Titus: ماسح أسرار عالي الأداء

Titus هو ماسح أسرار عالي الأداء يكتشف بيانات الاعتماد ومفاتيح API والرموز المميزة في الشيفرة المصدرية والملفات وسجل git. يأتي مزوّدًا بـ 487 قاعدة كشف تغطي مئات الخدمات وأنواع بيانات الاعتماد، مستمدة من NoseyParker وKingfisher. يعمل Titus كأداة سطر أوامر، ومكتبة Go، وإضافة Burp Suite، وإضافة متصفح Chrome — وجميعها تشترك في نفس محرك الكشف ومجموعة القواعد.

صُمم Titus لمهندسي الأمن واختباري الاختراق وفرق DevSecOps، وهو يجمع بين مطابقة التعبيرات النمطية المعجّلة بـ Hyperscan/Vectorscan والتحقق المباشر من بيانات الاعتماد للعثور على الأسرار المسرّبة والتحقق منها عبر قاعدة شيفرتك بالكامل.

جدول المحتويات

• لماذا Titus؟
• التثبيت
• البدء السريع
• خيارات الفحص
• تقييم النتائج
• مكتبة Go
• إضافة Burp Suite
• إضافة المتصفح
• البناء من المصدر
• المساهمة
• الترخيص

لماذا Titus؟

• فحص سريع للأسرار: مطابقة التعبيرات النمطية معجّلة بـ Hyperscan/Vectorscan عند توفّرها، مع بديل مكتوب بالكامل بلغة Go لضمان قابلية النقل على أي منصة.
• تغطية واسعة لكشف بيانات الاعتماد: 487 قاعدة تكشف مفاتيح API والرموز المميزة وبيانات الاعتماد الخاصة بـ AWS وGCP وAzure وGitHub وSlack وقواعد البيانات وأنظمة CI/CD ومئات الخدمات الأخرى.
• التحقق المباشر من الأسرار: يتم فحص الأسرار المكتشفة مقابل واجهات API المصدرية الخاصة بها للتأكد مما إذا كانت نشطة، مما يقلل الإيجابيات الكاذبة ويعطي الأولوية للمعالجة.
• تقييم الخطورة المبني على المخاطر: تحصل كل نتيجة على درجة رقمية (0–100) ومستوى خطورة (info → critical). تُضبط الدرجات بناءً على البيانات الوصفية للقواعد الثابتة وسياق الوصول إلى الشيفرة واستدعاءات API المباشرة التي تقيس نطاق التأثير الفعلي لبيانات الاعتماد — بحيث تظهر النتائج الأكثر خطورة دائمًا في المقدمة.
• فحص صور الحاويات: افحص صور Docker وOCI مباشرة من أي سجل أو ملف tarball أو دليل تخطيط OCI — دون الحاجة إلى Docker daemon أو ملف ثنائي.
• واجهات متعددة لكل سير عمل: افحص من سطر الأوامر، أو ضمّنه كمكتبة Go، أو افحص حركة HTTP بشكل سلبي في Burp Suite، أو افحص صفحات الويب في Chrome أثناء اختبار أمن التطبيقات.
• استخراج الملفات الثنائية: استخرج وافحص الأسرار من مستندات Office وملفات PDF والأرشيفات (zip، tar، 7z) وتطبيقات الجوال (APK، IPA) وإضافات المتصفح وغيرها.

التثبيت

نزّل ملفًا ثنائيًا جاهزًا من صفحة الإصدارات، أو ابنِ من المصدر:```bash make build

سيكون الملف التنفيذي في `dist/titus`.

## البدء السريع```bash
# Scan a file for secrets
titus scan path/to/file.txt

# Scan a directory for leaked credentials
titus scan path/to/directory

# Scan a public GitHub repository (no token needed)
titus scan github.com/org/repo

# Scan a public GitLab project (no token needed)
titus scan gitlab.com/namespace/project

# Scan git history for secrets in past commits
titus scan --git path/to/repo

# Scan a Docker / OCI image (pulled from a registry — no docker daemon required)
titus scan --docker alpine:latest

# Validate detected secrets against source APIs
titus scan path/to/code --validate

تُكتب النتائج إلى مخزن بيانات (titus.ds افتراضيًا) وتُطبع إلى وحدة التحكم.

خيارات الفحص

فحص GitHub وGitLab

افحص المستودعات العامة مباشرةً عبر URL — دون الحاجة إلى رمز API:```bash

Scan a GitHub repository

titus scan github.com/kubernetes/kubernetes

Scan a GitLab project

titus scan gitlab.com/gitlab-org/cli

Full URLs work too

titus scan https://github.com/org/repo titus scan https://gitlab.com/namespace/project.git

بالنسبة للفحص على مستوى المؤسسة أو على مستوى المستخدم، استخدم الأوامر الفرعية المخصصة:```bash
# Scan all public repos in a GitHub org
titus github --org kubernetes

# Scan all repos in a GitHub org with a token (private repos + higher rate limits)
titus github --org kubernetes --token $GITHUB_TOKEN

# Scan all repos for a GitHub user
titus github --user octocat

# Scan all projects in a GitLab group
titus gitlab scan --group mygroup --token $GITLAB_TOKEN

# Scan a single repo with git history (finds deleted secrets)
titus github owner/repo --git

الرموز (Tokens) اختيارية للمستودعات العامة. قم بتعيين GITHUB_TOKEN أو GITLAB_TOKEN (أو استخدم --token) للوصول إلى المستودعات الخاصة وحدود معدل API الأعلى.

فحص صور Docker / OCI

افحص صور الحاويات مباشرةً — لا حاجة إلى docker daemon ولا إلى ملف docker التنفيذي. يقوم Titus بسحب الصور مباشرةً من أي سجل OCI عبر HTTPS (باستخدام بيانات الاعتماد من ~/.docker/config.json)، أو يقرأ الصور من أرشيف docker save المحلي أو من دليل تخطيط صور OCI. ثم يقوم بفحص بيانات تعريف بيان الصورة/الإعدادات وكل ملف عادي في كل طبقة، بما في ذلك الملفات الموجودة في الطبقات السفلى التي حذفتها الطبقات اللاحقة (نظرًا لأن الأسرار يمكن أن تظل قابلة للاسترداد من سجل الصورة).```bash

Pull from a registry and scan

titus scan --docker alpine:latest titus scan docker://ghcr.io/owner/repo:tag

Scan an image saved to a tarball:

docker save my-app:latest -o my-app.tar

podman save my-app:latest -o my-app.tar

titus scan --docker ./my-app.tar

Scan an OCI image layout directory:

docker buildx build --output type=oci,dest=./img/ .

skopeo copy docker://my-app:latest oci:./img:latest

titus scan --docker ./img/

المصادقة تستخدم إعدادات Docker / Podman الموجودة لديك (`~/.docker/config.json`، `${XDG_RUNTIME_DIR}/containers/auth.json`). السجلات الخاصة التي تحتاج إلى تسجيل دخول جديد يجب أولاً المصادقة عليها باستخدام `docker login` (أو `podman login`، أو `crane auth login`) — لا يطلب titus بيانات الاعتماد.

### عرض نتائج الفحص

استخدم `report` لإعادة قراءة النتائج من فحص سابق:```bash
# Human-readable summary of detected secrets
titus report

# JSON output for programmatic processing
titus report --format json

# SARIF output for CI/CD integration with GitHub Advanced Security
titus report --format sarif

# Report from a specific datastore
titus report --datastore path/to/titus.ds

يمكنك أيضًا التحكم في تنسيق الإخراج وقت الفحص باستخدام --format:```bash titus scan path/to/code --format json

### التحقق من الأسرار المكتشفة

مرّر `--validate` أثناء الفحص للتحقق من الأسرار المكتشفة مقابل واجهات API المصدرية الخاصة بها:```bash
titus scan path/to/code --validate

يتم تشغيل التحقق بشكل متزامن (4 عمال افتراضيًا، قابل للتكوين باستخدام --validate-workers) ويضع علامة على كل اكتشاف كمؤكد أو مرفوض أو غير معروف.

قواعد كشف التصفية```bash

List all available detection rules

titus rules list

Scan with only specific rules (e.g., AWS and GCP credentials)

titus scan path/to/code --rules-include "aws,gcp"

Exclude rules by pattern

titus scan path/to/code --rules-exclude "kingfisher.generic"

Use a custom rules file for organization-specific secrets

titus scan path/to/code --rules path/to/custom-rules.yaml

Opt in to rules marked noisy: true (high false-positive rate, off by default)

titus scan path/to/code --include-noisy

### استخراج الأسرار من الملفات الثنائية

يستطيع Titus استخراج النص من صيغ الملفات الثنائية وفحص المحتويات بحثًا عن الأسرار:```bash
# Extract and scan all supported binary formats
titus scan path/to/files --extract=all