دليل استخدام TheHive + Cortex — الدليل الكامل

تُعدّ منصة TheHive نظاماً مفتوح المصدر لإدارة القضايا (Case Management) مصمماً خصيصاً لفرق مراكز العمليات الأمنية (SOC) وفرق الاستجابة للحوادث (IR). يعمل محرك Cortex كذراع للتحليل والاستجابة، حيث يضم أكثر من 200 محلل (Analyzers) مثل (VirusTotal, Shodan, MISP, AbuseIPDB) مما يتيح إنجاز مهام التحقيق بضغطة زر واحدة. المنصتان من تطوير شركة StrangeBee.

التثبيت (Install)

في بيئات الإنتاج: يُنصح بفصل المكونات (Cassandra + Elasticsearch + MinIO + TheHive). يرجى مراجعة توثيق StrangeBee لتحديد حجم الموارد المطلوب.

المفاهيم الأساسية (Concepts)

سير العمل (Workflow)

استقبال التنبيهات (Receiving alerts)

مسارات الإدخال الشائعة:

• Splunk ← TheHive: عبر إجراءات التنبيه (Alert Actions).
• Sentinel Logic App: إرسال بيانات JSON.
• محلل البريد (Email parser): لصناديق البريد مثل phish@yourcorp.com.
• مزامنة MISP: إنشاء تنبيهات تلقائية من أحداث الاستخبارات.

from thehive4py.api import TheHiveApi
from thehive4py.models import Alert, AlertArtifact

api = TheHiveApi("http://thehive:9000", "<APIKEY>")
alert = Alert(
    title="Suspicious sign-in",
    tlp=2,
    severity=2,
    type="O365 Sign-in Anomaly",
    source="Sentinel",
    sourceRef="incident-12345",
    description="...",
    artifacts=[AlertArtifact(dataType="ip", data="1.2.3.4")]
)
api.create_alert(alert)

الفرز والترقية لقضية (Triage)

من واجهة المستخدم ← اختر التنبيه ← Promote to case ← اختر القالب المناسب ← سيتم ملء المهام تلقائياً (مثال لقالب تصيد: "حظر المرسل"، "سحب البريد من الصناديق"، "حجز المرفقات"، "إخطار المستخدمين").

تشغيل المحللين عبر Cortex

داخل القضية، اضغط على أي ملاحظة تقنية (Observable) ← Run analyzers. أمثلة:

• VirusTotal_GetReport: فحص الملف والحصول على الحكم النهائي.
• MISP_2_0: البحث عن المؤشر في قاعدة بيانات MISP.
• Cuckoo_Sandbox: إرسال الملف لبيئة الفحص المعزولة Cuckoo.
• AbuseIPDB: التحقق من سمعة عنوان الـ IP.

تُرفق النتائج بالملاحظة؛ يقوم المحللون بقراءة النتيجة وتحديث وسوم (Tags) الملاحظة بناءً عليها.

تشغيل المستجيبين (Responders) عبر Cortex

يقوم المستجيبون باتخاذ إجراءات فعلية (حظر IP، عزل جهاز، تعطيل حساب). الأمثلة الشائعة:

• Cisco_Firepower_Block: إرسال قاعدة حظر لجدار الحماية.
• Microsoft_Defender_Isolate: عزل الجهاز المصاب.
• MISP_Push_Event: مشاركة مؤشر الاختراق مع المجتمع الأمني.
• Service_Now: فتح تذكرة دعم فني.

ملاحظة: في نسخة TheHive 5، يمكن إعداد مسار موافقة يتطلب تأكيداً من محلل ثانٍ قبل تنفيذ الاستجابة.

القوالب — توحيد الاستجابة

تُعرف القوالب لمرة واحدة: "Phishing"، "Lost Laptop"، "Suspicious Process". كل قالب يحدد:

• المهام (مع الوصف والمكلفين بها).
• الحقول المخصصة (لاتفاقية مستوى الخدمة SLA، تصنيف الخطورة).
• تشغيل المحللين تلقائياً عند الإدخال.

تضمن القوالب اتساق العمل بين الفرق المختلفة وتمنع نسيان أي خطوات حرجة.

التقارير (Reporting)

• تصدير التقارير بصيغة PDF أو Markdown لكل قضية.
• لوحات تحكم مخصصة (عبر Grafana باستخدام مقاييس Cassandra).
• مؤشرات الأداء (KPIs): متوسط وقت الكشف (MTTD)، متوسط وقت الاستجابة (MTTR)، ومتوسط وقت الحل.

استكشاف الأخطاء وإصلاحها (Fixes)

منظور المدافع (Defender perspective)

تعتبر منظومة TheHive + Cortex حجر الزاوية لبرنامج الاستجابة للحوادث. لفرق SOC:

• يجب تحويل كل تنبيه إلى قضية لضمان التتبع.
• فرض ثقافة "نظافة المهام" (Task hygiene) — لا تُغلق قضية إلا بإغلاق كافة مهامها.
• تطوير القوالب باستمرار والتعامل معها ككود برمجية (Export YAML).

يفضل دمجها مع: MISP (المعلومات)، Velociraptor (البيانات)، Sentinel/Splunk (التتبع)، YETI (الاستخبارات الخلفية).

أمن العمليات (OPSEC)

• تحتوي القضايا على بيانات حساسة للغاية؛ يجب تأمين الوصول باستخدام mTLS و RBAC و MFA.
• مفاتيح API الخاصة بـ VT و Shodan هي أسرار مؤسسية يجب حمايتها.
• لمزودي الخدمات الأمنية المدارة (MSSPs)، استخدم ميزة Organisations في النسخة 5 لعزل بيانات كل عميل.

أدوات ذات صلة