MISP - منصة مشاركة معلومات التهديدات
MISP هو حل برمجي مفتوح المصدر لجمع وتخزين وتوزيع ومشاركة مؤشرات الأمن السيبراني والتهديدات المتعلقة بتحليل حوادث الأمن السيبراني وتحليل البرامج الضارة. تم تصميم مجموعة خدمات MISP من قبل محللي الحوادث ومتخصصي الأمن وتكنولوجيا المعلومات والاتصالات أو أدوات عكس البرامج الضارة لدعم عملياتهم اليومية لمشاركة المعلومات المنظمة بكفاءة.
إن الهدف من مجموعة خدمات MISP هو تعزيز تبادل المعلومات المنظمة داخل مجتمع الأمن وخارجه. توفر مجموعة خدمات MISP وظائف لدعم تبادل المعلومات وكذلك استهلاك المعلومات المذكورة بواسطة أنظمة كشف التسلل إلى الشبكة (NIDS) وLIDS وأيضًا أدوات تحليل السجل وSIEMs.
● الوظائف الأساسية ● الموقع الإلكتروني / الدعم ● التثبيت ● التوثيق ● المساهمة
● الترخيص
| أحدث إصدار | |
| سي.آي | |
| ثرثرة | |
| مستودون | |
|
| تغريد | |
| التعريب | |
| المساهمين | |
| رخصة | |
الوظائف الأساسية
- نظام أساسي كامل وقوي لمشاركة المعلومات المتعلقة بالتهديدات يمكن نشره محليًا أو في السحابة أو كحل SaaS، وهو مناسب للمؤسسات من جميع الأحجام.
- يمكن وصف معلومات التهديد بسهولة، بدءًا من المؤشرات ومرورًا بالتقنيات وحتى التكتيكات، في مجموعة خدمات MISP ، بدءًا من البيانات القابلة للتنفيذ القابلة للقراءة آليًا وحتى التقارير التفصيلية بتنسيق Markdown.
- تم دمج نظام تقارير مرن في مجموعة خدمات MISP، مما يتيح وصف معلومات التهديد مع إشارات مرجعية إلى المكونات التي يمكن قراءتها آليًا، بما في ذلك الكائنات والسمات.
- قاعدة بيانات سريعة وفعالة لنقاط البيانات الذرية، ومؤشرات الكائنات المعقدة والمحددات ، مما يتيح تخزين المعلومات التقنية وغير التقنية المتعلقة بذكاء الأمن السيبراني بالإضافة إلى سياقات استخباراتية أوسع.
- محرك الارتباط التلقائي، الذي يكشف عن العلاقات بين سمات ومؤشرات البرامج الضارة أو حملات الهجوم أو التحليلات أو التهديدات الأخرى الموصوفة. يعالج محرك الارتباط الترابط بين السمات المطابقة بالإضافة إلى أنماط الارتباط الأكثر تقدمًا مثل تداخلات التجزئة الغامضة (مثل ssdeep) ومطابقة كتلة CIDR. يمكن أيضًا تمكين الارتباطات أو تعطيل الحدث على مستويات مختلفة من التفاصيل.
- نموذج بيانات مرن ، حيث يمكن التعبير عن الكائنات المعقدة وربطها معًا للتعبير عن معلومات حول التهديدات أو الحوادث أو العناصر المرتبطة .
- وظيفة مشاركة مدمجة لتسهيل تبادل المعلومات، باستخدام نماذج توزيع مختلفة وقابلة للتخصيص. يمكن لمجموعة خدمات MISP مزامنة الأحداث والسمات تلقائيًا بالإضافة إلى معلومات التهديد ذات المستوى الأعلى بين مثيلات مجموعة خدمات MISP المختلفة. يمكن استخدام وظائف التصفية المتقدمة لتلبية سياسة المشاركة الخاصة بكل مؤسسة، بما في ذلك إمكانية مجموعة المشاركة المرنة والتفاصيل حتى مستوى السمات الذرية.
- واجهة مستخدم بديهية للمستخدمين النهائيين لإنشاء الأحداث والسمات/المؤشرات وتحديثها والتعاون فيها، بالإضافة إلى واجهة رسومية للتنقل بسلاسة بين الأحداث وارتباطاتها بالإضافة إلى وظيفة الرسم البياني للحدث لإنشاء وعرض العلاقات بين الكائنات والصفات. وظائف التصفية المتقدمة وقوائم التحذير لمساعدة المحللين على المساهمة بالأحداث والسمات والحد من مخاطر النتائج الإيجابية الكاذبة.
- نظام سير عمل شامل لتسهيل خطوط البيانات التلقائية والقابلة للتخصيص في مجموعة خدمات MISP، بما في ذلك تأهيل البيانات والتحليل الآلي والتعديل والتحكم في النشر.
- تخزين البيانات بتنسيق منظم، مما يتيح الاستخدام الآلي لقاعدة البيانات لأغراض مختلفة، مع دعم واسع النطاق لمؤشرات الأمن السيبراني، ومؤشرات الاحتيال (على سبيل المثال، في القطاع المالي)، وسياقات استخباراتية أوسع.
- يمكن الوصول إلى جميع المعلومات الاستخباراتية والمعلومات المخزنة في MISP عبر واجهة المستخدم ولكن أيضًا من خلال واجهة ReST API الشاملة الموصوفة باسم OpenAPI.
- التصدير : إنشاء مخرجات بتنسيقات مختلفة، بما في ذلك تنسيقات IDS الأصلية المتنوعة وOpenIOC والنص العادي وCSV وMISP JSON وSTIX (XML وJSON) الإصدارين 1 و2 وصادرات NIDS (Suricata وSnort وBro/Zeek) ومناطق RPZ وتنسيقات ذاكرة التخزين المؤقت لأدوات الطب الشرعي. يمكن إضافة تنسيقات إضافية، مثل PDF، بسهولة وهي متاحة عبر وحدات MISP أو تخصيصها كوحدات تصدير مدمجة.
- الاستيراد : دعم استيراد النص الحر، واستيراد عنوان URL، والاستيراد المجمع، واستيراد الدُفعات، والاستيراد من التنسيقات بقائمة طويلة من التنسيقات، بما في ذلك التنسيق القياسي الخاص بـ MISP، أو STIX 1.x/2.0، أو CSV، أو تنسيقات خاصة مختلفة. يمكن إضافة تنسيقات إضافية بسهولة عبر نظام الوحدات الخاطئة.
- أداة مرنة لاستيراد النص الحر لتبسيط عملية دمج التقارير غير المنظمة في مجموعة خدمات MISP، مع الاكتشاف التلقائي للتقارير الخارجية وتحويلها عبر عناوين URL المتوفرة والتقارير النصية مع التحويل التلقائي إلى تقارير مجموعة خدمات MISP والكائنات والسمات.
- نظام سهل الاستخدام للتعاون في الأحداث والسمات مما يسمح لمستخدمي مجموعة خدمات MISP باقتراح تغييرات أو تحديثات للسمات/المؤشرات أو تقديم وجهات نظر خاصة أو تحليلات مضادة للمعلومات المشتركة.
- ميزة تحليل بيانات واسعة النطاق تسمح للمحللين بإضافة آراء أو علاقات أو تعليقات إلى أي معلومات استخباراتية في مجموعة خدمات MISP، والتي يمكن مشاركتها باستخدام آليات المشاركة الخاصة بمجموعة خدمات MISP.
- مشاركة البيانات : تبادل المعلومات ومزامنتها تلقائيًا في الوقت الفعلي مع الأطراف الأخرى ومجموعات الثقة باستخدام MISP، مع دعم مستويات المشاركة الدقيقة ومجموعات المشاركة المخصصة.
- تفويض المشاركة : يسمح بآلية بسيطة ومجهولة المصدر لتفويض نشر بيانات مجموعة خدمات MISP للمجتمعات.
- واجهة برمجة تطبيقات مرنة لدمج مجموعة خدمات MISP مع الحلول الخاصة بك. تم دمج MISP مع PyMISP وهي مكتبة Python مرنة لجلب سمات الأحداث أو إضافتها أو تحديثها أو التعامل مع عينات البرامج الضارة أو البحث عن السمات. واجهة برمجة تطبيقات RestSearch شاملة للبحث بسهولة عن المؤشرات في مجموعة خدمات MISP وتصديرها بجميع التنسيقات التي تدعمها مجموعة خدمات MISP.
- أدوات مدمجة لإنشاء واختبار وتحليل الاستعلامات المعقدة مباشرة في MISP GUI باستخدام عميل واجهة برمجة التطبيقات (API) الذي يتميز بدرجة عالية من الوعي بالسياق.
- تصنيف قابل للتعديل لتصنيف الأحداث ووضع علامات عليها وفقًا لمخططات التصنيف الخاصة بك أو التصنيف الحالي. يمكن أن يكون التصنيف محليًا بالنسبة لمجموعة خدمات MISP الخاصة بك ولكنه أيضًا قابل للمشاركة بين مثيلات MISP.
- مفردات استخباراتية تسمى MISP galaxy وهي مجمعة مع جهات التهديد الحالية أو البرامج الضارة أو RAT أو برامج الفدية أو MITRE ATT&CK والتي يمكن ربطها بسهولة بالأحداث والتقارير والسمات في MISP.
- وحدات التوسعة في Python لتوسيع مجموعة خدمات MISP بخدماتك الخاصة أو تنشيط وحدات MISP المتوفرة بالفعل.
- دعم الرؤية للحصول على ملاحظات من المنظمات فيما يتعلق بالمؤشرات والسمات المشتركة. يمكن المساهمة في الرؤية عبر واجهة مستخدم MISP وواجهة برمجة التطبيقات (API) كبيانات MISP أو مستندات رؤية STIX.
- تم دمج دعم تنسيق MISP القياسي في MISP ويتم استخدامه بواسطة قائمة طويلة من الأدوات والمنظمات في جميع أنحاء العالم. يعد تنسيق MISP القياسي مستقرًا ومتوافقًا مع مجموعات البيانات القديمة.
- دعم STIX : استيراد وتصدير البيانات بتنسيقات STIX الإصدارين 1 و2، مع الاستفادة من مكتبة Misp-Stix القوية.
- التشفير المتكامل وتوقيع الإشعارات عبر GnuPG و/أو S/MIME حسب تفضيلات المستخدم.
- ميزة لوحة المعلومات : مدمجة في MISP، مما يسمح للمستخدمين والمؤسسات بإنشاء ومشاركة تكوينات لوحة المعلومات المركبة المخصصة بالإضافة إلى إنشاء حلول مراقبة مخصصة مباشرةً في واجهة السحب والإفلات.
- قناة النشر والاشتراك في الوقت الفعلي داخل MISP للحصول تلقائيًا على جميع التغييرات (مثل الأحداث الجديدة أو المؤشرات أو المشاهدات أو العلامات) في ZMQ (مثل SkillAegis) أو نشر Kafka.
- أنظمة فرعية مرنة للتسجيل للمساعدة في تدقيق النظام بالإضافة إلى إجراءات قاعدة المستخدمين على النظام، مع دعم تنسيقات الإخراج المختلفة بالإضافة إلى مجموعة واسعة من آليات النقل لاحتياجات التسجيل المركزية.
- RBAC قابل للتخصيص ، مما يسمح بتشغيل تكوينات MISP كأداة داخلية متساهلة بالإضافة إلى مثيلات مجتمعية منظمة بإحكام.
- توقيع المعلومات والتحقق من صحتها لمجتمعات مشاركة المعلومات الأكثر تنوعًا وحساسية.
- تشمل البطاريات : قائمة طويلة من أدوات النسخ الاحتياطي، والتكامل مع موفري الهوية وأنظمة المصادقة، وشبكات الأمان لمنع تسرب المعلومات (مثل MISP-Guard)، بالإضافة إلى أدوات مراقبة النظام.
- التزام المصدر المفتوح : إن مجموعة خدمات MISP وحقوق النشر الخاصة بها مملوكة بالكامل بترخيص متشابك بين جميع المساهمين، مما يضمن عدم قدرة أي منظمة أو شركة على الإطلاق على تغيير ترخيص أو نموذج مجموعة خدمات MISP. يمكن لمستخدمي MISP الاعتماد على الأداة التي لا تتحول مطلقًا إلى أداة نموذجية متعددة المستويات مغلقة المصدر/ملكية/شبه مفتوحة.
المزايا الرئيسية
تتمثل الفائدة الرئيسية لاستخدام مجموعة خدمات MISP في قدرتها على العمل كمنصة شاملة وقوية لتبادل المعلومات المتعلقة بالتهديدات والتعاون ، مما يمكّن المؤسسات من جميع الأحجام من:
- مركزية وإدارة المعلومات الاستخباراتية: تخزين وتنظيم وتحليل معلومات التهديدات التقنية وغير الفنية بكفاءة.
- تعزيز التعاون: شارك المعلومات بشكل آمن ومرن مع مجموعات الثقة، مع الاستفادة من آليات المشاركة التفصيلية والمزامنة في الوقت الفعلي.
- تحسين الاكتشاف والاستجابة: ربط المؤشرات وإثراء المعلومات وأتمتة سير العمل لتعزيز قدرات الكشف والتحليل والاستجابة.
- تعزيز التكامل وقابلية التشغيل البيني: التكامل بسلاسة مع الأدوات والأنظمة الحالية باستخدام واجهات برمجة التطبيقات والامتدادات المعيارية ودعم التنسيقات القياسية مثل STIX والتنسيق القياسي الخاص بـ MISP.
- تمكين الرؤى القابلة للتنفيذ: توفير معلومات قابلة للتنفيذ وقابلة للقراءة آليًا مع دعم التقارير التفصيلية أيضًا لاتخاذ القرارات الإستراتيجية والتشغيلية.
تعمل مجموعة خدمات MISP على تمكين فرق الأمن السيبراني من خلال منصة قابلة للتطوير ومرنة وسهلة الاستخدام لتبسيط عمليات استخبارات التهديدات وتحسين قدراتهم الدفاعية الجماعية.
نموذج لحدث تم ترميزه في MISP:
الموقع / الدعم
راجع موقع الويب للحصول على مزيد من المعلومات حول برامج MISP ومعاييرها وأدواتها ومجتمعاتها.
يتم أيضًا نشر المعلومات والأخبار والتحديثات بانتظام على حساب مشروع MISP Mastodon وحساب تويتر وصفحة الأخبار.
تثبيت
بالنسبة لعمليات التثبيت الاختبارية والإنتاجية، نوصيك بمراجعة الخيارات الممكنة على موقع misp-project.org/download.
التوثيق
يتوفر دليل مستخدم MISP (كتاب MISP) عبر الإنترنت أو بصيغة PDF أو بصيغة EPUB أو بصيغة MOBI/Kindle.
يوصى أيضًا بقراءة الأسئلة الشائعة
المساهمة
إذا كنت مهتمًا بالمساهمة في مشروع MISP، فراجع صفحة المساهمة الخاصة بنا. هناك طرق عديدة للمساهمة والمشاركة في المشروع.
يرجى الاطلاع على قواعد السلوك لدينا.
لا تتردد في تفرع الكود واللعب به وإجراء بعض التصحيحات وإرسال طلبات السحب إلينا عبر المشكلات.
لا تتردد في الاتصال بنا، وإنشاء مشكلات، إذا كانت لديك أسئلة أو ملاحظات أو تقارير الأخطاء.
يوجد فرع رئيسي واحد (2.5) وفرع ثابت واحد لـ 2.4:
- 2.5 (الإصدار المستقر الحالي): ما نعتبره مستقرًا مع تحديثات متكررة كإصلاحات عاجلة.
- 2.4 (الإصدار المستقر القديم): ما نعتبره مستقرًا مع تحديثات متكررة كإصلاحات عاجلة حتى أبريل 2025.
جنبا إلى جنب مع فرعين للتنمية:
- تطوير (فرع التطوير الرئيسي): الفرع الذي يحتوي على جميع الأعمال الجارية، ليتم دمجه في 2.5 عند كل إصدار
- 2.4-التطوير (2.4 فرع التطوير): الفرع الذي يحتوي على العمل المستمر الذي سيتم دمجه في 2.4 في كل إصدار قديم بالإضافة إلى عمليات الدمج المتكررة في التطوير. نحن نعتبر هذه نقطة الدخول الرئيسية للتطوير الجديد لـ 2.x حتى تنتهي فترة السماح البالغة 6 أشهر.
رخصة
هذا البرنامج مرخص بموجب رخصة جنو أفيرو العامة الإصدار 3
- حقوق الطبع والنشر (C) 2012-2024 لكريستوف فانديبلاس
- حقوق الطبع والنشر (C) 2012 الدفاع البلجيكي
- حقوق الطبع والنشر (C) 2012 الناتو / NCIRC
- حقوق الطبع والنشر (C) 2013-2024 أندراس إيكلودي
- حقوق الطبع والنشر (C) 2015-2024 CIRCL - مركز الاستجابة لحوادث الكمبيوتر في لوكسمبورغ
- حقوق الطبع والنشر (C) 2016 لأندرياس زيغلر
- حقوق الطبع والنشر (C) 2018-2024 سامي المقدم
- حقوق الطبع والنشر (C) 2018-2024 كريستيان ستودر
- حقوق الطبع والنشر (C) 2015-2024 ألكسندر دولونوي
- حقوق الطبع والنشر (C) 2018-2022 ستيف كليمنت
- حقوق الطبع والنشر (C) 2020-2024 جاكوب أوندركا
لمزيد من المعلومات، قائمة المؤلفين والمساهمين متاحة.
