إطار عمل عالي الأداء لـ OSINT/CTI للتنقل الآلي بين الهويات وتحليل المخاطر عبر أكثر من 120 مصدرًا.
إطار عمل OSINT للفريق الأحمر، والأدلة الرقمية، وتحليل التعرض المؤسسي.
NOX هو محرك استخبارات تهديدات سيبرانية مصمم خصيصًا للمشغلين الذين يحتاجون إلى السرعة والأمان التشغيلي والعمق في إطار واحد متماسك. إنه ليس غلافًا حول الأدوات الموجودة - بل هو منصة استخباراتية قائمة على المكونات الإضافية (plugins) ومستقلة بالكامل مع فصل صارم بين منطق التنفيذ وتعريفات المصادر.
| القدرة | التفاصيل |
|---|---|
| ⚡ محرك تنفيذ غير متزامن | مسح متوازٍ هائل عبر 124 مصدر استخباراتي بدون اختناقات تسلسلية وبدون حظر الإدخال/الإخراج. |
| 🛡️ محرك الحارس (Guardian Engine) | طبقة أمان تشغيلية (OPSEC) مدمجة مع تدوير تلقائي للوكيل ودعم SOCKS5. مفتاح إيقاف آمن يوقف كل حركة المرور إذا كانت دارة النقل غير متاحة. |
| 🧠 تسجيل المخاطر | تسجيل ديناميكي من 0 إلى 100 مع اضمحلال زمني، وترجيح ثقة المصادر، وتحليل تعقيد كلمات المرور، ومضاعفات الاستمرارية، واكتشاف الأهداف عالية القيمة (HVT). |
| 🔗 محرك الانهيار التكراري (Recursive Avalanche Engine) | كل أصل يتم اكتشافه - اسم مستخدم، بريد إلكتروني، كلمة مرور مكسورة، هاتف - يُعاد حقنه تلقائيًا كبذرة مسح جديدة. خط أنابيب لكل أصل يعمل بشكل تسلسلي (اختراق → كسر → دوك → سكراب)؛ الأصول الفرعية تعمل بشكل متزامن. المعرفات من جميع المراحل الأربع تغذي قائمة التمحور. إلغاء التكرار العالمي وحد أقصى قابل للتكوين للعمق يمنعان التكرار الجامح. |
| 🔍 المسح التلقائي | أمر واحد يطلق مسح الاختراق + التمحور التكراري + الدوكنج + سكراب اللصق - آلي بالكامل، بدون ربط يدوي. |
| الميزة | الوصف |
|---|---|
| 124 مكونًا إضافيًا بتنسيق JSON | كل مصدر استخباراتي هو مكون إضافي JSON. محرك التنفيذ لا يحتوي على أي منطق مصدر ثابت. |
| النواة غير المتزامنة | حلقة أحداث asyncio كاملة مع بصمة JA3، وإدارة جلسات SSL، واهتزاز لكل طلب، وتوازٍ قابل للتكوين. |
| خط أنابيب المسح التلقائي | --autoscan يطلق: مسح اختراق → تمحور تكراري → دوكنج Google/Bing/SearXNG → سكراب اللصق/تيليجرام - كل ذلك بأمر واحد. |
| محرك الانهيار التكراري | كل معرف يتم اكتشافه - من سجلات الاختراق، أو نتائج الدوك، أو محتوى اللصق/تيليجرام الممسوح - يُعاد حقنه كبذرة جديدة. خط الأنابيب لكل أصل تسلسلي (اختراق → كسر → دوك → سكراب)؛ الأصول الفرعية تعمل بشكل متزامن عبر asyncio.gather. مجموعة seen_assets الشاملة تمنع الحلقات اللانهائية. التوازي والعمق قابلان للتكوين بالكامل في وقت التشغيل عبر --threads و --depth. |
| التمحور عبر الهاش | يتم التعرف تلقائيًا على الهاشات الموجودة في بيانات الاختراق (MD5/SHA1/SHA256/NTLM/bcrypt) وكسرها عبر استعلامات API خلفية متزامنة. يتم حقن النصوص الواضحة المكسورة في قائمة التمحور كبذور إعادة استخدام كلمات المرور. يتم تسجيل الفشل بصمت - المسح لا يتوقف أبدًا. |
| محرك الوكيل الحارس | طبقة أمان تشغيلية بدون إعدادات: يقرأ proxies.txt إذا كان موجودًا؛ وإلا يحضر تلقائيًا مجموعة من الوكلاء عالية الإخفاء ويتحقق منها في الذاكرة. دعم كامل لـ SOCKS5/HTTP/S و Tor. |
| تدوير مفاتيح API | api_key_slots لكل مصدر - NOX يدور عبر مفاتيح متعددة لتجاوز حدود المعدل لكل مفتاح. |
| رسم بياني للهوية | محرك ارتباط Union-Find يوحد سجلات الاختراق في مجموعات هوية عبر جميع المصادر، باستخدام تصنيف تمحور مدرك للنوع. |
| تقارير الطب الشرعي المؤسسية | تقارير احترافية بتنسيق PDF/HTML/JSON/CSV/Markdown مع لوحة ملخص تنفيذي (الوقت الإجمالي، العقد المكتشفة، كلمات المرور النصية الواضحة، عمق التمحور)، وتصور تفاعلي لسلسلة التمحور، وتنقية صارمة للبيانات - لا ضوضاء تقنية في المخرجات. صادرات JSON ذاتية الوصف مع كتلة بيانات وصفية كاملة. |
| اكتشاف الأهداف عالية القيمة | وضع علامة تلقائي على حسابات المستوى التنفيذي، والإداري، وال DevOps، والمجالات الحكومية كأهداف عالية القيمة. |
| محرك الدوكنج | اكتشاف مستندات سلبية عبر دوكنج Google/Bing/SearXNG مع استخراج بيانات تعريف PDF/Office. |
| محرك السكراب | فهرسة مواقع اللصق، ورصد قنوات تيليجرام للاستخبارات السيبرانية، واستخراج بيانات الاعتماد، واكتشاف الأخطاء في التهيئة. كل أصل في المسح التلقائي يحصل على جلسة سكراب مخصصة - لا حالة مشتركة. |
| الوكيل / Tor | SOCKS5، وكيل HTTP/S، توجيه Tor كامل عبر stem، وتراجع تلقائي للحارس. يتم التحقق من وكلاء SOCKS5 وتوجيههم بشكل صحيح عبر aiohttp-socks. |
| مخزن المفاتيح الآمن | مفاتيح API تُدار عبر ~/.config/nox-cli/apikeys.json (صلاحية 0600). المفاتيح غير المكونة تُتجاوز بصمت. المفاتيح المُعينة عبر متغيرات البيئة تُلتقط تلقائيًا دون إعادة تشغيل. |
| تسجيل النظام | جميع أحداث المسح، وإكمال المراحل، واكتشافات التمحور، وأحداث API، وحدود المعدل، ومحاولات الكسر تُكتب إلى ~/.nox/logs/nox.log. فقط الاستخبارات القابلة للتنفيذ تصل إلى الطرفية. |
| تصحيح المكونات الإضافية | --list-sources يطبع جدول تصحيح كامل للمشغل: اسم المكون الإضافي، نوع الإدخال، درجة الثقة، حالة المفتاح (مكون / غير مكون / عام)، وأي أخطاء في تحليل JSON. |
يعمل NOX على فصل صارم للاهتمامات: nox.py هو محرك تنفيذ نقي ومحايد - يتعامل مع الإدخال/الإخراج غير المتزامن، وبصمة JA3، وإدارة جلسات SSL، والتمحور التكراري، وربط النتائج. لا يحتوي على أي منطق استخباراتي ثابت.
كل الاستخبارات تُعرف كـ مكونات إضافية JSON في sources/. هذه المكونات الإضافية هي المصدر الوحيد للحقيقة حول ما يستعلم عنه NOX، وكيف يصادق، وما يستخرجه. أداة البناء build_sources.py هي الطريقة الوحيدة المصرح بها لإنشائها أو تعديلها.```
build_sources.py ──► sources/*.json ──► nox.py (runtime loader)
[Builder] [Plugins] [Execution Engine]
> [!IMPORTANT]
> **ملفات `sources/*.json` هي نتائج تم إنشاؤها تلقائيًا. لا تقم بتعديلها مباشرةً.**
> يجب إجراء جميع الإضافات والتعديلات على المصدر في `build_sources.py` وتطبيقها عن طريق تشغيل `python build_sources.py`. سيتم استبدال التعديلات اليدوية في البناء التالي.
#### مخطط المصدر```json
{
"name": "MyPrivateDB",
"endpoint": "https://api.myprivatedb.com/search?q={target}",
"method": "GET",
"headers": { "Authorization": "Bearer {MY_API_KEY}" },
"regex_pattern": "([\\w.+-]+@[\\w-]+\\.[\\w.]+):([\\S]+)",
"required_api_key_name": "MY_API_KEY",
"api_key_slots": ["{MY_API_KEY}"],
"input_type": "email",
"output_type": ["username", "ip"],
"pivot_types": ["email", "username"],
"confidence": 0.9
}
الحقول المدعومة: name, endpoint, method, headers, regex_pattern (أو json_root + normalization_map), required_api_key_name, api_key_slots, input_type, output_type, pivot_types, confidence.
--autoscan (واجهة الأوامر) / autoscan (REPL) ينفذ خط أنابيب الاستخبارات الكامل بأمر واحد:```
For each asset (seed + every discovered identifier):
├─ Phase 1 — Breach Scan
│ 124 sources queried in parallel (async)
│
├─ Phase 2 — Hash Crack (non-blocking, concurrent)
│ Hashes found in breach data → rainbow-table APIs → cracked plaintext
│ → password-recycling breach scan
│
├─ Phase 3 — Dorking
│ Google/Bing/SearXNG dorks → leaked docs, .env files, SQL dumps
│ → new identifiers extracted and re-injected
│
└─ Phase 4 — Scraping
Pastebin, IntelX, Telegram CTI channels → credential extraction
→ new identifiers extracted and re-injected