عن المشروع

Maltrail هو نظام مفتوح المصدر لكشف حركة مرور الشبكة يحدد الاتصال ببنية تحتية خبيثة معروفة ويبلغ عن حالات شاذة مختارة في حركة المرور. يطابق النطاقات وعناوين URL وعناوين IP وأزواج IP:port وقيم User-Agent وبصمات JA3/JA4 TLS وتجزئات الشهادات المرصودة على الشبكة مع مجموعة من المؤشرات تسمى trails. يتكون المشروع من مكونين قابلين للنشر بشكل مستقل. يستخدم مستشعر Rust متعدد الخيوط libpcap لالتقاط حركة المرور وإجراء مطابقة trails والتحليل الاستكشافي وإنتاج الأحداث. يقبل خادم Python الأحداث ويخزنها في سجلات يومية ويوفر واجهة HTTP API وواجهة تقارير قائمة على المتصفح. يمكن للمستشعر كتابة الأحداث محليًا أو إعادة توجيهها إلى خادم Maltrail بعيد أو إصدار CEF عبر syslog أو إرسال JSON إلى Logstash. يتم تجميع trails من أكثر من 3000 ملف ثابت مضمّن و42 تكاملًا مع مصادر عامة ومؤشرات اختيارية يوفرها المشغل. يدمج المحدّث المصادر وtrails المخصصة وtrails الثابتة من مستودع منفصل وقوائم المحرك في قاعدة بيانات trails، وينشر التحديثات بشكل ذري فقط بعد بناء ناجح. تساعد درجة الثقة المستمدة من توافق المصادر في تحديد أولويات الفرز. تدعم واجهة التقارير التحديثات المباشرة عبر Server-Sent Events والبحث الواعي بالحقول باستخدام محددات مثل src: وdst: وport: وproto: وtrail: وsev: والبحث الرجعي عبر السجلات المحتفظ بها والعروض الجغرافية وحالة الفرز والملاحظات لكل تهديد وحالة المستشعر والعروض المحفوظة والتصدير بصيغة CSV/JSON. يستخدم إثراء البلد وASN عمليات بحث RIPE بواسطة الخادم، مع بديل محلي للتشغيل دون اتصال. تغطي الاستكشافات المسح واستنفاد DNS وعمليات البحث الشبيهة بـ DGA والتنزيلات المشبوهة وفحوصات الوكيل وقيم User-Agent المشبوهة. يتوفر التحقق من النشر عبر maltrail-sensor -T، ويمكن تمكين مقاييس Prometheus الاختيارية. يتم دعم التثبيت عبر مثبّت shell تم التحقق منه على توزيعات Linux متعددة وFreeBSD وNetBSD وOpenBSD وmacOS، بالإضافة إلى Docker Compose وبناء المصدر يدويًا. يتم توفير ملفات ثنائية جاهزة للمستشعر لأنظمة Linux x86_64 وaarch64 (glibc وmusl) وmacOS وFreeBSD وWindows. صُمم Maltrail لمراقبة الشبكة القائمة على المؤشرات. تكمل اكتشافاته الاستكشافية مطابقة trails لكنها لا تحل محل قياسات نقطة النهاية أو نظام منع التسلل متعدد الأغراض.