InfraGuard

متعقِّب البنية التحتية للفريق الأحمر ومعيد توجيه C2 -- بديل حديث لـ RedWarden.

يجلس InfraGuard بين الإنترنت وخادم فريق C2 الخاص بك، ويتحقق من كل طلب وارد مقابل ملف تعريف C2 القابل للتشكيل، ويحظر أي شيء لا يتوافق. يتم إعادة توجيه الماسحات والروبوتات واستطلاعات الفريق الأزرق إلى موقع شرك، بينما يمر حركة منارة الشرعية إلى خادم فريقك.

البنية المعمارية

الميزات

• الوكالة متعددة النطاقات -- قم بتوكيل نطاقات متعددة في وقت واحد، كل منها بملفات تعريف C2 مستقلة، وخوادم علوية، وقواعد
• التحقق من صحة ملف تعريف C2 -- تحليل وتطبيق ملفات تعريف C2 لـ Cobalt Strike وMythic وBrute Ratel C4 وSliver وHavoc وNighthawk وPoshC2 كقواعد للمعيد
• مستمعات متعددة البروتوكولات -- مستمعات HTTP/HTTPS وDNS وMQTT وWebSocket تعمل في وقت واحد مع ذكاء IP مشترك وتتبع الأحداث
• خط أنابيب التصفية القائم على التسجيل -- 10 مرشحات (JA3، IP، بوت، رأس، DNS، جغرافي، ملف تعريف، إعادة تشغيل، تعداد، صندوق رمل) كل منها يساهم بدرجة 0.0-1.0؛ عتبة قابلة للتكوين تحدد المنع/السماح
• تصفية بصمة TLS JA3 -- منع Masscan وZGrab2 وShodan وcurl وPython requests وNmap على طبقة مصافحة TLS قبل تبادل أي بيانات HTTP؛ يعمل عبر رأس الوكيل العكسي (nginx ssl_fingerprint، HAProxy JA3 الأصلي) أو بروتوكول asyncio مخصص؛ وضع القائمة البيضاء الاختياري يفرض بصمة JA3 للمنارة
• كشف صندوق الرمل / المتصفح بدون رأس -- نموذج تراكم الدرجات عبر إشارات HTTP: وكيل المستخدم HeadlessChrome، غياب Accept-Language، Chrome بدون sec-ch-ua، وكلاء مستخدم ماسح Safe Links / msnbot، ترتيب Accept غير المتصفح؛ يمنع Microsoft Safe Links وCuckoo وANY.RUN وماسحات URL الخاصة بـ VirusTotal
• كشف تعداد المسار -- تتبع URI فريد لكل IP في نافذة منزلقة؛ يمنع بقوة dirbuster/ffuf/gobuster قبل أن يقوموا بتعيين مساحة URI؛ عتبات قابلة للتكوين للمنع والاشتباه
• كشف تعداد النطاق الفرعي DNS -- يتتبع استجابات NXDOMAIN لكل IP عميل؛ يضيف IP المصدر فورًا إلى قائمة المنع عند تجاوز العتبة؛ يمنع Amass وsubfinder وdnsrecon على مستمع DNS
• مكافحة البوت / مكافحة الزحف -- أكثر من 40 نمطًا معروفًا لوكيل المستخدم للماسح/البوت، كشف الشذوذ في الرأس
• ذكاء IP -- قوائم منع CIDR مدمجة لـ 19 نطاقًا للبائعين الأمنيين (Shodan وCensys وRapid7، إلخ)، تصفية GeoIP، مطابقة الكلمات الرئيسية لـ rDNS العكسي
• خلاصات استخبارات التهديدات -- تحديث تلقائي لقوائم المنع من مصادر عامة (abuse.ch وEmerging Threats وSpamhaus DROP وBinary Defense) مع فاصل زمني قابل للتكوين لتحديث التخبين
• استيراد القواعد -- استيراد قوائم منع IP وأنماط وكيل المستخدم من ملفات .htaccess وrobots.txt الموجودة
• منع IP الديناميكي -- منع IPs خارج النطاقات المسموح بها؛ السماح التلقائي لـ IPs بعد N من طلبات C2 الصالحة
• إثراء القائمة البيضاء -- يتم إثراء CIDRs المسموح بها تلقائيًا بـ ASN والمنظمة والدولة والقارة عند بدء التشغيل عبر قواعد بيانات GeoIP
• كشف الاحتراق -- مراقبة سجل الشهادة الشفافة (استقصاء crt.sh)، مراقبة ذاتية لسمعة النطاق (URLhaus وOpenPhish وGoogle Safe Browsing)، وكشف المحلل عبر النطاقات (IP واحد يصل إلى نطاقات مشغل متعددة)؛ جميعها ترسل تنبيهات الاحتراق عبر إضافات webhook الموجودة
• مسارات توصيل المحتوى -- تقديم الحمولات والمواقع الشركية والملفات الثابتة في مسارات محددة عبر PwnDrop أو مخزن ملفات Mythic أو نظام الملفات المحلي أو الوكلاء الخلفيين HTTP؛ توصيل مشروط اختياري (محتوى حقيقي للأهداف، شرك للماسحات)
• مرحلة ملف Mythic -- الخلفية mythic_file توكيل /direct/download/{uuid} من Mythic بعناوين URL نظيفة؛ UUID ثابت (تسمية بديلة للرابط) أو وضع وكيل (UUID من المسار)؛ التحكم في الوصول مقدم بالكامل من خلال مكدس تصفية InfraGuard
• رموز الحمولة لمرة واحدة -- يتم إصدار الرموز تلقائيًا عند السماح لمنارة بشكل ديناميكي؛ تطبيق ذري لاستخدام واحد في SQLite يمنع إعادة تشغيل URL من قبل المحللين أو الصناديق الرملية؛ TTL قابل للتكوين وحد أقصى للاستخدام
• تحديد معدل لكل مسار -- محدد معدل تحميل لكل IP بنافذة منزلقة على مسارات المحتوى؛ تجاوز الحد يؤدي إلى تقديم شرك الماسح التكويني أو 429
• حراس التوصيل -- ربط المفتاح البيئي لمسارات المحتوى: يتطلب IP المنارة (قائمة بيضاء ديناميكية)، قائمة بيضاء لـ UA (تعبير عادي)، قيم رأس مطلوبة (رؤوس خاصة بالزرع)، رؤوس محظورة (Via وX-Forwarded-For وCF-Worker)؛ الفشل في الفحوصات يؤدي إلى إجراء إسقاط النطاق، وليس 403 خام
• رموز حملات التصيد -- حجز صفحات التصيد خلف رموز لكل حملة مضمنة في روابط البريد الإلكتروني؛ قائمة رموز ثابتة أو رموز ذاتية التحقق بتوقيع HMAC مع TTL قابل للتكوين؛ المحللون الذين يجدون الرابط عبر سجلات CT أو خلاصات التهديد لا يمكنهم تحميل الصفحة
• حماية إعادة التشغيل -- رفض الطلبات المكررة بواسطة تجزئة المحتوى؛ يتم حفظ التجزئات في SQLite بحيث تبقى الحماية بعد إعادة التشغيل
• إجراءات الإسقاط -- إعادة توجيه، إعادة تعيين TCP، وكيل إلى موقع شرك، أو tarpit (استجابة بطيئة التقطير لإضاعة وقت الماسح)
• لوحة تحكم الويب -- SPA في الوقت الفعلي مع صفحة تسجيل دخول، خلاصة طلبات حية، إحصائيات النطاق، أعلى IPs محظورة، تدفق أحداث WebSocket موثَّق، وإجراءات منع/سماح/إلغاء منع مضمنة
• مركز القيادة -- لوحة تحكم تجميع متعددة المثيلات تدمج الإحصائيات والطلبات والأحداث الحية من عقد InfraGuard متعددة في عرض واحد
• واجهة المستخدم الطرفية -- TUI قائم على Textual مع شاشة تسجيل دخول، استقصاء API حي، سجل طلبات ملون
• تكامل SIEM -- إضافات مدمجة لـ Elasticsearch وWazuh وSyslog (CEF/JSON) مع إعادة توجيه مجمعة
• تنبيهات Webhook -- إضافات مدمجة لـ Discord (تضمينات)، Slack (Block Kit)، وwebhook عام (Rocket.Chat وMattermost وTeams)؛ تنبيهات كشف الاحتراق ترسل عبر نفس نظام الإضافات
• نظام الإضافات -- بنية تعتمد على الأحداث مع خطافات on_event، تكوين لكل إضافة، تصفية الأحداث (محظور فقط، الحد الأدنى للدرجة، تضمين/استبعاد النطاق)
• توليد تكوين الخلفية -- توليد إعدادات Nginx أو Caddy أو Apache مع تخصيص كامل للمشغل (TLS، تصفية IP، فحوصات الرأس، الأسماء المستعارة، الرؤوس المخصصة)
• الوكلاء الطرفيون -- عامل Cloudflare Worker خفيف الوزن وAWS Lambda للواجهة الأمامية للنطاق عبر بنية CDN، منع البلدان الطرفية، وإعادة كتابة المضيف
• نشر Docker -- Dockerfile + docker-compose مع Let's Encrypt اختياري، مُنزّل GeoIP، وخادم حمولة PwnDrop
• دعم GeoIP -- جميع قواعد بيانات GeoLite2 الثلاث (City وASN وCountry) مع تحميل تلقائي عبر Docker؛ CIDRs مسموح بها تُثرى تلقائيًا عند بدء التشغيل
• احتياطي TLS ذاتي التوقيع -- إنشاء شهادات تلقائيًا عندما لا توجد المسارات المكونة
• دعم متغيرات البيئة -- تحميل تلقائي لملف .env؛ بناء الجملة ${VAR} يعمل في جميع قيم ومفاتيح التكوين
• نقطة صحية قابلة للتكوين -- تغيير مسار فحص الصحة لتجنب البصمة
• التسجيل المنظم -- سجلات منسقة بتنسيق JSON عبر structlog
• التتبع والثبات -- SQLite مع وضع WAL لتسجيل الطلبات والإحصائيات وسجل العقد وتجزئات إعادة التشغيل ورموز الحمولة

دليل التثبيت

اطلع على صفحة الويكي للتثبيت

مرجع سطر الأوامر

infraguard --version                                عرض الإصدار
infraguard --help                                   عرض المساعدة

infraguard run -c config.yaml                       بدء الوكيل العكسي
infraguard run -c config.yaml --port 8443           تجاوز منفذ الاستماع
infraguard run -c config.yaml --host 0.0.0.0        تجاوز عنوان الربط

infraguard dashboard -c config.yaml                 بدء لوحة تحكم الويب
infraguard dashboard -c config.yaml --port 9090     تجاوز منفذ لوحة التحكم

infraguard tui                                      تشغيل TUI مع شاشة تسجيل الدخول
infraguard tui --url http://host:8080 --token TOK   اتصال تلقائي بلوحة التحكم
infraguard tui -c config.yaml                       قراءة الرابط/الرمز من التكوين

infraguard command-post -c command-post.yaml         بدء لوحة تحكم متعددة المثيلات
infraguard command-post --instance name:url:token    إضافة مثيل عبر CLI (قابل للتكرار)

infraguard profile parse <file>                     تحليل وعرض ملف تعريف C2
infraguard profile parse <file> --format json        الإخراج بصيغة JSON
infraguard profile parse <file> --type brute_ratel   فرض نوع ملف التعريف
infraguard profile convert <file> -o out.json        تحويل ملف التعريف إلى JSON

# القيم المدعومة لـ --type: auto, cobalt_strike, mythic, brute_ratel, sliver, havoc, nighthawk, poshc2
# الاكتشاف التلقائي: .profile = CS, .toml = Havoc, .yaml = PoshC2, .json = اكتشاف تلقائي حسب المفاتيح

infraguard ingest <files...>                         استيراد قواعد .htaccess/robots.txt
infraguard ingest <files...> --format blocklist      الإخراج كقائمة منع IP
infraguard ingest <files...> --format json           الإخراج بصيغة JSON
infraguard ingest <files...> -o banned_ips.txt       كتابة قائمة المنع إلى ملف

infraguard generate nginx -c config.yaml             توليد إعدادات Nginx
infraguard generate caddy -c config.yaml             توليد Caddyfile
infraguard generate apache -c config.yaml            توليد VirtualHost لـ Apache

infraguard init -o config.yaml                       توليد إعدادات بدء التشغيل
infraguard validate -c config.yaml                   التحقق من صحة ملف التكوين

خيارات المولد

يقبل أمر generate علامات إضافية لتخصيص المشغل:

مركز القيادة (لوحة تحكم متعددة المثيلات)

عند تشغيل عدة مثيلات InfraGuard عبر VPSes مختلفة أو موفري سحابة، يقوم مركز القيادة بتجميع الإحصائيات والطلبات والأحداث الحية من جميع العقد في لوحة تحكم واحدة.

┌─────────────────────────────┐
│    لوحة تحكم القيادة       │
│    http://localhost:9090    │
└──────────┬──────────────────┘
           │ جلب متوازي
     ┌─────┼──────┬──────────┐
     ▼     ▼      ▼          ▼
   IG-1   IG-2   IG-3   ... IG-N

بدء سريع

# عبر ملف التكوين
infraguard command-post -c config/command-post.yaml

# عبر وسائط CLI
infraguard command-post \
  --instance "prod:https://ig1.example.com:8080:TOKEN1" \
  --instance "staging:https://ig2.example.com:8080:TOKEN2" \
  --port 9090

# عبر Docker
docker compose --profile command-post up -d command-post

التكوين

أنشئ config/command-post.yaml:

instances:
  - name: "prod-cs"
    url: "https://ig1.example.com:8080"
    token: "${IG_PROD_TOKEN}"
  - name: "prod-mythic"
    url: "https://ig2.example.com:8080"
    token: "${IG_MYTHIC_TOKEN}"
  - name: "staging"
    url: "https://ig3.example.com:8080"
    token: "${IG_STAGING_TOKEN}"

port: 9090
# auth_token: "${COMMAND_POST_TOKEN}"

ما يعرضه

• إحصائيات مدمجة -- إجمالي الطلبات، المسموح، المحظور مجمعة عبر جميع المثيلات
• شريط صحة المثيل -- حالة خضراء/حمراء لكل عقدة متصلة
• سجل الطلبات المتداخلة -- طلبات من جميع المثيلات مرتبة حسب الطابع الزمني، كل منها موسوم باسم مثيله
• أعلى IPs محظورة مدمجة -- مجمعة عبر جميع المثيلات
• إحصائيات لكل نطاق -- نطاقات من جميع المثيلات مع معدلات منع معاد حسابها
• خلاصة الأحداث الحية -- أحداث WebSocket متعددة الإرسال من جميع العقد
• إجراءات المنع/السماح -- توزيع على جميع المثيلات أو مثيل محدد

نقاط نهاية API

نشر Docker

بدء سريع

cp .env.example .env
# عدِّل .env باسم النطاق وخادم الفريق والرمز
docker compose up -d

يبدأ هذا خدمتين:

• proxy -- المعيد على المنفذين 443 و80
• dashboard -- واجهة الويب على المنفذ 8080

مع Let's Encrypt

# عيّن في .env:
#   INFRAGUARD_LETSENCRYPT=true
#   INFRAGUARD_DOMAIN=cdn.example.com
#   [email protected]

# احصل على الشهادة الأولية
docker compose --profile letsencrypt up certbot

# ابدأ الوكيل (سيستخدم شهادة LE)
docker compose up -d proxy dashboard

# ابدأ التجديد التلقائي (يفحص كل 12 ساعة)
docker compose --profile letsencrypt up -d certbot-renew

متطلبات Let's Encrypt:

• يجب أن يكون المنفذ 80 قابلاً للوصول من الإنترنت
• يجب أن يحل INFRAGUARD_DOMAIN إلى IP العام لهذا المضيف
• يجب أن يكون INFRAGUARD_DOMAIN_EMAIL عنوان بريد إلكتروني صالحًا

مع قواعد بيانات GeoIP

# تحميل قواعد بيانات GeoLite2 الثلاث (City، ASN، Country)
docker compose --profile geoip up geoip-update

# ثم ابدأ بشكل عادي - يتم تثبيت قواعد البيانات في /app/geoip/
docker compose up -d proxy dashboard

مع PwnDrop (توصيل الحمولة)

# ابدأ PwnDrop بجانب الوكيل
docker compose --profile pwndrop up -d pwndrop

# الوصول إلى واجهة إدارة PwnDrop على https://localhost:8443
# يصل InfraGuard إليه داخليًا على http://pwndrop:80

ثم قم بتكوين مسارات المحتوى في إعداداتك لتوكيل مسارات الحمولة إلى PwnDrop:

domains:
  cdn.example.com:
    content_routes:
      - path: "/downloads/*"
        backend:
          type: "pwndrop"
          target: "http://pwndrop:80"
          auth_token: "${PWNDROP_TOKEN}"

القياس

# تشغيل عدة عقد معيد
docker compose up -d --scale proxy-node=3

قم بإلغاء تعليق خدمة proxy-node في docker-compose.yml لتمكينه.

وحدات التخزين

البنية المعمارية

infraguard/
    __init__.py              Package init
    __main__.py              python -m infraguard entry
    main.py                  Click CLI
    config/                  YAML config loading, .env support, Pydantic validation
    core/                    ASGI proxy engine (app, proxy, router, TLS, drop actions, content delivery)
    profiles/                C2 profile parsers (Cobalt Strike, Mythic, Brute Ratel, Sliver, Havoc, Nighthawk, PoshC2)
    pipeline/                Request validation filters (JA3, IP, bot, header, DNS, geo, profile, replay, enumeration, sandbox)
    intel/                   IP intelligence (blocklists, GeoIP, rDNS, feeds, rule ingestion)
    tracking/                SQLite persistence (request logging, stats, node registry)
    plugins/                 Plugin system (protocol, loader, builtins)
    ui/
        api/                 REST API + WebSocket (Starlette)
        web/                 SPA dashboard (HTML/JS/CSS)
        tui/                 Terminal UI (Textual) with login screen
        command_post/        Multi-instance aggregation dashboard
    listeners/               Protocol listeners (HTTP, DNS, MQTT, WebSocket)
    backends/                Config generators (Nginx, Caddy, Apache)
    models/                  Shared types and event models

مقارنة مع RedWarden

المساهمات

• Mgeeky - الفكرة الأصلية (RedWarden)
• curi0usJack - قواعد .htaccess
• ملفات التعريف
  • threatexpress - jquery-c2.3.14.profile
  • InfinityCurve - ملف تعريف Havoc
• أطر C2
  • Cobalt Strike - دعم ملف تعريف C2 القابل للتشكيل
  • Mythic - دعم ملف تعريف HTTPX + مرحلة الملف
  • Brute Ratel C4 - دعم ملف تعريف تكوين الخادم
  • Sliver - دعم ملف تعريف HTTP C2
  • Havoc - دعم ملف تعريف TOML
  • Nighthawk - دعم تكوين مستمع JSON
  • PoshC2 - دعم تكوين YAML

إذا كنت ترغب في المساهمة في المشروع، فيرجى إنشاء فرع جديد باسم الإصدار وتحديد نفس اسم الإصدار في طلب السحب. على سبيل المثال: branch=v1.2.3 | [v1.2.3] تمت إضافة عنصر كذا.

الترخيص

رخصة BSD 2-Clause. انظر LICENSE للتفاصيل.

حقوق النشر (c) 2026, Whispergate