LogicSentry AI

LogicSentry AI هو محرك فرز أمني تطبيقي حتمي يعمل دون اتصال بالإنترنت، مصمم للعمل بالكامل داخل بيئة التشغيل المحلية لديك. يجمع بين اختبار أمان التطبيقات الساكن (SAST) واختبار أمان التطبيقات الديناميكي (DAST) لعزل ثغرات منطق الأعمال الحرجة، وتحديد عيوب الصلاحيات الخفية، وكبت الإيجابيات الكاذبة الاستكشافية دون الاعتماد على الإنترنت.

---

🚀 الميزات الرئيسية

• تحليل SAST و DAST المدمج: يربط مسارات الشيفرة المصدرية مباشرةً (Python، JavaScript/TypeScript، PHP، Java/Spring Boot) ويستخدمها لتعزيز الاختبار الديناميكي للصندوق الأسود بذكاء.
• فرز ذكاء اصطناعي يعمل دون اتصال أولاً: يستخدم خط أنابيب LLM محلي فائق الخفة (Qwen2.5-0.5B-Instruct) لتقييم النتائج وتصفية الإيجابيات الكاذبة المزعجة بالكامل على جهازك المحلي.
• تشويش منطق الأعمال: يستهدف تلقائياً المعاملات المرتبطة بمؤشرات التسعير الأساسية والكميات والخصومات وطبقات التفويض (price، quantity، amount، role، إلخ).
• فحوصات الإعادة والتزامن المتقدمة:
  • التحقق من BOLA: يقارن تدفقات السياق متعددة الهويات (المستخدم أ مقابل المستخدم ب).
  • حالات التسابق: يطلق طلبات متزامنة متواقتة لاختبار سلامة المعاملات.
  • مكافحة الإعادة التسلسلية: يتحقق من تخطي الخطوات وخاصية idempotency.

---

📦 المتطلبات الأساسية

يتطلب LogicSentry AI Python 3.11 أو أحدث.

قم بتثبيت أغلفة الإطار المطلوبة عبر pip:

python -m pip install pydantic>=2,<3 aiohttp>=3.9,<4 rich>=13

إعدادات اختيارية

• فرز ذكاء اصطناعي دون اتصال: قم بتثبيت transformers و torch و accelerate لتمكين تقييم النموذج المحلي. (إذا كانت الأوزان مفقودة، يفشل الأداة بأمان ويحتفظ بالخيوط الاستكشافية).
• تتبع URL الآلي: قم بتثبيت playwright لتمكين تفاعل المتصفح بدون واجهة لالتقاط حركة المرور في الوقت الفعلي.

---

💻 أمثلة استخدام CLI

1. التقاط URL الآلي وفحص DAST النشط

قدم نطاقاً مستهدفاً، والتقط طلبات same-origin القياسية، ونفذ الطفرات النشطة:

python LogicSentryAI.py --auto-capture-url "https://test-environment.local" --confirm-active

2. الجمع بين المصدر الساكن و HAR اليدوي (فحص الصندوق الرمادي)

اجمع هياكل الشيفرة في ملف ZIP وقدم ملف حركة مرور HTTP موثق (.har) لتشغيل تحليل تفاضلي مستهدف دقيق:

python LogicSentryAI.py \
  --src ./source-code-bundle.zip \
  --har ./traffic-capture.har \
  --target "api.internal.local" \
  --confirm-active \
  --output report.md

3. اختبار BOLA وعيوب الهوية

مرر سياق حركة مرور المستخدم أ مع توقيعات مصادقة المستخدم ب لفحص تجاوزات التفويض:

python LogicSentryAI.py \
  --har ./traffic-capture.har \
  --target "api.internal.local" \
  --confirm-active \
  --secondary-header "Authorization: Bearer <User_B_Token>"

4. تشغيل اختبارات التزامن والتسابق المعاملاتي

تحقق من طفرات الرصيد أو قيود التكرار عن طريق إرسال طلبات مصغرة متزامنة متعددة:

python LogicSentryAI.py --har ./traffic-capture.har --target "api.internal.local" --confirm-active --test-race --race-count 15

---

🛠 نظرة عامة على معاملات سطر الأوامر

العلم	النوع	الوصف
--src	Path	ملف ZIP المستهدف الذي يحتوي على ملفات مصدر التطبيق للمراجعة الساكنة.
--har	Path	ملف HTTP Archive مُصدَّر يوفر خطوط أساس المعاملات.
--auto-capture-url	URL	ينشئ خطوط أنابيب زحف وقت التشغيل الآلية لجمع خرائط حركة المرور ديناميكياً.
--target	String	نمط Regex أو جزء اسم مضيف يعزل طلبات HAR المطابقة.
--header	Name:Value	يستبدل أو يدفع مفاتيح المصادقة المحددة إلى استعلامات خط أساس المستخدم أ.
--test-race	Flag	يطلق وابل اتصالات متزامنة ضد نقاط نهاية سير العمل المستهدفة.
--output	Path	مسار حفظ النتائج (md.، json.، html.، sarif.).
--fail-on	Choice	يوقف تنفيذ الباني إذا استوفت الخطورة الحدود المستهدفة (High، Critical، إلخ).

---

🛡 تكامل CI/CD (GitHub Actions)

أنشئ مخطط تنسيق GitHub Actions مُهيأ مسبقاً تلقائياً:

python LogicSentryAI.py --generate-pipeline

يقوم هذا تلقائياً بتحديث مساحة العمل المحلية لديك بـ .github/workflows/logicsentry-ai-scan.yml، مما يتيح لك توصيل فحوصات التحقق الآلي من منطق الأعمال مباشرةً في خط تطويرك.

---

⚖ إخلاء المسؤولية

هذه الأداة مخصصة حصرياً لاختبار الأمان المصرح به على الأنظمة التي تملكها أو لديك إذن قانوني صريح لتدقيقها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام أو انقطاع الخدمة أو الأضرار الناجمة عن هذا البرنامج.