Phantom Grid - الوصول الشبكي بانعدام الثقة للمؤسسات (ZTNA)

Phantom Grid هو نظام الجيل التالي للوصول الشبكي بانعدام الثقة (ZTNA) والدفاع النشط. يعمل على مستوى النواة (eBPF) ومستوى التطبيق (mTLS) لتحويل خوادم Linux إلى سطح هجوم قوي وخادع.

صُمم للمؤسسات الحديثة، وهو مصمم لتقليل رؤية بنيتك التحتية لماسحات الشبكة بشكل كبير مع بقائه عالي الوصول للموظفين المصرح لهم.

القدرات الأساسية

التخفي الشبكي عبر eBPF و SPA (انعدام الثقة في الطبقة 4)

يتم إسقاط خدمات الشبكة الحيوية (مثل SSH، وقواعد البيانات، وواجهات الإدارة) أصلاً في نواة Linux عبر XDP بشكل افتراضي، مما يخفف بشدة من خطر الاكتشاف غير المصرح به. يُمنح الوصول ديناميكياً عبر التفويض أحادي الحزمة (SPA) باستخدام تشفير Ed25519 وكلمات المرور لمرة واحدة المستندة إلى الوقت (TOTP).

وكيل هوية mTLS (انعدام الثقة في الطبقة 7)

للتخفيف من النقاط العمياء في NAT، يتميز Phantom Grid بوكيل TLS متبادل (mTLS) مدمج. يتحقق الوكيل بصرامة من شهادات X.509 من جانب العميل قبل توجيه أي حركة مرور، مما يضمن حماية قوية حتى لو شارك مهاجم نفس عنوان IP العام لـ NAT مع مستخدم مصرح له.

الخدمات المصغرة وحركة المرور الداخلية

يتكامل Phantom Grid بسلاسة مع بنيات الخدمات المصغرة الحالية دون تعطيل الاتصال الداخلي بين الواجهة الخلفية وقاعدة البيانات:

• تجاوز Localhost: حركة المرور المرتبطة بصرامة بواجهة الاسترجاع (lo) تعمل أصلاً بدون أي حمل إضافي، مما يسمح لخدمات الواجهة الخلفية وقواعد البيانات على نفس المضيف بالتواصل بحرية بينما يبقى المنفذ العام متخفياً.
• mTLS من خدمة إلى خدمة (وكيل واعٍ بالهوية): للأنظمة الموزعة، يتخلى Phantom Grid عن القائمة البيضاء القديمة لعناوين IP لصالح هوية الخدمة بنمط SPIFFE/SPIRE. تنشئ خدمات الواجهة الخلفية أنفاق mTLS قصيرة الأجل مرتبطة بالشهادات إلى خادم قاعدة البيانات. تُفرض سياسات الاتصال بصرامة عبر الهوية التشفيرية (مثل CN=backend-api) بدلاً من عناوين IP غير الموثوقة، مما يضمن انعدام ثقة حقيقي في بيئات السحابة/Kubernetes الديناميكية.

الخداع النشط واحتواء التهديدات

• خداع المنافذ الديناميكي: يحاكي خدمات عشوائية ومتجاوبة على منافذ غير مستخدمة لإرباك أدوات الاستطلاع وماسحات المنافذ.
• إعادة توجيه مصائد العسل الشفافة: يعترض حركة المرور الخبيثة التي تستهدف الأجزاء المقيدة ويعيد توجيهها بشفافية إلى مصائد العسل الداخلية لتحليل السلوك.
• تحوير بصمة نظام التشغيل: يعدل رؤوس حزم TCP/IP في الوقت الفعلي لتغيير بصمة نظام التشغيل الظاهرة، مما يعيق الاستهداف الآلي للاستغلال.
• احتواء الخروج: ينفذ منع فقدان البيانات (DLP) على مستوى النواة عبر Linux Traffic Control (TC) للكشف عن الاتصالات الصادرة غير المصرح بها ومحاولات تسريب البيانات والتخفيف منها.

مركز توزيع المفاتيح ومحرك المفاتيح المتعددة

صُمم لمقياس المؤسسات، يتضمن Fleet Manager واجهة برمجة تطبيقات KDC تُنشئ تلقائياً مفاتيح SPA وأسرار TOTP وشهادات mTLS للنشر الجديد. يدعم الوكيل تحميل حجم كبير من المفاتيح العامة، مما يسمح بالإلغاء السريع للوصول الفردي دون التأثير على الأسطول.

استخبارات التهديدات والإدارة المستمرة

• قاعدة بيانات الأسطول المستمرة: يستخدم Fleet Manager قاعدة بيانات SQLite مدمجة عبر GORM، مما يضمن تخزين القياس عن بعد وسجلات الهجوم وحالات الوكلاء المتصلين بشكل مستمر.
• تكامل ELK: يصدر أصلاً أحداثاً أمنية منظمة إلى Elasticsearch للمراقبة والتنبيه المركزية.
• واجهة المستخدم الطرفية: يوفر لوحة تحكم في الوقت الفعلي قائمة على الطرفية لتصور التهديدات والتحليل الجنائي الفوري.

واجهة مستخدم العميل المتميزة

يتضمن عميل SPA لوحة تحكم ويب مدمجة ومعجلة بالأجهزة. يمكن للمستخدمين الاتصال بسهولة بالخوادم المحمية، وعرض زمن الاستجابة في الوقت الفعلي، وإدارة حالات الاتصال بنقرة واحدة دون الحاجة إلى إتقان واجهة سطر الأوامر.

البنية

يستفيد Phantom Grid من مدقق Linux eBPF لتقليل خطر عدم استقرار النواة بشكل كبير مقارنة بوحدات النواة التقليدية. تُرفض البرامج التي تفشل في التحقق من المدقق قبل تحميلها في النواة.

من خلال العمل على طبقة XDP، يحقق Phantom Grid حملاً إضافياً للأداء لا يُذكر. ينخفض استخدام وحدة المعالجة المركزية أثناء الهجمات عالية الحجم (مثل DDoS) بشكل كبير مقارنة بمعالجة الحزم في حزمة الشبكات التقليدية في Linux، مع الحفاظ على الحد الأدنى من استخدام الذاكرة.

graph TD
    Client[Remote Client] -->|SPA Packet| XDP{eBPF XDP Cloaking}
    Client -->|mTLS Handshake| Proxy{mTLS Proxy}
    
    subgraph Kernel Space
        XDP -->|Invalid/Scan| Redirect[Redirect to Honeypot]
        XDP -->|Valid SPA| Allow[Open Port for IP]
        TC[eBPF TC Hook] -->|Egress Filtering| NIC
    end

    subgraph User Space
        Allow --> Proxy
        Proxy -->|Invalid Cert| Reject[Terminate Connection]
        Proxy -->|Valid Cert| Service[Internal Service e.g. SSH:22]
        Redirect --> HP[Internal Honeypot]
        HP --> Telemetry[Logger & Telemetry]
    end
    
    Fleet[Fleet Manager] -.->|Provisions| Client

معايير الأداء

تعمل بنيتنا القائمة على eBPF بسرعة هائلة مقارنة بـ iptables أو nftables التقليدية من خلال إسقاط الحزم على مستوى مشغل NIC قبل دخولها إلى حزمة شبكات Linux.

• الإنتاجية وزمن الاستجابة: يُظهر القياس الداخلي على بطاقات Intel X710 القياسية (النواة 6.8) متوسط زمن استجابة XDP_PASS قدره < 0.8 ميكروثانية لحزم 64 بايت.
• XDP مقابل Netfilter: يمكن أن تتجاوز معدلات إسقاط الحزم عبر XDP 24 مليون حزمة في الثانية (Mpps) لكل نواة، متفوقة بشكل كبير على قواعد iptables التي عادةً ما تكون عنق الزجاجة حول 2-3 Mpps تحت قيود وحدة المعالجة المركزية المماثلة.
• محايد للأجهزة: تُلاحظ تحسينات أداء متسقة عبر واجهات الشبكة من Broadcom وIntel وMellanox.

الموثوقية والتحقق

تتطلب منتجات الأمان للمؤسسات استقراراً مطلقاً. تم التحقق من Phantom Grid بدقة لضمان عدم حدوث أي تعطيل لبيئات الإنتاج:

• اختبار CI/CD الآلي: تُشغّل جميع عمليات الالتزام عمليات بناء واختبارات وحدة آلية عبر إصدارات متعددة من نواة Linux (5.4، 5.10، 5.15، 6.1، و6.8).
• اختبار التكامل والإجهاد: تحاكي خطوط الأنابيب الليلية ظروف DDoS والتفاوض المعقد لـ mTLS تحت حمل ثقيل لضمان الاستقرار ومنع تسرب الذاكرة.
• ترقيات النواة: لن يؤدي ترقية نواة Linux الخاصة بك إلى كسر الوضعية الأمنية. يتم التحقق من برامج eBPF في وقت التشغيل لضمان التوافق والسلامة قبل تحميلها.

متطلبات النظام

لضمان الأداء والأمان الأمثل، يجب استيفاء الحد الأدنى من المتطلبات التالية:

متطلبات الأجهزة

• وحدة المعالجة المركزية: نواتان كحد أدنى (x86_64 أو ARM64).
• الذاكرة العشوائية: 1 جيجابايت كحد أدنى (تحافظ خرائط eBPF وقاعدة بيانات SQLite على بصمة ذاكرة منخفضة جداً).
• بطاقة واجهة الشبكة (NIC): لأقصى إنتاجية (وضع XDP الأصلي)، يلزم بطاقة NIC بدعم مشغل XDP الأصلي (مثل Intel X710/E810، Mellanox ConnectX-4/5/6، Broadcom NetXtreme). ستعود بطاقات NIC الافتراضية (veth، virtio) تلقائياً إلى XDP العام (وضع SKB) بإنتاجية منخفضة.

متطلبات البرمجيات

• نظام التشغيل: Ubuntu 20.04+، Debian 11+، أو RHEL/CentOS 8+.
• نواة Linux: الإصدار 5.4 أو أعلى مطلوب بصرامة لدعم eBPF. يُوصى بالنواة 6.8+ للحصول على أداء XDP الأمثل.
• التبعيات: libbpf1، systemd.

البدء

نوفر حزم Debian جاهزة للإنتاج لبيئات Debian/Ubuntu، متكاملة بالكامل مع systemd للاسترداد التلقائي.

التثبيت عبر الحزمة

# Install the Debian package
sudo dpkg -i build/deb_phantom-grid_1.0.0_amd64.deb

# Enable and start the Agent (Defense System)
sudo systemctl enable --now phantom-agent

# Enable and start the Fleet Manager (Control Center)
sudo systemctl enable --now phantom-fleet

البناء من المصدر

لتجميع حزمة المؤسسات من المصدر:

git clone https://github.com/haidang-infosec/phantom-grid.git
cd phantom-grid

# Install build dependencies
sudo apt update && sudo apt install -y clang llvm libbpf-dev golang-go make git gcc-multilib linux-libc-dev

# Build the Debian package
make package

سيتم إنشاء الناتج في build/deb_phantom-grid_1.0.0_amd64.deb.

الاستخدام

نشر الوكيل

sudo phantom-grid \
  -interface eth0 \
  -spa-mode asymmetric \
  -spa-key-dir /etc/phantom/keys \
  -mtls -mtls-port 8443 -mtls-target 22

لوحة تحكم العميل

ابدأ تطبيق العميل للوصول إلى واجهة الويب:

spa-client -web-ui -ui-port 9090

انتقل إلى http://localhost:9090 لإدارة اتصالاتك.

خارطة طريق المؤسسات

لتحقيق تكافؤ قوي مع الحلول على مستوى المؤسسات، يتم تطوير الميزات التالية بنشاط للإصدارات القادمة:

• الهوية والوصول: التحكم في الوصول القائم على الأدوار (RBAC)، ورموز API لتكامل CI/CD.
• انعدام الثقة من خدمة إلى خدمة: هوية الخدمة بنمط SPIFFE/SPIRE مع شهادات mTLS قصيرة الأجل (إلغاء كل الثقة القائمة على IP للخدمات المصغرة في الواجهة الخلفية).
• PKI المتقدم: تدوير الشهادات الآلي، ودعم CRL/OCSP للإلغاء الفوري.
• قابلية التوسع والتوافر العالي: Fleet Manager عالي التوافر (HA)، والمزامنة متعددة المناطق.
• المراقبة: مسار تدقيق شامل، وتصدير مقاييس Prometheus، ولوحات تحكم Grafana الرسمية.
• السحابة الأصلية: دعم Kubernetes الأصلي (DaemonSet) وتوزيع Helm Chart.
• أمان الأجهزة: تكامل TPM/HSM وتخزين المفاتيح المدعوم بالأجهزة.
• قابلية نقل النواة: توافق eBPF CO-RE التلقائي (Compile Once – Run Everywhere).

الترخيص

يعمل Phantom Grid تحت نموذج Open Core / Dual License.

• مكونات تصفية حزم eBPF الأساسية ومكونات SPA الأساسية متاحة تحت ترخيص MIT.
• ميزات المؤسسات، بما في ذلك Fleet Manager، ومركز توزيع المفاتيح، ووكيل هوية mTLS، والخداع المتقدم، ولوحة تحكم واجهة الويب، تُصدر تحت ترخيص Phantom Grid التجاري.

يتطلب الاستخدام التجاري لميزات المؤسسات ترخيصاً مدفوعاً صالحاً. للشراء والدعم المؤسسي، يرجى الاتصال بفريق المبيعات. راجع ملف LICENSE للحصول على التفاصيل الكاملة.