NetLogic

Cloud-native Angriffsflächen-Mapper & Schwachstellen-Korrelator — v3.0

NetLogic ist eine Netzwerksicherheitsplattform, die aktives Port-Scanning, CVE-Korrelation (live NVD-API), SSL/TLS-Analyse, HTTP-Sicherheitsaudit, DNS-/E-Mail-Sicherheitsbewertung, Subdomain-Übernahmeerkennung, passives OSINT, aktives Schwachstellen-Scanning, eine KI-gesteuerte Reasoning-Engine, Cross-Host-Angriffsketten-Erkennung und Deep-Probe-Agent-Architektur kombiniert – bereitgestellt als Web-App (React-Dashboard + FastAPI). Die Kern-Scan-Engine ist reines Python 3.9+ stdlib ohne Drittanbieter-Abhängigkeiten.

---

Funktionen

Modul	Beschreibung
Port-Scanner	TCP-Connect-Scan mit 43/58 Ports, 22 Service-Probes, Banner-Grabbing
CVE-Korrelator	Live NVD API v2.0 + EPSS-Anreicherung über FIRST.org
TLS-Analyzer	Protokollversionen, schwache Cipher, POODLE/BEAST/CRIME/DROWN, Zertifikatsablauf
HTTP-Header-Audit	HSTS, CSP, X-Frame-Options, CORS, Cookie-Flags; 0–100 Punkte
Stack-Fingerprint	CMS, Framework, Cloud-Provider, CDN, WAF-Erkennung aus Banner/Header/Body
DNS-Sicherheit	SPF, DKIM, DMARC, DNSSEC, Zonenübertragung, Spoofability-Score
Passives OSINT	Certificate-Transparency-Logs, DoH-DNS, ASN-Abfrage – kein direkter Zielkontakt
Service-Prober	Unauthentifizierte Redis/Mongo/ES/Docker/K8s/etcd-Probes, 33 Admin-Pfade
Takeover-Detektor	CT-Log-Subdomain-Erkennung + 25 Cloud-Provider-CNAME-Fingerprints
Nuclei-Integration	Wrapper für 13k+ Community-Vorlagen (CVE, Tech, Exposure, Misconfig) – MIT-Lizenz
Fusion-Pipeline	Multi-Sensor-Signal-Gate → deterministische Übereinstimmung → KI-Entscheidung → Angriffsgraph → 6-teiliger Bericht
Web-Fingerprint	Favicon-Hash (Shodan-kompatibel mmh3), JS-Secrets, Versionsmarker, exponierte Dateien, Standard-Lander-Erkennung
KI-Analyse	OpenAI / Anthropic / OpenRouter / Ollama / Gemini / Groq / Kimi / Qwen – Token-Streaming-SSE
Reasoning-Engine	Adaptive Observe→Reason→Act-Schleife mit EvidenceGraph, Hypothesen-Engine, Confidence-Delay, Provenance, Scheduler, Playbooks, Änderungserkennung, aktiver Validierung
Deep Probe	Pro-Service-Agent-Architektur: ScoutAgent (Recon), ProbeAgent (gezielte CVE-Checks), Koordinator, Sandbox
KI-Untersuchungs-Agent	ReAct-artige Schleife: Nach den Basis-Sensoren treibt die KI eine kuratierte, bereichsbegrenzte, überwachte Tool-Oberfläche (~35 Tools) an, um Leads zu verifizieren und Angriffsketten aufzubauen – mit optionalen aggressiven Tools (Crash-Probes, freiform Beweis, freiform Exploit) für autorisierte Ziele
Verifier-Engine	KI-gesteuerte CVE-Neuverifikation: Entwirft rohe HTTP-Probe-Pläne aus CVE-Kontext, führt über stdlib-Sockets aus
Multi-Host-Orchestrierung	Vollständige Scan-Pipeline pro Host → cross-host-Kontext und Erreichbarkeitsmatrix → Angriffsketten-Erkennung
KI-Sensor-Direktoren	LLM entscheidet, welche Sensoren basierend auf offenen Ports, Tech-Stack und CVEs priorisiert werden
Authentifiziertes SSH	Credentialed ssh-Subprozess liest echte installierte Paketversionen (60+ Produktzuordnungen)
Service-Enum	Protokollebene-Attributextraktion (SSH KEX, SMBv1, RDP NLA, SNMP Community, HTTP-Auth-Status)
Topologie-Mapper	Reverse-DNS, IPv6, Traceroute, ASN/Org/Land über ip-api.com
Erreichbarkeits-Prober	Post-Compromise-Lateral-Movement-Matrix aus Subnetz-Adjazenz
Netzwerk-Prober	Aktiver Subnetz-Sweep (/24 private Nachbarn) mit zweiphasiger Erkennung (Live-Sweep → vollständiger Port-Scan)
Scan-Diff	Änderungen im Zeitverlauf: Vergleicht aktuellen Scan mit dem letzten vorherigen JSON-Bericht pro Ziel
Lizenzverwaltung	Kommerzielles Lizenzsystem mit Schlüsselaktivierung (Stub für Stripe/Paddle/Lemon Squeezy)
Pro-Org-KI-Konfiguration	Jede Organisation speichert ihre eigenen LLM-Zugangsdaten, ruhend mit Fernet verschlüsselt
OIDC / Clerk	Menschliche Logins über von Clerk ausgestellte Session-JWTs, verifiziert gegen öffentliches JWKS mit automatischer Bereitstellung
PostgreSQL	Vollständige Multi-Tenant-Persistenz mit automatisch angewendeten Migrationen (Scan-Jobs, Org-Einstellungen, Reasoning-Status, Audit)
Fusion-Benchmark	Offline-Benchmark gegen aufgezeichnete HTTP-Cassetten; Precision/Recall/Critical-Recall/FP-Reduction-Metriken

---

So wird es ausgeführt

Es gibt genau zwei Möglichkeiten, NetLogic auszuführen:

Modus	Befehl	Funktion
Web-App	netlogic --gui	Startet FastAPI + serviert die React-SPA + In-Process-Scan-Agent, generiert automatisch Secrets und öffnet das Dashboard im Browser. Dies ist die einzige Möglichkeit, die Web-App auszuführen.
CLI	netlogic <target> [flags]	Einmaliger Terminal-Scan (kein Server), gibt Bericht aus/schreibt ihn.

Die Produktoberfläche ist die Web-App (React-Dashboard + FastAPI). Die Scan-Engine unter src/ betreibt über die Benutzeroberfläche gestartete Jobs.

---

Schnellstart```bash

One-time install

pip install -r requirements-api.txt pip install -e .

Run the web dashboard

netlogic --gui

→ Dashboard at http://localhost:8000, auto-generated secrets in ~/.netlogic/secrets.json

(first run builds the dashboard automatically; requires Node.js)

Or a one-shot CLI scan

netlogic scanme.nmap.org --full

## CLI-Referenz```
netlogic [target] [flags]

Der Einstiegspunkt ist api.cli:main (definiert in pyproject.toml), welcher an netlogic.py:main() delegiert. Die gesamte Scan-Logik befindet sich in src/.

Zielspezifikation

Format	Beispiel	Modus
Hostname	example.com	Einzelhost-Scan
IPv4	10.0.0.5	Einzelhost-Scan
CIDR	192.168.1.0/24	CIDR-Sweep (nur Scanner, keine Fusion)
Kommagetrennt	target1,target2	Multi-Host-Orchestrierung (kontextübergreifend)

Scan-Bereich```

Basic scan — 43 common ports + CVE correlation

netlogic example.com

Full scan — all modules enabled

netlogic example.com --full

Deep TLS + HTTP header audit

netlogic example.com --tls --headers

Subdomain takeover detection

netlogic example.com --takeover

Passive OSINT only

netlogic example.com --osint

Technology stack + WAF fingerprinting

netlogic example.com --stack

DNS/email security (SPF, DKIM, DMARC, DNSSEC)

netlogic example.com --dns

Active service probing (unauthenticated access, default creds, CVE-specific checks)

netlogic 10.0.0.5 --probe

Everything — all flags combined

netlogic example.com --full --probe

### Portauswahl```
# Quick — 43 common ports (default)
netlogic example.com --ports quick

# Full — 58 extended ports
netlogic example.com --ports full

# Custom list
netlogic example.com --ports custom=22,80,443,8080,9200

KI-Analyse```

OpenRouter (default)

netlogic example.com --ai --ai-key $KEY

OpenAI

netlogic example.com --ai --ai-provider openai --ai-key $KEY --ai-model gpt-4o-mini

Anthropic

netlogic example.com --ai --ai-provider anthropic --ai-key $KEY

Gemini

netlogic example.com --ai --ai-provider gemini --ai-key $KEY --ai-model gemini-2.0-flash

Local Ollama

netlogic example.com --ai --ai-provider ollama

Custom OpenAI-compatible endpoint

netlogic example.com --ai --ai-provider custom --ai-base-url https://... --ai-model model-name

### Unterstützte KI-Anbieter