Syd - مساعد اختبار الاختراق غير المتصل

Syd هو مساعد اختبار اختراق يعمل في بيئة منفصلة (air-gapped) يقوم بتحليل مخرجات المسح باستخدام نماذج اللغة المحلية (LLMs) والتوليد المعزز بالاسترجاع (RAG). يعمل بالكامل على حاسوبك المحمول دون الحاجة إلى اتصال بالإنترنت أو مفاتيح API.

نظرة عامة

يقوم Syd بتحليل مخرجات المسح الفنية (Nmap، BloodHound، Volatility) والإجابة على الأسئلة باللغة الإنجليزية البسيطة. بدلاً من مراجعة مئات الصفحات من النتائج يدويًا، يمكنك طرح أسئلة محددة والحصول على إجابات قائمة على الأدلة المستمدة من بيانات المسح الفعلية.

الأدوات المدعومة:

• Nmap (صادرات XML)
• BloodHound (صادرات JSON)
• Volatility 3 (مخرجات الإضافات)

الميزات الرئيسية:

• تشغيل غير متصل بالإنترنت بالكامل
• لا تبعيات سحابية أو مفاتيح API
• بنية استخراج الحقائق تمنع الهلوسة
• يعمل على أجهزة الحاسوب المحمول القياسية
• إجابات قائمة على الأدلة مدعومة ببيانات المسح

البنية

يستخدم Syd خط أنابيب من ثلاث مراحل:

1. استخراج الحقائق - تحليل حتمي لملفات المسح إلى بيانات منظمة
2. استرجاع المعرفة - بحث قائم على RAG في الوثائق الفنية ذات الصلة
3. توليد الإجابات - يقوم LLM بتوليد الإجابات باستخدام الحقائق المستخرجة والمعرفة المسترجعة

تستخدم مرحلة استخراج الحقائق التعبيرات العادية (regex) والتحليل المنظم (بدون LLM). وهذا يضمن استخراج بيانات بدقة 100%. يقوم LLM فقط بتوليد الشروحات باللغة الطبيعية بناءً على حقائق موثقة.

يتحقق التحقق من كل إجابة تم توليدها مقابل الحقائق المستخرجة. إذا ذكر LLM بيانات غير موجودة في مسحك (PIDs، عناوين IP، أسماء المضيفين، إلخ)، يتم رفض الإجابة.

المتطلبات

الأجهزة:

• 16 جيجابايت من ذاكرة الوصول العشوائي كحد أدنى (24 جيجابايت موصى بها)
• 10 جيجابايت من المساحة الحرة على القرص
• معالج متعدد النوى

البرامج:

• Python 3.8 أو أعلى
• pip

التكوين المختبر:

• AMD Ryzen AI 9 365 (10 نوى)
• 24 جيجابايت من ذاكرة الوصول العشوائي
• Windows 11
• وقت استجابة الاستعلام: 2-5 ثوانٍ

التثبيت

الإعداد الآلي (موصى به)

قم بتشغيل أمر واحد وسيتم التعامل مع كل شيء تلقائيًا:

python setup.py

سوف يقوم هذا النص البرمجي بما يلي:

1. تثبيت جميع تبعيات Python
2. تنزيل نموذج Qwen 2.5 14B (9.7 جيجابايت)
3. التحقق من التثبيت

الوقت المطلوب: 15-30 دقيقة (معظمه للتنزيل)

لا حاجة لحساب HuggingFace. تم تضمين فهارس FAISS في المستودع.

التثبيت اليدوي

إذا فشل setup.py، قم بالتثبيت يدويًا:

1. تثبيت التبعيات:

pip install -r requirements.txt

2. قم بتنزيل النموذج من HuggingFace:

   • اذهب إلى: https://huggingface.co/Qwen/Qwen2.5-14B-Instruct-GGUF
   • قم بتنزيل جميع الأجزاء الثلاثة: qwen2.5-14b-instruct-q5_k_m-00001/2/3-of-00003.gguf
   • ادمج في: rag_engine/models/qwen2.5-14b-instruct-q5_k_m.gguf

3. قم بتشغيل Syd:

python syd.py

راجع INSTALL.md للحصول على استكشاف الأخطاء وإصلاحها التفصيلي.

الاستخدام

تحليل Nmap

1. قم بتحميل ملف Nmap XML أو الصق مخرجات XML
2. انتظر استخراج الحقائق (عادةً 5-15 ثانية)
3. اطرح الأسئلة:
   • "ما هي الخدمات التي تعمل على المنافذ العالية؟"
   • "أي المضيفات لديها توقيع SMB معطل؟"
   • "أرني جميع خوادم الويب"
   • "ما الثغرات التي تم العثور عليها؟"

تحليل BloodHound

1. قم بتحميل تصدير BloodHound JSON (من SharpHound)
2. اطرح الأسئلة:
   • "ما هو أقصر مسار إلى مسؤول النطاق (Domain Admin)؟"
   • "أي الحسابات قابلة للهجوم بـ Kerberoast؟"
   • "أرني مشكلات التفويض غير المقيد"
   • "ما مسارات إساءة استخدام ACL الموجودة؟"

تحليل Volatility

1. قم بلصق مخرجات إضافة Volatility 3
2. اطرح الأسئلة:
   • "ما هي العملية الأكثر اشتباهًا؟"
   • "اسرد جميع اتصالات الشبكة"
   • "هل هناك دليل على حقن العملية؟"
   • "ما العمليات التي تحتوي على مناطق PAGE_EXECUTE_READWRITE؟"

الدقة

تم اختباره على بيانات اختبار اختراق حقيقية:

• Nmap: 96.7% (29/30 سؤال اختبار)
• Volatility: 90% (9/10 سؤال اختبار)
• BloodHound: 85-90% (قيد التحسين)

طبقة التحقق تمنع الهلوسة. يتم حظر الإجابات التي تشير إلى بيانات غير موجودة.

هيكل المشروع

Syd_V3/
├── syd.py                          # التطبيق الرئيسي
├── nmap_fact_extractor.py          # محلل Nmap
├── bloodhound_fact_extractor.py    # محلل BloodHound
├── volatility_fact_extractor.py    # محلل Volatility
├── bloodhound_analyzer.py          # منطق تحليل BloodHound
├── volatility_analyzer.py          # منطق تحليل Volatility
├── knowledge_bases/                # الوثائق الفنية
│   ├── bloodhound/
│   └── volatility/
├── rag_engine/
│   ├── models/                     # نماذج LLM (تنسيق GGUF)
│   └── embeddings/                 # فهارس FAISS
└── chunk_and_embed_*.py            # نصوص فهرسة قاعدة المعرفة

التفاصيل الفنية

LLM: Qwen 2.5 14B (تكميم Q5_K_M) التضمينات: all-MiniLM-L6-v2 (sentence-transformers) قاعدة بيانات المتجهات: FAISS (محسّن لوحدة المعالجة المركزية) الواجهة الرسومية: tkinter (متعدد المنصات)

درجة الحرارة: 0.05-0.1 (منخفضة لتقليل الهلوسة) عامل التكرار: 2.8-3.2 (يمنع التكرار الحلقي) نافذة السياق: 4096-8192 رمزًا

القيود المعروفة

• يجب أن يكون BloodHound JSON بتنسيق SharpHound القياسي
• يجب أن يكون Nmap XML كاملاً (غير مقطوع)
• قد تستغرق عمليات المسح الكبيرة (أكثر من 1000 مضيف) 30-60 ثانية للتحليل
• تحليل اتجاه شبكة Volatility: دقة 85% (قيد التحسين)

مصمم لسيناريوهات اختبار الاختراق النموذجية (10-500 مضيف). قد تتطلب عمليات المسح على مستوى المؤسسات التقسيم إلى أجزاء.

استكشاف الأخطاء وإصلاحها

النموذج غير موجود:

• تحقق من وجود ملف النموذج في rag_engine/models/
• تأكد من تطابق اسم الملف تمامًا: qwen2.5-14b-instruct-q5_k_m.gguf

فهرس FAISS غير موجود:

• قم بتشغيل نصوص python chunk_and_embed_*.py
• تحقق من وجود ملفات .faiss و .pkl في rag_engine/embeddings/customers/

نفاد الذاكرة:

• أغلق التطبيقات الأخرى
• مطلوب 16 جيجابايت من ذاكرة الوصول العشوائي كحد أدنى
• استخدم وحدة Nmap فقط إذا كانت الذاكرة محدودة

الأداء البطيء:

• التحميل الأول يستغرق 10-20 ثانية (تهيئة النموذج)
• الاستعلامات اللاحقة: 2-5 ثوانٍ
• تحقق من استخدام وحدة المعالجة المركزية - النموذج مقيد بوحدة المعالجة المركزية
• تأكد من توصيل الحاسوب المحمول بالكهرباء (إدارة الطاقة تؤثر على الأداء)

الدعم

دعم المجتمع:

• مشكلات GitHub: الإبلاغ عن الأخطاء وطلب الميزات
• مناقشات GitHub: طرح الأسئلة ومشاركة الخبرات

الدعم المهني: إذا كنت في بيئة منفصلة وتواجه صعوبة في الإعداد، أقدم تثبيتات USB مهيأة مسبقًا مقابل رسوم رمزية. كل شيء مشمول ومختبر.

اتصل: [email protected]

الموارد:

• يوتيوب: https://www.youtube.com/@paularmstrong8306 (دروس وعروض توضيحية)
• الموقع الإلكتروني: https://sydsec.co.uk
• البريد الإلكتروني: [email protected]

المساهمة

مهتم بشكل خاص بـ:

• الحالات الحدودية التي تفشل فيها أدوات استخراج الحقائق
• الأسئلة التي يكون فيها التحقق صارمًا جدًا أو فضفاضًا جدًا
• مشكلات الأداء على تكوينات الأجهزة المختلفة

راجع CONTRIBUTING.md للحصول على الإرشادات.

الترخيص

رخصة MIT - راجع ملف LICENSE

شكر وتقدير

تم بناؤه باستخدام:

• llama.cpp (استدلال فعال على وحدة المعالجة المركزية)
• FAISS (بحث سريع في المتجهات)
• sentence-transformers (التضمينات)
• Qwen 2.5 (نموذج LLM يتبع التعليمات)

تم تطويره واختباره على بيانات اختبار اختراق حقيقية.

المؤلف: Paul Armstrong (@Sydsec) الموقع الإلكتروني: https://sydsec.co.uk يوتيوب: https://www.youtube.com/@paularmstrong8306