الوحدات الأساسية:

| الوحدة | المسؤولية |
|--------|---------------|
| `ioc2rpz.erl` | عامل DNS TCP/TLS — استقبال، تحليل، تحقق، استجابة |
| `ioc2rpz_udp.erl` | مستمع DNS UDP — استعلامات SOA |
| `ioc2rpz_conn.erl` | جلب مصدر IOC (HTTP/HTTPS/ملف/شل) |
| `ioc2rpz_db.erl` | ذاكرة تخزين مؤقت للمناطق والحزم قائمة على ETS |
| `ioc2rpz_sup.erl` | المشرف الرئيسي، تحميل التكوين، جدولة المناطق |
| `ioc2rpz_rest.erl` | واجهة برمجة تطبيقات إدارة REST (Cowboy) |
| `ioc2rpz_doh.erl` | معالج DNS عبر HTTPS |

## كيفية استخدام ioc2rpz™
يمكنك استخدام ioc2rpz™ مع أي خادم DNS يدعم مناطق سياسة الاستجابة (Response Policy Zones) مثل الإصدارات الحديثة من ISC BIND و PowerDNS وأي خادم DNS تجاري مبني على هذه المنتجات (مثل Infoblox و Blue Cat و Efficient IP). يتم توفير ملف تكوين نموذجي لـ BIND (named.conf) في مجلد cfg.
<p align="center"><a href="http://www.youtube.com/watch?feature=player_embedded&v=bvhyMFa_mBM" target="_blank"><img src="https://raw.githubusercontent.com/Homas/ioc2rpz/master/ioc2rpz_demo.png"></a></p>

## واجهة الويب لـ ioc2rpz™
[ioc2rpz.gui](https://github.com/Homas/ioc2rpz.gui) هي واجهة ويب إدارية تم تطويرها كمشروع منفصل. لا تتطلب تشغيل ioc2rpz™.

## دعم البروتوكولات

يستمع ioc2rpz™ على بروتوكولات نقل متعددة. تشترك جميع بروتوكولات النقل في نفس خط أنابيب معالجة الاستعلام: تحديد المعدل، التحقق من TSIG، البحث في المنطقة، وتوليد الاستجابة. راجع [docs/protocols.md](https://github.com/homas/ioc2rpz/blob/master/docs/protocols.md) للوثائق الكاملة للبروتوكولات.

### ملخص المنافذ

| المنفذ | البروتوكول | الخدمة | الشرط |
|------|----------|---------|-----------|
| 53 | UDP | استعلامات DNS (SOA فقط) | دائمًا |
| 53 | TCP | استعلامات DNS، نقل المناطق AXFR/IXFR، الإدارة | دائمًا |
| 853 | TCP+TLS | DoT — نفس TCP ولكن مشفر | يتطلب تكوين `cert` |
| 443/8443 | TCP+TLS | DoH (`/dns-query`) و REST API | يتطلب تكوين `cert` |

### UDP (المنفذ 53)

يستخدم UDP للاستعلامات الخفيفة DNS، بشكل أساسي استعلامات SOA. الاستجابات التي تتجاوز 512 بايت (أو حجم المخزن المؤقت المعلن عنه في EDNS0) تقوم بتعيين بت الاقتطاع (TC) وفقًا لـ RFC 1035 §4.2.1، مما يدفع العملاء إلى إعادة المحاولة عبر TCP. لا يتم دعم أوامر الإدارة عبر UDP.```bash
dig @127.0.0.1 zone.ioc2rpz SOA -y hmac-sha256:keyname:base64key

### DNS عبر TLS / DoT (المنفذ 853)

يدعم ioc2rpz™ توزيع RPZ عبر DoT. يبدأ مستمع TLS تلقائيًا على المنفذ 853 عندما يكون سجل `cert` موجودًا في التكوين. يدعم DoT نفس العمليات التي يدعمها TCP (AXFR و IXFR و SOA والإدارة).

- إصدارات TLS المدعومة: 1.2 و 1.3 (`?TLSVersion = 'tlsv1.2-1.3'`)
- إعادة استخدام الاتصال مدعومة وفقًا لـ RFC 7858 §3.4 (استعلامات متعددة لكل جلسة TLS، مهلة الخمول 30 ثانية)
- TLS PIN غير مدعوم
- يتم إرسال رسائل NOTIFY الخاصة بـ DNS بدون تشفير (UDP عادي)
- يتم تحديث الشهادات تلقائيًا عند استبدال الملفات على القرص (تأخير يصل إلى ~دقيقتين بسبب تخزين Erlang SSL المؤقت)

لإعداد الشهادة، راجع [إعداد الشهادة](#certificate-setup).```bash
# SOA query over DoT
kdig @127.0.0.1 -p 853 zone.ioc2rpz SOA +tls -y hmac-sha256:keyname:base64key

# AXFR over DoT
dig @127.0.0.1 -p 853 zone.ioc2rpz AXFR +tls +tcp -y hmac-sha256:keyname:base64key

### تحديد معدل الاستعلامات

يتم تحديد معدل استعلامات DNS باستخدام مفتاح ذكي (هجين) بحيث لا يتم معاقبة العملاء الشرعيين متعددي المناطق بينما يتم حظر إساءة استخدام تنويع اسم الاستعلام:

- **المنطقة المزوَّدة + نوع الاستعلام المدعوم** (`SOA`/`AXFR`/`IXFR`، الفئة `IN`) و**أوامر الإدارة المعترف بها** (الفئة `CHAOS`/`TXT`) يتم تتبعها لكل `{client_IP, query_name, query_type}` — بحيث يتم حساب الاقتراع/النقل الثانوي لعدة مناطق (مثل `rpz1`، `rpz2`، `rpz3`) بالإضافة إلى الإدارة من عنوان IP واحد بشكل مستقل لكل منطقة+نوع.
- **كل شيء آخر** (منطقة غير معروفة/غير مزوَّدة، نوع استعلام غير مدعوم، فئة خاطئة، أو اسم إدارة غير معروف) يتم تجميعه لكل `{client_IP}`، وبالتالي لا يمكن للمهاجم تجاوز الحد بتغيير اسم الاستعلام.

عند تجاوز الحد، يرد الخادم باستجابة DNS `REFUSED`.

| المعامل | الافتراضي | الماكرو |
|-----------|---------|-------|
| النافذة | 10 ثوانٍ | `?RATE_LIMIT_WINDOW` (10000 ms) |
| الحد الأقصى للطلبات لكل نافذة (دقيق: منطقة معروفة+نوع / إدارة) | 1 | `?MAX_REQUESTS_PER_WINDOW` |
| الحد الأقصى للطلبات لكل نافذة (إجمالي: منطقة غير معروفة / نوع غير مدعوم) | 1 | `?MAX_UNKNOWN_REQUESTS_PER_WINDOW` |

ينطبق تحديد المعدل على جميع وسائط نقل استعلامات DNS (UDP، TCP، TLS، DoH). يمكن تكوين النافذة والحد عبر الماكرو في `include/ioc2rpz.hrl`.

### إشعار DNS

بعد تحديث المنطقة (AXFR أو IXFR)، يرسل ioc2rpz™ رسائل إشعار DNS ([RFC 1996](https://tools.ietf.org/html/rfc1996)) عبر UDP إلى عناوين IP المكونة في `NotifyList` في RPZ. يؤدي هذا إلى حث خوادم DNS الثانوية على التحقق من الرقم التسلسلي لـ SOA للمنطقة وبدء النقل إذا تغير الرقم التسلسلي.```erlang
%% NotifyList in RPZ config — last field before whitelists
{rpz, {"zone.ioc2rpz", ..., ["source1"], ["10.0.0.1", "10.0.0.2"], []}}.

حيث دليل /home/ioc2rpz/cfg، /home/ioc2rpz/db على نظام المضيف.  
يمكنك تمرير اسم ملف تكوين مخصص عبر الوسيط ``-e``. مثال: ``-e CONF=./cfg/ioc2rpz2.conf``

## متغيرات البيئة

تستخدم ioc2rpz™ متغيرات البيئة التالية، وهي ذات صلة أساسية بنشر Docker. يتم تعريفها في `config/sys.config.src` و `config/vm.args`.

| متغير | القيمة الافتراضية | الوصف |
|----------|---------|-------------|
| `IPv4` | — | عنوان ربط IPv4 |
| `IPv6` | — | عنوان ربط IPv6 |
| `CONF` | — | مسار ملف التكوين (مثل `./cfg/ioc2rpz.conf`) |
| `DB` | `/opt/ioc2rpz/db` | دليل قاعدة البيانات لاستمرار ETS |
| `CD` | `/opt/ioc2rpz` | دليل العمل |
| `NODE_NAME` | `ioc2rpz` | اسم عقدة Erlang القصير |
| `IO2Cookie` | `ioc2rpz` | ملف تعريف توزيع Erlang |

مرر متغيرات البيئة إلى Docker باستخدام `-e`:```bash
docker run -d --name ioc2rpz -e CONF=./cfg/custom.conf -e NODE_NAME=mynode ...

قم بتحديث ملف `ioc2rpz.conf` الخاص بك للإشارة إلى مسار الشهادة المُثبت:```erlang
{cert, {"ssl/live/ns1.rpz-proxy.com/fullchain.pem", "ssl/live/ns1.rpz-proxy.com/privkey.pem", ""}}.

### Let's Encrypt (Production)```bash
# Obtain certificate
sudo certbot certonly --standalone -d ns1.rpz-proxy.com

# Copy to ioc2rpz cfg directory
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/fullchain.pem cfg/ioc2rpz_dot.crt
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/privkey.pem cfg/ioc2rpz_dot.key

يتم أيضًا إعادة تحميل الشهادات صراحةً أثناء إعادة تحميل التكوين (`ioc2rpz-reload-cfg`): عندما يكتشف ioc2rpz أن ملفات الشهادة قد تغيرت، فإنه يعيد تشغيل مستمعي TLS بالشهادة الجديدة فورًا، بدلاً من انتظار ذاكرة التخزين المؤقت لـ SSL الخاصة بـ Erlang والتي تبلغ حوالي دقيقتين. أضف خطوة `ioc2rpz-reload-cfg` إلى خطاف التجديد الخاص بك لتطبيق الشهادات الجديدة دون فترة تعطل.

### تركيب حجم Docker

عند التشغيل في Docker، قم بتركيب دليل الشهادة من المضيف:```bash
docker run -d --name ioc2rpz \
  --mount type=bind,source=/etc/letsencrypt/live/ns1.rpz-proxy.com,target=/opt/ioc2rpz/ssl,readonly \
  ...

يقوم إرلانج تلقائيًا بالتقاط ملفات الشهادات المُستبدلة خلال حوالي دقيقتين. يتم أيضًا إعادة تحميل الشهادات بشكل صريح أثناء إعادة تحميل الإعدادات (`ioc2rpz-reload-cfg`). لا تدع الشهادات تنتهي صلاحيتها — جددها قبل انتهاء الصلاحية لضمان الخدمة دون انقطاع.

## البناء من المصدر

> **ملاحظة:** البناء من المصدر مخصص لـ **التطوير والاختبار**. للإنتاج، **طريقة النشر الموصى بها هي Docker** — انظر [Docker Compose](#docker-compose) ومستودع [ioc2rpz.dc](https://github.com/Homas/ioc2rpz.dc).

### المتطلبات الأساسية

- **Erlang/OTP 24 أو أحدث** (للتحقق استخدم `erl -version`) و [rebar3](https://www.rebar3.org) متوافق.
- سلسلة أدوات C (لبناء التبعيات) و `git`.

### البناء والتشغيل```bash
# 1. Clone the repository
git clone https://github.com/Homas/ioc2rpz.git
cd ioc2rpz

# 2. Build a release
rebar3 release

# 3. Edit the configuration (see the minimal example below)
$EDITOR cfg/ioc2rpz.conf

# 4. Start the server (foreground console, or 'start' for background)
_build/default/rel/ioc2rpz/bin/ioc2rpz console
# or: _build/default/rel/ioc2rpz/bin/ioc2rpz start

انظر [docs/configuration.md](https://github.com/homas/ioc2rpz/blob/master/docs/configuration.md) للحصول على المرجع الموثوق لكل حقل (source/RPZ tuple layout, SOA timers, key groups, certificates, etc.). لتفعيل DoT (المنفذ 853), DoH, وواجهة برمجة التطبيقات HTTPS REST، أضف إدخال `{cert,{...}}` — انظر [إعداد الشهادة](#certificate-setup).

### شل التطوير (للتطوير/الاختبار فقط)

الأوامر التالية مخصصة للتطوير والاختبار المحلي — وليس للاستخدام في الإنتاج:```bash
# Compile only (no release)
rebar3 compile

# Run the EUnit test suite
rebar3 eunit
# Run tests for a single module
rebar3 eunit --module=ioc2rpz_fun

# Start an interactive shell with the application and all deps loaded
rebar3 shell

## إدارة ioc2rpz™
### عبر DNS
يدعم ioc2rpz™ الإدارة عبر DNS/TCP أو DoT. يُوصى باستخدام DoT أو REST API عبر DNS/TCP. الإصدار الحالي من ioc2rpz™ لا يدعم عنوان IP/واجهة إدارة منفصلة. على أي حال، يُوصى بشدة بإنشاء مفتاح TSIG مخصص (أو مفاتيح) سيتم استخدامه للإدارة فقط. يمكنك إيقاف تشغيل الإدارة عبر DNS.  
الإجراءات المدعومة:
- الحالة الحالية لـ ioc2rpz™. طلب ``ioc2rpz-status``، الفئة ``CHAOS``، السجل ``TXT``. مثال:```
dig +tcp -y dnsmkey_1:ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA== @127.0.0.1 ioc2rpz-status TXT -c CHAOS

- إيقاف ioc2rpz™. اسم RR ``ioc2rpz-terminate``، فئة RR ``CHAOS``، نوع RR ``TXT``
- طلب منطقة عينة. اسم RR ``sample-zone.ioc2rpz``، فئة RR ``IN``، نوع RR ``AXFR``
### عبر REST
REST API (المنفذ 8443/tcp) هي واجهة الإدارة المفضلة. لأسباب أمنية، يجب تشفير جميع حركة المرور الإدارية ولا يتم تشغيل REST API في حالة عدم وجود شهادة SSL. تقبل جميع نقاط النهاية كلاً من طريقتي GET و POST.

يتم استخدام المصادقة الأساسية لـ HTTP لمصادقة الطلبات. تُستخدم مفاتيح TSIG الإدارية لمصادقة الطلبات. يُستخدم اسم مفتاح TSIG كاسم مستخدم HTTP ومفتاح TSIG ككلمة المرور. يتم تقييد الوصول إلى REST API باستخدام قائمة التحكم في الوصول (ACL) المحددة في سجل `srv`.

يدعم جزء إصدار API كلاً من `v1` و `v1.0` (مثل `/api/v1/stats/serv` أو `/api/v1.0/stats/serv`).

يدعم REST API إخراج JSON (الافتراضي) والنص العادي بناءً على رأس `Accept`:
- `application/json` — إخراج JSON (الافتراضي)
- `text/plain` — إخراج نص عادي```bash
# Example: plain text output
curl -u "keyname:base64key==" -k -H "Accept: text/plain" https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

#### معلمات المسار

| المعلمة | الوصف |
|---------|-------|
| `:rpz_name` | اسم منطقة RPZ (مثل `dga.ioc2rpz`) |
| `:source_name` | اسم مصدر IOC (مثل `sample_fqdn`) |
| `:ioc` | المؤشر المراد البحث عنه (FQDN أو IP، مثل `baddomain.com`) |

#### نقاط نهاية الإحصائيات

`/api/v1/stats/serv` — إحصائيات الخادم (اسم العقدة، إجمالي القواعد، استخدام الذاكرة)```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/stats/serv

{
  "srv": {
    "node_name": "ioc2rpz@hostname",
    "srv_total_rules": 15000,
    "hot_cache_mem": "12.5 Mb",
    "axfr_table_mem": "45.2 Mb",
    "ixfr_table_mem": "8.1 Mb"
  },
  "rpz": [...],
  "sources": [...]
}

```json
{
  "rpz": [
    {
      "name": "malware.ioc2rpz",
      "status": "ready",
      "rule_count": 5000,
      "ioc_count": 4500,
      "serial": 1709000000,
      "serial_ixfr": 1708990000,
      "update_time": 1709000000,
      "ixfr_update_time": 1708995000,
      "ixfr_nz_update_time": 1708995000
    }
  ]
}

```json
{
  "sources": [
    {"name": "sample_fqdn", "ioc_count": 150}
  ]
}

نجاح: `{"status":"ok","msg":"Configuration reloaded"}`
خطأ (HTTP 520): `{"status":"error","msg":"Configuration reload error"}`

`/api/v1/mgmt/update_tkeys` — إعادة تحميل مفاتيح TSIG من التهيئة```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

نجاح: `{"status":"ok","msg":"Terminating"}`

#### نقاط نهاية تحديث المنطقة

`/api/v1/update/all_rpz` — فرض تحديث كامل لجميع مناطق RPZ```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/update/all_rpz

نجاح: `{"status":"ok","msg":"RPZ dga.ioc2rpz will be updated"}`
خطأ (HTTP 520): `{"status":"error","msg":"RPZ dga.ioc2rpz not found"}`

#### نقاط نهاية إدارة ذاكرة التخزين المؤقت

`/api/v1/cache/sources/clear/all` — إزالة جميع المصادر من ذاكرة التخزين المؤقت الساخنة```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/clear/all

نجاح: `{"status":"ok","msg":"sample_fqdn source was removed from the hot cache"}`

`/api/v1/cache/sources/load/all` — إعادة تحميل جميع المصادر إلى الذاكرة المؤقتة الساخنة```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/load/all

نجاح:```json
{
  "status": "ok",
  "rpz": "malware.ioc2rpz",
  "iocs": ["baddomain.com", "evil.example.org"]
}

نجاح:```json
{
  "ioc": "baddomain.com",
  "tkey": "dnsproxykey_1",
  "data": [
    {
      "ioc": "baddomain.com",
      "feeds": [
        {
          "feed": "malware.ioc2rpz",
          "wildcard": "true",
          "type": "fqdn",
          "rpz_serial": 1709000000,
          "ioc_expiration": 0,
          "sources": ["abuse-ch", "internal-list"]
        }
      ]
    }
  ]
}

## المراقبة وفحوصات الصحة

### إحصائيات REST API```bash
# Server statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/serv

# RPZ zone statistics (indicator counts, serials, update times)
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/rpz

# Source statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/source

### فحوصات صحة DNS```bash
# SOA query over UDP
dig @localhost -p 53 your-zone.rpz SOA +short

# Zone transfer over TCP
dig @localhost -p 53 your-zone.rpz AXFR +tcp -y hmac-sha256:keyname:base64key

# DoT query
dig @localhost -p 853 +tls your-zone.rpz SOA

# Sample zone (built-in test zone)
dig @localhost sample-zone.ioc2rpz AXFR +tcp

يظل نموذج الحقول الأربعة صالحًا ويضبط `TrackSources` افتراضيًا على `off`.
### **cert** سجل
يُستخدم سجل **cert** لتحديد شهادة ومفتاح خاص لاتصالات DNS عبر TLS و REST API و DoH. لإنشاء الشهادات وإدارتها، راجع [إعداد الشهادة](#certificate-setup).

يتكون من:
- مسار إلى ملف يحتوي على شهادة؛
- مسار إلى ملف يحتوي على مفتاح خاص مشفّر بصيغة PEM؛
- مسار إلى ملف يحتوي على شهادات CA بصيغة PEM.  

نموذج سجل **cert**:```
{cert,{"cfg/cert.pem", "cfg/key.pem",	"cfg/cacerts.pem"}}.

### **key** سجل
تُستخدم مفاتيح TSIG للمصادقة والترخيص. يُوصى باستخدام مفاتيح TSIG مختلفة لإدارة ioc2rpz™ ونقل المناطق.  
يتكون سجل **key** من:
- اسم مفتاح TSIG;
- الخوارزمية. مدعوم من ``md5``، ``sha256`` و ``sha512``;
- المفتاح;
- (اختياري) قائمة مجموعات المفاتيح التي ينتمي إليها.

عينات من سجلات **key**:```
{key,{"key_name_1","md5","ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA=="}}.
{key,{"key_name_2","sha256","5Yvt70eJnf95+LJeI8H3TgKGeVparmMB7udA0pv/JRE="}}.
{key,{"key_name_3","sha512","03uuaGl9kqfenjRgIeCv6e29lVvMwviB1+cDX1I0jcVOcTU4jWFwRkfo3ULRMD+NGDfwzYvXkJ94FNEaAW4vzw==",["customers","public"]}}.

يرجى الرجوع إلى وثائق "dnssec-keygen" للحصول على التفاصيل. يمكن تعيين المفاتيح إلى مجموعات للتفويض القائم على المجموعات في التحكم في الوصول إلى منطقة RPZ.

### **key_group** سجل
توفر مجموعات المفاتيح تفويضًا قائمًا على المجموعات لنقل المناطق وإدارتها. بدلاً من سرد المفاتيح الفردية في سجلات `rpz` أو `srv`، يمكنك تعيين المفاتيح إلى مجموعات مسماة والإشارة إلى المجموعة.

هناك طريقتان لتعيين المفاتيح إلى المجموعات:
1. مضمنًا عبر الحقل الرابع الاختياري لسجل `key`: `{key, {Name, Alg, Secret, [Groups]}}`
2. صراحةً عبر سجل `key_group` (موضح أدناه)```erlang
{key_group, {GroupName, [KeyName1, KeyName2, ...]}}.

يتم الإشارة إلى المجموعات في سجلات `rpz` و `srv` باستخدام الصيغة `{groups, ["group1", "group2"]}` في قائمة المفاتيح:```erlang
{rpz, {"zone.ioc2rpz", 7202, 3600, 2592000, 7200, "true", "true", "nxdomain",
       ["dnsproxykey_1", {groups, ["customers", "public"]}],
       "fqdn", 86400, 3600, ["source1"], [], []}}.

### **سجل المصدر**
المصدر هو تغذية تحتوي على مؤشرات ضارة. يتم دعم أسماء النطاقات المؤهلة بالكامل وعناوين IPv4 وIPv6. المصدر هو ملف نصي أو تغذية بيانات نصية. يجب فصل المؤشرات بواسطة أحرف السطر الجديد/الرجوع ( /n, /r أو كليهما /r/n ). يدعم ioc2rpz™ عددًا غير محدود من المؤشرات.  
يتكون **سجل المصدر** من:
- اسم المصدر;
- مسار المصدر لنقل المصدر الكامل (AXFR). يتم دعم عناوين URL (http/https/ftp)، والملفات المحلية، والبرامج النصية. يتم استخدام البادئة **file:** للملفات المحلية. يتم استخدام البادئة **shell:** لتنفيذ برنامج نصي/أمر محلي على مضيف/حاوية يجب أن يُرجع المؤشرات وتاريخ انتهاء الصلاحية اختياريًا إلى STDOUT;
- مسار المصدر لنقل المصدر المتزايد (IXFR). تدعم مسارات AXFR و IXFR كلمات مفتاحية لتقصير عناوين URL وتوفير طوابع زمنية لتحديث المنطقة:
  - **[:AXFR:]** - مسار AXFR الكامل. يمكن استخدامه فقط في مسارات IXFR;
  - **[:FTimestamp:]** - الطابع الزمني لآخر تحديث للمصدر (مثال: 1507946281)
  - **[:ToTimestamp:]** - الطابع الزمني الحالي;
- تعبير REGEX يُستخدم لاستخراج المؤشرات ووقت انتهاء صلاحيتها. المطابقة الأولى هي المؤشر، المطابقة الثانية هي وقت انتهاء الصلاحية. وقت انتهاء الصلاحية هو معامل اختياري. يجب تضمين التعبير النمطي بين علامتي اقتباس مزدوجتين. إذا حددت تعبير REGEX فارغًا (`""`)، فسيتم استخدام تعبير REGEX افتراضي (`"^([A-Za-z0-9][A-Za-z0-9\-\._]+)[^A-Za-z0-9\-\._]*.*$"`). يتم استخدام `none` إذا لم يكن هناك حاجة إلى REGEX (المصدر يوفر البيانات بالفعل بالتنسيق المطلوب).
المعاملات الاختيارية (يجب استخدام الكل أو لا شيء):
- UserID (يستخدم داخليًا).
- الحد الأقصى لعدد مؤشرات الاختراق (IoCs).
- تحديث المصدر الكامل، وقت التخزين المؤقت الساخن (بالثواني).
- تحديث المصدر المتزايد، وقت التخزين المؤقت الساخن (بالثواني).

تقوم تنزيلات المصدر عبر HTTPS بالتحقق من شهادة TLS للخادم البعيد. ستفشل تنزيلات المصادر ذات الشهادات غير الصالحة أو الموقعة ذاتيًا. بالنسبة للشهادات الموقعة ذاتيًا، استخدم مصدرًا من نوع `shell:` مع `curl --insecure`.

**قيود الملفات المحلية:** يتم رفض مسارات `file:` التي تحتوي على `..` (التنقل إلى المجلد الأصلي) لأسباب أمنية؛ استخدم مسارًا بدون `..` (داخل دليل العمل/البيانات).

**قيود أوامر shell:** يجب أن يكون الملف القابل للتنفيذ لكل جزء من خط الأنابيب مسارًا مطلقًا (مثل `/usr/bin/curl`) أو أداة نصوص آمنة ذات اسم بسيط (`sort`, `uniq`, `grep`, `sed`, `awk`, `gawk`, إلخ)؛ يتم حظر الأوامر المدمرة وواجهات الأوامر (`rm`, `bash`, `sh`, إلخ)، ويتم رفض استبدال الأوامر (`$(...)`, backticks) وإعادة توجيه الإخراج (`>`, `>>`). لا يتم تنفيذ الأوامر المرفوضة ويتم تسجيلها عبر حدث CEF 151 (الأوامر المنفذة عبر 150). راجع [docs/configuration.md](https://github.com/homas/ioc2rpz/blob/master/docs/configuration.md#shell-command-restrictions) للحصول على مجموعة القواعد الكاملة.

إذا أرجع مصدر أقل من 50% من عدد مؤشراته السابقة، يتم رفض التحديث ويتم الاحتفاظ بالبيانات السابقة. يمنع هذا التغذية المتدهورة من تقليل تغطية RPZ. يمكن تكوينه عبر ماكرو `?SOURCE_MIN_IOC_RATIO`.

نموذج **سجل المصدر**:```
%% Local file source — indicators without expiration
{source,{"sample_fqdn","file:cfg/sample_ioc_fqdn.txt","[:AXFR:]",none}}.

%% Local file source — indicators with expiration timestamps (tab-separated)
{source,{"sample_expire","file:cfg/sample_ioc_expire.txt","[:AXFR:]","^([A-Za-z0-9][A-Za-z0-9\-\._]+)\t([0-9TZ:\-]+)$"}}.

%% Shell source — fetch RPZ via AXFR and extract CNAMEs
{source,{"base.rpz1","shell:/usr/bin/dig -y KEYNAME:TSIGKEY @127.0.0.1 base.rpz.ioc2rpz.local axfr | /bin/grep -e CNAME | /bin/grep -v '*.' | /usr/bin/awk -F '.base.rpz' '{print $1}'","",none}}.

### إسناد مصدر IOC
يتم بناء تغذية RPZ من خلال دمج المؤشرات من مصادر متعددة. يتيح إسناد المصدر لواجهة برمجة تطبيقات البحث عن IOC الإبلاغ عن **المصدر (المصادر) داخل التغذية** الذي ساهم في المؤشر — وهو مفيد لفرز الإبلاغ عن إيجابية خاطئة. التتبع **معطل افتراضيًا** ويتم التحكم فيه لكل تغذية مع إعداد افتراضي عام اختياري على مستوى الخادم.

**الإعدادات**

- لكل تغذية: العنصر الاختياري الختامي (السادس عشر) `TrackSources` من المجموعة `{rpz,{...}}` — `auto | true | false`.
- الإعداد الافتراضي العام للخادم: العنصر الاختياري الختامي (الخامس) `TrackSources` من المجموعة `{srv,{...}}` — `off | auto | on` (الافتراضي `off`).

كلا الخيارين اختياري ومتوافق مع الإصدارات السابقة: ملفات التكوين الحالية (حقل `rpz` بـ 15 حقلًا، وحقل `srv` بـ 4 حقول) تُحمَّل دون تغيير وتعمل كمعطلة.

**أسبقية الدقة** — يتم تحديد الحالة الفعلية للتغذية على النحو التالي:
1. قيمة `track_sources` الصريحة للتغذية، إذا تم تعيينها؛
2. وإلا الإعداد الافتراضي العام للخادم؛
3. وإلا الإعداد الافتراضي المدمج `off`.

`auto` يعني: تتبع فقط التغذيات **متعددة المصادر**. التغذيات ذات المصدر الواحد لا تُخفى أبدًا — يتم إرجاع اسم المصدر الواحد مباشرة (بدون تكلفة تتبع).

**API — الحقل الإضافي `sources`**

يحتوي رد `/api/v1/ioc/:ioc` على حقل جديد `sources` في كل كائن تغذية. إنه **إضافي ومتوافق مع الإصدارات السابقة**: جميع الحقول الحالية لم تتغير، لذا تستمر العملاء القديمة التي تتجاهله في العمل.

- تغذية متعددة المصادر متتبعة: مصفوفة JSON بأسماء المصادر المساهمة.
- تغذية ذات مصدر واحد: مصفوفة من عنصر واحد باسم ذلك المصدر الواحد.
- التتبع معطل، أو الإسناد غير معروف (مثل صف مخبأ قبل الترقية قبل إعادة بناء AXFR لمرة واحدة): `null` (JSON) / `(disabled)` أو `(unavailable)` (TXT).```json
{
  "feed": "mixed.ioc2rpz",
  "wildcard": "true",
  "type": "fqdn",
  "rpz_serial": 1709000000,
  "ioc_expiration": 0,
  "sources": ["abuse-ch", "internal-list"]
}