Argus

Security-Intelligence-Framework

Argus ist ein mehrphasiges Framework für Sicherheitsaufklärung und -analyse, das für professionelle Penetrationstests und die Bewertung der Angriffsfläche entwickelt wurde. Es läuft vollständig autonom – keine API-Schlüssel erforderlich, keine externen Dienste, keine Konten. Ein einziger Befehl erzeugt ein vollständiges Bild der externen Exponierung einer Organisation.

Architektur

argus/
├── sources/          Certificate Transparency, passives DNS, Brute Force
├── correlators/      DNS-Auflösung, CDN-Bypass, Port-Scanning
├── intelligence/     43 Analysemodule
│   ├── Core          TLS, HTTP, E-Mail, Content Discovery, JS-Secrets
│   ├── Graph         Angriffspfade, Compliance, CVE, Anomalieerkennung
│   ├── Advanced      SSRF-Ketten, OAuth/GraphQL/WebSocket, BGP, Stealth
│   └── Intelligence  Deep CVE, API-Enumeration, Cloud-Speicher, Threat Intelligence
├── ontology/         Wissensgraph (NetworkX), Entitätsmodell, Pivot-Engine
├── output/           HTML-Bericht, Management-Bericht, CSV, JSON, Terminal
└── web/              FastAPI-Echtzeit-Dashboard mit WebSocket

Die Engine baut einen Wissensgraphen aller entdeckten Entitäten auf – Domains, IPs, Zertifikate, Organisationen, Technologien, offene Ports – sowie die Beziehungen zwischen ihnen. Jede Feststellung ist eine Anomalie, die an einem Graph-Knoten mit einem CVSS-3.1-Score, einer Angriffspfad-Verknüpfung und einer Compliance-Zuordnung hängt.

43 Phasen

Installation

Anforderungen: Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Web-UI (optional):

pip install fastapi uvicorn websockets

Verwendung

python argus.py -d TARGET [OPTIONS]

Basis-Scans

# CT-Log-Sammlung + DNS-Auflösung + Anomalieerkennung
python argus.py -d target.com

# Vollständiger 43-Phasen-Scan
python argus.py -d target.com --full

# Vollständiger Scan mit Management-Bericht
python argus.py -d target.com --full --output executive

# Vollständiger Scan mit Authentifizierung und Fuzzing
python argus.py -d target.com --full --fuzz --auth

# Scan mit bekannten Zugangsdaten
python argus.py -d target.com --full --auth --user admin --password admin123

Gezielte Module

# Subdomain-Brute-Force + AXFR
python argus.py -d target.com --brute --axfr

# Tiefe Infrastruktur: ASN + CDN-Bypass + Ports
python argus.py -d target.com --deep --cdn-bypass --ports

# Stealth-Scan (paranoides Jitter-Profil)
python argus.py -d target.com --full --stealth-profile paranoid

# Über Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Massen- und Dauerbetrieb

# Massen-Scan aus Datei
python argus.py -f targets.txt --full --output json

# Kontinuierliche Überwachung mit Slack-Benachrichtigungen
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Web-UI-Dashboard
python argus.py --serve --ui-port 8080

Optionen

Target:
  -d DOMAIN             Einzelne Zieldomain
  -f FILE               Datei mit einer Domain pro Zeile

Scan-Module:
  --full                Alle Module aktivieren
  --deep                ASN, Cloud-Erkennung, Wayback, Reverse IP
  --brute               Subdomain-Brute-Force + Permutationen
  --axfr                DNS-Zonentransfer
  --cdn-bypass          CDN/WAF-Origin-IP-Erkennung
  --ports               TCP-Portscan + Banner-Grab (178 Ports)
  --jarm                JARM-TLS-Fingerprinting
  --fuzz                Parameter-Fuzzing (SQLi, XSS, SSRF, IDOR, Traversal)
  --auth                Authentifizierungsanalyse
  --user USER           Benutzername für authentifizierte Scans
  --password PASS       Passwort für authentifizierte Scans

Ausgabe:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Ausgabedateipfad
  -v                    Ausführliche Protokollierung
  -q                    Stillen Modus

Leistung:
  --threads N           Parallele Threads (Standard: 30)
  --timeout N           Request-Timeout in Sekunden (Standard: 10)
  --proxy URL           Proxy (socks5://host:port oder http://host:port)
  --no-cache            Festplatten-Cache deaktivieren
  --stealth-profile     paranoid | careful | normal | aggressive

Web-UI:
  --serve               Echtzeit-Web-Dashboard starten
  --ui-port N           Web-UI-Port (Standard: 8080)

Daemon:
  --daemon              Kontinuierlicher Überwachungsmodus
  --webhook URL         Webhook-URL für Benachrichtigungen (Slack/Telegram)
  --interval N          Scan-Intervall in Stunden (Standard: 6)

Ausgabe

HTML-Bericht

Interaktive Graph-Visualisierung der gesamten Infrastruktur mit Feststellungen, Risikobewertung und Beziehungszuordnung. Eigenständige Einzeldatei.

Management-Bericht

Zusammenfassung in Business-Sprache mit Angriffspfad-Erzählung, Compliance-Verstößen nach Framework, priorisierter Behebungs-Roadmap und Risikomatrix.

JSON

Vollständige maschinenlesbare Ausgabe einschließlich des gesamten Wissensgraphen, aller Anomalien mit CVSS-Scores, Angriffspfaden und Scan-Metadaten. Geeignet für die Integration mit SIEM, Ticketing oder eigener Tooling.

Details zu den Scan-Modulen

Content Discovery Testet 100+ Pfade gegen jede aktive Domain. Erkennt .env-Dateien, Git-Repositories, Admin-Panels, Backup-Archive, Datenbank-Dumps, Spring-Actuator-Endpunkte, GraphQL-Schnittstellen und mehr. Enthält SPA/CDN-Catch-all-Erkennung – Hosts, die auf jede URL mit 200 antworten, werden korrekt behandelt und durch Mustervalidierung abgesichert, um Fehlalarme zu eliminieren.

Fuzzer Kontextbewusstes Parameter-Fuzzing. Leitet den Parametertyp (numerisch, Zeichenkette, Pfad, URL) ab, bevor Payloads ausgewählt werden. Testet SQLi (50 Payloads, fehlerbasiert und zeitbasiert), XSS (39 Payloads), SSRF (45 Payloads einschließlich AWS/GCP/Azure-Metadaten), Path Traversal (33 Payloads), Open Redirect und IDOR. WAF-Erkennung mit 3 Ebenen der Umgehung.

Authentifizierung Erkennt Login-Formulare, extrahiert CSRF-Tokens automatisch, erkennt CAPTCHA und überspringt es. Testet 132 Zugangsdaten-Kombinationen, einschließlich Hersteller-Standards, aus Datenlecks abgeleiteter Passwörter und domainspezifischer Varianten. JWT-Analyse mit HMAC-Brute-Force für schwache Secrets. OAuth/SSO-Endpunkterkennung.

SSRF-Ketten Geht über die Erkennung einzelner Endpunkte hinaus. Nutzt bestätigte SSRF zum Pivoting: enumeriert AWS-IAM-Anmeldedaten, GCP-Service-Account-Tokens, Azure-Managed-Identity-Tokens und testet interne Dienste (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Testet das Gopher-Protokoll für Redis-Schreibzugriff.

BGP-Intelligence Pro-IP-AS-Pfad-Analyse über RIPEstat und BGPView. Ordnet ASN, Präfixe, direkte Peers und IXP-Präsenz zu. Erkennt Routenanomalien (mehrere Origin-ASNs) als BGP-Hijack-Indikatoren. Korreliert Cloud-Provider automatisch anhand der ASN.

Protokoll-Fuzzer OAuth 2.0: Implicit-Flow-Erkennung, fehlendes PKCE, offenes redirect_uri, fehlender State-Parameter, unauthentifizierte Token-Endpunkte. GraphQL: vollständige Introspection, Tiefenlimit-Tests, Batch-Query-Missbrauch, Feldvorschlags-Extraktion, Mutations-Enumeration. WebSocket: Origin-Bypass (CSWSH), unauthentifiziertes Upgrade.

Cloud-Speicher 35 Permutationen des Zielnamens werden gegen S3, Azure Blob Storage, Google Cloud Storage und DigitalOcean Spaces getestet. Öffentliche Buckets liefern Dateilistungen. Private Buckets werden als existierend bestätigt.

Deep CVE Fingerprintet 22 Technologien (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL usw.) anhand von Antwort-Headern, Bannern und Seiteninhalten. Abgleich mit einer versionierten CVE-Datenbank einschließlich kritischer Schwachstellen aus 2019–2024.

Threat Intelligence DNS-Blacklist-Prüfung (Spamhaus, SpamCop, SORBS, Barracuda) über öffentliche DNS-Abfragen. Erkennung von Tor-Exit-Knoten. ASN-Reputation gegen bekannte Bulletproof-Hosting-Anbieter. Alle Quellen sind öffentlich – keine API-Schlüssel erforderlich.

Erkannte Anomalie-Kategorien

Compliance-Zuordnung

Jede Feststellung wird den anwendbaren Framework-Kontrollen zugeordnet:

• OWASP Top 10 2021
• GDPR (Artikel 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Wissensgraph

Argus baut einen relationalen Graphen auf, der Folgendes verbindet:

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

Die Graph-Analytik erzeugt:

• Zentralitätsbewertung (welche Knoten am kritischsten sind)
• Brückenknoten-Erkennung (Single Points of Failure)
• Cluster-Identifikation (zusammengehörige Infrastrukturgruppen)
• Angriffspfad-Synthese (Ketten vom Einstiegspunkt zum Ziel)

Scan-Diff

Jeder Scan speichert einen Schnappschuss. Nachfolgende Scans vergleichen mit dem vorherigen Zustand und berichten:

• Neu entdeckte Domains
• Neu geöffnete Ports
• Neue Anomalie-Typen
• Infrastrukturänderungen

Anforderungen

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Optional für das Web-UI:

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Lizenz

Nur für autorisierte Sicherheitstests. Die Benutzer sind dafür verantwortlich, dass sie vor dem Scannen eines Ziels eine ausdrückliche schriftliche Genehmigung besitzen.

github.com/DozerMx/Argus