أداة تتبّع البنية التحتية للفريق الأحمر وموجّه C2 — بديل عصري لـ RedWarden.

تعمل InfraGuard كوسيط بين الإنترنت وخادم فريقك (C2 teamserver)، حيث تتحقق من كل طلب وارد مقابل ملف تعريف C2 القابل للتشكيل لديك وتحظر أي شيء لا يتوافق معه. يتم توجيه الماسحات الضوئية والروبوتات واستطلاعات الفريق الأزرق إلى موقع خادع بينما يمر حركة مرور الـ beacon المشروعة إلى خادم فريقك.

Architecture

الميزات

البروكسي والمستمعون

• بروكسي متعدد النطاقات — توجيه بروكسي لعدة نطاقات في وقت واحد، لكل منها ملفات تعريف C2 ومنابع علوية وقواعد مستقلة
• مستمعون متعددو البروتوكولات — مستمعو HTTP/HTTPS وDNS وMQTT وWebSocket يعملون في وقت واحد مع استخبارات IP مشتركة وتتبّع أحداث موحّد
• قاطع الدائرة — حماية من فشل كل منبع علوي بحالات closed/open/half-open؛ يتراجع إلى إجراء الإسقاط الخاص بالنطاق عندما تكون الخوادم الخلفية غير قابلة للوصول
• تجاوز البروتوكول — تجاوز تلقائي للفشل والعودة بين بروتوكولات المستمعين مرتبة حسب الأولوية

دعم ملفات تعريف C2

• التحقق من ملف تعريف C2 — تحليل وتطبيق ملفات تعريف Cobalt Strike وMythic وBrute Ratel C4 وSliver وHavoc وNighthawk وPoshC2 كقواعد للموجّه
• ملفات تعريف قابلة للتبديل السريع — تبديل ملف تعريف C2 النشط لنطاق ما أثناء التشغيل من لوحة التحكم دون إعادة تشغيل البروكسي
• معالج توليد ملفات التعريف — توليد ملفات تعريف C2 جديدة من الصفر لجميع الأنواع الثمانية المدعومة عبر نموذج موجّه، أو استيراد ورفع ملفات تعريف موجودة مع اكتشاف تلقائي للنوع والتحقق منه
• توليد ملفات التعريف بمساعدة الذكاء الاصطناعي — تكامل اختياري مع Ollama يوفر لوحة دردشة في لوحة التحكم للمساعدة في إنشاء ملفات التعريف ونصائح OPSEC

خط أنابيب التصفية

• خط أنابيب تصفية قائم على التسجيل — 10 عوامل تصفية يساهم كل منها بدرجة 0.0--1.0؛ وحد أدنى قابل للضبط يحدد الحظر/السماح. عوامل التصفية: JA3 وIP والروبوت والترويسات وDNS والجغرافيا وملف التعريف وإعادة التشغيل وعدّاد المسارات وصندوق الرمل.
• تصفية بصمة TLS JA3 — حظر Masscan وZGrab2 وShodan وcurl وPython requests وNmap في طبقة مصافحة TLS قبل تبادل أي بيانات HTTP؛ يعمل عبر ترويسة بروكسي عكسي أو بروتوكول asyncio مخصص؛ ووضع قائمة سماح اختياري يفرض JA3 الخاص بالـ beacon
• كشف صندوق الرمل والمتصفح بدون واجهة — تراكم الدرجات عبر إشارات HTTP: وكيل مستخدم HeadlessChrome، وغياب Accept-Language، وChrome بدون sec-ch-ua، ووكالات مستخدم Safe Links وmsnbot الماسحة، وترتيب Accept غير الخاص بالمتصفح
• كشف عدّاد المسارات — تتبّع URI فريد لكل IP في نافذة منزلقة؛ يحظر dirbuster/ffuf/gobuster قبل أن يرصدوا فضاء URI
• كشف عدّاد النطاقات الفرعية DNS — تتبّع استجابات NXDOMAIN لكل IP عميل؛ حظر تلقائي لعناوين IP المصدر عند تجاوز الحد
• مكافحة الروبوت / مكافحة الزحف — أكثر من 40 نمطًا معروفًا لوكيل مستخدم الماسحات/الروبوتات، وكشف شذوذ الترويسات
• حماية من إعادة التشغيل — رفض الطلبات المكررة حسب بصمة المحتوى؛ تُحفظ البصمات في SQLite بحيث تبقى الحماية بعد إعادة التشغيل
• إجراءات الإسقاط — إعادة توجيه، أو إعادة تعيين TCP، أو بروكسي إلى موقع خادع، أو tarpit (استجابة تسريب بطيء لإهدار وقت الماسح)

الاستخبارات

• استخبارات IP — قوائم حظر CIDR مدمجة لـ 19 نطاقًا لشركات أمنية (Shodan وCensys وRapid7 وغيرها)، وتصفية GeoIP، ومطابقة كلمات DNS العكسي
• مصادر استخبارات التهديدات — قوائم حظر محدّثة تلقائيًا من مصادر عامة (abuse.ch وEmerging Threats وSpamhaus DROP وBinary Defense) مع فاصل تحديث قابل للتكوين وتخزين مؤقت على القرص
• حظر IP ديناميكي — حظر IP خارج النطاقات المسموح بها؛ إضافة تلقائية للسماح للـ IP بعد عدد N من طلبات C2 الصالحة
• إثراء قائمة السماح — تُثرى نطاقات CIDR المسموح بها تلقائيًا ببيانات ASN والمؤسسة والدولة والقارة عند بدء التشغيل عبر قواعد بيانات GeoIP
• كشف الاحتراق — مراقبة سجلات شهادة الشفافية عبر crt.sh، ومراقبة ذاتية لسمعة النطاق عبر URLhaus/OpenPhish/Google Safe Browsing، وكشف عبر النطاقات للمحللين عندما يصل IP واحد إلى عدة نطاقات للمشغّل
• تسجيل درجة الثقة بالاحتراق — درجة مستمرة 0--100 من 6 إشارات مرجّحة: تنوع JA3، وارتفاع حجم الطلبات، وشبكات ASN جديدة، والتعرض في سجلات CT، وضربات السمعة، ومحاولات المصادقة الفاشلة. تتضمن إجراءات موصى بها: المراقبة، أو التدوير، أو الاحتراق الفوري.
• حقن رموز الكناري — بكسلات تتبّع، وروابط فخ، ونماذج فخ تُحقن تلقائيًا في صفحات الخداع لكشف استطلاع الفريق الأزرق
• مراقبة DNS السلبي — استطلاع CIRCL PDNS للتحليل الخارجي لنطاقاتك؛ يكشف السجلات الجديدة، وارتفاعات NXDOMAIN، والتعرض الأول

توصيل الحمولات

• مسارات توصيل المحتوى — تقديم الحمولات والخدع والملفات الثابتة في مسارات محددة عبر PwnDrop أو مخزن ملفات Mythic أو نظام الملفات المحلي أو بروكسي HTTP خلفي؛ توصيل شرطي اختياري لتقديم محتوى حقيقي للأهداف وخدع للماسحات
• مراحل ملفات Mythic — خلفية mythic_file تعمل كبروكسي لمسار Mythic /direct/download/{uuid} عبر عناوين URL نظيفة؛ وضع UUID ثابت أو وضع بروكسي؛ التحكم بالوصول عبر مجموعة تصفية InfraGuard
• رموز حمولة لمرة واحدة — تُصدر الرموز تلقائيًا عندما يحصل beacon على سماح ديناميكي؛ إنفاذ ذري للاستخدام لمرة واحدة عبر SQLite يمنع إعادة استخدام URL من قبل المحللين أو صناديق الرمل؛ TTL قابل للتكوين وحد أقصى للاستخدام
• تحديد معدل لكل مسار — محدِّد معدل تنزيل لكل IP بنافذة منزلقة على مسارات المحتوى؛ تجاوز الحد يقدّم خداع الماسح المضبوط أو رمز 429
• حراس التوصيل — ربط مفتاح البيئة لمسارات المحتوى: يتطلب IP الـ beacon، أو قائمة سماح لوكيل المستخدم، أو قيم ترويسة مطلوبة، أو ترويسات محظورة؛ فشل الفحوص يقدّم إجراء إسقاط النطاق، وليس 403 خام
• رموز حملات التصيد — حجز صفحات التصيد خلف رموز خاصة بالحملة مضمّنة في روابط البريد؛ قائمة رموز ثابتة أو رموز موقّعة HMAC ذاتية التحقق مع TTL قابل للتكوين

المرونة

• تدوير البنية التحتية — تدوير Terraform بنمط blue-green بنقرة واحدة عبر 5 موفري سحابة مع فحوصات مسبقة وتراجع وحالة مشفّرة بـ age
• جدولة التدوير — سياسات تدوير آلية: فاصل ثابت، ومحفّز بالاحتراق، وعتبة عدد الطلبات، وتدوير متدرج متتابع
• تقديم النطاق (Domain fronting) — توجيه C2 عبر CDN عبر تقسيم SNI/رأس Host مع إزالة ترؤوس CDN وحماية SSRF
• مفتاح الرجل الميت — TTL لنبضة المشغّل يوقف تلقائيًا إعادة توجيه C2 إذا فشل المشغّل في تسجيل الوصول
• بروكسيات الحافة — Cloudflare Worker وAWS Lambda لتقديم النطاق عبر بنية CDN، وحظر البلدان عند الحافة، وإعادة كتابة المضيف

لوحة التحكم وأدوات المشغّل

• لوحة ويب — SPA في الوقت الفعلي مع صفحة تسجيل دخول وتغذية طلبات مباشرة وإحصائيات النطاقات وأعلى IP محظورة وبث أحداث WebSocket وإجراءات حظر/سماح/فك حظر مضمّنة
• إدارة صفحات الخداع — عرض وتحرير صفحات HTML الخادعة مباشرة من لوحة التحكم
• مركز القيادة — لوحة تجميع متعددة الحالات تدمج الإحصائيات والطلبات والأحداث المباشرة من عدة عقد InfraGuard في عرض واحد
• واجهة طرفية — TUI مبنية على Textual مع شاشة تسجيل دخول واستطلاع مباشر لواجهة API وسجل طلبات ملوّن
• تقارير المشاركة — تقارير HTML أو JSON أو CSV ذاتية الاحتواء مع تفصيل لكل نطاق وفعالية التصفية وسجل تدقيق المشغّل
• مقاييس Prometheus — نقطة /metrics تعرض عدّادات الطلبات ورسومًا بيانية لكمون المنابع العلوية وحالة قاطع الدائرة وحداثة المصادر والاتصالات النشطة

التكاملات والإضافات

• تكامل SIEM — إضافات مدمجة لـ Elasticsearch وWazuh وSyslog (CEF/JSON) مع إعادة توجيه مجمّعة
• تنبيهات Webhook — إضافات مدمجة لـ Discord (embeds) وSlack (Block Kit) وwebhook عام؛ تنبيهات كشف الاحتراق تمر عبر نظام الإضافات نفسه
• تكامل Phishing.club — مستقبل webhook موقّع HMAC يستوعب أحداث التصيد ويضيف تلقائيًا IPs الناقر المستهدفة إلى قائمة السماح
• نظام الإضافات — بنية قائمة على الأحداث مع خطافات on_event وإعدادات لكل إضافة وتصفية أحداث

الإعداد والنشر

• تشفير الإعداد — تشفير بـ age (ملف كامل) وSOPS (لكل قيمة) مع دعم ملف .env
• التحقق من الإعداد — أداة diff عبر CLI وأكثر من 20 فحص تحقق أمني وتشغيلي وTLS
• إدارة مفاتيح API — إنشاء وإبطال وتدوير مفاتيح API مع حدود معدل لكل مفتاح وتتبّع استخدام وحصص
• توليد إعداد الخلفية — توليد إعدادات Nginx أو Caddy أو Apache مع TLS وتصفية IP وفحوص ترويسات وأسماء مستعارة وترؤوس مخصصة
• استيعاب القواعد — استيراد قوائم حظر IP وأنماط وكيل المستخدم من ملفات .htaccess وrobots.txt الموجودة
• نشر Docker — Dockerfile + docker-compose مع خيارات Let's Encrypt ومحمّل GeoIP وخادم حمولات PwnDrop ومساعد الذكاء الاصطناعي Ollama
• دعم GeoIP — جميع قواعد بيانات GeoLite2 الثلاث (City وASN وCountry) مع تنزيل تلقائي عبر Docker
• احتياط TLS ذاتي التوقيع — توليد شهادات تلقائيًا عندما لا توجد المسارات المضبوطة
• دعم متغيرات البيئة — تحميل تلقائي لملف .env؛ بناء جملة ${VAR} يعمل في جميع قيم ومفاتيح الإعداد
• نقطة صحية قابلة للتكوين — تغيير مسار فحص الصحة لتجنب التعرّف
• تسجيل منظم — سجلات منظمة بصيغة JSON عبر structlog
• التتبّع والاستمرارية — SQLite مع وضع WAL لتسجيل الطلبات والإحصائيات وسجل العقد وبصمات إعادة التشغيل ورموز الحمولات

دليل التثبيت

اطّلع على صفحة الويكي للتثبيت

مرجع CLI```

infraguard --version Show version infraguard --help Show help

infraguard run -c config.yaml Start the reverse proxy infraguard run -c config.yaml --port 8443 Override listen port infraguard run -c config.yaml --host 0.0.0.0 Override bind address

infraguard dashboard -c config.yaml Start the web dashboard infraguard dashboard -c config.yaml --port 9090 Override dashboard port

infraguard tui Launch TUI with login screen infraguard tui --url http://host:8080 --token TOK Auto-connect to dashboard infraguard tui -c config.yaml Read URL/token from config

infraguard command-post -c command-post.yaml Start multi-instance dashboard infraguard command-post --instance name:url:token Add instance via CLI (repeatable)

infraguard profile parse Parse and display a C2 profile infraguard profile parse --format json Output as JSON infraguard profile parse --type brute_ratel Force profile type infraguard profile convert -o out.json Convert profile to JSON

Supported --type values: auto, cobalt_strike, mythic, brute_ratel, sliver, havoc, nighthawk, poshc2

Auto-detection: .profile = CS, .toml = Havoc, .yaml = PoshC2, .json = auto-detect by keys

infraguard ingest <files...> Ingest .htaccess/robots.txt rules infraguard ingest <files...> --format blocklist Output as IP blocklist infraguard ingest <files...> --format json Output as JSON infraguard ingest <files...> -o banned_ips.txt Write blocklist to file

infraguard generate nginx -c config.yaml Generate Nginx config infraguard generate caddy -c config.yaml Generate Caddyfile infraguard generate apache -c config.yaml Generate Apache VirtualHost

infraguard init -o config.yaml Generate starter config infraguard validate -c config.yaml Validate config file

### خيارات المولّد

يقبل أمر `generate` علامات إضافية لتخصيص المشغّل:

| Flag | Description |
|---|---|
| `--listen-port PORT` | تجاوز منفذ الاستماع (الافتراضي: من الإعدادات) |
| `--ssl-cert PATH` | تجاوز مسار شهادة SSL |
| `--ssl-key PATH` | تجاوز مسار مفتاح SSL |
| `--redirect-url URL` | تجاوز عنوان URL لإعادة التوجيه للطلبات المحجوبة |
| `--default-action redirect\|404` | إجراء للطلبات غير المتطابقة |
| `--no-ip-filter` | حذف قوائم السماح/الرفض لعناوين IP |
| `--no-header-check` | حذف قواعد التحقق من الترويسات |
| `--alias DOMAIN:ALIAS` | إضافة اسم مستعار للخادم (قابل للتكرار) |
| `--header NAME:VALUE` | إضافة ترويسة استجابة مخصصة (قابل للتكرار) |

## مركز القيادة (لوحة تحكم متعددة المثيلات)

عند تشغيل مثيلات متعددة من InfraGuard عبر خوادم VPS مختلفة أو موفري سحابيين، يقوم مركز القيادة بتجميع الإحصائيات والطلبات والأحداث المباشرة من جميع العقد في لوحة تحكم واحدة.```
┌─────────────────────────────┐
│    Command Post Dashboard   │
│    http://localhost:9090    │
└──────────┬──────────────────┘
           │ parallel fetch
     ┌─────┼──────┬──────────┐
     ▼     ▼      ▼          ▼
   IG-1   IG-2   IG-3   ... IG-N

البدء السريع```bash

Via config file

infraguard command-post -c config/command-post.yaml

Via CLI args

infraguard command-post
--instance "prod:https://ig1.example.com:8080:TOKEN1"
--instance "staging:https://ig2.example.com:8080:TOKEN2"
--port 9090

Via Docker

docker compose --profile command-post up -d command-post

### الإعدادات

أنشئ `config/command-post.yaml`:```yaml
instances:
  - name: "prod-cs"
    url: "https://ig1.example.com:8080"
    token: "${IG_PROD_TOKEN}"
  - name: "prod-mythic"
    url: "https://ig2.example.com:8080"
    token: "${IG_MYTHIC_TOKEN}"
  - name: "staging"
    url: "https://ig3.example.com:8080"
    token: "${IG_STAGING_TOKEN}"

port: 9090
# auth_token: "${COMMAND_POST_TOKEN}"

ما يعرضه

• إحصائيات مدمجة -- إجمالي الطلبات، المسموح بها، والمحظورة مجمعة عبر جميع النسخ
• شريط صحة النسخ -- حالة أخضر/أحمر لكل عقدة متصلة
• سجل طلبات متداخل -- طلبات من جميع النسخ مرتبة حسب الطابع الزمني، كل طلب موسوم باسم نسخته
• أعلى عناوين IP محظورة مدمجة -- مجمعة عبر جميع النسخ
• إحصائيات لكل نطاق -- النطاقات من جميع النسخ مع معدلات حظر معاد حسابها
• تغذية الأحداث المباشرة -- أحداث WebSocket متعددة الإرسال من جميع العقد
• إجراءات الحظر/القائمة البيضاء -- توزيع إلى جميع النسخ أو نسخة محددة

نقاط نهاية API

النشر عبر Docker

بدء سريع```bash

cp .env.example .env

Edit .env with your domain, teamserver, and token

docker compose up -d

يقوم هذا بتشغيل خدمتين:
- **proxy** -- مُعيد التوجيه على المنفذين 443 و80
- **dashboard** -- واجهة الويب على المنفذ 8080

### مع Let's Encrypt```bash
# Set in .env:
#   INFRAGUARD_LETSENCRYPT=true
#   INFRAGUARD_DOMAIN=cdn.example.com
#   [email protected]

# Obtain the initial certificate
docker compose --profile letsencrypt up certbot

# Start the proxy (will use the LE cert)
docker compose up -d proxy dashboard

# Start auto-renewal (checks every 12 hours)
docker compose --profile letsencrypt up -d certbot-renew

متطلبات Let's Encrypt:

• يجب أن يكون المنفذ 80 قابلاً للوصول من الإنترنت
• يجب أن يُحل INFRAGUARD_DOMAIN إلى عنوان IP العام لهذا المضيف
• يجب أن يكون INFRAGUARD_DOMAIN_EMAIL عنوان بريد إلكتروني صالحًا

مع قواعد بيانات GeoIP```bash

Download all three GeoLite2 databases (City, ASN, Country)

docker compose --profile geoip up geoip-update

Then start normally - databases are mounted at /app/geoip/

docker compose up -d proxy dashboard

### مع PwnDrop (تسليم الحمولة)```bash
# Start PwnDrop alongside the proxy
docker compose --profile pwndrop up -d pwndrop

# Access PwnDrop admin UI at https://localhost:8443
# InfraGuard reaches it internally at http://pwndrop:80

ثم قم بتكوين مسارات المحتوى في إعداداتك لتوجيه مسارات الحمولة إلى PwnDrop:```yaml domains: cdn.example.com: content_routes: - path: "/downloads/*" backend: type: "pwndrop" target: "http://pwndrop:80" auth_token: "${PWNDROP_TOKEN}"

### مع Ollama (توليد الملفات الشخصية بمساعدة الذكاء الاصطناعي)```bash
# Start the Ollama service
docker compose --profile ollama up -d ollama

# Pull the default model (~5 GB)
docker compose --profile ollama exec ollama ollama pull qwen3:8b

# The dashboard's AI chat panel will connect automatically

متغير البيئة الخاص بلوحة المعلومات INFRAGUARD_OLLAMA_URL مُهيأ مسبقًا في ملف docker-compose.yml. عند تشغيل Ollama، يظهر مفتاح المساعد الذكي في صفحة الأشراك والملفات الشخصية بلوحة المعلومات.

التوسّع```bash

Run multiple redirector nodes

docker compose up -d --scale proxy-node=3

أزل التعليق عن خدمة `proxy-node` في `docker-compose.yml` لتفعيلها.

### وحدات التخزين

| Volume | الغرض |
|---|---|
| `./config` | ملفات الإعدادات (مثبّتة للقراءة فقط) |
| `./examples` | ملفات تعريف C2 (مثبّتة للقراءة فقط) |
| `./rules` | قوائم الحظر المستوردة وملفات مصادر القواعد (مثبّتة للقراءة فقط) |
| `./data` | قاعدة بيانات SQLite وملفات التعريف المُنشأة (مستمرة) |
| `certs` | شهادات TLS (مشتركة بين الوكيل وcertbot) |
| `geoip` | قواعد بيانات GeoLite2 (تُملأ بواسطة خدمة `geoip-update`) |
| `pwndrop-data` | ملفات PwnDrop المرفوعة وقاعدة البيانات |
| `ollama-data` | أوزان نموذج Ollama والإعدادات |

## البنية```
infraguard/
    __init__.py              Package init
    __main__.py              python -m infraguard entry
    main.py                  Click CLI
    config/                  YAML config loading, .env support, Pydantic validation
    core/                    ASGI proxy engine (app, proxy, router, TLS, drop actions, content delivery)
    profiles/                C2 profile parsers and generators (8 types)
    pipeline/                Request validation filters (JA3, IP, bot, header, DNS, geo, profile, replay, enumeration, sandbox)
    intel/                   IP intelligence (blocklists, GeoIP, rDNS, feeds, rule ingestion)
    tracking/                SQLite persistence (request logging, stats, node registry)
    plugins/                 Plugin system (protocol, loader, builtins)
    ui/
        api/                 REST API + WebSocket (Starlette)
        web/                 SPA dashboard (HTML/JS/CSS)
        tui/                 Terminal UI (Textual) with login screen
        command_post/        Multi-instance aggregation dashboard
    listeners/               Protocol listeners (HTTP, DNS, MQTT, WebSocket)
    backends/                Config generators (Nginx, Caddy, Apache)
    models/                  Shared types and event models

المقارنة مع RedWarden

المساهمات

• Mgeeky - الفكرة الأصلية (RedWarden)
• curi0usJack - قواعد .htaccess
• البروفايلات
  • threatexpress - jquery-c2.3.14.profile
  • InfinityCurve - بروفايل Havoc
• أطر عمل C2
  • Cobalt Strike - دعم بروفايل Malleable C2
  • Mythic - دعم بروفايل HTTPX + تجهيز الملفات
  • Brute Ratel C4 - دعم بروفايل إعدادات الخادم
  • Sliver - دعم بروفايل HTTP C2
  • Havoc - دعم بروفايل TOML
  • Nighthawk - دعم إعدادات مستمع JSON
  • PoshC2 - دعم إعدادات YAML

إذا كنت ترغب في المساهمة في المشروع، فالرجاء إنشاء فرع جديد باسم الإصدار وتحديد نفس اسم الإصدار في طلب السحب. مثال: branch=v1.2.3 | [v1.2.3] أضفت عنصر كذا.

الترخيص

BSD 2-Clause License. انظر LICENSE للتفاصيل.

حقوق النشر (c) 2026, Whispergate