حزمة كشف RedSun وBlueHammer وUnDefend وCrossFamily

هام: جميع الأكواد ومنطق الكشف في هذا المستودع مُولّدة بالذكاء الاصطناعي. لا يوجد أي ضمان بأن هذه البرامج النصية صحيحة أو كاملة أو آمنة أو مناسبة لأي بيئة. استخدم هذه البرامج النصية على مسؤوليتك الخاصة بالكامل. مؤلف المستودع غير مسؤول ولا يتحمل أي مسؤولية عن أي ضرر أو انقطاع أو فقدان بيانات أو نتيجة إيجابية خاطئة أو سلبية خاطئة أو تأثير تشغيلي أو أي ضرر آخر ناتج عن استخدام هذا المحتوى. يجب مراجعة كل برنامج نصي واختباره وضبطه والتحقق منه من قبل موظفين مؤهلين قبل نشره في أي بيئة إنتاج حية.

نظرة عامة

يحتوي هذا المستودع، redsun-bluehammer-undefend-detection-pack، على استعلامات Microsoft Defender XDR Advanced Hunting مكتوبة بلغة استعلام Kusto (KQL). يتم تنظيم الاستعلامات كحزم كشف تقنية لسلاسل هجوم إثبات المفهوم التي تتضمن RedSun وBlueHammer وUnDefend والأدوات المشتركة التي رصدتها Huntress للاختراق وMicrosoft Defender وCloud Files وخدمة نسخ الظل لوحدة التخزين (VSS) وسلوك خدمة Windows والتلاعب بالحسابات المحلية والروابط الرمزية ونقاط إعادة التحليل وبيانات تتبع Windows ذات الصلة.

المحتوى مصمم لأبحاث الأمن وهندسة الكشف والتحقق المخبري وسير عمل الصيد المتحكم فيه.它不是 مجموعة كشف جاهزة للإنتاج المباشر. كل بيئة لديها تغطية مختلفة لمستشعرات Defender XDR وأحجام الأحداث وخطوط الأساس للنقاط الطرفية ومخزون البرامج والسلوك الإداري المشروع. يجب عليك التحقق من صحة كل من الصياغة وجودة الكشف في مستأجرك الخاص قبل تفعيل هذه الاستعلامات ككشوفات مخصصة مجدولة.

مراجعة المصادر التي تم التحقق منها في 2026-05-05 تربط BlueHammer بـ CVE-2026-33825. تحدد بيانات المنصات المتأثرة من NVD وملاحظات إصدار Microsoft Defender أن إصدارات Microsoft Defender Antimalware Platform قبل 4.18.26030.3011 متأثرة. لم يتم التحقق من أي CVE عام من Microsoft أو تصحيح من البائع لـ RedSun أو UnDefend خلال هذه المراجعة؛ أفادت Huntress أن كلاهما ظل بدون تصحيح حتى 2026-04-20. يكتشف هذا المستودع السلوكيات وبيانات تتبع Defender؛ ولا يحدد الامتثال للتصحيحات بحد ذاته.

خط الأساس البحثي المُتحقق منه

• آخر تحقق: 2026-05-05
• BlueHammer: CVE-2026-33825؛ تعامل مع Defender Antimalware Platform 4.18.26030.3011 أو أحدث كحد أدنى لخط الأساس المُصحح المُتحقق منه الموثق في هذا المستودع.
• RedSun: لم يتم التحقق من أي CVE عام من Microsoft أو تصحيح من البائع خلال مراجعة المصادر في 2026-05-05. أبقِ هذه الحزمة مركزة على السلوك.
• UnDefend: لم يتم التحقق من أي CVE عام من Microsoft أو تصحيح من البائع خلال مراجعة المصادر في 2026-05-05. أبقِ هذه الحزمة مركزة على السلوك.
• سياق الاختراق عبر العائلات: وثقت Huntress أدوات مشتركة تم رصدها ونشاطًا لاحقًا لـ BeigeBurrow وأوامر استطلاع مفيدة للصيد والإثراء، وليست دليلًا حاسمًا بحد ذاتها.

هيكل المستودع

يستخدم المستودع مجلدات حزم لكل من محتوى الكشف والمحتوى الداعم. تستخدم المجلدات التي تحتوي على KQL ترقيمًا تسلسليًا يبدأ من 01.

نمط تصميم الاستعلام

تتبع حزم الكشف الأربع للسلاسل الكاملة (RedSun وBlueHammer وUnDefend وCrossFamily) نفس البنية:

1. 01_*_full_attack_chain.kql هو الصيد المركب. يشغل جميع منطق المراحل معًا ويربط الأدلة على نفس الجهاز ضمن نافذة زمنية محددة.
2. البرامج النصية المستقلة المرقمة تعزل المراحل الفردية. وهي مخصصة لاستكشاف الأخطاء وإصلاحها وتحليل خط الأساس ونمذجة الكشف المخصص ومراجعة النتائج الإيجابية الخاطئة.
3. من المتوقع أن تطابق البرامج النصية المستقلة كتلة المرحلة المقابلة في استعلام السلسلة الكاملة، باستثناء الترتيب النهائي للعرض فقط مثل | order by Timestamp desc.
4. تصدر الاستعلامات الرئيسية حقولًا موحدة مثل Stage وStageDescription وProcessName وProcessCommandLine وAccountName وEvidence وAdditionalContext وReportRefs لتسهيل مراجعة المخرجات عبر المراحل.
5. مرشحو الكشف المجدول المتحفظون، حيثما وجدوا، موجودون تحت الدليل الفرعي production/ لكل حزمة وهم أكثر صرامة من استعلامات الصيد على المستوى الأعلى.

Exposure هي حزمة داعمة لتقارير التعرض المبنية على المخزون، وليست صيدًا سلوكيًا لسلسلة كاملة. ExternalTelemetry توثيقية فقط ولا تحتوي على KQL للنقاط الطرفية.

متطلبات Microsoft Defender XDR

هذه الاستعلامات مخصصة لـ Microsoft Defender XDR Advanced Hunting. تعتمد على توفر الجداول والأعمدة من Defender for Endpoint وبيانات تتبع Defender XDR ذات الصلة.

تشمل الجداول شائعة الاستخدام:

بيانات التتبع ليست موحدة عبر جميع المستأجرين. بعض البدائيات منخفضة المستوى، خاصة oplock الخام ونقاط إعادة التحليل والروابط الرمزية لمدير الكائنات وبيانات تتبع استعلام الخدمة، قد لا تظهر كأحداث صريحة. لذلك تتضمن الاستعلامات مطابقة انتهازية ضد ActionType وAdditionalFields حيث يكشف Defender XDR عن هذه التفاصيل.

سير عمل التحقق الموصى به

قبل الاستخدام في الإنتاج، تحقق من صحة كل حزمة كشف للسلسلة الكاملة بهذا الترتيب:

1. شغّل كل استعلام مستقل في Advanced Hunting باستخدام نافذة رجوع محدودة.
2. تأكد من أن الاستعلام يُترجم في مستأجرك.
3. راجع حجم النتائج الخام وحدد البرامج المشروعة أو سير العمل الإداري المطابق.
4. أضف استثناءات محلية للأدوات المعروفة الجيدة وحسابات الخدمة وأنظمة نشر البرامج ومنتجات النسخ الاحتياطي وأدوات EDR وماسحات الثغرات الأمنية.
5. شغّل استعلام 01_*_full_attack_chain.kql لنفس الحزمة.
6. قارن نتائج السلسلة الكاملة بالنتائج المستقلة وتأكد من أن المراحل المترابطة منطقية تشغيليًا.
7. صدّر النتائج إلى CSV وراجع مسارات العمليات وسطور الأوامر والحسابات والأجهزة والطوابع الزمنية.
8. فقط بعد الضبط يجب تحويل الاستعلام إلى قاعدة كشف مخصصة مجدولة.

يقوم CI في المستودع أيضًا بتشغيل .github/scripts/validate_repository.py لتأكيد رؤوس KQL وكتل البيانات الوصفية وتوازن الفواصل والترقيم المتسلسل ومحاذاة المراحل المستقلة مع السلسلة الكاملة وتغطية README وقواعد موضع الإنتاج وتوقعات تتبع مصدر IOC.

إرشادات النشر في الإنتاج

تعامل مع هذه الاستعلامات كنقاط بداية. يجب أن يتضمن النشر في الإنتاج:

• قوائم السماح الخاصة بالمستأجر للعمليات والمسارات المعروفة الجيدة.
• عتبات منفصلة للصيد مقابل التنبيه.
• نوافذ رجوع أضيق للكشوفات المجدولة حيثما أمكن.
• تخطيط موثق لشدة الخطورة ودفاتر تشغيل الفرز.
• أجهزة اختبار أو محاكاة معملية لتأكيد المطابقات المتوقعة.
• التحكم في التغيير قبل تفعيل إنشاء الحوادث الآلي.
• مراجعة دورية بعد تحديثات مستشعر Defender أو ترقيات نظام التشغيل.

لا تنشر جميع الاستعلامات الرئيسية ككشوفات مجدولة عالية الخطورة دون ضبط. بعض المراحل تكتشف عمدًا إشارات ضعيفة أو انتهازية مفيدة للربط ولكنها مزعجة كتنبيهات مستقلة.

حيث توفر الحزمة متغير استعلام production/، تعامل مع هذا الملف كنقطة بداية للكشوفات المخصصة المجدولة بدلاً من استعلام الصيد على المستوى الأعلى.

ملاحظات الأداء

صُممت الاستعلامات الرئيسية لتجنب الانضمامات الواسعة غير المحدودة حيثما أمكن. تستخدم صفوف مراحل موحدة وإسقاطًا مبكرًا وربطًا بفترات زمنية. ومع ذلك، لا يزال الأداء يعتمد على حجم المستأجر ومدة الرجوع وحجم الأحداث.

إذا تجاوز الاستعلام حدود تنفيذ Defender XDR:

• قلل Lookback.
• شغّل المراحل المستقلة أولاً لتحديد المرحلة المكلفة.
• أضف عوامل تصفية أضيق للعملية أو المسار أو الحساب أو الجهاز.
• احتفظ فقط بأعمدة الإسقاط المطلوبة.
• فضّل مخرجات المراحل الملخصة قبل الانضمام أو الربط.
• استخدم تلميحات shuffle حيثما كانت مدعومة وحيثما يكون التجميع عالي الأصالة مطلوبًا.

تفسير النتائج

يجب تفسير الاستعلامات ككشوفات لأنماط سلوك مشبوهة، وليس كدليل على الاختراق بحد ذاتها. مطابقة السلسلة الكاملة أقوى من مطابقة المرحلة المستقلة، ولكن كل نتيجة لا تزال تتطلب مراجعة المحلل.

حقول المراجعة عالية القيمة:

• DeviceName وDeviceId
• FirstSeen وLastSeen
• StageCount
• Stages
• Processes
• ProcessCommandLines
• Accounts
• Evidence
• AdditionalContexts
• ReportRefs

يجب على المحللين التنقل من هذه الحقول إلى الخط الزمني لجهاز Defender وشجرة العمليات والخط الزمني للملفات والخط الزمني للسجل وأدلة التنبيه ونشاط الهوية.

توثيق المجلدات

لكل مجلد كشف أو دعم README خاص به مع تفاصيل تقنية خاصة بالحزمة:

• RedSun/README.md
• BlueHammer/README.md
• UnDefend/README.md
• CrossFamily/README.md
• Exposure/README.md
• ExternalTelemetry/README.md

استخدم README الخاص بالمجلد المعني قبل استخدام تلك الحزمة أو المحتوى الداعم. يصف نموذج المراحل وبيانات التتبع المتوقعة والنتائج الإيجابية الخاطئة المحتملة ونقاط الضبط واعتبارات النشر.

توثيق المستودع

ملفات المستودع الشائعة:

• CONTRIBUTING.md يصف نطاق المساهمة وأسلوب KQL والتحقق وتوقعات طلبات السحب.
• CHANGELOG.md يسجل التغييرات البارزة.
• SOURCES.md يربط الادعاءات العامة وخطوط الأساس والتخفيفات وإضافات IOC بمصادر التحقق الخاصة بها.
• IOCS.md يسجل المؤشرات المرصودة ومستويات الثقة والاستخدام المقصودة.
• MITIGATIONS.md يسجل ملاحظات التخفيف والضوابط التعويضية المدعومة بالمصادر المستخدمة من قبل هذا المستودع.
• ATTACK_MAPPING.md يسجل تخطيط الكشف الموجه بـ ATT&CK للمستودع.
• DEPLOYMENT_GUIDE.md يسجل إرشادات النشر المخبري والتجريبي والإنتاجي، بما في ذلك التراجع وحوكمة قوائم السماح.
• CODE_OF_CONDUCT.md يحدد السلوك المتوقع للتعاون.
• SECURITY.md يصف كيفية الإبلاغ عن مشكلات المستودع الحساسة أمنيًا.
• SUPPORT.md يشرح معلومات الدعم التي يجب تقديمها عند طلب المساعدة.
• DISCLAIMER.md يكرر موقف عدم وجود ضمان والاستخدام على مسؤولية المستخدم في مستند مخصص.

ملاحظات الصيانة

يجب إعادة التحقق من صحة ملفات KQL هذه كلما:

• غيّرت Microsoft مخططات جداول Defender XDR أو تسميات الأحداث.
• تغير سلوك مستشعر Defender for Endpoint.
• غيّرت تحديثات ميزات Windows سلوك الخدمات أو السجل أو Cloud Files أو VSS أو MRT.
• بدأ برنامج مؤسسي مشروع جديد في لمس أسطح متعلقة بـ Defender أو VSS أو Cloud Files أو SAM.
• تغيرت عتبات الاستعلام للتنبيه في الإنتاج.

احتفظ بسجل للاستثناءات الخاصة بالمستأجر وسبب إضافتها. تجنب الاستثناءات الواسعة التي تكتم المسارات القابلة للكتابة من قبل المستخدم والتي يتحكم فيها المهاجم.