Loki-RS

إعادة كتابة Loki بلغة Rust. ماسح عالي الأداء ومتعدد الخيوط لـ YARA و IOC في ملف ثنائي واحد.

الحالة: Beta. يعمل، لكنه لا يزال قيد التطوير النشط.

الميزات

• فحص YARA للملفات وذاكرة العمليات (yara-x)
• مطابقة IOC (تجزئات MD5/SHA1/SHA256، أنماط أسماء الملفات، مؤشرات C2)
• فحص متعدد الخيوط مع عدد خيوط قابل للتكوين
• فحص الأرشيفات (ملفات ZIP)
• واجهة TUI تفاعلية مع إحصائيات وتحكم في الوقت الفعلي
• تسجيل عن بُعد عبر syslog (UDP/TCP) (SYSLOG/JSON)
• إنشاء تقارير HTML مع نتائج مفصلة
• عتبات تسجيل قابلة للتكوين
• تصفية ذكية (يتجاوز /proc، /sys، محركات الأقراص المثبتة افتراضيًا)
• كشف رأس الملف السحري
• إخراج JSONL لأغراض تسجيل الدخول

فحص العمليات في macOS

فحص ذاكرة العمليات في macOS هو جهد بأفضل ما يمكن ويتطلب عادةً صلاحيات تصحيح أو صلاحيات مرتفعة. بدونها، سيواصل Loki-RS فحص الملفات لكنه لن يتمكن من قراءة معظم ذاكرة العمليات. استخدم --no-procs لتخطي فحص العمليات إذا لزم الأمر.

فحص العمليات في Linux

في Linux، يتجاوز Loki-RS تعيينات العمليات المدعومة بالأجهزة والنواة الخاصة قبل قراءة /proc/<pid>/mem. هذا يتجنب عدم الاستقرار المعروف مع بعض VMAs المُدارة بواسطة برامج التشغيل مع الحفاظ على فحص الذاكرة العادي المجهول، الكومة/المكدس، والملفات المدعومة بشكل طبيعي. إذا واجهت مشكلات خاصة بالبيئة، استخدم --no-procs لتعطيل فحص العمليات.

التثبيت

قم بتنزيل الملف الثنائي المُجمَّع مسبقًا لمنصتك من صفحة الإصدارات.

# الاستخراج
tar -xzvf loki-linux-*.tar.gz
cd loki-linux-*

# تحديث التوقيعات (موصى به)
./loki-util update

# التشغيل
sudo ./loki --help

تُشحن التوقيعات مع الإصدار لكنها تصبح قديمة بسرعة. قم بتشغيل loki-util update للحصول على أحدث قواعد YARA-Forge Core.

التوقيعات

يستخدم Loki-RS YARA Forge كمصدر توقيع افتراضي. يُشحن Loki-RS ويُحدَّث بمجموعة قواعد Core (دقة عالية، نتائج إيجابية كاذبة منخفضة، محسَّنة للأداء). إذا كنت بحاجة إلى تغطية أوسع، يمكنك استبدالها بمجموعات Extended أو Full من YARA Forge.

ملفات IOC في signatures/iocs/ تبقى مدعومة كمحتوى محلي/مخصص اختياري.

الاستخدام

# الفحص الأساسي (TUI مفعلة افتراضيًا)
sudo ./loki

# فحص مجلد محدد
sudo ./loki --folder /tmp

# تعطيل TUI، استخدام الإخراج القياسي لسطر الأوامر
sudo ./loki --no-tui

السيناريوهات الشائعة

# فحص صورة مثبتة (تخطي فحص العمليات، استخدام كل النوى)
sudo ./loki --no-procs --folder ~/image1 --threads 0

# فحص بطيء وحذر (حد أقل لوحدة المعالجة المركزية، خيط واحد)
sudo ./loki --cpu-limit 60 --threads 1

# الفحص وإرسال السجلات إلى syslog عن بُعد
sudo ./loki --remote syslog-host.internal:514 --remote-proto udp

لقطات الشاشة

خيارات سطر الأوامر

هدف الفحص

التحكم في الفحص

خيارات الإخراج

الضبط

المعلومات والتصحيح

استبعاد الملفات والمجلدات

يوفر Loki-RS آليات متعددة لاستبعاد الملفات والمجلدات من الفحص.

الاستبعادات التلقائية المضمنة

بشكل افتراضي، يستبعد Loki-RS تلقائيًا:

أدلة النظام (Linux/macOS):

• /proc, /dev, /sys/kernel/debug, /sys/kernel/slab, /sys/kernel/tracing, /sys/devices
• /run, /var/run

أدلة التخزين السحابي (إلا إذا تم استخدام --scan-all-drives):

• OneDrive, Dropbox, Google Drive, iCloud, Box, Nextcloud, pCloud, MEGA, Seafile, ownCloud، وغيرها

محركات الأقراص الشبكية والمثبتة (إلا إذا تم استخدام --scan-all-drives):

• NFS, CIFS/SMB, SSHFS, WebDAV mounts
• الوسائط الخارجية تحت /media, /volumes

دليل البرنامج:

• يستبعد Loki-RS تلقائيًا دليله الخاص لمنع فحص نفسه

خيارات سطر الأوامر للاستبعاد

استبعادات النتائج الإيجابية الكاذبة المستندة إلى التجزئة

يمكنك استبعاد الملفات المعروفة بأنها جيدة باستخدام تجزئتها. هذا مفيد لإدراج الملفات الشرعية التي تسبب نتائج إيجابية كاذبة في القائمة البيضاء.

الإعداد:

1. أنشئ ملفًا في signatures/iocs/ يحتوي على كل من hash و falsepositive في اسم الملف مثال: hash-falsepositive-custom.txt

2. أضف التجزئات (MD5, SHA1, أو SHA256) مع وصف اختياري:

# التنسيق: HASH;description
d41d8cd98f00b204e9800998ecf8427e;ملف فارغ - معروف بأنه جيد
a7f5f35426b927411fc9231b56382173;أداة نظام شرعية

الملفات المطابقة لهذه التجزئات سيتم تخطيها بصمت أثناء الفحص.

استبعادات النتائج الإيجابية الكاذبة بناءً على نمط اسم الملف

عند إضافة IOCs لأسماء الملفات إلى signatures/iocs/filename-iocs.txt، يمكنك تحديد تعبير regex للاستبعاد الإيجابي الكاذب في العمود الثالث:

# التنسيق: REGEX;SCORE;FALSE_POSITIVE_REGEX
#
# هذا يطابق كل ملفات .ps1، لكنه يستبعد تلك الموجودة في أدلة SysInternals
(?i)\\procdump(64)?\.(exe|zip);50;(?i)(SysInternals\\)

إذا طابق ملف كلاً من النمط الرئيسي و regex الإيجابي الكاذب، فلن يتم الإبلاغ عنه.

استبعادات ملف التكوين

ملف config/excludes.cfg يدعم استبعادات المسار المستندة إلى regex:

# استبعاد أدلة النظام
^/proc/.*
^/dev/.*
^/sys/.*

# استبعاد الملفات المؤقتة
.*\.tmp$
.*\.temp$
.*\.swp$

# استبعاد أدلة محددة
.*node_modules.*
.*/\.git/.*

ملاحظة: يتم مطابقة أنماط استبعاد المسار مقابل مسار الملف الكامل باستخدام التعبيرات العادية. الأسطر التي تبدأ بـ # هي تعليقات.

أمثلة

# الفحص مع تضمين كل محركات الأقراص (الشبكية والسحابية والمثبتة)
sudo ./loki --scan-all-drives

# فحص كل أنواع الملفات، وليس فقط الملفات التنفيذية والنصية
sudo ./loki --scan-all-files

# فحص الملفات الصغيرة فقط (أقل من 10 ميجابايت)
sudo ./loki --max-file-size 10000000

# تخطي فحص العمليات (مفيد للصور المثبتة)
sudo ./loki --no-procs --folder /mnt/image

وضع TUI

الواجهة الطرفية مفعلة افتراضيًا وتوفر مراقبة في الوقت الفعلي أثناء الفحص.

sudo ./loki --folder /path/to/scan

تقارير HTML

يقوم Loki-RS تلقائيًا بإنشاء تقرير HTML منسق بعد كل فحص. يتم إنشاء التقرير بجانب ملف سجل JSONL ويوفر ملخصًا مرئيًا لجميع النتائج.

يتضمن التقرير:

• إعدادات الفحص وإحصائيات وقت التشغيل
• نتائج مع ترميز لوني مجمعة حسب الشدة (تنبيه، تحذير، إشعار)
• بيانات وصفية للملف (التجزئات، الطوابع الزمنية، الحجم)
• مطابقات قواعد YARA مع الأوصاف والسلاسل المطابقة
• تفاصيل مطابقة IOC مع المراجع

يتشارك تقرير HTML نفس اسم الملف الأساسي مثل إخراج JSONL (مثلًا loki_hostname_2025-01-08.html). لتعطيل إنشاء التقرير، استخدم --no-html.

إنشاء تقارير HTML من ملفات JSONL

يمكنك إنشاء تقارير HTML من ملفات JSONL الموجودة باستخدام loki-util:

# إنشاء تقرير HTML من ملف JSONL واحد
./loki-util html --input scan_results.jsonl --output report.html

# إنشاء تقرير HTML مدمج من عدة ملفات JSONL
./loki-util html --input "*.jsonl" --combine --output combined_report.html

# استخدام أنماط glob لمطابقة عدة ملفات
./loki-util html --input "/path/to/scans/*.jsonl" --combine --output combined.html

الخيارات:

• --input <file|glob> - ملف JSONL الإدخال أو نمط glob (إلزامي)
• --output <file.html> - ملف HTML الإخراج (اختياري، الافتراضي هو اسم ملف الإدخال مع امتداد .html)
• --combine - دمج عدة ملفات JSONL في تقرير واحد (تجميع النتائج حسب اسم المضيف)
• --title <str> - تجاوز عنوان التقرير
• --host <str> - تجاوز اسم المضيف في التقرير

وضع التقرير المدمج مفيد لتجميع نتائج الفحص من عدة مضيفين أو فترات زمنية في عرض واحد، مع تجميع النتائج حسب اسم المضيف المصدر.

البناء من المصدر

git clone https://github.com/Neo23x0/Loki-RS.git
cd Loki-RS
cargo build --release
./target/release/loki-util update
sudo ./target/release/loki

يتطلب مجموعة أدوات Rust. راجع docs/BUILD.md للترجمة المشتركة.

التوثيق

• دليل البناء
• حساب النتيجة
• مصفوفة التكافؤ
• استبعاد الملفات والمجلدات

حول

Loki RS هو مشروع جانبي. إنه ماسح سريع بملف ثنائي واحد مبني للفرز العملي والتجريب، وقد يتغير بسرعة مع تجربة الأفكار وإزالتها.

الدعم قائم على المجتمع وبأفضل جهد - لا يوجد SLA، ولا أوقات استجابة مضمونة، ولا وعد بمعالجة كل حالة حافة بشكل مثالي. إذا قمت بتشغيله في الإنتاج، فافعل ذلك مع وضع ذلك في الاعتبار.

للبيئات المؤسسية وأعمال الاستجابة للحوادث مع دعم يمكن التنبؤ به ومجموعة ميزات أوسع ومختبرة جيدًا، تحافظ Nextron Systems على THOR (و THOR Lite). THOR هو الماسح المحترف مع تغطية واسعة للقطع الأثرية، والمزيد من الوحدات والتنسيقات، ودعم البائع. THOR Lite هو إصدار الدخول المجاني بنطاق مخفض.

الترخيص

رخصة GNU العامة العامة v3.0. انظر LICENSE.

حقوق النشر (c) 2025 Florian Roth