grapl-security/graplمنصة رسوم بيانية للكشف والاستجابة
Grapl هي منصة SIEM قائمة على الرسوم البيانية، بُنيت بواسطة مهندسي الاستجابة للحوادث ولأجلهم.
توقفت Grapl عن العمل كشركة. وبناءً على ذلك، لم يعد هذا الكود قيد التطوير النشط، ولكنه سيبقى متاحًا في حالة أرشفة.
تستفيد Grapl من هياكل البيانات الرسومية (Graph Data Structures) في جوهرها لضمان قدرتك على الاستعلام عن بياناتك وربطها بكفاءة، ونمذجة سلوكيات المهاجمين المعقدة للكشف عنها، والتعمق بسهولة في السلوكيات المشبوهة لفهم النطاق الكامل لاختراق مستمر.
للحصول على نظرة عامة أكثر تعمقًا حول Grapl، اقرأ هذا.
بشكل أساسي، ستأخذ Grapl السجلات الأولية، وتحولها إلى رسوم بيانية، وتدمج هذه الرسوم البيانية في رسم بياني رئيسي (Master Graph). ثم ستقوم بتنسيق تنفيذ تواقيع الهجوم الخاصة بك، وتوفير أدوات لإجراء تحقيقاتك.
يمكنك مشاهدة بعض محادثاتنا في BSidesLV أو في BSides San Francisco.
تدعم Grapl أصلاً العقد (Nodes) من أجل:
تدعم Grapl أصلاً تنسيقات الإدخال التالية لتوليد الرسوم البيانية:
يتم تطوير Grapl مع وضع الإضافات (plugins) في الاعتبار - يمكن للمشغلين دعم تنسيقات سجلات إدخال جديدة وأنواع عقد جديدة بسهولة.
ضع في اعتبارك أن Grapl لم تصل بعد إلى حالة مستقرة 1.0، وهي مشروع سريع التطور. توقع بعض الأخطاء الطفيفة والتغييرات الجذرية!
أسئلة؟ حاول فتح مشكلة (issue) في هذا المستودع، أو الانضمام إلى قناة Grapl على Slack (اضغط للحصول على دعوة).
الهوية (Identity)
إذا كنت على دراية بمصادر السجلات مثل Sysmon، فإن إحدى أفضل الميزات هي أن العمليات تُعطى هويات (identities). تطبق Grapl نفس المفهوم ولكن لأي نوع سجل مدعوم، حيث تأخذ معرفات زائفة مثل معرفات العمليات وتميز الهويات الأساسية.
ثم تجمع Grapl مفهوم الهوية هذا مع نهجها الرسومي، مما يسهل التفكير في الكيانات وسلوكياتها. علاوة على ذلك، فإن خاصية الهوية هذه تعني أن Grapl تخزن فقط المعلومات الفريدة من سجلاتك، مما يعني أن تخزين البيانات الخاص بك ينمو بشكل أقل خطيًا مقارنة بحجم السجل.
يقلل هذا من تكاليف التخزين ويمنحك مواقع مركزية لعرض بياناتك، بدلاً من توزيعها عبر آلاف السجلات. على سبيل المثال، بالنظر إلى المعرف الأساسي لعملية ما، يمكنك عرض جميع المعلومات الخاصة بها عن طريق تحديد العقدة.
المحللات (Analyzers) https://grapl.readthedocs.io/en/latest/analyzers/implementing.html
المحللات هي تواقيع الهجوم الخاصة بك. إنها وحدات Python، يتم نشرها في حاوية S3 الخاصة بـ Grapl، ويتم تنسيقها لتنفيذها عند حدوث تغييرات في الرسم البياني الرئيسي لـ Grapl.
بدلاً من أن تحاول المحللات تحديد قيمة ثنائية "جيد" أو "سيء" لسلوكيات الهجوم، تستفيد Grapl من مفهوم المخاطر (Risk)، ثم تقوم تلقائيًا بربط المخاطر لإظهار الأجزاء الأكثر خطورة في بيئتك.
يتم تنفيذ المحللات في الوقت الفعلي مع تحديث الرسم البياني الرئيسي، باستخدام عمليات زمنية ثابتة. ستعمل بيئة المحلل (Analyzer harness) الخاصة بـ Grapl تلقائيًا على تجميع الاستعلامات الخاصة بك، وتوزيعها بالتوازي، وتحسينها. من خلال الاستفادة من العمليات الزمنية الثابتة وشبه الخطية، تضمن Grapl أنه مع نمو مؤسستك، ومع نمو حجم بياناتك معها، لا يزال بإمكانك الاعتماد على تنفيذ استعلاماتك بكفاءة.
توفر Grapl مكتبة محللات حتى تتمكن من كتابة تواقيع هجوم باستخدام Python النقي. راجع هذا المستودع للحصول على أمثلة.
فيما يلي مثال موجز لكيفية اكتشاف تنفيذ مشبوه لـ svchost.exe:
class SuspiciousSvchost(Analyzer):
def get_queries(self) -> OneOrMany[ProcessQuery]:
invalid_parents = [
Not("services.exe"),
Not("smss.exe"),
Not("ngentask.exe"),
Not("userinit.exe"),
Not("GoogleUpdate.exe"),
Not("conhost.exe"),
Not("MpCmdRun.exe"),
]
return (
ProcessQuery()
.with_process_name(eq=invalid_parents)
.with_children(
ProcessQuery().with_process_name(eq="svchost.exe")
)
)
def on_response(self, response: ProcessView, output: Any):
output.send(
ExecutionHit(
analyzer_name="Suspicious svchost",
node_view=response,
risk_score=75,
)
)
إن الاحتفاظ بالمحللات الخاصة بك في الكود يعني أنه يمكنك:
تحقق من إضافة نشر المحلل الخاصة بـ Grapl لترى كيف يمكنك الاحتفاظ بالمحللات الخاصة بك في مستودع git ينشرها تلقائيًا عند الدفع إلى الفرع الرئيسي.
المشاركات (Engagements)
توفر Grapl أداة للتحقيقات تسمى المشاركة (Engagement). المشاركات هي رسم بياني معزول يمثل رسمًا بيانيًا فرعيًا اعتبرته المحللات الخاصة بك مشبوهًا.
باستخدام دفاتر ملاحظات Jupyter المستضافة على AWS Sagemaker ومكتبة Python المقدمة من Grapl، يمكنك توسيع أي رسم بياني فرعي مشبوه ليشمل النطاق الكامل للهجوم. أثناء توسيع نطاق الهجوم باستخدام دفتر Jupyter الخاص بك، سيتم تحديث الرسم البياني للمشاركة (Engagement Graph)، مما يمثل نطاق الهجوم بصريًا.
قائم على الأحداث وقابل للتوسيع (Event Driven and Extendable)
تم بناء Grapl لتكون قابلة للتوسيع - لا يمكن لأي خدمة تلبية احتياجات كل مؤسسة. تعمل كل خدمة Grapl أصلية عن طريق إرسال واستقبال الأحداث، مما يعني أنه لتوسيع Grapl تحتاج فقط إلى البدء في الاشتراك في الرسائل.
هذا يجعل Grapl سهلة التوسيع أو التكامل مع خدماتك الحالية.
توفر Grapl أيضًا نظام إضافات (Plugin system)، حاليًا في مرحلة تجريبية، يسمح لك بتوسيع قدرات المنصة - إضافة عقد مخصصة وقدرات استعلام.