ethan-andrews/threatintel-aggregatorSelbstgehostete Threat-Intelligence-Plattform — Feed-Aggregation, KI-Triage, MITRE-ATT&CK-Abdeckung und Sentinel-integrierte Detection-Engineering. Läuft eigenständig oder vollständig Azure-integriert.
Eine selbst gehostete Threat-Intelligence-Plattform, die RSS-Feeds von über 60 Sicherheitsanbietern aggregiert, KI-gestützte Triage durchführt, Ergebnisse mit Ihrem RunZero-Asset-Inventar korreliert und umsetzbare Warnmeldungen über ein Dark-Mode-Web-Dashboard bereitstellt.
Entwickelt, um eigenständig ohne Cloud-Abhängigkeit zu laufen oder vollständig in eine Azure/Entra/Sentinel-Umgebung integriert zu werden — wählen Sie die Stufe, die zu Ihren Gegebenheiten passt.
| Stufe | Skript | KI-Triage | Authentifizierung | Speicher | Das erhalten Sie |
|---|---|---|---|---|---|
| Basic | scripts/setup-basic.sh | Aus | Lokaler API-Schlüssel | Lokales Postgres (Docker) | Feed-Aggregation, IOC-Extraktion, MITRE-Matrix, Dashboards — keine KI, keine Cloud, keine Registrierung erforderlich |
| Basic + API | scripts/setup-basic-api.sh | Anthropic (direkt) | Lokaler API-Schlüssel | Lokales Postgres (Docker) | Alles oben Genannte, plus KI-gestützte Triage von Schweregrad/TTP/Zusammenfassung |
| Azure + API | scripts/setup-azure.ps1 | Azure AI Foundry | Microsoft Entra ID SSO | Ihr eigenes Postgres (Azure DB for PostgreSQL usw.) | Vollständige Bereitstellung in Azure Container Apps, SSO mit benutzerspezifischen Rollen. (Die Integration der detections.ai-Pipeline kommt in einer zukünftigen Version — siehe unten.) |
Alle drei führen exakt denselben Anwendungscode aus — das Einzige, was sich ändert, sind die gesetzten Umgebungsvariablen. Die vollständige Referenz finden Sie unter Environment Variables.```bash
./scripts/setup-basic.sh
./scripts/setup-basic-api.sh
./scripts/setup-azure.ps1
Die beiden Bash-Skripte starten einen lokalen Postgres-Container, wenden das Schema an und generieren `backend/.env` / `frontend/.env.local` für dich — dann geben sie die beiden Befehle aus, mit denen du die App tatsächlich startest (`pip install` + Backend ausführen, `npm install` + Frontend-Dev-Server ausführen). `setup-azure.ps1` ist ein dünner Wrapper um `infra/provision.ps1`, das eigentliche Azure Container Apps Deployment-Runbook.
---
## Features
- **Feed-Aggregation** — fragt 60+ Tier-1/2/3-Security-RSS-Feeds nach einem Zeitplan ab; dedupliziert und filtert Werbeinhalte automatisch heraus
- **KI-Triage** — klassifiziert jeden Eintrag mit Schweregrad (Critical/High/Medium/Low/Informational), MITRE ATT&CK TTPs und einer allgemein verständlichen Zusammenfassung. Provider-modular: direkte Anthropic API oder Azure AI Foundry, umschaltbar über eine einzige Env-Variable, ohne dass in beiden Fällen Funktionalität verloren geht
- **IOC-Extraktion** — extrahiert automatisch IPs, Domains, URLs, Datei-Hashes und CVEs aus jedem Eintrag
- **RunZero-Integration** — synchronisiert dein Asset-Inventar und korreliert Threat Intel mit Live-Assets; Abgleich über CVEs, Softwarenamen, OS-Versionen und IP-Adressen. Drei Unter-Tabs unter `RUNZERO`: **Matches** (Einträge, die mit deinem Inventar korreliert wurden, filterbar nach Schweregrad/Datum/Konfidenz/KEV), **Exposure** (organisationsweiter bestätigter/möglicher Status mit Remediation-Tracking) und **Metrics** (Trends von Eingang vs. Remediation über die Zeit)
- **Your Stack** — definiere die Software/OS in deiner Umgebung; bewertet alle Einträge neu nach Relevanz
- **IOC-Ledger** — durchsuchbares Verzeichnis aller extrahierten Indikatoren mit Eintrags-Querverweisen und STIX/CSV-Export
- **MITRE ATT&CK-Matrix** — Heatmap der TTP-Abdeckung über deinen erfassten Threat Intel
- **Feed-Health-Dashboard** — Poll-Status pro Feed, Verfolgung aufeinanderfolgender Fehler und Artikelvolumen über 7 Tage
- **Detections** — eine Review-Oberfläche mit 9 Tabs (siehe unten), die alles abdeckt, was als Detection registriert ist, egal ob KI-generiert, aus deinen eigenen Dateien importiert oder aus einem Live-Sentinel-Workspace synchronisiert
- **Modulare Authentifizierung** — Microsoft Entra ID SSO mit rollenbasierter Zugriffskontrolle oder ein einzelner gemeinsam genutzter lokaler API-Key ohne jegliche Azure-Abhängigkeit. Wird vom Frontend automatisch erkannt; siehe [Auth-Modi](#auth-modes)
### Zwei detections-bezogene Features
Dieses Repo liefert tatsächlich zwei verwandte, aber unabhängig nutzbare Dinge unter dem Dach „detections":