اعرف اللي قصادك. احمي أرضك.
YoriSecCyber Operationsالصفحة الرئيسية

Canarytokens

أداة بسيطة وفعالة لزرع 'أفخاخ' رقمية (ملفات، روابط، مفاتيح) ترسل تنبيهاً فورياً عند محاولة المهاجم الوصول إليها أو استخدامها.

دفاعمفتوحة المصدرWeb
canarytokens.org

دليل استخدام Canarytokens — الدليل الكامل

تُعدّ Canarytokens (من شركة Thinkst) بمثابة "كمائن تنبيهية" أو أسلاك تعثر (Tripwires) يتم زرعها عبر بيئتك التقنية. بمجرد أن يلمسها شخص ما أو يحاول الوصول إليها، يتم إرسال تنبيه فوري عبر البريد الإلكتروني أو الـ Webhook. تتوفر الخدمة مجانًا عبر canarytokens.org؛ كما يمكن الاستضافة الذاتية للنسخة مفتوحة المصدر (OSS) من خلال (thinkst/canarytokens) في البيئات الحساسة.

أنواع التوكنز (Token types)

التوكن (Token)ماهيتهيُفعّل التنبيه عند...
DNS / Webرابط (URL) أو اسم مضيف (Hostname)أي محاولة لحل اسم النطاق (DNS resolution) أو زيارة الرابط
Adobe PDFملف PDF يرسل إشارة تنبيه عند فتحهفتح ملف الـ PDF
MS Word / Excel / PowerPointمستندات Office تحتوي على تتبعفتح المستند (يكشف عن عنوان الـ IP الخاص بالمصدر)
AWS Access Keyزوج مفاتيح وصول (AKIA / SK) وهمياستخدام المفاتيح في أي طلب (API call) لـ AWS
Azure Login Certمفتاح لـ Service-principalاستخدامه للمصادقة في بيئة Azure
Slow Redirectرابط يحوّل المستخدم لكنه يرسل تنبيهًا أولاًالضغط على الرابط
Cloned Websiteكود JS يُفعّل إذا كان النطاق لا يطابق الأصليقيام مهاجم باستنساخ صفحة تسجيل الدخول (Phishing)
Signed EXE / DLLملف تنفيذي أو مكتبة Windows متبوعةتشغيل الملف
HTTP File / Folderرابط ويب يمثل ملفًا أو مجلدًا وهميًازيارته
MySQL Dumpملف SQL يرسل تنبيهًا عند استيرادهمحاولة استيراد قاعدة البيانات
Kubeconfigإعدادات k8s وهميةمحاولة المصادقة مع واجهة (API) وهمية
WireGuard / SSH keyبيانات اعتماد وهميةاستخدام المفاتيح
MS SQL tokenإجراء مخزن (Stored procedure)استدعاء الإجراء
Custom HTTPرابط مع استجابة Host مخصصةأي طلب من نوع GET
Webhook onlyمجرد رابط (URL) بدون ملفاتأي طلب من نوع GET

سير العمل (Workflow)

إنشاء توكن (الخدمة العامة)

عبر canarytokens.org ← اختر النوع ← أدخل البريد الإلكتروني للتنبيه ← أضف ملاحظة تذكيرية ← توليد (Generate). ثم ضع التوكن في أماكن استراتيجية:

  • مفاتيح AWS: في ملفات .env أو سياسات S3 أو مستودعات README أو حسابات IAM المهجورة.
  • ملفات PDF: في المجلدات المشتركة بأسماء مغرية مثل passwords.pdf أو salaries.pdf.
  • مستندات Office: في مجلدات الموارد البشرية (HR) أو مجلدات الإدارة العليا.
  • DNS: كـ CNAME أو اسم مضيف مشار إليه في ملف إعدادات (Config file).
  • Custom HTTP: في إعدادات تطبيق داخلي، حيث لا يتوقع وصول أحد سوى "المتسللين" (Insiders).

الاستضافة الذاتية (للمشاريع الحساسة)

$ git clone https://github.com/thinkst/canarytokens-docker
$ cd canarytokens-docker
$ cp .frontend.env.template .frontend.env
# تحرير متغيرات البيئة
$ docker compose up -d

يتيح لك هذا إصدار التوكنز عبر نطاقك الخاص، مما يمنح المدافع سيطرة كاملة على بيانات التنبيه.

استلام التنبيهات

تصل التنبيهات عبر البريد الإلكتروني أو الـ Webhook وتتضمن:

  • عنوان الـ IP المصدر، ونسخة المتصفح (User-Agent).
  • الموقع الجغرافي (Geolocation) - تقديري.
  • النطاق الذي تمت محاولة حله (في توكنز DNS).
  • اسم العملية (Process name) - في بعض الحالات، مثل مفاتيح AWS التي توضح أي API تمت مناداته.

أمثلة تطبيقية

نمط "فتات الخبز" (Strewn breadcrumbs)

نثر التوكنز في أماكن جذابة للمهاجمين:

الموقعنوع التوكندلالة التنبيه
/etc/passwords-backup/credentials.pdfPDFمهاجم يحاول قراءة نظام الملفات
~/.aws/old-credsمفاتيح AWSمهاجم يبحث عن مفاتيح سحابية
\\fileserver\HR\salaries-2025.xlsxExcelموظف داخلي يحاول التجسس
مدخل في مدير كلمات المرور باسم "DA — backup" مع ملف runonce.exe وهميملف EXE موقعمهاجم يجرب كافة بيانات الاعتماد
git/.bash_history يحتوي على mysql -u root -pSuperSecret (token-MySQL)MySQL dumpمهاجم ينسخ سجل الأوامر

الهدف: ضمان تفعيل تنبيه واحد على الأقل في أي مسار هجوم محتمل.

مكافحة التصيد — توكن الموقع المستنسخ (Cloned Website)

أضف كود JavaScript في صفحة تسجيل الدخول الأصلية يرسل طلباً إلى canarytokens.com/... إذا كان عنوان الصفحة لا يطابق نطاقك الأصلي. إذا تم استنساخ الصفحة في أدوات التصيد، فستصلك إشارة فورية مع رابط موقع التصيد.

html
<script src="https://canarytokens.com/.../submit.js"></script>

إشارة "للمهاجمين فقط" (Bad-actor-only signal)

بما أن المستخدمين الحقيقيين لا يلمسون هذه التوكنز، فإن نسبة التنبيهات الخاطئة (False Positives) تكاد تكون صفراً. أي تنبيه يجب التعامل معه كنشاط عدائي مؤكد.

استكشاف الأخطاء وإصلاحها (Fixes)

العرضالحل
مفاتيح AWS تتفعل أثناء مراجعة الكود البرمجيةصنف التوكن كـ "معروف" لفريق التطوير؛ التنبيهات من خارج نطاق IP الفريق هي الحقيقية
توكن PDF لا يعملبعض المتصفحات تمنع المصادر الخارجية افتراضياً؛ استخدم مستند Word بدلاً منه
تنبيهات البريد تصنف كـ Spamاستخدم الاستضافة الذاتية بنطاقك الخاص، أو اعتمد على الـ Webhook مباشرة
التوكن يقود الم مهاجم إلى مستلم التنبيهاستخدم بريداً إلكترونياً عاماً لكل برنامج أمني بدلاً من بريد شخصي

منظور المدافع (Defender perspective)

توفر Canarytokens قدرة على كشف الخداع (Deception Detection) بتكلفة شبه معدومة. يمكن تشغيل ثلاثة برامج:

  1. البرنامج الساكن (Static): نثر التوكنز في كل مكان والتنبيه عند أي لمس.
  2. البرنامج المستهدف (Targeted): وضع توكن فريد في أماكن لا يلمسها إلا دور وظيفي محدد (مدير نظام، محاسب)، مما يساعد في كشف التحرك الجانبي (Lateral Movement).
  3. مستند الخداع (Honey-document): عند تسريب المهاجم للمستندات (Exfiltration)، يقوم المستند بتنبيهك بمجرد فتحه في بيئة المهاجم، مما يوفر IP لغايات التحقيق الجنائي.

يمكن دمجها مع Canary (أجهزة الخداع المادية من Thinkst) لعمليات خداع أكثر تعقيداً مثل خوادم الملفات الوهمية أو بيئات Active Directory كاملة.

أمن العمليات للمدافع (OPSEC)

  • تجنب إدراج أسرار تبدو حقيقية جداً لدرجة قد تجعل ماسحات الأمان الخاصة بالموردين (Security Scanners) تطلق تنبيهات خاطئة خارجية.
  • توثيق أي توكنز موجودة ولماذا في دليل إجراءات الاستجابة للحوادث (IR runbook)؛ لا ينبغي للمحلل أن يفاجأ بتنبيه دون معرفة مصدره.
  • لا تخزن قائمة التوكنز في نفس المكان الذي وضعت فيه التوكنز (حتى لا يكتشف المهاجم الكمائن عند اختراقه للنظام).

أدوات ذات صلة

الأداةالتخصص
Canary applianceأجهزة خداع مادية (مدفوعة)
DCEPT (HoneyAccount)حسابات AD وهمية
TrapX / Illusiveمنصات خداع للمؤسسات الكبرى
HoneyTrap / Cowrieمصائد مخترقين لخدمات الشبكة (Honeypots)
MISP Honey eventsمؤشرات اختراق (IOCs) مخصصة للكشف
ارجع لكل الأدوات