MISP
منصة مفتوحة لمشاركة المعلومات الاستخباراتية حول التهديدات، تتيح تخزين وتبادل مؤشرات الاختراق (IOCs) والمعلومات السياقية.
دفاعمفتوحة المصدرLinux
www.misp-project.orgدليل MISP الشامل
تُعد منصة MISP (Malware Information Sharing Platform) المنصة الأبرز مفتوحة المصدر لاستخبارات التهديدات (Threat Intelligence). تتيح المنصة تخزين مؤشرات الاختراق (IOCs)، وربطها بالهجمات، والتصنيفات (Taxonomies)، والجهات المهددة (Threat Actors)، ومراحل سلسلة القتل (Kill-chain)، مع إمكانية مشاركتها تلقائياً مع المنظمات الزميلة ومراكز مشاركة وتحليل المعلومات (ISACs).
التثبيت
# الطريقة الأسرع عبر Docker
$ git clone https://github.com/MISP/misp-docker
$ cd misp-docker
$ cp template.env .env
$ docker compose up -d
# واجهة المستخدم متاحة على https://localhost
يمكن أيضاً التثبيت المباشر (Bare-metal) عبر مستودع MISP/MISP أو حزم التوزيعات؛ وتعتمد بيئات الإنتاج عادةً على Apache و PHP.
المفاهيم الأساسية
| الكائن (Object) | الغرض |
|---|---|
| الحدث (Event) | يمثل "قضية" أو حالة - حملة هجومية، عينة برمجية، أو حادثة أمنية |
| السمة (Attribute) | مؤشر اختراق (Indicator): عنوان IP، نطاق، بصمة ملف (Hash)، رابط URL، مفتاح سجل (Registry key)، إلخ. |
| الكائن المنطقي (Object) | مجموعة منطقية من السمات المترابطة (مثلاً: كائن "ملف" يحتوي على md5+sha1+filename) |
| المجرة (Galaxy) | إثراء عالي المستوى (الجهة المهددة، الأداة المستخدمة، القطاع المستهدف، إلخ.) |
| التصنيف (Taxonomy) | فضاء تسمية الوسوم (Tags) مثل (TLP، MITRE ATT&CK، NIS2) |
| مجموعة المشاركة (Sharing group) | تحديد من يحق له الاطلاع على هذا الحدث |
| الموجز (Feed) | استيراد تلقائي من مصادر خارجية (مثل CIRCL، abuse.ch، AlienVault OTX) |
| المشاهدة (Sighting) | تأكيد على رصد مؤشر الاختراق فعلياً في البيئة |
بروتوكول إشارات المرور (TLP) — وسوم المشاركة
| الوسم | المعنى |
|---|---|
tlp:white | عام (للجميع) |
tlp:green | على مستوى المجتمع الأمني |
tlp:amber | داخل المنظمة وبشكل محدود |
tlp:amber+strict | للأشخاص المعنيين فقط داخل المنظمة |
tlp:red | إفصاح شخصي محدود جداً |
يجب إرفاق هذه الوسوم بكل حدث لتقييد عمليات المشاركة والتصدير عبر الواجهة البرمجية (API).
الواجهة البرمجية (API) — مكتبة pymisp
$ pip install pymisp
python
from pymisp import PyMISP, MISPEvent, MISPAttribute
misp = PyMISP("https://misp.example.com", "<APIKEY>", ssl=False)
ev = MISPEvent()
ev.info = "APT29 phishing wave 2026-04"
ev.distribution = 1 # المجتمع الأمني
ev.threat_level_id = 2
ev.analysis = 2
attr = MISPAttribute()
attr.type = "domain"; attr.value = "evil.example.com"
ev.add_attribute(**attr)
misp.add_event(ev)
للبحث:
python
res = misp.search(controller="attributes", value="evil.example.com")
سير العمل — الاستخدام اليومي في SOC
- الاستيراد التلقائي للمواجز (Feeds): (Settings ← Feeds ← تفعيل المصادر عالية الجودة مثل: abuse.ch URLhaus، CIRCL OSINT). تأكد من تشغيل مهام
MISP cron jobsلتحديث البيانات دورياً. - الحجب والكشف: يتيح MISP تصدير قوائم IOCs بتنسيقات متعددة (قواعد Suricata، Sigma، Snort، STIX 2.1). اربط المنصة بنظام SIEM أو جدار الحماية:
- تصدير عبر
restSearch.jsonبفلترة الوسوم ← سحب دوري ← إدراج في جداول البحث بـ Splunk. - تصدير بتنسيق CSV للمواجز وتغذية قوائم الحجب في Suricata.
- تصدير عبر
- إنشاء الأحداث الخاصة: أثناء الاستجابة للحوادث (Incident Response):
- أضف حدثاً جديداً، املأ البيانات الوصفية، وأضف الـ IOCs (يتم التعرف على نوعها تلقائياً).
- أضف تقنيات MITRE ATT&CK عبر الـ Galaxies.
- احفظ وانشر للجهات الزميلة؛ ستتلقى السيرفرات المتصلة التحديث تلقائياً.
المزامنة بين الخوادم (Server-to-server sync)
[ خادم MISP أ ] ↔ [ خادم MISP ب ] (مزامنة عبر REST API + إعدادات مجموعات المشاركة)
هذا هو المعيار الذهبي: حيث تدير مراكز ISAC خادماً رئيسياً، ويقوم الأعضاء بالمزامنة معه.
استكشاف الأخطاء وإصلاحها
| العرض | الحل |
|---|---|
| الموجز لا يتحدث | مهام Cron لا تعمل؛ تفقد Administration → Workers |
| فشل المزامنة | خطأ في إعدادات مجموعة المشاركة أو جدار الحماية يمنع الاتصال |
| بطء واجهة المستخدم | فقدان فهارس قاعدة البيانات؛ قم بتشغيل vacuum أو إعادة بناء الفهارس |
| استهلاك عالي للذاكرة | تقليل مدة الجلسة MISP_session_lifetime وحجم دفعات الموجز |
| تكرار الأحداث | تفعيل خاصية الربط (Correlation) ودمج الأحداث يدوياً |
وجهة نظر المدافع (Defender)
يوحد MISP إدارة مؤشرات الاختراق الخاصة بك. الاستخدام العملي:
- يفتح فريق الاستجابة للحوادث (IR) حدثاً لكل حادثة أمنية مع إدراج الـ IOCs.
- يشترك الـ SOC في المواجز ← التغذية التلقائية لنظام SIEM للحجب.
- يقوم فريق استخبارات التهديدات (Threat Intel) بإثراء الأحداث عبر الـ Galaxies ورصد المشاهدات (Sightings).
- مراجعة ربع سنوية للمؤشرات ذات الإشارات الضعيفة (القديمة أو المستبدلة).
الأمن العملياتي (OPSEC) للمدافعين
- الالتزام بـ TLP أمر حيوي: لا تنشر أبداً أحداثاً بوسم
tlp:redفي مجموعات عامة. - التصدير التلقائي لـ Suricata أو جدران الحماية قد يكشف أحداثك الخاصة لمن يراقب حركة الشبكة؛ استخدم عمليات تصدير محددة النطاق.
- مفاتيح الـ API هي مفاتيح وصول كاملة؛ قم بتدويرها (Rotate) لكل تكامل بشكل منفصل.
أدوات ذات صلة
| الأداة | التخصص |
|---|---|
| OpenCTI | أكثر توافقاً مع STIX-2.1، غنية بالرسوم البيانية |
| TheHive + Cortex | إدارة القضايا والتحليل (غالباً ما تُقرن بـ MISP) |
| AlienVault OTX | موجز تجاري؛ أحد مصادر استيراد MISP |
| VirusTotal Intelligence | منصة تجارية للتحليل والربط |
| Maltego | أداة تحقيق تعتمد على الرسوم البيانية |
| YETI | إطار عمل بديل لاستخبارات التهديدات |