عن المشروع

Forensicnomicon هو مشروع معرفة كرمز (knowledge-as-code) في مجال الطب الشرعي الرقمي والاستجابة للحوادث (DFIR) من SecurityRonin. يجمع المعرفة الجنائية في مكتبة Rust بدون تبعيات وواجهة سطر أوامر دون اتصال (`4n6query`)، مما يتيح استعلامات بالمللي ثانية دون متصفح أو اتصال بالشبكة. **القدرات الأساسية:** - **كتالوج القطع الأثرية:** 6,554 قطعة أثرية جنائية عبر بيئات ويندوز ولينكس وماكوس والسحابة. تتضمن الإدخالات مخططات حقول مفككة، ومعاني مكتوبة من محللين، وأولويات فرز، وتقييمات قوة أدلة، ومحاور كشف. تشمل المصادر أهداف KAPE، وYAML الخاصة بـ ForensicArtifacts، وقنوات EVTX/ETW، وقطع Velociraptor، والمزيد. - **بحث موحد لـ LOL/LOFL:** ست مجموعات بيانات (LOLBAS، GTFOBins، LOOBins، أوامر LOFL، إضافات MMC، فئات WMI) مدمجة في واجهة برمجة تطبيقات واحدة، تغطي ثنائيات ويندوز ولينكس وماكوس. - **مواقع قابلة للاستغلال:** خرائط للنطاقات المستخدمة في C2 والتصيد وتسليم الحمولات، مع تقييمات مخاطر الحظر. - **جداول المؤشرات:** منافذ، عمليات، أوامر، مسارات، استمرارية، مكافحة الطب الشرعي، وصول عن بعد، ومؤشرات تطبيقات طرف ثالث. - **وحدات الإثراء:** تدفق MITRE ATT&CK، قواعد Sigma، قوالب YARA، تعيينات KAPE/Velociraptor، قواعد Chainsaw، تعيينات STIX، وتلميحات زمنية. - **تقارير موحدة (`report`):** مفردات نتائج مشتركة لجميع محللات SecurityRonin، مع مستويات خطورة وفئات وملاحظات قائمة على الأدلة. - **سجل الحالة (`history`):** بدائل تنقل مفهرسة زمنياً لقطع القرص والذاكرة والسجلات، مع ملفات زمنية لكل عائلة مصدر. **أمثلة استخدام سطر الأوامر:** ```bash 4n6query certutil.exe # بحث LOLBin 4n6query userassist # بحث قطعة أثرية 4n6query T1547.001 # بحث تقنية MITRE 4n6query --triage # القطع الحرجة أولاً 4n6query dump --format json # تصدير مجموعة البيانات الكاملة ``` **استخدام المكتبة:** أضف `forensicnomicon = "1"` كتبعية للكتالوج الكامل، أو استخدم `forensicnomicon-core` لمحرك مستقر مع `forensicnomicon-data` لقاعدة المعرفة. **المستخدمون:** أسطول محللات الطب الشرعي من SecurityRonin (vmdk-forensic، winevt-forensic، memory-forensic، وغيرها)، وأداة الفرز `issen`، و`blazehash`. مرخصة بموجب Apache-2.0، وتتطلب Rust 1.75+.