Nimbus Vestige (NV)

محرك إعادة بناء جنائي للاستجابة لحوادث السحابة والهوية.

بالنظر إلى بيانات القياس عن بُعد المجزأة للسحابة وSaaS والهوية — سجلات مستوى التحكم، وأحداث تسجيل الدخول، ونشاط الرموز المميزة والموافقة — يعيد NV بناء الطريقة التي تحرّك بها التسلل على الأرجح عبر الحسابات والخدمات، ويعدّد المسارات الأخرى الأكثر احتمالاً التي كان يمكن أن يسلكها، ويبلّغ عن كل خطوة بثقة معايَرة وقابلة للتفسير. ويرفض الجزم بما لا تدعمه الأدلة.

يكشف الكشف أن شيئًا ما حدث. أما Nimbus Vestige فيخبرك كيف حدث — وماذا أيضًا.

---

لماذا يوجد هذا

التسللات الحديثة لا "تقتحم". إنها تسجّل الدخول. أصبحت الهوية الآن ناقل الهجوم الأساسي، وهي متورطة في الغالبية العظمى من تحقيقات الاستجابة للحوادث السحابية، ومعظم التسللات تمتد عبر أسطح متعددة — الهوية إضافة إلى السحابة إضافة إلى SaaS إضافة إلى نقاط النهاية. وبيانات القياس عن بُعد التي تسجّلها مجزأة وغير متسقة، مما يُجبر المستجيبين بالفعل على إعادة بناء القصة يدويًا من بيانات ناقصة.

هذه إعادة البناء اليدوية بطيئة، وتفشل بطريقة يمكن التنبؤ بها: يرتكز المستجيب على أول سرد معقول ويغفل السرد الحقيقي. يؤتمت NV إعادة البناء ويواجه نمط الفشل هذا مباشرةً بعرض الفضاء المرتّب للمسارات المعقولة دائمًا، لا قصة واحدة.

والأهم من ذلك، أن NV يفعل ذلك مع الصدق كمنتج. العدو المعلن للسوق هو الثقة الصندوقية السوداء — أداة تجزم باستنتاج دون إظهار عملها. كل رقم ينتجه NV قابل للتتبع إلى الدليل المحدد الذي اكتسبه، وأي شيء لا يستطيع دعمه يُحجب بدلاً من تخمينه.

---

ما هو — وما ليس هو

NV ليس كاشفًا، ولا ماسحًا، ولا مدققًا، ولا مشغّل هجمات. تلك الأدوات تخبرك أن شيئًا ما حدث وتقيسه. يعمل NV بالعكس — إعادة بناء استنباطية لـالآلية من الأنماط، عبر مملكة هوية مجزأة.

• ليس كاشفًا — لا يطلق تنبيهات على النشاط؛ بل يفسّر كيف يتلاءم النشاط معًا.
• ليس SIEM — يدخل عبر إسفين ضيق (إعادة بناء السرد بعد الحادث)، لا كمنصة سجلات.
• ليس محرك قواعد — عندما لا يطابق شيء نمطًا معروفًا، فإنه لا يزال يعيد البناء، متدهورًا بلطف بدلاً من أن يصبح أعمى.

---

لماذا هو صالح على المدى الطويل

1. الفريق الأزرق يتجدد؛ الفريق الأحمر يتحول إلى سلعة. أدوات الهجوم تجد مجموعة محدودة وقابلة للترقيع من الثغرات وتنطوي في خطوط أنابيب أمان CI/CD المؤتمتة. إعادة بناء كيف حدث التسلل لا تُحل أبدًا — يستمر المهاجمون في الابتكار، لذا فالحاجة دائمة ومتجددة ذاتيًا.

2. المحرك مستقل عن الركيزة. المنطق الأساسي — إعادة بناء الآلية من الأنماط، بثقة معايَرة وقضيب توقف — مُلتزم بالسحابة/الهوية أولاً، لكنه يُنقل إلى الشبكة ونقاط النهاية وOT لاحقًا. يمكن أن يتغير الهدف دون إعادة كتابة الأطروحة.

3. إعادة البناء تُمكّن التحصين. بمجرد أن تعرف كيف دخلوا — وأي أبواب أخرى كانت مفتوحة — تبني الدفاعات. المسارات غير المسلوكة لكن المعقولة هي قائمة متراكمة للتحصين، وغالبًا ما تكون أكثر قيمة من إعادة البناء نفسها، لأن معظم الاختراقات تستغل تعرضًا يمكن الوقاية منه، لا حرفية جديدة.

4. يتدهور بلطف عند التسلل الجديد — الحادث نفسه الذي يهم أكثر من غيره. محرك التوقيع/القاعدة يصبح أعمى عند ثغرة يوم الصفر؛ بينما لا يزال جوهر NV الاستنباطي ينتج مسارًا أكثر احتمالاً، مُعلَّمًا بصدق بثقة أقل.

5. الصدق خندق دفاعي. الثقة المعايَرة القائمة على الحالات مع بدائل مرتّبة هي بالضبط ما يقول السوق إنه يريده وما لا يستطيع المنافسون ذوو الصندوق الأسود تقديمه هيكليًا دون إعادة تصميم.

---

البنية

سجلات المزوّد الخام → رسم بياني مُطبَّع للأحداث/الكيانات → محرك إعادة البناء → JSON → واجهة المستخدم الرسومية.

  O365 / Entra audit logs      nv_extract_identity_events.py
  AWS CloudTrail (IAM/STS/S3)   nv_extract_cloudtrail_events.py   (ingest + normalize)
          ▼
  normalized identity events (JSONL)  ← one event model, any substrate
          │  nv/graph.py                      (typed per-actor timelines)
          ▼
  reconstruction engine
     ├─ nv/patterns.py     known layer: ATT&CK identity pattern library
     ├─ nv/providers.py    provider packs: per-substrate op→ATT&CK vocab (Entra + AWS)
     ├─ nv/validation.py   Phase 3: provenance + integrity gate on every pattern
     ├─ nv/feeds.py        live ATT&CK STIX / TAXII / Sigma clients + scheduler
     ├─ nv/confidence.py   evidence-corroboration scorer (calibratable weights)
     ├─ nv/calibration.py  fit + measure confidence against labeled ground truth
     ├─ nv/reconstruct.py  most-likely chain + ranked competing paths + trust floor
     └─ nv/scope.py        authorized-scope gate (refuses unauthorized tenants/accounts)
          │  run_nv.py
          ▼
  reconstruction.json  ──►  nv_gui.html  (embedding canvas + two-column view + trust slider)

واجهة المستخدم الرسومية هي طبقة عرض خالصة — فهي تعرض مخرجات المحرك وتتيح للمحلل تحريك حد الثقة. وهي لا تحتوي على أي منطق إعادة بناء خاص بها.

---

نموذج الثقة (مصداقية المنتج بأكمله)

تحمل كل خطوة درجة ثقة في النطاق [0، 1]، تُبنى عبر تأكيد الأدلة:

confidence = per-technique base rate
           + bonus for each independent corroborating signal
                 (source IP, device, successful outcome, temporal adjacency, broad-consent flags)
           − penalty for missing signals (e.g. no source IP to corroborate origin)

• verified — الثقة ≥ 0.70 و إشارتان مستقلتان أو أكثر متوافقتان.
• pattern-only — فوق حد الثقة الأدنى لكن بدعم ضعيف أو أحادي.
• withheld — دون حد الثقة الأدنى؛ يُعرض باهتًا، ولا يُخمَّن أو يُخفى بصمت أبدًا.

تُركّب درجات المسار روابطها عبر المتوسط الهندسي، لذا فإن رابطًا ضعيفًا واحدًا يخفض المسار بأمانة بدلًا من أن يُطمَس بالمتوسط.

كل وزن مما سبق — المعدلات الأساسية لكل تقنية، والمكافآت لكل إشارة، وعقوبات الغياب — يعيش في جدول PARAMS واحد في nv/confidence.py. تلك هي أوليات NV للإصدار v1، وهي قابلة للمعايرة: يستطيع nv/calibration.py إعادة ضبطها مقابل حقيقة أرضية مُعنونة، وسيحمّل المحرك النتيجة، مع الرجوع إلى أوليات v1 عند عدم توفير معايرة (انظر أدناه).

حد الثقة الأدنى

قاعدة الحجب، المدمجة في عقد مخرجات المحرك — وليس في واجهة المستخدم فقط. دون الحد الأدنى، تُحجب الخطوة. وسحب الحد الأدنى هو المقايضة بين الأمانة والتغطية مُجسَّدة ماديًا: ارفعه للصرامة/الثقة العالية، واخفضه للتسامح/التغطية العالية. الحد الأدنى الافتراضي قرار تحريري حول موضع NV قبل أن يمسّه المحلل.

---

معايرة الثقة مقابل الحقيقة الأرضية

أوزان v1 قابلة للدفاع، لكنها أوليات. يضبطها nv/calibration.py مقابل حقيقة أرضية مُعنونة — أحداث نعرف أيها كان جزءًا من الاختراق وأيها كان حميدًا — والأهم من ذلك، يقيس ما إذا كان الضبط قد ساعد فعلًا، لذا لا تُعتمد المعايرة إلا إذا خفّضت خطأ المعايرة بدلًا من مجرد تحريك الأرقام.

الثقة المُعايَرة تعني شيئًا واحدًا: ينبغي أن تساوي ثقة NV لخطوة ما احتمال أن الخطوة كانت فعلًا على مسار الهجوم. لذا تُعامَل ثقة كل حدث مُعنون كاحتمال متوقع، ويُجري أداة الاختبار الملاءمة لـ:

• المعدلات الأساسية لكل عملية — معدل الإصابة التجريبي لتلك العملية، مع تقليص بايزي نحو أولية v1 حتى لا تُفرط العينات الصغيرة في التخصيص؛ و
• المكافآت لكل إشارة والعقوبتين — عبر نزول إحداثي محدود يقلل درجة Brier مع سحب L2 عائدًا نحو قيم v1.

عتبات verified/withheld سياسة، وليست معايرة، وتُترك دون مساس.

تُبلّغ عن درجة Brier، وخسارة السجل، وECE، وAUC، وجدول موثوقية، ومسح لحد الثقة الأدنى (استدعاء الخطوات الحقيقية مقابل معدل الإيجابيات الكاذبة الحميدة عند كل حد أدنى)، قبل وبعد — بحيث تكون المقايضة بين الأمانة والتغطية واضحة بدلًا من أن تكون رقمًا واحدًا.

# calibrate against a real, labeled BadZure / MAAD-AF run
python3 calibrate.py --labeled run_labeled.jsonl --origin live \
    --run-label "badzure-2026-07 tenant-x" --out calibration.json

# demonstrate on the bundled documented-shape proxy corpus
python3 calibrate.py --out calibration.json

# run the engine on calibrated weights (opt-in; v1 priors are the default)
python3 run_nv.py events.jsonl out.json --authorize t.onmicrosoft.com \
    --calibration calibration.json