---

Was ist SecFlow?

SecFlow ist eine Open-Source automatisierte Bedrohungsanalyse-Pipeline, die für Sicherheitsanalysten, SOC-Teams und Forscher entwickelt wurde. Anstatt manuell verschiedene Tools auszuführen und Ergebnisse zu korrelieren, tut SecFlow:

1. Klassifiziert Ihre Eingabe mit deterministischen Regeln (kein KI in Durchgang 1)
2. Leitet es über HTTP-Mikrodienste an den richtigen spezialisierten Analysator weiter
3. Bewertet die Ergebnisse jedes Durchgangs mit Groq KI, um den nächsten Schritt zu entscheiden
4. Wiederholt — IOCs folgen, Payloads herunterladen, zwischen Analysatoren wechseln
5. Berichtet — erstellt einen PWNDoc HTML-Bericht mit YARA-Erkennungsregeln, SIGMA SIEM-Regeln, MITRE ATT&CK-Zuordnungen und PDF-Export mit einem Klick

---

Funktionen

Funktion	Detail
KI-gesteuertes Routing	Groq qwen/qwen3-32b entscheidet nach jedem Durchgang über den nächsten Analysator — keine manuelle Konfiguration
5 spezialisierte Analysatoren	Malware · Steganographie · Aufklärung · Webschwachstellen · Makro/Office
Intelligenter erster Durchgang	Deterministische Regeln von file + python-magic im ersten Durchgang — KI wird nur bei mehrdeutigem Typ aufgerufen
Herunterladen und Analysieren	Folgt IOCs — lädt in Rohausgabe gefundene Payloads herunter und leitet sie an den richtigen Analysator weiter
YARA-Regelgenerierung	Generiert automatisch 2–5 einsatzbereite YARA-Regeln pro Analyse, jede mit genauen Nachweisen, die sie begründen
SIGMA-Regelgenerierung	Generiert automatisch 2–4 SIGMA-Regeln für Splunk / Elastic / Sentinel — die verschiedene Logquellen abdecken
MITRE ATT&CK-Zuordnung	Jede Erkenntnis wird echten TTP-IDs mit Taktiknamen zugeordnet
Zwei Berichtsformate	HTML-Bericht (im Browser als PDF druckbar) + strukturierter JSON-Bericht (direkt an KI zur weiteren Analyse verfütterbar)
React Dashboard	Vollständige Frontend-Benutzeroberfläche — Analysen einreichen, Live-Pipeline-Fortschritt anzeigen, Ergebnisse pro Analysator durchsuchen
VirusTotal Integration	Sowohl Malware- als auch Makro-Analysatoren fragen 70+ AV-Engines über VT API v3 ab
Konfigurierbare Schleifentiefe	3, 4 oder 5 Durchgänge — frühzeitiger Abbruch, wenn KI keine weiteren Signale meldet
Standalone-Modus	Jeder Analysator-Mikrodienst stellt eine eigene REST-API bereit — unabhängig nutzbar

---

Architektur```

User Input (file / URL / IP / domain / image) │ ▼ ┌────────────────────────────────┐ │ Input Classifier │ file + python-magic → deterministic rule │ (Rule-based, pass 1 only) │ unknown type? → Groq AI fallback └───────────────┬────────────────┘ │ first analyzer selected ▼ ┌────────────────────────────────────────────────────────┐ │ Analyzer Loop (N = 3 / 4 / 5 passes) │ │ │ │ ┌──────────────────────────────────────────────────┐ │ │ │ Run Analyzer (HTTP → Docker microservice) │ │ │ │ Malware · Steg · Recon · Web · Macro │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ findings + raw_output │ │ ┌───────────────▼──────────────────────────────────┐ │ │ │ AI Routing Engine (Groq qwen/qwen3-32b) │ │ │ │ IOC extraction → next_tool + target │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ │ │ ┌───────┴──────────────────┐ │ │ next tool null │ │ │ │ │ │ │ Download HTTP payloads │ │ │ from raw_output → re-analyze │ │ └──────────────── repeat ────────────────────┘│ └─────────────────┬──────────────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ Findings Store │ All passes · all findings accumulated └───────────────┬────────────────┘ │ ▼ ┌────────────────────────────────────────────┐ │ Threat Intelligence Engine │ │ (Groq llama-3.3-70b-versatile) │ │ ├─ Threat Summary + MITRE ATT&CK TTPs │ │ ├─ YARA Detection Rules (2–5 rules) │ │ └─ SIGMA SIEM Rules (2–4 rules) │ └───────────────┬────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ PWNDoc HTML Report │ Groq summary → browser-rendered HTML │ │ One-click Export PDF button └────────────────────────────────┘

---

## Schnellstart

### Voraussetzungen

- Docker + Docker Compose
- API-Schlüssel für Groq und VirusTotal (kostenlose Stufen funktionieren)

### 1. Repository klonen```bash
git clone https://github.com/aradhyacp/SecFlow.git
cd SecFlow/backend

2. Umgebungsvariablen konfigurieren```bash

cp .env.example .env

Bearbeite `.env` mit deinen Schlüsseln:```env
# Required
GROQ_API_KEY=your_groq_api_key_here
VIRUSTOTAL_API_KEY=your_vt_api_key_here

# Optional — unlock additional OSINT capabilities
NUMVERIFY_API_KEY=your_numverify_key      # Phone number lookups
THREATFOX_API_KEY=your_threatfox_key      # Higher ThreatFox rate limits
ipAPI_KEY=your_ipapi_key                  # Higher ip-api.com rate limits

# Pipeline control
MAX_PASSES=3                              # 3 | 4 | 5

3. Starte alle Dienste```bash

docker compose up -d

Dies startet 6 Container:

| Service | Port | Rolle |
|---|---|---|
| `orchestrator` | `5000` | Pipeline-Controller — Haupt-Einstiegspunkt |
| `malware-analyzer` | `5001` | Ghidra-Dekompilierung + VirusTotal |
| `steg-analyzer` | `5002` | binwalk + zsteg + steghide + ExifTool |
| `recon-analyzer` | `5003` | ip-api + ThreatFox + OSINT |
| `web-analyzer` | `5005` | HTTP-Schwachstellenscanner + Header-Audit |
| `macro-analyzer` | `5006` | oletools (olevba) + VirusTotal |

> **Hinweis:** Der erste Start kann mehrere Minuten dauern — der Malware Analyzer lädt Ghidra 12.0.1 (~500 MB) herunter und benötigt eine JDK-21-JVM.