إطار عمل الصيد الاستباقي للتهديدات (ATHF)

ATHF Logo

البدء السريع • التثبيت • التوثيق • أمثلة

امنح برنامج الصيد الاستباقي للتهديدات ذاكرةً وفاعلية.

إطار عمل الصيد الاستباقي للتهديدات (ATHF) هو طبقة الذاكرة والأتمتة لبرنامج الصيد الاستباقي للتهديدات الخاص بك. يمنح عمليات الصيد الخاصة بك بنيةً واستمراريةً وسياقاً - مما يجعل كل تحقيق سابق متاحاً لكلٍّ من البشر والذكاء الاصطناعي.

يعمل ATHF مع أي منهجية صيد (PEAK أو TaHiTI أو عمليتك الخاصة). إنه ليس بديلاً؛ بل هو الطبقة التي تجعل عمليتك الحالية جاهزة للذكاء الاصطناعي.

ما هو ATHF؟

يوفر ATHF البنية والاستمرارية لبرامج الصيد الاستباقي للتهديدات. إنه إطار عمل قائم على Markdown يقوم بما يلي:

توثيق عمليات الصيد باستخدام نمط LOCK (تعلّم ← راقب ← تحقق ← احتفظ)
الحفاظ على مستودع قابل للبحث للتحقيقات السابقة
تمكين مساعدي الذكاء الاصطناعي من الرجوع إلى بيئتك وعملك السابق
العمل مع أي منصة SIEM/EDR
جديد: يتضمن وكلاء بحث وتوليد فرضيات مدعومين بالذكاء الاصطناعي (v0.3.0+)

المشكلة

تفقد معظم برامج الصيد الاستباقي للتهديدات سياقاً قيّماً بمجرد انتهاء عملية الصيد. تعيش الملاحظات في Slack أو التذاكر، وتُكتب الاستعلامات مرة واحدة ثم تُنسى، ولا توجد الدروس المستفادة إلا في عقول المحللين.

حتى أدوات الذكاء الاصطناعي تبدأ من الصفر في كل مرة دون الوصول إلى بيئتك أو بياناتك أو عمليات الصيد السابقة.

يغيّر ATHF ذلك بمنح عمليات الصيد الخاصة بك بنيةً واستمراريةً وسياقاً.

اقرأ المزيد: docs/why-athf.md

نمط LOCK

تتبع كل عملية صيد استباقي للتهديدات نفس الحلقة الأساسية: تعلّم ← راقب ← تحقق ← احتفظ.

The LOCK Pattern

تعلّم: اجمع السياق من استخبارات التهديدات أو التنبيهات أو الحالات الشاذة
راقب: صِغ فرضية حول سلوك الخصم
تحقق: اختبر الفرضيات باستعلامات موجّهة
احتفظ: سجّل النتائج والدروس المستفادة

لماذا LOCK؟ إنه صغير بما يكفي للاستخدام وصارم بما يكفي ليتمكن الوكلاء من تفسيره. من خلال توثيق كل عملية صيد بهذا التنسيق، يمكّن ATHF مساعدي الذكاء الاصطناعي من استرجاع العمل السابق واقتراح استعلامات محسّنة بناءً على النتائج السابقة.

اقرأ المزيد: docs/lock-pattern.md

منهجية GATES: التحقق من ترقية الصيد إلى كشف

بعد إكمال مرحلة KEEP في عملية الصيد، تتحقق منهجية GATES مما إذا كان ينبغي ترقية نتائجك إلى عمليات كشف إنتاجية أو عمليات صيد متكررة أو تنبيهات.

Generalizable (قابل للتعميم)، Additive (إضافي)، Tunable (قابل للضبط)، Exposure-tested (مُختبر ضد التعرض)، Sustainable (مستدام)

ملاحظة: صُممت GATES للعمل مع إطار عمل ATHF وقد اختُبرت على نطاق واسع في هذا السياق. في حين أن المنهجية (5 معايير BASE، أنواع الأحكام) قابلة للنقل من الناحية المفاهيمية، فإننا نوصي باستخدامها كجزء من سير عمل ATHF الكامل للحصول على أفضل النتائج. راجع .claude/skills/gates/ للتكامل الكامل.

التثبيت: GATES متاحة حالياً عبر git clone فقط. يجب على المستخدمين الذين ثبّتوا عبر pip install استنساخ المستودع للوصول إلى GATES. نعمل على تضمين GATES في توزيع pip (مُتتبَّع كـ Issue #21).

تقيّم GATES عمليات الكشف المستمدة من الصيد باستخدام إطار عمل من مستويين: 5 معايير BASE (تُقيَّم من بيانات الصيد) تحدد المرشحين للنشر، بينما تضمن 5 معايير ADVANCED (تُتحقق في الإنتاج) عمليات كشف مرنة بمعدلات منخفضة من الإيجابيات الكاذبة والسلبيات الكاذبة:

البوابة	السؤال	ما تكشفه
G - قابل للتعميم	هل هذا قابل للتكرار؟	القواعد القائمة على IOC التي تنتهي صلاحيتها بسرعة
A - إضافي	هل يسد فجوة في التغطية؟	عمليات الكشف المكررة أو الزائدة
T - قابل للضبط	هل يمكننا التمييز بين الهجوم والسلوك الطبيعي؟	عدم تطابق ضوضاء الأساس (السبب الرئيسي للإيجابيات الكاذبة)
E - مُختبر ضد التعرض	هل غطّينا أساليب التهرب؟	عمليات الكشف أحادية البعد
S - مستدام	هل يمكننا الحفاظ على هذا؟	القواعد عالية الحجم ومنخفضة الإيجابيات الحقيقية

تستند الأحكام إلى درجات BASE (/5). راجع .claude/skills/gates/ لطرق التحقق ADVANCED.

البدء السريع — اكتب هذا لمساعدك؛ /gates هي مهارة، وليست أمر shell:

/gates --hunt H-0001

أنواع الأحكام:

✅ PROMOTE (4.0-5.0) - انشره ككشف دائم
⚠️ CONDITIONAL (3.0-3.9) - انشره بعد استيفاء المتطلبات المسبقة
❌ HOLD (0.0-2.9) - احتفظ بالمنطق، لا تنشره
⏱️ TIME_BOX - خاص بحملة معينة، تحديث كل 90 يومًا
🔄 RECURRING_HUNT - تنفيذ ربع سنوي، وليس على مدار الساعة
🚫 DROP - لا يستحق الكشف؛ يُسجَّل حتى لا يُعاد اقتراحه

فشل أي gate يتجاوز نطاق النقاط، وعند فشل بوابتين، تفوز أول مطابقة بهذا الترتيب: A→DROP، G→TIME_BOX، E→HOLD، S→RECURRING_HUNT، T→CONDITIONAL. تنطبق النطاقات أعلاه فقط عندما لا تفشل أي بوابة. القاعدة الكاملة: .claude/skills/gates/SKILL.md الخطوة 4.

ملاحظة: حكم "PROMOTE" في GATES يعني نشر قاعدة كشف. وهذا يختلف عن athf hunt promote، الذي ينقل ملفات الصيد بين المجلدات.

التكامل مع ADEF (إطار هندسة الكشف):

بعد التحقق من GATES، انتقل إلى ADEF لهندسة الكشف الإنتاجي:

ATHF Workspace                    ADEF Workspace
──────────────                    ──────────────
Hunt (LOCK)                       
   ↓
GATES Validate                    
   ↓
H-XXXX_GATES.yaml  ────────────→  FORGE (F-O-R-G-E)
                                     ↓
                                  Production Rule

سير العمل الكامل:

في مساحة عمل ATHF، تحقق من عملية الصيد — إدخال مساعد، وليس أمر shell:
```
/gates --hunt H-0903
```
→ يكتب hunt-promotion-analysis/H-0903_GATES.yaml (ملف واحد لكل hunt، بداخله N من المرشحين). الـ hunt الذي يكون حكمه أرشيفيًا (HOLD، DROP، TIME_BOX، RECURRING_HUNT) يُصدر بدلاً من ذلك سردًا بصيغة .md — لا توجد قاعدة لبنائها، لذا تنطبق الخطوة 2 على مخرجات .yaml فقط.
استورد ذلك المستند إلى ADEF:
```
adef hunt-promote --gates ~/athf-workspace/hunt-promotion-analysis/H-0903_GATES.yaml
# --dry-run first to preview what it would mint
```
المرشحون القابلون للنشر يصل كل منهم إلى مرحلة Find مع D-XXXX، وسجل كتالوجي، ودفتر يومية؛ ويُبلَّغ عن المؤرشفة كمتخطاة. لا حاجة إلى cd — إذ يحل ADEF مساحة عمله من ADEF_WORKSPACE (الافتراضي ~/work/adef-workspace/). تأكد من أن ADEF لديك يدعم هذا الوضع عبر adef hunt-promote --help.