية، ونقاط التحول المصفّاة.

سير عمل AEAD

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff