Just-Metadata

Just-Metadata هي أداة يمكن استخدامها لجمع معلومات استخباراتية سلبية حول عدد كبير من عناوين IP، ومحاولة استقراء العلاقات التي قد لا تكون واضحة بخلاف ذلك. تحتوي Just-Metadata على وحدات "جمع" تُستخدم لجمع البيانات الوصفية حول عناوين IP المحملة في الإطار عبر موارد متعددة على الإنترنت. تحتوي Just-Metadata أيضًا على وحدات "تحليل". تُستخدم لتحليل البيانات المحملة في Just-Metadata وتنفيذ عمليات مختلفة يمكنها تحديد العلاقات المحتملة بين الأنظمة المحملة.

ستتيح لك Just-Metadata العثور بسرعة على أفضل "X" عدد من الولايات والمدن والمناطق الزمنية وما إلى ذلك التي توجد بها عناوين IP المحملة. ستتيح لك البحث عن عناوين IP حسب الدولة. يمكنك البحث في جميع عناوين IP للعثور على تلك المستخدمة في عمليات رد الاتصال كما حددها VirusTotal. هل تريد معرفة ما إذا تم توثيق أي عناوين IP محملة كمشاركة في هجمات عبر مشروع Animus؟ Just-Metadata يمكنها فعل ذلك.

بالإضافة إلى ذلك، من السهل إنشاء وحدات تحليل جديدة للسماح للأشخاص بالعثور على علاقات أخرى بين عناوين IP المحملة بناءً على البيانات المتاحة. يمكن إضافة وحدات جمع استخباراتية جديدة بنفس السهولة!

الإعداد

من الناحية المثالية، يجب أن تكون قادرًا على تشغيل البرنامج النصي للإعداد، وسيقوم بتثبيت كل ما تحتاجه.

بالنسبة لوحدة جمع معلومات Shodan، ستحتاج إلى مفتاح API من Shodan. هذا يكلف حوالي 9 دولارات، هيا، الأمر يستحق ذلك :).

الاستخدام

حاليًا، تم تصميم Just-Metadata لقراءة ملف نصي واحد يحتوي على عناوين IP، كل عنوان في سطر جديد. أنشئ هذا الملف من أي مصدر (عناوين IP لردود اتصال C2، سجلات خادم الويب، إلخ). بمجرد حصولك على هذا الملف، ابدأ تشغيل Just-Metadata عن طريق استدعائها:

./Just-Metadata.py

الأوامر

help - بمجرد الدخول إلى الإطار، لرؤية قائمة بالأوامر المتاحة ووصف لما تفعله، اكتب الأمر "help".

load <filename> - يأخذ الأمر load معلمة إضافية، اسم الملف الذي تريد أن تقوم Just-Metadata بتحميل عناوين IP منه. سيفتح هذا الأمر ويحمل جميع عناوين IP داخل الملف إلى الإطار.

مثال: load ipaddresses.txt

save - يمكن استخدام الأمر save لحفظ الحالة الحالية لعمل Just-Metadata. هذا مفيد في حالات متعددة، مثل بعد جمع معلومات عن عناوين IP والرغبة في حفظ الحالة على القرص لتتمكن من العمل عليها في وقت لاحق. مجرد كتابة "save" سيؤدي إلى قيام Just-Metadata بحفظ الحالة على القرص وعرض اسم ملف الحالة المحفوظة.

import <statefile> - يمكن استخدام الأمر import لتحميل حالة سابقة محفوظة لـ Just-Metadata إلى الإطار. سيحمل جميع عناوين IP التي تم حفظها، وجميع المعلومات التي تم جمعها حول عناوين IP. سيتطلب هذا الأمر معلمة إضافية، اسم ملف الحالة الذي تريد تحميله إلى Just-Metadata.

مثال: import goodfile.state

list <module type> - يمكن استخدام الأمر list لعرض أنواع الوحدات المختلفة المحملة في Just-Metadata. يأخذ هذا الأمر معلمة إضافية، إما "analysis" أو "gather". ستعرض Just-Metadata جميع وحدات النوع الذي يطلبه المستخدم.

مثال: list analysis

مثال: list gather

gather <gather module name> - يخبر الأمر gather Just-Metadata بتشغيل الوحدة المحددة وجمع المعلومات من ذلك المصدر. يمكن استخدامه لجمع المعلومات الجغرافية، VirusTotal، whois، والمزيد. كل ذلك يعتمد على الوحدة. سيتم تخزين البيانات التي تم جمعها داخل الإطار في الذاكرة ويمكن أيضًا حفظها على القرص باستخدام الأمر "save".

مثال: gather geoinfo

مثال: gather virustotal

analyze <analysis module name> - يخبر الأمر analyze Just-Metadata بتشغيل وحدة تحليل ضد البيانات المحملة في الإطار. يمكن استخدام هذه الوحدات للعثور على عناوين IP التي تشترك في نفس مفاتيح SSH أو شهادات المفتاح العام SSL أو سلاسل الشهادات. يمكن استخدامها أيضًا للعثور على عناوين IP المستخدمة في نفس عمليات رد الاتصال بواسطة الملفات التنفيذية الضارة.

ip_info <IP Address> - يُستخدم هذا الأمر لتفريغ جميع المعلومات حول عنوان IP محدد. يُستخدم حاليًا بعد تشغيل وحدات التحليل. على سبيل المثال، بعد تحديد عناوين IP التي تشترك في نفس مفاتيح SSH، يمكنني تفريغ جميع المعلومات حول عناوين IP تلك. سأرى ما إذا كانت قد استخدمت بواسطة برامج ضارة، وأين توجد، إلخ.

export - سيجعل الأمر export Just-Metadata تفرغ جميع المعلومات التي تم جمعها حول جميع عناوين IP المحملة حاليًا في الإطار إلى ملف CSV.

شكر وتقدير

شكرًا لجاستن وارنر (@sixdub) لمساعدته في تقديم بعض الملاحظات الأولية، وأفكار التصميم، والعمل كلوحة صوتية أثناء التطوير!