POC : الكشف المدعوم بالذكاء الاصطناعي عن هجمات MITRE وإثراء التنبيهات

يستعرض هذا المستودع خط أنابيب تعلم آلي لكشف تقنيات MITRE ATT&CK من السجلات وإثراء المخرجات باستخدام نموذج لغوي كبير محلي (LLM).

---

نظرة عامة

ينقسم المشروع إلى مكوّنين رئيسيين:

1. نموذج التعلم الآلي (ML) – يصنّف السجلات إلى تقنيات MITRE ATT&CK
2. إثراء LLM – يثري تنبؤات النموذج بشروحات سهلة للمحللين ورؤى قابلة للتنفيذ

---

نموذج التعلم الآلي

الغرض

يتم تدريب نموذج التعلم الآلي للتنبؤ بـ تقنية MITRE (أو BENIGN) من أحداث السجلات.
وهذا يتيح أتمتة كشف وتصنيف السلوك الضار المحتمل.

الأسلوب

• الميزة: حقل commandline من السجلات
• التمثيل المتجهي: TF-IDF (تردد المصطلح – تردد المستند العكسي)
• النموذج: RandomForestClassifier (متين، قابل للتفسير، خفيف على وحدة المعالجة المركزية)
• الهدف: mitre_label (مثل: T1059.001، T1105، BENIGN)

التدريب

python scripts/train_mitre_model.py

يقوم هذا السكربت بـ:

• تحميل مجموعة البيانات dataset_full_160k.csv

• تقسيم البيانات إلى مجموعات تدريب/اختبار

• تحويل أسطر الأوامر إلى متجهات TF-IDF

• تدريب نموذج الغابة العشوائية (Random Forest)

• تقييم الأداء (الدقة، الاستدعاء، درجة F1، مصفوفة الالتباس)

• حفظ النموذج المدرَّب والمتجه:

  • models/mitre_ml_model.pkl

  • models/tfidf_vectorizer.pkl

إثراء LLM

الغرض

بمجرد أن يتنبأ نموذج التعلم الآلي بتقنية MITRE، يقوم LLM بإثراء النتيجة من خلال توفير:

• شرح التقنية

• سبب تطابق الأمر مع التقنية

• نية المهاجم

• خطوات التحقيق الموصى بها

• قواعد الكشف المقترحة

تسد هذه الخطوة الفجوة بين التنبؤ الخام للنموذج والرؤى القابلة للتنفيذ لمحلل SOC.

الاستخدام

يتم استدعاء نموذج لغوي كبير محلي (مثل Phi-3 عبر Ollama) باستخدام مطالبة تحتوي على:

• تنبؤ النموذج

• سطر الأوامر الخام

python scripts/enrich_with_llm.py

تبعيات بايثون

pip3 install -r requirements.txt

المكتبات

• pandas
• scikit-learn
• requests

ملاحظات

• يُستخدم test_model.py لاختبار نموذجك، وهو اختياري.
• صُممت السكربتات بحيث يتم تشغيلها محليًا في بيئة Python 3.13+ مع التبعيات المذكورة.
• ثبّت Ollama على جهازك وأضف نموذج Phi-3 mini.