- الآن يمكننا استخدام تعريف lookup الخاص بنا للصيد 🏹
- :warning: إذا لم تظهر عمليات البحث في القسم التالي أنها تعمل، فقد يكون ذلك بسبب إعدادات قيود موارد Splunk، خاصة إذا كنت تشغّل Splunk تحت التكوين الافتراضي. كبداية، قد تحتاج إلى التفكير في زيادة قيمة `max_memtable_bytes` في مقطع `[lookup]`.

## أمثلة على حالات الاستخدام مع `threathunting-keywords`:
![image](https://assets.kitploit.com/production/public/readmes/48741/204eb8e71d12257660c7166cb5f050747877e1968d7ff1f21812967d64355ca0.png)



### صيد جميع الكلمات المفتاحية في السجلات الخام 😱```
`myendpointslogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_endpoint_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

استبعاد الكلمات المفتاحية المطلوبة، أو النص الخام، أو أنواع الكلمات المفتاحية.
إذا قررنا استبعاد نوع `greyware tool keyword` (كلمات مفتاحية لأدوات مشروعة يتم إساءة استخدامها من قبل المهاجمين) لأن هذه البيئة تحتوي على نتائج كثيرة جدًا لهذا النوع من الأدوات، فلدينا خياران:

- التصفية في بداية بحثنا الأولي```
`myendpointslogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" metadata_keyword_type="offensive tool keyword" metadata_enable_endpoint_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

إذن كانت هذه هي حالة الاستخدام لدينا للبحث في السجلات الأولية في سجلات نقاط النهاية، وإذا أردنا البحث عن الكلمات المفتاحية لسجلات الشبكة (أي شيء يمكنه تسجيل استعلام أو عنوان URL)، فإننا نغيرها ببساطة إلى:```
`mynetworklogs` 
| lookup threathunting-keywords keyword as _raw OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_proxy_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(_raw) as raw by metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

#### المطابقة على حقل الاستعلام فقط:```
`mynetworklogs` query=*
| lookup threathunting-keywords keyword as query OUTPUT keyword as keyword_detection metadata_keyword_type metadata_tool metadata_description metadata_tool_techniques metadata_tool_tactics metadata_malwares_name metadata_groups_name metadata_category	metadata_link	metadata_enable_endpoint_detection metadata_enable_proxy_detection metadata_comment
| search metadata_description!="" AND metadata_enable_proxy_detection=1
| stats count earliest(_time) as firsttime latest(_time) as lasttime values(query) as query by src_ip metadata_keyword_type keyword_detection index sourcetype 
| convert ctime(*time)

#### السرعة:

إذا كانت السرعة مصدر قلق أو كنت تخطط لتنفيذ هذا كقاعدة كشف مجدولة، فقد ترغب في التفكير بتقسيم البحث إلى عمليات بحث مختلفة عن طريق اختيار عمود metadata_keyword_type أو metadata_tool الذي تريد استخدامه.

لاحظ أن التصفية باستخدام أمر search بعد `|lookup` لا تُسرّع عملية البحث. إذا كنت تريد التركيز على جزء محدد من البحث دون تقسيمه، يجب استخدام أمر `|inputlookup` مع جملة where. على الرغم من أن هذه الطريقة قد تستهلك المزيد من موارد المعالجة، إلا أنها تؤدي عمومًا إلى تنفيذ أسرع. لمزيد من التفاصيل، راجع توثيق Splunk حول inputlookup: https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Inputlookup

#### مع ELK:

إذا كنت تعمل مع Elastic Stack، فهناك الكثير من القيود على القوائم (لا يمكنك استخدام أحرف خاصة، مسافات...)، لديك 3 خيارات:
- استخدام قائمة أخرى متاحة هنا في نفس المستودع https://github.com/mthcht/ThreatHunting-Keywords/tree/main/elk (ليست استخراجًا مباشرًا من threathunting-keywords.csv، إنها معدّلة لـ ELK وغير محدّثة)
- استخدام قواعد Sigma "hunting" المستخرجة مباشرة من هذا المشروع https://github.com/mthcht/ThreatHunting-Keywords-sigma-rules مع pysigma للتحويل
- استخدام بعض قوائمي كقائمة IOC مع استعلامات wildcard https://www.elastic.co/guide/en/elasticsearch/reference/8.15/query-dsl-wildcard-query.html#wildcard-top-level-params
 
### مثال للوحة المعلومات
![image](https://assets.kitploit.com/production/public/readmes/48741/df177e7f2584b823c311a2b223eed8b237d8a72c05d0afb9d6b6f350e42ccda0.png)

### Splunk4DFIR
مثال آخر على استخدام ملفات csv الخاصة بالمشروع مع splunk للبحث في أدلة وسجلات DFIR: https://github.com/mf1d3l/Splunk4DFIR
![image](https://assets.kitploit.com/production/public/readmes/48741/73d54c5b146c34685ebac4ed7ed2a9da11a3f90e6ae9ac0a4b17118d7895cbe3.png)

### قوائم رائعة أخرى للكشف
أحتفظ ببعض الأدلة ذات الصلة في قوائم منفصلة، وهذه القوائم أكثر دقة ويمكن استخدامها في قواعد الكشف، وهي متاحة في [مستودع github](https://github.com/mthcht/awesome-lists/tree/main/Lists)
ستجد:

ورقة جمع الاستخبارات الخاصة بي لتخطيط جلسات الصيد عن التهديدات

![intelligence gathering sheet](https://assets.kitploit.com/production/public/readmes/48741/498b188eaebabe5a7077300eeff16daee903ed30d0b1797b82c208a54ba1424d.png)


- 📋 القوائم: https://github.com/mthcht/awesome-lists/tree/main/Lists
- 🕵️‍♂️ أدلة الصيد عن التهديدات: https://mthcht.medium.com/list/threat-hunting-708624e9266f
- 🚰 الأنابيب المسماة المشبوهة: [suspicious_named_pipe_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_named_pipe_list.csv)
- 🌐 النطاقات العلوية المشبوهة (تُحدَّث تلقائيًا): [[suspicious_TLDs]](https://github.com/mthcht/awesome-lists/tree/main/Lists/TLDs)
- 🌐 ASNs المشبوهة (تُحدَّث تلقائيًا): [[suspicious ASNs]](https://github.com/mthcht/awesome-lists/tree/main/Lists/ASNs)
- 🔧 خدمات ويندوز المشبوهة: [suspicious_windows_services_names_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_services_names_list.csv)
- ⏲️ مهام ويندوز المشبوهة: [suspicious_windows_tasks_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_tasks_list.csv)
- 🚪 منفذ الوجهة المشبوه: [suspicious_ports_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_ports_list.csv)
- 🛡️ قواعد جدار الحماية المشبوهة: [suspicious_windows_firewall_rules_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_windows_firewall_rules_list.csv)
- 🆔 وكيل المستخدم المشبوه: [suspicious_http_user_agents_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_http_user_agents_list.csv)
- 📇 معرّفات USB المشبوهة: [suspicious_usb_ids_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_usb_ids_list.csv)
- 🔢 عنوان MAC المشبوه: [suspicious_mac_address_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_mac_address_list.csv)
- 📛 اسم المضيف المشبوه: [suspicious_hostnames_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/suspicious_hostnames_list.csv)
- 🧮 بيانات وصفية للملفات التنفيذية: [executables_metadata_informations_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Windows%20Metadata/executables_metadata_informations_list.csv)
- 🕸️ قائمة خوادم DNS عبر HTTPS: [dns_over_https_servers_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/dns_over_https_servers_list.csv)
- 📚 Hijacklibs (تُحدَّث تلقائيًا): [hijacklibs_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Hijacklibs/hijacklibs_list.csv)
- 🌐 قوائم عقد TOR (تُحدَّث تلقائيًا): https://github.com/mthcht/awesome-lists/tree/main/Lists/TOR
- 🛠️ قائمة LOLDriver (تُحدَّث تلقائيًا): [loldrivers_only_hashes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Drivers/loldrivers_only_hashes_list.csv)
- 🛠️ قائمة أدوات الإقلاع الخبيثة (تُحدَّث تلقائيًا): [malicious_bootloaders_only_hashes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/Drivers/malicious_bootloaders_only_hashes_list.csv)
- 📜 قائمة شهادات SSL الخبيثة (تُحدَّث تلقائيًا): [ssl_certificates_malicious_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/SSL%20CERTS/ssl_certificates_malicious_list.csv)
- 🖥️ كشف RMM: https://github.com/mthcht/awesome-lists/tree/main/Lists/RMM
- 👤🔑 الأدوار والمجموعات المهمة لـ AD/EntraID/AWS: [[permissions]](https://github.com/mthcht/awesome-lists/tree/main/Lists/permissions)
- 💻🔒 امتدادات الملفات المعروفة لفدية Ransomware: [ransomware_extensions_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/ransomware_extensions_list.csv)
- 💻🔒 أسماء ملفات ملاحظات الفدية المعروفة: [ransomware_notes_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/ransomware_notes_list.csv)
- 📝 قواعد Windows ASR: [windows_asr_rules.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/windows_asr_rules.csv)
- 🌐 قوائم DNSTWIST (تُحدَّث تلقائيًا): [DNSTWIST Default Domains + script](https://github.com/mthcht/awesome-lists/tree/main/Lists/DNSTWIST)
- 🌍 قوائم عناوين IP لشبكات VPN (تُحدَّث تلقائيًا): 
  - 🛡️ NordVPN: [nordvpn_ips_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/VPN/NordVPN/nordvpn_ips_list.csv)
  - 🛡️ ProtonVPN: [protonvpn_ip_list.csv](https://github.com/mthcht/awesome-lists/blob/main/Lists/VPN/ProtonVPN/protonvpn_ip_list.csv)
- 🏢 قوائم نطاقات IP للشركات (تُحدَّث تلقائيًا): [Default Lists + script](https://github.com/mthcht/awesome-lists/tree/main/Lists/Ranges_IP_Address_Company_List/bgp.he.net)
- 🔗 قوائم ارتباط أخرى: https://github.com/mthcht/awesome-lists/tree/main/Lists/Others
- 📋 قوائم أحتاج إلى إكمالها: https://github.com/mthcht/awesome-lists/tree/main/todo


اطّلع على هذه [الأدلة](https://github.com/mthcht/awesome-lists/tree/main/Lists#how-to-use-the-lists) لاستخدام بعض القوائم: 
  - [عمليات البحث في خدمات ويندوز](https://detect.fyi/threat-hunting-suspicious-windows-service-names-2f0dceea204c)
  - [عمليات البحث في وكلاء المستخدم](https://mthcht.medium.com/threat-hunting-suspicious-user-agents-3dd764470bd0)
  - [عمليات البحث في DNS عبر HTTPS](https://mthcht.medium.com/detecting-dns-over-https-30fddb55ac78)
  - [عمليات البحث في النطاقات العلوية المشبوهة](https://mthcht.medium.com/threat-hunting-suspicious-tlds-a742c2adbf58)
  - [عمليات البحث في HijackLibs](https://mthcht.medium.com/detect-dll-hijacking-techniques-from-hijacklibs-with-splunk-c760d2e0656f)
  - [عمليات البحث في التصيد و DNSTWIST](https://detect.fyi/detecting-phishing-attempts-with-dnstwist-37c426b3bbb8)
  - [عمليات البحث في إضافات المتصفحات](https://mthcht.medium.com/detecting-browser-extensions-installations-e0ac2b45c46b)
  - [إخفاء C2 في وضح النهار](https://mthcht.medium.com/c2-hiding-in-plain-sight-7a83963b9344)
  - [أدلة تهريب HTML](https://mthcht.medium.com/detecting-html-smuggling-phishing-attempts-15af824e60e4)
  - [عمليات البحث في PSEXEC والأدوات المشابهة](https://mthcht.medium.com/detecting-psexec-and-similar-tools-c812bf3dca6c)
  - [كشف انزلاق الوقت](https://mthcht.medium.com/event-log-manipulations-1-time-slipping-55bf95631c40)
  - [الأنابيب المسماة المشبوهة](https://medium.com/detect-fyi/threat-hunting-suspicious-named-pipes-a4206e8a4bc8)
 
... المزيد [هنا](https://github.com/mthcht/awesome-lists/tree/main/Lists#how-to-use-the-lists) 

## صيد DFIR عن الكلمات المفتاحية في الملفات (بدون SIEM)
بعد إجراء مراجعة شاملة للأدوات المختلفة، اكتشفت أن [ripgrep](https://github.com/BurntSushi/ripgrep) يتفوق بشكل كبير على منافسيه عندما يتعلق الأمر بمطابقة قائمة واسعة من أنماط regex بسرعة مع كل سطر في ملف سجل كبير أو حتى ملفات متعددة في وقت واحد. لقد أثبت أنه الحل الأكثر كفاءة للتعامل مع كميات هائلة من البيانات، مما يوفر سرعة ومرونة لا مثيل لهما.

### ابحث عن الشر في ملفات السجل باستخدام **Ripgrep** وقائمة 'only_keywords_regex.txt'
#### `rg.exe -f .\only_keywords_regex.txt .\EvtxECmd_Output.csv --multiline --ignore-case`
- يعمل `.\only_keywords_regex.txt` كملف مصدر للكلمات المفتاحية للصيد عن التهديدات، محوّلة إلى أنماط regex للمطابقة الدقيقة. تنبع هذه الأنماط من ملف threathunting-keywords.csv، الذي خضع لعملية تحويل لتحقيق التوافق الأمثل مع عمليات regex.
- يمثل `.\EvtxECmd_Output.csv` الملف المستهدف الذي سيتم البحث فيه. في هذا السياق، هو بصيغة csv لسجل أحداث ويندوز، ناتج عن تصدير سجلات evtx. ومع ذلك، تتيح لك مرونة ripgrep استبداله بأي ملف تختاره لعمليات بحث تفصيلية عن الأنماط.
- يتيح خيار `--multiline` لـ ripgrep التعامل بفعالية مع الأنماط الممتدة عبر أسطر متعددة ومطابقتها، مما يوسع نطاق البحث بشكل ملحوظ.
ستحصل على الأسطر المطابقة بهذا الشكل مع رقم السطر (ولكن بدون الكلمة المفتاحية المطابقة)

![image](https://assets.kitploit.com/production/public/readmes/48741/d205ae3caf99906a03818c202e8811b669948e2f68b88cc137cba8cf0e43b69f.png)

![image](https://assets.kitploit.com/production/public/readmes/48741/e1b213fc63e1ec2914e0f1eb3263d17aa960eb50672fd18986a0f75d50e9c379.png)

#### خيار أفضل للملفات الكبيرة جدًا (على ويندوز):
[DFIR_hunt_in_file.ps1](https://github.com/mthcht/ThreatHunting-Keywords/blob/main/DFIR_hunt_in_file.ps1)

`powershell -ep Bypass -File .\DFIR_hunt_in_file.ps1 -patternFile "only_keywords_regex.txt" -targetFile "C:\Users\mthcht\collection\20230406154410_EvtxECmd_Output.csv" -rgPath "C:\Users\mthcht\Downloads\ripgrep-13.0.0-x86_64-pc-windows-msvc\ripgrep-13.0.0-x86_64-pc-windows-msvc\rg.exe"`
- `-targetFile`: يحدد الملف الذي سيتم البحث فيه (في المثال، سجلات مستخرجة من DFIR-ORC)
- `-patternFile`: الملف الذي يحتوي على أنماط regex `only_keywords_regex.txt`
- `-rgPath`: مسار ملف ripgrep القابل للتنفيذ

محتوى سكربت PowerShell (مضمّن في المستودع):```powershell
param (
    [Parameter(Mandatory=$true)]
    [string]$patternFile,
    [Parameter(Mandatory=$true)]
    [string]$targetFile,
    [Parameter(Mandatory=$true)]
    [string]$rgPath
)

Start-Transcript -Path "$PSScriptRoot\result_search.log" -Append -Force -Verbose

$totalLines = (Get-Content $patternFile | Measure-Object -Line).Lines
$currentLine = 0
Get-Content $patternFile | ForEach-Object {
    $currentLine++
    Write-Host "Searching for pattern $currentLine of $totalLines : $_"  
    & $rgPath --multiline --ignore-case $_ $targetFile | Write-Output 
}

Stop-Transcript -Verbose