IDWolf

                     .
                    / V\
                  / `  /
                 <<   |                IDWolf
                 /    |                Active Directory / Entra hygiene
               /      |
             /        |
           /    \  \ /
          (      ) | |
  ________|   _/_  | |
<__________\______)\__)

تقرير حقيقي من نطاق مختبري مؤقت: الدرجة، والرسوم البيانية، والملخص المُولَّد بالذكاء الاصطناعي مع حكمه على تسلسل النتائج للوصول إلى اختراق النطاق، ومتجهات الهجوم المرصودة في الهجمات الأخيرة، وخريطة مسار الهجوم، وأعضاء المستوى 0 والنتائج.

يُختبر IDWolf على مختبر Active Directory حقيقي، وليس على بيانات اصطناعية فقط: نطاق مُعبَّأ بـ Vulnerable-AD وبسكربتات المشروع الخاصة في tests/lab/، التي تزرع سلاسل ACL والتفويض وغيرها من سوء الإعدادات.

IDWolf هو تدقيق نظافة لـ Active Directory وMicrosoft Entra ID، مكتوب بلغة PowerShell الصرفة. يأخذ لقطة للقراءة فقط من دليلك باستخدام وحدة ActiveDirectory الأصلية فقط، ثم يحلل تلك اللقطة دون اتصال ويعطيك تقرير HTML، وملف CSV بالنتائج، وإن أردت، JSON Lines لنظام SIEM الخاص بك.

على جانب AD يشغّل 169 فحصًا: Kerberos، والوصول المميز، ونظافة الحسابات، وإعداد النطاق، والأذونات، وDNS، وAD CS (ESC1-5، 9، 10، 13، 15)، والصحة التشغيلية (النسخ المتماثل، وDHCP، والنسخ الاحتياطي)، وتقوية المضيفين المقروءة من GPOs (توقيع SMB وLDAP، وNTLM، وتجزئة LM، وحقوق المستخدم) وجودة كلمات المرور، كل ذلك دون التعامل مع أي تجزئة كلمة مرور على الإطلاق. ويغطي جامع منفصل Microsoft Entra ID بـ 90 فحصًا، مرتبطة بمعيار CIS Microsoft 365 القياسي.

إن أردت، يمكن لخطوة Gemini كتابة ملخص تنفيذي وخطة معالجة. تُحسب النتائج نفسها دائمًا على جهازك، ويُستبدل كل اسم دليل برمز مميز قبل إرسال أي شيء.

كيف يبدو

التقرير ملف HTML واحد مكتفٍ بذاته، صُمم ليقرأه الأشخاص الذين عليهم التصرف بناءً عليه، وليس فقط من أجرى التدقيق. تحتوي علامة تبويب لوحة المعلومات على درجة وتقدير، وخريطة مسار الهجوم وخريطة الثقة مرسومة بصيغة SVG، وأعضاء المستوى 0، وبطاقات NIS2 / ISO 27001 / DORA / GDPR، والفئات، وأهم المخاطر والرسوم البيانية؛ وتحتوي علامة تبويب التفاصيل على كل نتيجة مع إصلاحها. لا مكتبات خارجية، ولا CDN، ولا شيء يُحمَّل من الإنترنت: يُفتح دون اتصال ويمكن إرساله كما هو.

يعرض GitHub ملفات HTML كنص عادي، لذا نزّل العينات وافتحها في متصفح:

• examples/lab_report.html هو التقرير في ملف GIF. يأتي من النطاق المختبري (المُعبَّأ بـ Vulnerable-AD وسكربتات tests/lab/) ويتضمن ملخص Gemini الاختياري.
• examples/demo_report.html مبني على نطاق خيالي، مع جمع عميق وجودة كلمات المرور. ويوجد ملف CSV بالنتائج وJSON Lines بجانبه.
• examples/entra_report.html هو مستأجر Entra الخيالي.

المكوّنات

السكربت	يعمل على	يحتاج	يُنتج
Start-IDWolf.ps1 (أو Start-IDWolf.cmd)	أي مكان	لا شيء	قائمة لكل ما يلي
Collect-ADSnapshot.ps1	جهاز منضم إلى النطاق	وحدة ActiveDirectory (RSAT)، حساب نطاق	لقطة AD بصيغة JSON
Collect-EntraSnapshot.ps1	أي جهاز	Microsoft Graph SDK، Global Reader	لقطة Entra بصيغة JSON
Export-PasswordQuality.ps1	أي جهاز يمكنه الوصول إلى PDC (مضيف إداري موثوق أو DC)، أو NTDS.dit دون اتصال	DSInternals، حقوق DCSync	جودة كلمات المرور بصيغة JSON (دون تجزئات)
IDWolf.ps1	أي مكان	لا شيء	تقرير HTML + CSV + JSONL
Export-BloodHound.ps1	أي مكان	لا شيء	ملف BloodHound CE zip (تجريبي)
Invoke-IDWolfScheduled.ps1	مهمة مجدولة	مثل الجامع	جمع + تحليل دون مطالبات، تغذية SIEM

لا تحتاج إلى إخبار IDWolf.ps1 ما إذا كانت اللقطة من AD أو Entra. فهو يستنتج ذلك بنفسه.

ما يغطيه IDWolf

المجال	الفحوصات	ما يتضمنه
Kerberos	14	Kerberoasting، AS-REP roasting، RC4/DES، التفويض (غير المقيّد، المقيّد، RBCD، الأهداف اليتيمة المعرّضة لاختطاف SPN)، عمر krbtgt، Protected Users
الوصول المميّز	18	عضوية Tier 0 حسب SID عبر التداخل والمجموعة الأساسية، المسؤولون الخاملون / الأجانب / مسؤولو الحاسوب، مجموعات المشغّلين، DnsAdmins، RID 500، silos، سياسات GPO التي تجعل الجميع مسؤولًا محليًا، سياسة تكرار كلمات مرور RODC وبيانات اعتماد Tier 0 المخزّنة مؤقتًا على RODCs
نظافة الحسابات	19	الحسابات غير النشطة وغير المستخدمة قط، كلمات المرور غير المطلوبة / التي لا تنتهي صلاحيتها أبدًا / الموجودة في الأوصاف، sIDHistory، نشر LAPS وتدويره، أنظمة التشغيل القديمة
إعدادات النطاق	28	سياسات كلمات المرور وFGPPs، مستوى الوظائف، Recycle Bin، LDAP المجهول، الثقات (trusts)، مناطق DNS وسجلات WPAD، نظافة DC
الأذونات	17	حقوق DCSync، ACEs الخطرة على Tier 0 (أو في أي مكان مع -Deep: بما في ذلك حق الكتابة على سكربت تسجيل الدخول، مسار الملف الشخصي، تعيين الشهادات، أعلام الحساب وقيود الحساب، سمة RBCD)، المالكون، قارئات DirSync للسمات السرية (SyncLAPSPassword)، كلمات مرور GPP، أسرار السكربتات، قارئات gMSA وLAPS، Shadow Credentials، حقوق إنشاء dMSA (BadSuccessor)، حق الكتابة على حاوية SCCM System Management، الاستيلاء على GPO، سكربتات ومهام GPO التي تُشغَّل من المشاركات
خدمات الشهادات	19	ESC1-5، 9، 10، 13، 15، 17 (WSUS عبر HTTPS)، مفاتيح CA الضعيفة، CAs المنتهية الصلاحية؛ قراءة ESC6، 7، 8، 11 و16 على CA نفسه (حقوق المسؤول على مضيف CA)، مع ملاحظة فحص يدوي لأي CA تعذّرت قراءته
تحصين المضيف (GPO)	40	توقيع SMB/LDAP وربط القنوات، NTLM/LM، WDigest، حماية LSA، سياسة التدقيق، التسجيل، ZeroLogon، LLMNR، mDNS، NBT-NS (مباشرة على DCs)، الجلسات الفارغة، Spooler، WebClient (عبر GPO ومباشرة على DCs)، مستوى تصحيح noPac وواجهات الإكراه (مباشرة على DCs)، Point and Print (PrintNightmare)، عمليات تسجيل الدخول المخزّنة مؤقتًا، AlwaysInstallElevated، كلمات مرور تسجيل الدخول التلقائي في GPOs، WSUS عبر HTTP، RDP (NLA، Restricted Admin)، Credential Guard، التحكم في التطبيقات، IPv6 / mitm6، الاكتشاف التلقائي لـ WPAD، Windows Script Host، فرض تسجيل الخروج
جودة كلمات المرور	5	كلمات المرور المكررة والفارغة والافتراضية والمخترقة والقابلة للعكس، دون التعامل مع أي hash على الإطلاق
الصحة التشغيلية	9	التكرار، النسخ الاحتياطية، DHCP على DC، حاملو FSMO، DCs غير القابلة للوصول، انحراف الساعة بين DCs، مساحة القرص والخدمات المتوقفة على DCs
Entra ID	90	MFA (التسجيل، القوة، إعدادات Authenticator)، الوصول الشرطي (المصادقة القديمة، رمز الجهاز، المخاطر، الأجهزة المُدارة، المواقع، حماية الرموز، حدود الجلسات)، PIM (الوصول الدائم، الموافقة، إعدادات التنشيط والتعيين، PIM للمجموعات والمالكين)، المسؤولون (سحابيون فقط، التراخيص، الخاملون، الوصول الطارئ)، الأجهزة (الانضمام، المسؤولون المحليون، LAPS، BitLocker)، الضيوف، التطبيقات (الموافقة، الأذونات، سياسة بيانات الاعتماد)، إعدادات كلمات المرور، موافقات التطبيقات الخطرة، مالكو التطبيقات، المجموعات الواقعة خلف استثناءات الوصول الشرطي وأدوار المسؤول، تطبيق Entra Connect، أسماء التطبيقات المتشابهة، بيانات الاعتماد على تطبيقات Microsoft، صحة المزامنة، الاتحاد (federation)، B2B direct connect، حزم الوصول والأدوار على كتالوجاتها، التطبيقات التي لا تزال على Azure AD Graph المتقاعد، الوصول الشرطي لهوية عبء العمل، أدوار Intune التي يمكنها تشغيل تعليمات برمجية على الأجهزة وMulti Admin Approval لمسح الأجهزة والسكربتات (لم يتم التحقق منها بعد على مستأجر حقيقي)؛ كل ضابط CIS Microsoft 365 v7 يمكن لـ Graph قراءته

القائمة الكاملة للفحوصات موجودة أدناه. كيفية ربطها بـ CIS وPingCastle و InfosecMatter Top 16 وتقنيات الهجوم الشائعة موجودة في COVERAGE.md.

الهجمات الحديثة

المتجهات الكامنة وراء الحوادث والأبحاث الأكثر استشهادًا في الفترة 2023-2026، و الفحوصات التي تبحث عن الحالة التي يحتاجها كل منها. الجدول الكامل، بما في ذلك ما لا يغطيه (العيوب من جانب Microsoft، الكشف بدلًا من الإعداد)، موجود في COVERAGE.md.