ما هو برنامج Maltego، ولماذا يُعد أداتك الأساسية في الاستخبارات مفتوحة المصدر؟

تطورت تحقيقات الأمن السيبراني والتحليل الجنائي الرقمي بشكل كبير في السنوات الأخيرة. ومع انتشار البصمات الرقمية وتشتت المعلومات عبر الإنترنت، أصبح تتبع الروابط بين البيانات المختلفة يدويًا أكثر صعوبة، خاصةً في التحقيقات المعقدة.

هنا تبرز أداة Maltego بوصفها إحدى الأدوات الرائدة في مجال التحليل البصري للروابط (Graphical Link Analysis) والاستخبارات مفتوحة المصدر (OSINT).

طُوّر البرنامج في البداية بواسطة شركة Paterva، وأُطلق لأول مرة عام 2008. وتكمن قوته الأساسية في تحويل المعلومات المتفرقة والمعقدة إلى مخططات تفاعلية توضح العلاقات بين الكيانات الرقمية المختلفة، مثل أسماء النطاقات، وعناوين IP، والحسابات، والبريد الإلكتروني، ومعاملات العملات الرقمية، والبنية التحتية للمواقع الإلكترونية.

المفاهيم الأساسية لبنية برنامج Maltego

لفهم كيفية استخدام Maltego بفاعلية، من المهم التعرف على المكونات الأربعة الأساسية التي يقوم عليها البرنامج.

1. الكيانات (Entities)

الكيان هو الوحدة الأساسية لأي مخطط في Maltego، ويمثل عنصر بيانات منفردًا يرغب المستخدم في تحليله، مثل:

• عنوان البريد الإلكتروني.

• رقم الهاتف.

• اسم الشخص.

• اسم النطاق (Domain).

• عنوان IP.

• محفظة البيتكوين.

يوفر البرنامج مجموعة من الكيانات الجاهزة، كما يتيح إنشاء كيانات مخصصة وفقًا لاحتياجات التحقيق.

2. التحويلات (Transforms)

التحويلات هي عمليات آلية تستقبل كيانًا معينًا كمدخل، ثم تستعلم من مصادر البيانات الخارجية وتعيد كيانات جديدة مرتبطة به.

بحسب التكاملات المثبتة والصلاحيات المتاحة، قد تشمل مصادر البيانات خدمات مثل WHOIS وDNS وShodan وVirusTotal وغيرها من منصات الاستخبارات الرقمية.

مثال عملي: عند تشغيل تحويل على كيان يمثل اسم نطاق، قد تظهر عناوين IP المرتبطة بهذا النطاق.

3. مركز التحويلات (Transform Hub)

يُعد Transform Hub مركزًا مدمجًا داخل البرنامج يتيح للمستخدم استعراض التحويلات والتكاملات المتاحة وتثبيتها من Maltego أو شركائها أو مزودي الخدمات الخارجية.

ومن أمثلة المنصات المتكاملة معه:

• Censys

• CrowdStrike

• VirusTotal

• Social Links

بعض التكاملات متاحة مجانًا، بينما يتطلب بعضها الآخر اشتراكًا أو مفتاح API.

4. الآلات والتحليل المؤتمت (Machines)

الآلات هي مسارات عمل مؤتمتة تنفّذ سلسلة من التحويلات المتتابعة بأقل تدخل يدوي ممكن.

على سبيل المثال، يمكن إعداد مسار عمل لجمع عناوين البريد الإلكتروني المنشورة علنًا والمرتبطة بنطاق معين، ثم استكشاف علاقاتها بالمعلومات العامة الأخرى.

تعتمد الإمكانات المتاحة على التكاملات المثبتة ومصادر البيانات ونوع الاشتراك المستخدم.

دليل عملي خطوة بخطوة: كيف تبدأ تحقيقًا رقميًا؟

الخطوة الأولى: تثبيت البرنامج وإعداد الحساب

يدعم Maltego أنظمة التشغيل Windows وmacOS وLinux، وقد تتوفر خيارات تثبيته ضمن مستودعات بعض توزيعات الأمن السيبراني، مثل Kali Linux.

بعد تشغيل البرنامج، أنشئ حسابًا أو سجّل الدخول إلى حسابك. وتوفر نسخة Maltego Community Edition المجانية نقطة بداية مناسبة لتعلم أساسيات البرنامج وتجربة إمكاناته.

الخطوة الثانية: إعداد مركز التحويلات (Transform Hub)

افتح مركز التحويلات، ثم استعرض التكاملات المتاحة ضمن خطتك.

ثبّت الأدوات المناسبة لطبيعة التحقيق. وقد تتطلب بعض الخدمات التسجيل لدى مزود الخدمة وإضافة مفتاح API قبل استخدام التحويلات الخاصة بها.

الخطوة الثالثة: إنشاء مخطط جديد وإضافة الكيانات

أنشئ مخططًا جديدًا (New Graph)، ثم استخدم لوحة الكيانات (Entity Palette) لاختيار الكيان المطلوب وإضافته إلى مساحة العمل.

على سبيل المثال:

• اختر كيان Domain وأدخل اسم نطاق مصرح لك بتحليله، مثل example.com.

• اختر كيان Person أو Phrase عند بدء البحث باستخدام اسم شخص أو عبارة محددة.

احرص على تحديد سؤال واضح للتحقيق قبل البدء حتى تتمكن من تنظيم عملية البحث وتجنب جمع معلومات غير ضرورية.

الخطوة الرابعة: تشغيل التحويلات وتوسيع المخطط (Pivoting)

انقر بزر الفأرة الأيمن على الكيان، ثم اختر التحويل المناسب لاستكشاف المعلومات المرتبطة به.

من الأمثلة على ذلك:

1. To DNS Name – NS: التعرف على خوادم الأسماء المرتبطة بالنطاق.

2. To IP Address: اكتشاف عناوين IP المرتبطة بالنطاق.

3. To Email Addresses: البحث عن عناوين البريد الإلكتروني المنشورة في صفحات الويب ذات الصلة، إذا كان التحويل يدعم ذلك.

4. تحويلات SOCMINT: استكشاف المعلومات المتاحة علنًا عن حسابات التواصل الاجتماعي من خلال التكاملات المدعومة.

يمكن لكل تحويل ناجح أن يضيف كيانات وعلاقات جديدة إلى المخطط، مما يسمح بتوسيع التحقيق تدريجيًا.

الخطوة الخامسة: تنظيم المخطط باستخدام طرق العرض والتخطيطات

عندما يتوسع المخطط ويضم مئات الكيانات، يصبح تنظيم المعلومات أمرًا ضروريًا.

استخدم قائمة العرض (View) وخيارات التخطيط المتاحة لتحسين وضوح العلاقات:

• Organic Layout: ترتيب الكيانات بطريقة تساعد على ملاحظة الروابط والتجمعات.

• Hierarchical Layout: تنظيم الكيانات في تسلسل هرمي واضح.

• Diverse Descent: استكشاف الكيانات المرتبطة عبر مستويات متتابعة من العلاقات، وفقًا للميزات المتاحة في إصدار البرنامج.

تساعد هذه الخيارات على تقليل التداخل البصري والتركيز على الروابط الأكثر أهمية للتحقيق.

سيناريوهات عملية لاستخدام Maltego في الأمن السيبراني

السيناريو الأول: التحقيق في الأشخاص محل الاهتمام

يبدأ المحلل باستخدام اسم شخص أو عبارة بحث، ثم يفحص المصادر العامة ذات الصلة، مثل الملفات المهنية والمواقع الشخصية والسجلات المنشورة.

بعد ذلك، يمكن استكشاف بيانات التواصل المنشورة علنًا وحسابات التواصل الاجتماعي المتاحة، ثم إنشاء مخطط يوضح العلاقات المكتشفة.

الهدف: تحديد المعلومات العامة والروابط ذات الصلة، مع التحقق من أن السجلات المختلفة تعود إلى الشخص نفسه وليست لأشخاص يحملون أسماء متشابهة.

السيناريو الثاني: تتبع البنية التحتية للبرمجيات الخبيثة

عندما يحصل المحلل على مؤشرات اختراق (IoCs)، مثل عناوين IP المشبوهة أو أسماء النطاقات، يمكن إدخالها إلى Maltego لمواصلة التحقيق.

قد تساعد التحويلات المدعومة من VirusTotal وغيرها من منصات استخبارات التهديدات في اكتشاف النطاقات والملفات والبنية التحتية المرتبطة بهذه المؤشرات.

يمكن للمخطط الناتج أن يكشف العلاقات بين الأجهزة المشبوهة والملفات والبنية التحتية التي قد ترتبط بحملة برمجيات خبيثة.

الهدف: فهم الروابط بين مؤشرات التهديد ودعم التحقيق في الحوادث الأمنية والاستجابة لها.

السيناريو الثالث: التحقيق في العملات الرقمية

يمكن استخدام Maltego لدعم التحقيقات المتعلقة بالعملات الرقمية، من خلال تمثيل العلاقات بين عناوين المحافظ والمعاملات عبر التكاملات المتاحة.

على سبيل المثال، يمكن تحليل العلاقات وفق التسلسل التالي:

Address → Transaction → Address

أي: عنوان محفظة ← معاملة ← عنوان محفظة آخر.

كما يمكن الاستفادة من بيانات مستكشفي البلوك تشين ومصادر أخرى لتتبع حركة المعاملات وتحليل الارتباطات المحتملة بخدمات منصات التداول.

الهدف: عرض العلاقات بين المعاملات والمحافظ بصريًا، ودعم تحليل حركة الأموال الرقمية.

تجدر الإشارة إلى أن معاملات البلوك تشين غالبًا ما تكون مستعارة الهوية؛ لذلك فإن تحديد المالك الحقيقي لمحفظة يتطلب أدلة إضافية، ولا يكفي وجود ارتباط بين المعاملات لإثبات الهوية أو ارتكاب مخالفة.

أفضل الممارسات والنصائح للمحققين الرقميين

• حدد خطة واضحة للتحقيق: عرّف الهدف قبل جمع المعلومات لتجنب إغراق المخطط ببيانات غير ضرورية.

• استخدم الإشارات المرجعية والملاحظات: ميّز الكيانات المهمة وسجّل الملاحظات أثناء التحقيق.

• شغّل التحويلات بشكل انتقائي: تجنب تشغيل جميع التحويلات دون تمييز على المخططات الكبيرة، لتفادي استهلاك رصيد الاستعلامات أو تجاوز حدود الاستخدام لدى مزودي الخدمات.

• احفظ الإعدادات وأعد استخدامها: عند استيراد ملفات CSV، احتفظ بإعدادات تعيين الحقول (Mapping Configuration) إذا كانت الميزة متاحة.

• احمِ بيانات التحقيق: قد تحتوي المخططات على معلومات حساسة، لذا احفظها بأمان ولا تشارك التقارير إلا مع الجهات المصرح لها.

• تحقق من النتائج: تعامل مع الروابط المكتشفة باعتبارها مؤشرات للتحقيق، وأكّد النتائج المهمة باستخدام مصادر مستقلة وموثوقة.

• التزم بالخصوصية والأنظمة: اجعل التحقيقات لأغراض مشروعة، واحصل على التصاريح اللازمة عند التعامل مع بيانات الأفراد أو المؤسسات.

التوصيات

يُعد Maltego أداة مهمة لمتخصصي الأمن السيبراني ومحللي استخبارات التهديدات ومحققي الأدلة الجنائية الرقمية. فمن خلال تحويل المعلومات المعقدة والمتفرقة إلى مخططات مرئية للعلاقات، يساعد البرنامج على اكتشاف الروابط والأنماط وتنظيم نتائج التحقيق.

وبالنسبة للمبتدئين، تمثل Maltego Community Edition نقطة انطلاق مناسبة لتعلم التحليل القائم على المخططات وتقنيات الاستخبارات مفتوحة المصدر (OSINT).

ونوصي في معهد دروبي كوم العالي للتدريب بالبدء بالتطبيق العملي على بيانات تجريبية وأهداف مصرح بفحصها، لبناء المهارات اللازمة والتدرج نحو التحقيقات المتقدمة في مجال الأمن السيبراني.



لتنزيل الأداة من الموقع الرسمي: Maltego