🚨 كشف الشذوذ في الوقت الفعلي لـ Apache Struts CVE-2017-5638

كشف استغلال اليوم الصفري استنادًا إلى التحليل التدفقي وهياكل البيانات الاحتمالية

📌 وصف المشروع

هذا المشروع هو نظام كشف الشذوذ في الوقت الفعلي مصمم لـ كشف استغلال RCE (تنفيذ الأوامر عن بُعد) على Apache Struts عبر الثغرة CVE-2017-5638، دون الاعتماد على التوقيعات أو الأنماط المعروفة.

CVE-2017-5638 هي ثغرة حرجة استُخدمت في هجوم Equifax 2017، مما أدى إلى تسرب البيانات الشخصية لـ 147 مليون شخص. نجح هذا الهجوم بسبب الفشل في إدارة التصحيحات والكشف المبكر.

يتغلب هذا النظام على هذه العيوب من خلال:

• ✅ الكشف القائم على السلوك (بدلاً من التوقيع)
• ✅ تحليل 3-gram على مستوى البايت لجميع طلبات HTTP
• ✅ Count-Min Sketch لتتبع التردد بكفاءة
• ✅ اختلاف KL لقياس الانحراف عن الأنماط الطبيعية
• ✅ عتبة تكيفية (mean + 3σ) للكشف في الوقت الفعلي
• ✅ لوحة معلومات مرئية باستخدام Streamlit

الهدف: كشف استغلال اليوم الصفري قبل اختراق النظام، حتى لو لم يُرَ الحمولة من قبل.

---

🎯 الأهداف الرئيسية

• كشف استغلال Struts في الوقت الفعلي مع زمن استجابة ≤ 5 مللي ثانية
• ذاكرة ≤ 1 جيجابايت حتى مع معدل إنتاجية ≥ 50,000 طلب/ثانية
• معدل إيجابي كاذب < 0.1% على البيانات العادية
• معدل كشف ≥ 95% على حمولات الاستغلال الاصطناعية
• يمكن نشر النظام ومراقبته في الوقت الفعلي

خطوات التشغيل

• تشغيل محاكي السجلات (50 ألف طلب/ثانية، 60 ثانية) python scripts/simulate_logs.py
• تشغيل نظام الكشف python src/main.py
• فتح لوحة المعلومات في الوقت الفعلي في طرفية جديدة streamlit run scripts/dashboard.py