Rail-OT-Protector (ROP)

أداة فحص أمن سيبراني مجانية ومفتوحة المصدر لشبكات OT/SCADA في قطاعي السكك الحديدية والنقل العام.

نبذة

Rail-OT-Protector (ROP) عبارة عن مجموعة أدوات أمن سيبراني مجانية ومفتوحة المصدر، صُممت لـمشغلي السكك الحديدية، وهيئات النقل العام، وفرق أمن OT/ICS، ومستجيبي الحوادث الذين يحتاجون إلى تقييم سريع للتعرض السيبراني عبر شبكات التقنية التشغيلية (OT) وشبكات SCADA في قطاعي السكك الحديدية والنقل العام.

توفر ROP ماسحًا بـ PowerShell (لمضيفات القفز على Windows) وماسحًا بـ Bash (لـ Linux/macOS)، يمسحان الشبكات الفرعية المكوّنة، ويكتشفان خدمات الوصول عن بُعد وبروتوكولات ICS المكشوفة، ويتعرفان على بصمة واجهات التحكم القديمة المعرضة للخطر في السكك الحديدية، ويرفعان مؤشرات الخطر المرتبطة بثغرة الربط عن بُعد بين نهاية القطار/رأسه (EOT/HOT) CVE-2025-1727.

تُكتب جميع النتائج في تقارير JSON وCSV مختومة بطابع زمني، مع تسميات خطورة CRITICAL / HIGH / MEDIUM، لتوفير ملفات جاهزة للفرز المبدئي (triage) لفرق الأمن والهندسة.

الكلمات المفتاحية

الأمن السيبراني للسكك الحديدية، أمن OT لقطاع النقل العام، ماسح SCADA، ماسح ثغرات ICS، CVE-2025-1727، ضعف المصادقة في EOT HOT، واجهة RailSafe SCADA API، ماسح Modbus، ماسح DNP3، ماسح EtherNet/IP، IEC 60870-5-104، Wabtec TrainLink، Siemens Trainguard، CISA AA26-097A، تحصين OT للسكك الحديدية، ماسح OT مفتوح المصدر، ماسح ICS بـ PowerShell، ماسح SCADA بـ Bash

تغطية التهديدات

بدء سريع

PowerShell (Windows)

# Standard full subnet scan
pwsh ./scripts/powershell/ROP.ps1 -Subnets 10.10.20.0/24,10.10.30.0/24 -OutputDir ./reports

# EOT/HOT fast-scan mode with custom timeout and threads
pwsh ./scripts/powershell/ROP.ps1 -Subnets 10.10.20.0/24 -EotHotOnly -TimeoutMs 1200 -Threads 64

Bash (Linux / macOS)

chmod +x ./scripts/bash/ROP.sh

# Standard full subnet scan
./scripts/bash/ROP.sh --subnets 10.10.20.0/24,10.10.30.0/24 --output-dir ./reports

# EOT/HOT fast-scan mode with custom timeout and threads
./scripts/bash/ROP.sh --subnets 10.10.20.0/24 --eot_hot_only --timeout-ms 1200 --threads 64

مثال على المخرجات

[2026-08-03 21:00:14] [CRITICAL] 10.10.20.14:4510  Potential EOT/HOT remote linking service detected (CVE-2025-1727 exposure candidate)
[2026-08-03 21:00:18] [HIGH]     10.10.20.21:5900  VNC exposed on OT subnet; review remote-access controls immediately
[2026-08-03 21:00:20] [HIGH]     10.10.20.44:2404  IEC 60870-5-104 reachable from scan host
[2026-08-03 21:00:21] [HIGH]     10.10.20.55:28784 RailSafe Control Interface fingerprint matched legacy API version family
[2026-08-03 21:00:23] [HIGH]     10.10.20.62:502   Modbus service reachable from scan host
[2026-08-03 21:00:25] [MEDIUM]   10.10.20.88:22    SSH reachable from scan host

Scan complete. Findings: 6. JSON: ./reports/ROP-results-20260803-210025.json  CSV: ./reports/ROP-results-20260803-210025.csv

هيكل المستودع

Rail-OT-Protector/
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── docs/
│   ├── CISA-Reference.md
│   └── Threat-Intelligence.md
├── reports/
│   └── .gitkeep
└── scripts/
    ├── bash/
    │   └── ROP.sh
    └── powershell/
        └── ROP.ps1

الأسئلة الشائعة

س: هل تتطلب ROP صلاحيات المسؤول (admin/root)؟
ج: لا. تستخدم ROP محاولات اتصال TCP قياسية — دون raw sockets أو صياغة حزم. تعمل كمستخدم عادي على كل من Windows وLinux.

س: هل ستؤدي هذه الأداة إلى إطلاق تنبيهات IDS/IPS على شبكة OT الخاصة بي؟
ج: من المحتمل. فحص المنافذ قابل للاكتشاف. نسّق دائمًا مع مركز عمليات الشبكة لديك واحصل على تفويض كتابي قبل تشغيل أي فحص على شبكة OT في بيئة الإنتاج.

س: هل تستغل ROP ثغرة CVE-2025-1727؟
ج: لا. تكتشف ROP فقط ما إذا كانت المنافذ المرتبطة بـ CVE-2025-1727 (خدمات الربط عن بُعد EOT/HOT) قابلة للوصول. ولا تحاول إجراء مصادقة أو إرسال حمولات استغلال.

س: هل يمكنني تشغيلها ضد شبكة سكك حديدية معزولة (air-gapped)؟
ج: نعم. لا تتطلب ROP وصولًا إلى الإنترنت. انسخ السكربت إلى مضيف قفز داخل البيئة المعزولة وشغّله محليًا.

س: ما صيغ تقارير المخرجات؟
ج: كل من JSON وCSV. صيغة JSON مناسبة للإدخال في أنظمة SIEM، بينما CSV جاهزة للفرز في جداول البيانات ويمكن استيرادها إلى ServiceNow أو Jira أو منصات تذاكر مماثلة.

س: هل هذه الأداة للسكك الحديدية فقط؟ هل يمكنني استخدامها على شبكات OT عامة؟
ج: فحوصات بروتوكولات Modbus وDNP3 وEtherNet/IP وIEC تنطبق على نطاق واسع على أي بيئة OT/ICS. أما فحصا RailSafe وCVE-2025-1727 فهما خاصان بالسكك الحديدية.

س: هل الأداة مجانية للاستخدام التجاري؟
ج: نعم — رخصة MIT. يمكنك استخدامها وتعديلها وإعادة توزيعها في سياقات تجارية مع الإشارة إلى المصدر.

لمن هذا المشروع؟

• مهندسو أمن OT في السكك الحديدية الذين يحتاجون إلى لقطات سريعة للتعرض قبل عمليات التدقيق أو مهام الفريق الأحمر
• فرق تقنية المعلومات/OT في هيئات النقل العام التي تستجيب لتحذيرات CISA بميزانيات أدوات محدودة
• مختبرو الاختراق ICS/SCADA الذين يجرون استطلاعًا أوليًا على بيئات السكك الحديدية
• مستجيبو الحوادث الذين يفرزون اختراقًا مشتبهًا به عبر شبكات فرعية للتحكم في القطارات
• المدافعون عن البنى التحتية الحيوية الذين يبنون جرد أصول OT قابلًا للدفاع

إشعار السلامة والقانون

• استخدمها فقط على الشبكات والأصول التي تملكها أو المصرّح لك بتقييمها صراحةً.
• هذا المشروع مخصص حصريًا لاكتشاف التعرض الدفاعي.
• تتطلب النتائج التحقق عبر مسارات عمل هندسية وأمنية معتمدة قبل أي تغيير تشغيلي.
• لا يتحمل المؤلفون أي مسؤولية عن إساءة الاستخدام.

⭐ ادعم هذا المشروع

إذا ساعدك Rail-OT-Protector في العثور على تعرض حقيقي، ففكر في:

• ⭐ إضافة نجمة لهذا المستودع — يساعد ذلك الآخرين في مجتمع أمن السكك الحديدية على العثور عليه
• 🐛 فتح تقرير مشكلة (issue) إذا وجدت خطأً برمجيًا أو أردت إضافة كشف جديد
• 🤝 المساهمة — راجع CONTRIBUTING.md
• 💬 المشاركة مع زملائك في أمن OT أو فريق SOC أو جهات اتصال هيئة النقل العام

أُنشئ بواسطة @spinfosecurity — نتعلم من خلال بناء أدوات مجانية تكتشف البنى التحتية الحيوية وتحميها.

المراجع

• تنبيه CISA AA26-097A — جهات مرتبطة بإيران تستهدف أجهزة PLC
• بيان FBI العام 2026-08-01 — استغلال VNC
• ملاحظات الاستخبارات التهديدية
• سياسة الأمان
• دليل المساهمة
• رخصة MIT