NetScope

منصة تحقيق واستجابة لشبكات الحاسوب تعمل دون اتصال، مخصصة لنظام ويندوز.

NetScope هو تطبيق سطح مكتب لمحللي الأمن، وفرق الاستجابة للحوادث، ولاعبي CTF. يأخذ ملف التقاط الحزم (.pcap / .pcapng) أو واجهة شبكة حية ويحوّله إلى تحقيق كامل مدعوم بالأدلة — حكم نهائي، وقصة الهجوم، ومؤشرات الاختراق، والغنائم المستخرجة، وإجراءات استجابة بنقرة واحدة — بالكامل على جهازك، دون أي خدمات سحابية أو واجهات برمجية مدفوعة.

لماذا NetScope

يمكنك الحصول على معظم هذا يدويًا باستخدام Wireshark وSuricata وبعض البرامج النصية — مهمة NetScope هي القيام بهذا الربط تلقائيًا، في تمريرة واحدة، دون إرسال أي شيء خارج جهازك:

• حكم واحد، لا خمس عشرة تبويبًا. يربط NetScope تحليل البروتوكولات، ومطابقة مؤشرات الاختراق (IOC)، واكتشاف الشذوذ في قصة هجوم واحدة بدلًا من مطالبتك بمطابقة مخرجات tshark وتنبيهات Suricata وخلاصات IOC يدويًا.
• صفر سحابة، صفر مفاتيح API. لا مفتاح VirusTotal، ولا رفع إلى السحابة، ولا شيء يغادر جهازك — هذا مهم عندما تتعامل مع حادث مباشر أو ملف التقاط لعميل.
• مجاني، وليس "طبقة مجانية". لا خلفية مدفوعة، ولا حدود استخدام، ولا ترخيص.
• استجابة، وليس تحليلًا فقط. قواعد جدار الحماية، وإنهاء العمليات، والتقاط الذاكرة مدمجة — معظم المحللات المجانية تتوقف عند "هذا ما حدث"، بينما يساعدك NetScope أيضًا على التصرف بناءً عليه.

لقطات الشاشة

إعادة تجميع التدفقات مع لافتة حكم مباشرة — جلسة FTP أعيد بناؤها من ملف الالتقاط، وبيانات اعتماد نصية مكشوفة، وإثراء تلقائي من tshark وSuricata في الأعلى:

تبويب الغنائم — بيانات اعتماد وتجزئات ومفاتيح ورموز مستخرجة من الالتقاط، مع نسخ بنقرة واحدة:

التنزيل

يتم إرفاق ملفات ويندوز الثنائية الجاهزة بكل إصدار:

→ نزّل أحدث إصدار

التعليمات الكاملة للتثبيت والتشغيل — بما في ذلك التشغيل من المصدر — موجودة في INSTALL.md.

يطلب NetScope صلاحيات المسؤول عند الإطلاق. هذا الارتفاع في الصلاحيات مطلوب لإجراءات الاستجابة الخاصة به (قواعد جدار حماية المضيف، إنهاء العمليات، التقاط الذاكرة). ستظهر لك نافذة UAC واحدة من ويندوز عند بدء التشغيل.

ما الذي يفعله

لدى NetScope نقطتا دخول تغذّيان محرك التحليل نفسه:

• تحليل ملفات PCAP دون اتصال — افتح ملف التقاط واحصل على تفكيك جنائي كامل.
• المراقبة المباشرة — الالتقاط من واجهة محلية (عبر dumpcap) والتحليل بنفس الطريقة، مع مراقبة ARP مباشرة ودفاع DNS.

كل شيء يعمل محليًا. المحلل اللغوي والمحلل البرمجي مكتوبان بلغة TypeScript خالصة ولا يتطلبان أي أدوات خارجية؛ وعند تثبيت أدوات مجانية مثل tshark أو Suricata أو Zeek أو yara، يضيف NetScope اكتشافاتها في الأعلى تلقائيًا.

سطح التحقيق

• نظرة عامة — حكم مركزي، ومقاييس أساسية، وقصة الهجوم المعاد بناؤها، وأهم الأدلة، والخطوات التالية الموصى بها.
• التهديدات والاكتشافات — نتائج مترابطة مع مستويات الخطورة، وربط تقنيات MITRE ATT&CK، ومحرك توقيع لسلسلة الهجوم (استغلالات CVE، والقذائف العكسية، والأدوات الهجومية).
• تحليل البروتوكولات الجنائي — HTTP (user-agent، Log4j)، DNS (تحليل المعاملات، وإعادة بناء الأنفاق والتسريب مع فك تلقائي)، TLS (بصمات JA3/JA4 مقابل قاعدة بيانات عائلات البرمجيات الخبيثة دون اتصال)، SMB، FTP، SMTP/MIME، DHCP، NBNS، Kerberos، ICMP، ARP.
• المضيفون — جرد مبني من DHCP / NBNS / Kerberos، مع تحديد بصمة نظام التشغيل.
• الغنائم — بيانات اعتماد مستخرجة، وتجزئات NTLM / NetNTLMv2 (جاهزة لـ hashcat)، وأعلامًا، ومفاتيح API، ورموز JWT، مع تلميحات لفك التشفير.
• الشذوذ — الإشارات الدورية (beaconing)، والقنوات عالية الإنتروبيا، وعدم تماثل الحركة، ووكلاء المستخدم النادرين، والتشفير الضعيف، مرتبة حسب الأهمية.
• التحليل الزمني — بصمة الإيقاع، وربط الجلسات عبر البروتوكولات، وانحراف ساعة TCP timestamp (كشف NAT / تعدد المضيفين)، وانحراف بصمة نظام التشغيل.
• الاستخبارات — مؤشرات معروفة الضرر من خلاصات مجانية دون اتصال (abuse.ch، FireHOL، Tor).
• الجغرافيا / التسريب — تفصيل دولي GeoIP دون اتصال وخريطة عالمية لنقاط النهاية.
• محور البروتوكولات — شجرة تسلسل هرمي للبروتوكولات مع تفصيل المنافذ والخدمات.
• منضدة العمل — منصة تحويل / فك ترميز / برمجة نصية لأي قطع أثرية، بما في ذلك أداة إزالة التعتيم ومحلل PE.
• إعادة تجميع التدفقات — تتبع تدفقات TCP/UDP، واستخراج الملفات ونحتها، وإعادة تجميع ZIP ومتعدد الأجزاء.
• المقارنة — قارن ملف التقاط بخط أساس محفوظ.

الاستجابة

• إنشاء قواعد جدار حماية المضيف، وإنهاء العمليات، والتقاط الذاكرة (بصلاحيات مرتفعة).
• تصدير المؤشرات بصيغ STIX 2.1 / CSV / Sigma.
• توليد تقارير حوادث بصيغتي Markdown وHTML.
• إدارة قضايا محلية: ملاحظات، ووسوم، وإشارات مرجعية، وحالة، محفوظة على القرص.

التثبيت والتشغيل

انظر INSTALL.md للدليل الكامل. النسخة المختصرة:

استخدم التطبيق: نزّل المثبّت أو البناء المحمول من صفحة الإصدارات وشغّله.

التشغيل من المصدر:

npm install
npm run dev

بناء ملفات ويندوز الثنائية بنفسك:

npm run build:win

تكتب المخرجات إلى release/.

بدء سريع

1. افتح NetScope وأفلت ملف .pcap / .pcapng، أو اختر واجهة حية للالتقاط منها.
2. يحلل NetScope ملف الالتقاط ويعرض حكمًا في تبويب نظرة عامة — مستوى الخطورة، وقصة الهجوم المعاد بناؤها، وأهم الأدلة.
3. تعمّق في التهديدات أو تحليل البروتوكولات أو الغنائم للحصول على التفاصيل الداعمة خلف ذلك الحكم.

(سيوضع هنا تسجيل شاشة قصير لهذه العملية لاحقًا.)

البنية

NetScope هو تطبيق Electron مع حدود عملية صارمة.

src/
  main/       عملية Electron الرئيسية — محرك التحليل، الخدمات، معالجات IPC
    services/pcap/   محلل PCAP بلغة TypeScript خالصة، وأجهزة فك ترميز، ومحللات، وخيط عامل
  preload/    جسر معزول بالسياق (window.netscope) — لا Node في العارض
  renderer/   واجهة React 19 (Vite)
  shared/     عقد IPC ونموذج البيانات المشترك بين الرئيسي والعارض

• عزل السياق مفعّل وتكامل Node معطّل في العارض. كل العمل المميز يحدث في العملية الرئيسية ويُستدعى عبر عقد IPC مكتوب بأنواع (src/shared/ipc.ts).
• تحليل PCAP يعمل على خيط عامل بميزانية حزم ديناميكية تتدرج مع حجم الملف، بحيث لا تحجب ملفات الالتقاط الكبيرة الواجهة أو محرك الربط.
• لا استدعاءات شبكة أثناء التشغيل. قواعد بيانات استخبارات التهديدات وGeoIP وJA3 مخزنة محليًا من مصادر مجانية؛ يعمل التحليل دون اتصال بالكامل.

وصف تقني كامل موجود في docs/FULL_REPORT.md.

أدوات خارجية اختيارية

يعمل NetScope دون أيٍّ من هذه الأدوات، لكنه سيستخدمها عند توفرها:

• tshark / dumpcap (Wireshark) — تشريح أعمق والتقاط مباشر.
• Suricata — اكتشافات IDS بجودة التوقيعات.
• Zeek — سجلات البروتوكولات وقطع أثرية طبقة التطبيقات.
• yara — مطابقة أنماط البرمجيات الخبيثة على الملفات المنحوتة والتدفقات.
• procdump — التقاط الذاكرة أثناء الاستجابة.

كلها مجانية ومفتوحة المصدر. شاشة الإعداد داخل التطبيق تكتشف ما هو مثبّت.

التعامل مع ملفات الالتقاط الكبيرة

المحلل داخل التطبيق يحمّل الملف كاملًا في الذاكرة، لذلك يوجد سقف عملي. الملفات حتى حوالي 500 MB تُحلل بشكل مريح؛ و500 MB – 1.7 GB تعمل لكنها تستهلك ذاكرة كبيرة؛ وفوق 1.7 GB يرفض NetScope بأدب ويقترح التقسيم باستخدام editcap أو تشغيل tshark / Zeek خارجيًا. الملفات الكبيرة تُقيَّد بعدد الحزم وتُعلَّم بوضوح على أنها جزئية.

ادعم هذا المشروع

NetScope مجاني، ومرخص برخصة MIT، وليس له أي تمويل خلفه سوى الوقت الشخصي. إذا كان يوفر عليك وقتًا في تحقيق ما، ففكّر في رعاية التطوير — فهذا يمول مباشرةً الساعات التي تُستثمر في محللات بروتوكولات واكتشافات جديدة.

الترخيص

صدر بموجب رخصة MIT.