🛡️ محاكاة SOC عاملة متوازية (ASPS): مركز محاكاة عمليات أمنية متوازية ذاتية التشغيل

إعادة تعريف مستقبل عمليات الأمن: محاكاة SOC كاملة المكدس، تعاون متعدد العوامل، دفاع ذاتي يعتمد على البيانات

🇨🇳 الوثيقة الصينية (Chinese Version)

هذا المشروع هو منصة محاكاة SOC عاملة متوازية متطورة مصممة لاستكشاف الإمكانات القصوى لنماذج العمل الكبيرة (LAM) في مجال الأمن السيبراني. من خلال دمج نموذج التفكير العميق DeepSeek والتعاون متعدد العوامل ومعيار MCP (بروتوكول سياق النموذج)، قمنا ببناء فريق SOC افتراضي كامل المكدس، شامل، ومؤتمت بالكامل.

هنا، لم يعد الذكاء الاصطناعي مجرد منفذ نصوص برمجية، بل أصبح محللًا رقميًا يتمتع بسلسلة تفكير على مستوى الخبراء. من الفريق الأرجواني الذي يولد حركة المرور الهجومية، إلى الفريق الأزرق الذي يطور قواعد الكشف، وأخيرًا إلى فريق العمليات الذي يتولى التصنيف والتحقق الجنائي والاستجابة، يقوم سبعة عوامل متخصصة بتنفيذ تمارين ذاتية والتطور الذاتي في مساحة متوازية. يمكنه تقشير طبقات البيانات الضخمة مثل خبير بشري، وبناء رسوم بيانية هجومية ديناميكية، واتخاذ إجراءات حاسمة، مما يرفع كفاءة وذكاء عمليات الأمن إلى بُعد جديد.

📸 لوحة التحكم V2.0 (الأحدث)

📸 لوحة التحكم V1.0 (سابقة)

📺 فيديو يوتيوب (V2.0): https://www.youtube.com/watch?v=XFazCM4x4b4

📺 فيديو يوتيوب (V1.0): https://www.youtube.com/watch?v=_gRINAQaKmo

✨ النقاط البارزة

• ♾️ محاكاة SOC كاملة المكدس بشكل متوازٍ

  • أبعد من محلل واحد: هذا المشروع لا يحاكي مجرد محلل ذكاء اصطناعي، بل يحاكي نظام عمليات SOC كاملًا.
  • تغطية دورة الحياة الكاملة: من محاكاة هجوم الفريق الأحمر -> توليد بيانات الفريق الأرجواني -> تطوير قواعد الفريق الأزرق -> كشف المحرك -> تحقيق التصنيف -> الاستجابة للحوادث -> أرشفة التقارير.
  • تعيين البنية الحقيقية: يعيد إنتاج المكونات الأساسية لـ SOC حديث، بما في ذلك مستودع بيانات الأمن، محرك الكشف، تنسيق SOAR، وغرفة حرب مرئية.

• 🤖 سرب متعاون متعدد العوامل

  • سبعة أدوار، فريق واحد: يحاكي هيكل تنظيمي حقيقي لـ SOC حيث يتعاون سبعة عوامل بسلاسة من خلال سياق مشترك، مما يظهر ذكاءً جماعيًا يتفوق على الوحدات الفردية:
    • 😈 الفريق الأرجواني: يولد حركة مرور هجومية عالية الدقة وضوضاء خلفية بناءً على السيناريوهات (معيار OCSF).
    • 🛠️ مهندس الكشف: يحلل بيانات القياس عن بعد لتطوير قواعد الكشف والتحقق منها تلقائيًا.
    • ⚙️ محرك التحليل: يشغل منطق الكشف، ويفحص مستودع البيانات، ويطلق التنبيهات.
    • 🔍 التصنيف: يصفّي النتائج الإيجابية الخاطئة ويقيّم مصداقية التنبيهات.
    • 🕵️‍♂️ التحقق الجنائي: يستدعي الأدوات للتحقيق العميق ويبني سلاسل الهجوم.
    • 🛡️ القائد: يصوغ استراتيجيات الاستجابة، وينفذ الحظر، أو يطلب الموافقة.
    • 📝 المُبلّغ: يلخص نتائج التحقيق ويولد تقارير أمنية منظمة.

• 📊 هندسة كشف مبنية على البيانات

  • مستودع بيانات الأمن: مستودع بيانات خفيف الوزن مدمج يدعم تخزين واسترجاع بيانات معيار OCSF (إطار عمل المخطط الأمني المفتوح).
  • مراقبة القياس عن بعد: يوفر جداول محورية مرئية تسمح للمحللين بمراقبة سجلات القياس عن بعد الخام مباشرة للتحقق من جودة البيانات وتوقيعات الهجوم.
  • منصة عمل هندسة الكشف: مساحة عمل مخصصة تعرض عملية التحول من "البيانات" إلى "القواعد"، مما يحقق الشفافية وقابلية تفسير منطق الكشف.

• 🧠 تفكير عميق وذكاء إدراكي

  • يعمل بمحرك التفكير القوي DeepSeek، الذي يمتلك قدرات تحليل منطقي واتخاذ قرارات شبيهة بالبشر.
  • سلسلة التفكير: قادر على التعامل مع المعلومات الغامضة، وتخطيط مسارات التحقيق بشكل مستقل، وبناء سلاسل أدلة كاملة، وتحقيق الأتمتة من البداية إلى النهاية من "التنبيه" إلى "الاستنتاج".

• 🕸️ رسم بياني للتهديدات الديناميكي

🏗️ بنية النظام

يعتمد هذا المشروع تصميمًا طبقيًا، يحاكي بيئة عمليات أمنية على مستوى المؤسسات:

graph TD
    User[محلل أمني] -->|تفاعل/موافقة| UI["لوحة تحكم Streamlit"]
    UI -->|طلب HTTP| MCP["خادم MCP (FastAPI)"]
    UI -->|مراقبة الحالة| AgentCore["نواة وكيل الذكاء الاصطناعي"]
    
    subgraph AgentTeam ["فريق وكلاء الذكاء الاصطناعي (الدماغ)"]
        AgentCore --> Purple[وكيل الفريق الأرجواني]
        AgentCore --> Detection[وكيل مهندس الكشف]
        AgentCore --> Engine[وكيل محرك التحليل]
        AgentCore --> Triage[وكيل التصنيف]
        AgentCore --> Forensic[وكيل التحقق الجنائي]
        AgentCore --> Commander[وكيل القائد]
        AgentCore --> Reporter[وكيل المُبلّغ]
    end
    
    subgraph DataLayer ["طبقة البيانات (الذاكرة)"]
        Purple -->|كتابة| Warehouse[(مستودع بيانات الأمن OCSF)]
        Detection -->|قراءة| Warehouse
        Engine -->|فحص| Warehouse
    end

    subgraph MCPTools ["أدوات MCP (الأيدي والعيون)"]
        MCP --> VT["واجهة VirusTotal API"]
        MCP --> Graph[محرك الرسم البياني المعرفي]
        MCP --> Firewall[محاكاة جدار الحماية]
        MCP --> Payload["محلل الحمولة"]
    end
    
    Forensic -->|استدعاء أدوات| MCP
    Commander -->|تنفيذ استجابة| MCP

1. لوحة التحكم (Streamlit): app/main.py

   • مركز القيادة المرئي للمحللين الأمنيين.
   • منصة عمل هندسة الكشف: يعرض عمليات توليد البيانات وتطوير القواعد.
   • عرض مستودع بيانات الأمن: عرض في الوقت الفعلي لبيانات قياس OCSF.
   • غرفة الحرب: عرض في الوقت الفعلي لعملية تحقيق الوكيل والرسم البياني المعرفي.

2. خادم MCP (FastAPI): mcp_server/main.py

   • يعمل كـ "الأيدي والأقدام" للوكيل.
   • يوفر واجهات برمجة تطبيقات قياسية لاستدعاء الوكيل.
   • يحتوي على منطق أدوات الأمن الحقيقية/المحاكية.

3. وكيل الذكاء الاصطناعي (Python): agent/

   • core.py: "عقل" العمليات. يعرّف الفئة الأساسية Agent والأدوار السبعة المتخصصة (الأرجواني، الكشف، المحرك، التصنيف، التحقق الجنائي، القائد، المُبلّغ).
   • engine.py: محرك التحليل المسؤول عن مطابقة قياس OCSF مع قواعد الكشف.
   • ocsf.py: يعرّف نماذج بيانات OCSF (إطار عمل المخطط الأمني المفتوح).

⚙️ مثال لتدفق التنفيذ (محاكاة متوازية)

يوضح ما يلي كيفية تعامل النظام مع تمرين محاكاة متوازية كاملة:

1. تعريف السيناريو: يقوم المستخدم بإدخال سيناريو هجوم (مثل هجوم Lazarus APT).
2. توليد البيانات (الخطوة 1): يقوم الفريق الأرجواني بتوليد بيانات قياس OCSF تحتوي على ضوضاء خلفية عادية وسلوك خبيث، وتخزينها في مستودع بيانات الأمن.
3. تطوير القواعد (الخطوة 2): يقوم مهندس الكشف بتحليل بيانات القياس في المستودع لكتابة قواعد الكشف تلقائيًا.
4. فحص المحرك (الخطوة 3): يقوم محرك التحليل بتشغيل القواعد، وفحص المستودع، وإطلاق التنبيهات.
5. التصنيف: يقوم وكيل التصنيف بتحليل مصداقية التنبيه، ويعتبره عالي الخطورة، ويحيله إلى التحقق الجنائي.
6. التحقق الجنائي: يقوم وكيل التحقق الجنائي
   • باستدعاء check_ip_reputation لتأكيد أن عنوان IP المصدر خبيث.
   • باستدعاء analyze_payload لتحديد أن المرفق هو أداة تحميل خبيثة.
   • باستدعاء graph_add_relation لبناء الرسم البياني: IP(45.33...) --[يسلم]--> Host(محطة العمل).
7. تحليل الارتباط: عند استلام تنبيه لاحق "اتصال C2"، يقوم وكيل التحقق الجنائي تلقائيًا بربطه بالعقدة الموجودة Host(محطة العمل)، مكونًا سلسلة هجوم.
8. الاستجابة (القائد): يقرر القائد تأكيد التهديد ويحاول حظر IP الخاص بـ C2.
9. الموافقة البشرية (HITL): يتم تشغيل PENDING_APPROVAL، ويضغط المحلل على "موافقة" في الواجهة.

🚀 بدء سريع

1. تحضير البيئة

استنساخ المشروع وتثبيت التبعيات:

pip install -r requirements.txt

2. بدء الخدمات

تحتاج إلى فتح نافذتين طرفيتين لتشغيل الأوامر التالية على التوالي:

الطرفية 1: بدء خادم أدوات MCP

python3 -m uvicorn mcp_server.main:app --reload --port 8000

الطرفية 2: بدء لوحة التحكم الويب

python3 -m streamlit run app/main.py

3. التكوين والتجربة

1. الوصول إلى الواجهة: افتح المتصفح وانتقل إلى http://localhost:8501.
2. تكوين مفتاح API: أدخل مفتاح DeepSeek API ومفتاح VirusTotal API (اختياري) في الشريط الجانبي "تكوين النظام". التكوين صالح فقط للجلسة الحالية؛ لا حاجة لتعديل الملفات المحلية.
3. المحاكاة المتوازية:
   • في منطقة الشريط الجانبي "♾️ محاكاة متوازية"، أدخل أو استخدم سيناريو الهجوم الافتراضي.
   • انقر فوق "🚀 بدء المحاكاة الكاملة".
   • سيقوم النظام تلقائيًا بتنفيذ توليد البيانات، تطوير القواعد، وكشف المحرك، ثم الانتقال إلى سير عمل استجابة SOC.
4. المراقبة والتفاعل:
   • شاهد منطقة "فريق SOC" لترى كيف يعمل مهندسو الذكاء الاصطناعي ذوو الأدوار المختلفة بالتبادل.
   • في منطقة "مستودع بيانات الأمن"، اعرض بيانات قياس OCSF الناتجة.
   • في منطقة "الرسم البياني المعرفي"، اعرض سلسلة الهجوم المبنية في الوقت الفعلي.
   • عند مواجهة عمليات عالية المخاطر، قم بالموافقة أو الرفض في منطقة "القرار البشري".

📂 هيكل المشروع

.
├── app/                # واجهة أمامية (Streamlit)
│   └── main.py         # البرنامج الرئيسي: تخطيط واجهة المستخدم، إدارة الحالة، التصور
├── mcp_server/         # خدمة الأدوات (FastAPI)
│   └── main.py         # يوفر واجهات برمجة تطبيقات لسمعة IP، جدار الحماية، إدارة الرسوم البيانية، إلخ.
├── agent/              # منطق الوكيل الأساسي
│   ├── core.py         # يعرّف BaseAgent وأدوار الوكيل المتخصصة
│   ├── engine.py       # محرك التحليل: مسؤول عن مطابقة القواعد وإطلاق التنبيهات
│   └── ocsf.py         # معيار البيانات: تعريف نموذج بيانات قياس OCSF
├── requirements.txt    # تبعيات المشروع
└── README.md           # وثائق المشروع