Manuka

الوصف

مانوكا هي مصيدة معلومات مفتوحة المصدر (OSINT) تراقب محاولات الاستطلاع من قبل الجهات الخبيثة وتولد معلومات استخبارية قابلة للتنفيذ لفرق الدفاع (Blue Teamers). تنشئ بيئة محاكاة تتكون من مصادر OSINT مُعدّة مسبقًا، مثل ملفات تعريف وسائل التواصل الاجتماعي وبيانات الاعتماد المسربة، وتتعقب علامات اهتمام الخصم، بما يتماشى بشكل وثيق مع إطار MITRE’s PRE-ATT&CK. تمنح مانوكا فرق الدفاع (Blue Teams) رؤية إضافية لمرحلة الاستطلاع ما قبل الهجوم وتولّد إشارات إنذار مبكر للمدافعين.

على الرغم من اختلاف أحجامها وتعقيدها، تركز معظم مصائد الاختراق التقليدية على الشبكات. هذه المصائد تكشف المهاجمين في المراحل من 2 (التسليح) إلى 7 (أهداف العمليات) من سلسلة القتل السيبراني، على افتراض أن المهاجمين بالفعل يقومون بمسح الشبكة.

تقوم مانوكا بالكشف عن تهديدات OSINT في المرحلة 1 (الاستطلاع) من سلسلة القتل السيبراني. على الرغم من استثمار المنظمات ملايين الدولارات في دفاعات الشبكات، يمكن اختراقها بسهولة من خلال بحث واحد على Google. مثال حديث هو اختراق القراصنة للاجتماعات المؤسسية وجلسات العلاج والدورات الجامعية من خلال مكالمات Zoom تُركت مفتوحة على الويب. تحتاج المؤسسات إلى اكتشاف هذه التهديدات من نوع OSINT على محيطها ولكنها تفتقر إلى الأدوات اللازمة.

تم بناء مانوكا لتكون قابلة للتوسع. يمكن للمستخدمين إضافة وحدات استماع جديدة بسهولة وتوصيلها بالبيئة المعزولة (Dockerized). يمكنهم تنسيق عدة حملات ومصائد اختراق في وقت واحد لتوسيع سطح المصيدة. علاوة على ذلك، يمكن للمستخدمين تخصيص ونشر مانوكا بسرعة لتناسب حالات استخدام مختلفة. تم تصميم بيانات مانوكا ليتم نقلها بسهولة إلى أدوات التحليل والتصور الخارجية الأخرى في سير عمل المؤسسة.

يمثل تصميم مصيدة OSINT تحديًا جديدًا بسبب التعقيد والنطاق الواسع لتقنيات OSINT. ومع ذلك، فإن مثل هذه الأداة ستسمح لفرق الدفاع (Blue Teamers) بـ "التحول إلى اليسار" في استراتيجية استخبارات التهديدات السيبرانية الخاصة بهم.

لوحة القيادة

تصميم الأداة

البنية

تم بناء مانوكا على المصطلحات والعمليات الرئيسية التالية.

• المصادر (Sources): ناقلات OSINT محتملة مثل ملفات تعريف وسائل التواصل الاجتماعي، وبيانات الاعتماد المكشوفة، والكود المصدري المسرب.
• المستمعون (Listeners): خوادم تراقب المصادر للتفاعلات مع المهاجمين.
• الضربات (Hits): مؤشرات الاهتمام مثل محاولات تسجيل الدخول باستخدام بيانات اعتماد مسربة واتصالات على وسائل التواصل الاجتماعي.
• مصائد الاختراق (Honeypots): مجموعات من المصادر والمستمعين منظمة في حملة واحدة (Campaign) تقوم بتحليل وتتبع الضربات مع مرور الوقت.

تصميم النظام

يتكون الإطار نفسه من عدة حاويات Docker يمكن نشرها على مضيف واحد.

• manuka-server: خادم مركزي بلغة Golang يقوم بعمليات CRUD ويدمج الضربات من المستمعين.
• manuka-listener: خادم Golang معياري يمكنه أداء أدوار استماع مختلفة.
• manuka-client: لوحة تحكم بتقنية React لفرق الدفاع (Blue Team) لإدارة موارد مانوكا.

يتم تنسيق هذه الحاويات من خلال أمر docker-compose واحد.

التطوير

في وضع التطوير، تعمل المكونات على المنافذ التالية في حاوياتها الخاصة:

1. manuka-client: 3000
2. manuka-server: 8080
3. manuka-listener: 8080

للسماح للعميل والخادم بالتواصل دون مشاكل CORS، تمت إضافة طبقة nginx إضافية على localhost:8080 تقوم بتمرير /api/ إلى manuka-server و / إلى manuka-listener.

بالإضافة إلى ذلك، يعمل manuka-listener على المنافذ التالية:

1. 8081 لصفحة الويب الخاصة بتسجيل الدخول المُعدّة
2. 8082 للتفاعل مع البريد الإلكتروني المُعدّ

المتطلبات

راجع مستودعات المكونات الفردية لمتطلباتها.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

التكوين

1. أنشئ ملفًا في docker/secrets/postgres_password يحتوي على كلمة مرور Postgres.
2. قم بإعداد حساب Google لـ Gmail لتلقي رسائل البريد الإلكتروني من ملفات تعريف وسائل التواصل الاجتماعي.
3. قم بإعداد Google Cloud Pub/Sub على https://console.cloud.google.com/cloudpubsub لوظيفة البريد الإلكتروني المدفوع (دليل: https://developers.google.com/gmail/api/guides/push). سيحتوي الدليل على إرشادات لإنشاء مشروع Cloud أيضًا.
4. أنشئ ملف docker/secrets/google_credentials.json مع بيانات اعتماد مشروعك.
5. أضف الموضوع (topic) الذي تم إنشاؤه على Cloud Pub/Sub إلى docker/secrets/google_topic.
6. احصل على رمز oauth2 لحساب Google الخاص بك. تتطلب مانوكا رمز oauth2 في المرة الأولى التي يتم تشغيلها فيه. بعد ذلك، سيقوم بتحديث الرمز تلقائيًا. احفظ الرمز في docker/secrets/google_oauth2_token.json.

التشغيل

1. docker-compose -f docker-compose.yml -f docker-compose-dev.yml up --build --remove-orphans
2. قم بتهيئة خدمة دفع Gmail لـ manuka-listener:
   1. قم بتهيئة ngok ./ngok http <manuka-listener port> ولاحظ رابط HTTPS.
   2. في قائمة لوحة تحكم Google PubSub الجانبية اليسرى، اذهب إلى الاشتراكات (Subscriptions) -> <اسم الاشتراك> -> تعديل الاشتراك (Edit Subscription) وقم بتغيير عنوان URL النهائي إلى <رابط ngok HTTPS>/notifications.
   3. حاول إرسال بريد إلكتروني من حساب آخر إلى حساب Gmail الهدف. يجب أن ترى POST /notifications 200 OK على وحدة تحكم ngrok، و Received push notification على وحدة تحكم Docker.

الإنتاج

في الإنتاج، ترتبط المنافذ التالية بهذه الخوادم:

1. 8080: manuka-client على / و manuka-server على /api
2. 80: manuka-listener-login على / و manuka-listener-social على /notifications

يسمح هذا لأي نطاق يشير إلى خادمك بالظهور كصفحة تسجيل دخول وهمية، بينما لوحة الإدارة متاحة على المنفذ 8080. علاوة على ذلك، لوحة الإدارة محمية بمصادقة HTTP الأساسية على طبقة nginx.

المتطلبات

راجع مستودعات المكونات الفردية لمتطلباتها.

1. docker >= 19.03.8
2. docker-compose >= 1.25.4
3. ngok >= 2.3.35

التكوين

1. مشابه لتكوين التطوير، تأكد من وضع جميع الأسرار وإعدادات Google Cloud. لاحظ أن رابط الاشتراك يجب أن يكون الآن على http://DOMAIN/notifications.
2. وجه اسم النطاق الخاص بك إلى عنوان IP الخاص بالخادم.
3. انسخ docker/nginx/nginx.prod.conf.example إلى docker/nginx/nginx.prod.conf واستبدل examplecompany.com باسم نطاق الإنتاج الخاص بك.
4. قم بتشغيل init-letsencrypt.sh لتوليد شهادات SSL الخاصة بك.

التشغيل

1. COMPANY_NAME='Next Clarity Financial' NGINX_USERNAME=username NGINX_PASSWORD=password docker-compose -f docker-compose.yml -f docker-compose-prod.yml up --build --remove-orphans -d
   1. NGINX_USERNAME و NGINX_PASSWORD ستكون بيانات المصادقة الأساسية للوحة القيادة.
   2. COMPANY_NAME سيكون اسم الشركة في صفحة تسجيل الدخول الوهمية.

المستمعون المدعومون حالياً

1. مستمع وسائل التواصل الاجتماعي (Social Listener)

   يراقب الأنشطة الاجتماعية على Facebook و LinkedIn. يدعم حالياً إشعارات محاولات الاتصال بالشبكة. ملاحظة: يجب تمكين إشعارات البريد الإلكتروني لحساب (حسابات) وسائل التواصل الاجتماعي المراقبة. يجب تكوين حساب (حسابات) البريد الإلكتروني المقابلة التي تستقبل إشعارات البريد الإلكتروني من منصات التواصل الاجتماعي لإعادة توجيه هذه الرسائل إلى حساب Gmail المركزي.

2. مستمع تسجيل الدخول (Login Listener)

   يراقب محاولات تسجيل الدخول باستخدام بيانات اعتماد مسربة على موقع المصيدة.

أخرى

الفئة

OSINT - استخبارات المصادر المفتوحة

شكر وتقدير

1. Eugene Lim
2. Bernard Lim
3. Kenneth Tan
4. Tan Kee Hock