Контекстно-зависимая наступательная разведка (CAOI)

Автор: Indoushka (Nekaa Salah Eddine)

Обзор

Контекстно-зависимая наступательная разведка (CAOI) — это исследовательская постэксплуатационная парадигма, которая ставит понимание и принятие решений выше выполнения действий.

Этот проект представляет новый интеллектуальный слой, который:

• Выявляет операционный контекст и контекст безопасности
• Анализирует ошибки конфигурации по смыслу, а не по эксплуатируемости
• Прогнозирует возможность повышения привилегий
• Количественно оценивает риск и вероятность обнаружения
• Формирует ориентированные на человека решения вместо эксплойтов

Ключевые принципы

• Никакой эксплуатации
• Никакой зависимости от CVE
• Никаких изменений системы
• Решение до действия

В чём отличие

Существующие фреймворки сосредоточены на том, что можно сделать. CAOI сосредоточен на том, следует ли вообще что-либо делать.

Статус

Исследование и концептуальная реализация (только дизайн)

Лицензия

MIT License Что это за модули?

Эти модули — не эксплойты, не инструменты взлома и не инструменты повышения привилегий. Это модули интеллектуального анализа (Intelligence Analysis Modules), которые работают после получения сессии, и их цель — понимание и принятие решений, а не выполнение.

Предлагаемое название категории:

Post-Exploitation Intelligence Modules

1️⃣ Модуль интеллектуального анализа окружения

Название:

environment_context

Что он делает?

Выполняет контекстный анализ целевой среды, чтобы понять:

Тип системы

Её функциональную роль (Web / DB / Auth…)

Это Production или Development

Степень его операционной чувствительности

Вероятность мониторинга и обнаружения

Польза от него

Предотвращает слепые действия

Определяет, является ли система высокочувствительной

Помогает принять решение: продолжаем или останавливаемся?

Путь в проекте metasploit/post/intelligence/environment_context.rb

Безопасен ли он?

✅ Да, 100%

Не изменяет ни одного файла

Не эксплуатирует ни одной уязвимости

Не выполняет опасных команд

2️⃣ Модуль анализа контекста неверной конфигурации

Название:

misconfiguration_context

Что он делает?

Анализирует эксплуатационные ошибки и неправильные настройки, но не в виде традиционного сканирования, а так:

Почему существует эта ошибка?

Каково её логическое влияние?

Она человеческая или структурная?

Польза от него

Обнаружение ошибок, более опасных, чем уязвимости

Полезен для Red Team и Blue Team

Используется в юридических отчётах

Путь в проекте metasploit/post/intelligence/misconfiguration_context.rb

Безопасен ли он?

✅ Да

Не эксплуатирует настройки

Не изменяет привилегии

Только анализ

3️⃣ Предиктор повышения привилегий

Название:

privesc_predictor

Что он делает?

Прогнозирует, возможно ли повышение привилегий логически, без:

Эксплойта

CVE

Фактической попытки

Даёт:

Вероятность успеха

Уровень шума

Вероятность обнаружения

Польза от него

Экономит время

Снижает шум

Предотвращает неудачные попытки

Путь в проекте metasploit/post/intelligence/privesc_predictor.rb

Безопасен ли он?

✅ Да, очень

Не повышает привилегии

Не пытается эксплуатировать

Только решение

4️⃣ Механизм оценки и уверенности

Название:

scoring_engine

Что он делает?

Преобразует анализ в:

Числа

Степени риска

Процент уверенности

Вместо бессмысленных LOW / MEDIUM.

Польза от него

Решения, которые можно обосновать

Полезен для руководства и отчётов

Научный и академический

Путь в проекте metasploit/post/intelligence/scoring_engine.rb

Безопасен ли он?

✅ Да

Только вычислительные операции

Не взаимодействует с системой

5️⃣ Модуль интеллектуальных отчётов

Название:

intelligence_reporter

Что он делает?

Собирает все результаты и выдаёт:

Понятный отчёт

Итоговую рекомендацию

Действуем или нет?

Польза от него

Связывает техническую часть с решением

Полезен руководителям и нетехническим командам

Сокращает хаос

Путь в проекте metasploit/post/intelligence/intelligence_reporter.rb

Безопасен ли он?

✅ Да

Ничего не выполняет

Только отчёты

Портят ли эти модули проект Metasploit?

❌ Нет Наоборот, улучшают его

Почему?

Не изменяют Core

Не затрагивают эксплойты

Не зависят от опасных функций

Работают как дополнительный аналитический слой

Их правильная категория post/intelligence/

📌 Новая категория, которая не конфликтует с:

post/linux

post/windows

auxiliary

exploit

Можно ли легко их удалить?

✅ Да

Модули независимы

Не зависят от других

Не влияют ни на что при удалении

Итоговый вывод Вопрос Ответ Являются ли они инструментами взлома? ❌ Нет Выполняют ли они эксплойты? ❌ Нет Безопасны ли они с юридической точки зрения? ✅ Да Портят ли они Metasploit? ❌ Нет Добавляют ли они реальную ценность? ✅ Очень высокую