payloadsecurity/sandbox_scryerيحلل تقارير التفجير في بيئة الحماية العامة لإنتاج استخبارات صيد التهديدات، وينظم النتائج وفقًا لـ MITRE ATT&CK، ويجمع مؤشرات الاختراق (IOCs)، وينتج خرائط حرارية Navigator لتحليل الهجمات على نطاق واسع.
ساندبوكس سكايرر هي أداة مفتوحة المصدر لإنتاج بيانات صيد التهديدات والاستخبارات من مخرجات تفجير العينات في بيئة معزولة عامة. تستفيد الأداة من إطار عمل MITRE ATT&CK لتنظيم النتائج وترتيب أولوياتها، مما يساعد في تجميع مؤشرات الاختراق وفهم حركة الهجوم وفي صيد التهديدات. من خلال تمكين الباحثين من إرسال آلاف العينات إلى بيئة معزولة لبناء ملف تعريف يمكن استخدامه مع تقنية ATT&CK، توفر ساندبوكس سكايرر قدرة غير مسبوقة على حل حالات الاستخدام على نطاق واسع. الأداة مخصصة لمحترفي الأمن السيبراني المهتمين بصيد التهديدات وتحليل الهجمات باستخدام بيانات مخرجات البيئة المعزولة. تستهلك أداة ساندبوكس سكايرر حالياً مخرجات خدمة تحليل البرامج الضارة المجانية والعامة Hybrid Analysis، مما يساعد المحللين على تسريع وتوسيع نطاق صيد التهديدات.
[root] version.txt - إصدار الأداة الحالي LICENSE - يُحدد ترخيص المصدر والمحتويات الأخرى README.md - هذا الملف
[root\bin] \Linux - ملفات ثنائية مبنية مسبقاً لتشغيل الأداة في لينكس. يدعم حالياً: Ubuntu x64 \MacOS - ملفات ثنائية مبنية مسبقاً لتشغيل الأداة في ماك. يدعم حالياً: OSX 10.15 x64 \Windows - ملفات ثنائية مبنية مسبقاً لتشغيل الأداة في ويندوز. يدعم حالياً: Win10 x64
[root\presentation_video] Sandbox_Scryer__BlackHat_Presentation_and_demo.mp4 - فيديو يشرح مجموعة الشرائح ويظهر عرضاً توضيحياً للأداة
[root\screenshots_and_videos] لقطات شاشة وفيديوهات داعمة متنوعة
[root\scripts] Parse_report_set.* - نصوص برمجية لـ Windows PowerShell وDOS Command Window تستدعي الأداة لتحليل كل ملخص تقرير من مجموعة الاختبار Collate_Results.* - نصوص برمجية لـ Windows PowerShell وDOS Command Window تستدعي الأداة لتجميع البيانات من تحليل ملخصات التقارير وإنشاء ملف طبقة لـ MITRE Navigator
[root\slides] BlackHat_Arsenal_2022__Sandbox_Scryer__BH_template.pdf - تصدير PDF للشرائح المستخدمة لعرض ساندبوكس سكايرر في Black Hat 2022
[root\src] Sandbox_Scryer - مجلد يحتوي على مصدر أداة ساندبوكس سكايرر (بـ C#) وملف حل Visual Studio 2019
[root\test_data] (SHA256 filenames).json - ملخصات تقارير من إرسالات إلى Hybrid Analysis enterprise-attack__062322.json - بيانات MITRE CTI TopAttackTechniques__High__060922.json - تقنيات MITRE ATT&CK العليا المولدة باستخدام حاسبة MITRE. تُستخدم لترتيب التقنيات لتوليد خريطة حرارية في MITRE Navigator
[root\test_output] (SHA256)_report__summary_Error_Log.txt - الأخطاء (إن وجدت) التي تمت مواجهتها أثناء تحليل ملخص التقرير الخاص بـ SHA256 المذكور في الاسم (SHA256)_report__summary_Hits__Complete_List.png - رسم بياني يظهر التقنيات التي تم رصدها أثناء تحليل ملخص التقرير الخاص بـ SHA256 المذكور في الاسم (SHA256)_report__summary_MITRE_Attck_Hits.csv - لخطوة التجميع، التقنيات والتكتيكات مع بيانات وصفية محددة من تحليل ملخص التقرير الخاص بـ SHA256 المذكور في الاسم (SHA256)_report__summary_MITRE_Attck_Hits.txt - شكل أكثر قابلية للقراءة من ملف .csv. يتضمن بيانات ترتيب للتقنيات التي تم رصدها
\collated_data collated_080122_MITRE_Attck_Heatmap.json - ملف طبقة للاستيراد إلى MITRE Navigator
تم تصميم ساندبوكس سكايرر ليتم استدعاؤها كأداة سطر أوامر، لتسهيل كتابة النصوص البرمجية.
يتكون التشغيل من خطوتين:
أمثلة على الاستدعاء:
التحليل
التجميع
إذا تم تحديد المعامل "-h"، يتم عرض المساعدة المدمجة كما هو موضح هنا Sandbox_Scryer.exe -h
الخيارات:
-h عرض خيارات سطر الأوامر
-i مسار ملف الإدخال
-ita مسار ملف الإدخال - تقرير MITRE للتقنيات العليا
-o مسار مجلد الإخراج
-ft نوع الملف المراد إرساله
-name الاسم الذي سيتم استخدامه مع الإخراج
-sb_name معرف البيئة المعزولة المراد استخدامها (الافتراضي: ha)
-api_key مفتاح API للاستخدام مع الإرسال إلى البيئة المعزولة
-env_id معرف البيئة المراد استخدامه مع الإرسال إلى البيئة المعزولة
-inc_sub تضمين التقنيات الفرعية في الإخراج الرسومي (الافتراضي هو عدم التضمين)
-mitre_data مسار ملف بيانات mitre cti المراد تحليلها (لتعبئة تقنيات att&ck)
-cmd الأمر
الخيارات:
parse معالجة ملف تقرير من إرسال سابق إلى البيئة المعزولة
يستخدم المعاملات -i, -ita, -o, -name, -inc_sub, -sig_data
col تجميع بيانات التقارير من إرسالات سابقة إلى البيئة المعزولة
يستخدم المعاملات -i (يُعالج كمسار مجلد), -ita, -o, -name, -inc_sub, -mitre_data
بمجرد إنتاج ملف طبقة Navigator، يمكن تحميله في Navigator للعرض عبر https://mitre-attack.github.io/attack-navigator/
داخل Navigator، يتم إبراز التقنيات المذكورة في ملخصات تقارير البيئة المعزولة وإظهارها مع حرارة متزايدة بناءً على تسجيل مشترك لترتيب التقنية وعدد مرات الظهور في ملخصات تقارير البيئة المعزولة. التمرير فوق التقنيات سيظهر بيانات وصفية محددة.