---

¿Qué es SecFlow?

SecFlow es un pipeline de análisis de amenazas automatizado de código abierto diseñado para analistas de seguridad, equipos SOC e investigadores. En lugar de ejecutar manualmente herramientas dispares y correlacionar resultados, SecFlow:

1. Clasifica su entrada utilizando reglas deterministas (sin IA en el pase 1)
2. Enruta a través del analizador especializado correcto mediante microservicios HTTP
3. Razona sobre los hallazgos de cada pase con Groq AI para decidir el siguiente paso
4. Repite — siguiendo IOCs, descargando payloads, pivotando entre analizadores
5. Informa — genera un informe HTML PWNDoc con reglas de detección YARA, reglas SIEM SIGMA, mapeos MITRE ATT&CK y exportación a PDF con un clic

---

Características

Característica	Detalle
Enrutamiento impulsado por IA	Groq qwen/qwen3-32b decide el siguiente analizador después de cada pase — sin configuración manual
5 Analizadores Especializados	Malware · Esteganografía · Reconocimiento · Vulnerabilidad Web · Macro/Office
Primer Pase Inteligente	Reglas deterministas file + python-magic en el pase 1 — la IA solo se llama cuando el tipo es ambiguo
Descargar y Analizar	Sigue IOCs — descarga payloads encontrados en la salida sin procesar y los enruta al analizador correcto
Generación de Reglas YARA	Genera automáticamente 2–5 reglas YARA desplegables por análisis, cada una citando la evidencia exacta que la motivó
Generación de Reglas SIGMA	Genera automáticamente 2–4 reglas SIGMA para Splunk / Elastic / Sentinel — cubriendo diferentes fuentes de registro
Mapeo MITRE ATT&CK	Cada hallazgo mapeado a IDs de TTP reales con nombres de tácticas
Formatos de Informe Duales	Informe HTML (imprimir a PDF en el navegador) + informe JSON estructurado (alimentar directamente a IA para análisis adicional)
Panel React	Interfaz de usuario completa — enviar análisis, ver el progreso del pipeline en vivo, explorar resultados por analizador
Integración con VirusTotal	Tanto los analizadores de Malware como de Macro consultan 70+ motores antivirus a través de VT API v3
Profundidad de Bucle Configurable	3, 4 o 5 pases — sale temprano si la IA indica que no hay más señales
Modo Independiente	Cada microservicio de analizador expone su propia API REST — úselos de forma independiente

Arquitectura```

User Input (file / URL / IP / domain / image) │ ▼ ┌────────────────────────────────┐ │ Input Classifier │ file + python-magic → deterministic rule │ (Rule-based, pass 1 only) │ unknown type? → Groq AI fallback └───────────────┬────────────────┘ │ first analyzer selected ▼ ┌────────────────────────────────────────────────────────┐ │ Analyzer Loop (N = 3 / 4 / 5 passes) │ │ │ │ ┌──────────────────────────────────────────────────┐ │ │ │ Run Analyzer (HTTP → Docker microservice) │ │ │ │ Malware · Steg · Recon · Web · Macro │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ findings + raw_output │ │ ┌───────────────▼──────────────────────────────────┐ │ │ │ AI Routing Engine (Groq qwen/qwen3-32b) │ │ │ │ IOC extraction → next_tool + target │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ │ │ ┌───────┴──────────────────┐ │ │ next tool null │ │ │ │ │ │ │ Download HTTP payloads │ │ │ from raw_output → re-analyze │ │ └──────────────── repeat ────────────────────┘│ └─────────────────┬──────────────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ Findings Store │ All passes · all findings accumulated └───────────────┬────────────────┘ │ ▼ ┌────────────────────────────────────────────┐ │ Threat Intelligence Engine │ │ (Groq llama-3.3-70b-versatile) │ │ ├─ Threat Summary + MITRE ATT&CK TTPs │ │ ├─ YARA Detection Rules (2–5 rules) │ │ └─ SIGMA SIEM Rules (2–4 rules) │ └───────────────┬────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ PWNDoc HTML Report │ Groq summary → browser-rendered HTML │ │ One-click Export PDF button └────────────────────────────────┘

---

## Inicio rápido

### Requisitos previos

- Docker + Docker Compose
- Claves API para Groq y VirusTotal (los niveles gratuitos funcionan)

### 1. Clonar el repositorio```bash
git clone https://github.com/aradhyacp/SecFlow.git
cd SecFlow/backend

2. Configurar variables de entorno```bash

cp .env.example .env

Edita `.env` con tus claves:```env
# Required
GROQ_API_KEY=your_groq_api_key_here
VIRUSTOTAL_API_KEY=your_vt_api_key_here

# Optional — unlock additional OSINT capabilities
NUMVERIFY_API_KEY=your_numverify_key      # Phone number lookups
THREATFOX_API_KEY=your_threatfox_key      # Higher ThreatFox rate limits
ipAPI_KEY=your_ipapi_key                  # Higher ip-api.com rate limits

# Pipeline control
MAX_PASSES=3                              # 3 | 4 | 5

3. Iniciar todos los servicios```bash

docker compose up -d

Esto inicia 6 contenedores:

| Service | Port | Role |
|---|---|---|
| `orchestrator` | `5000` | Controlador de canalización — punto de entrada principal |
| `malware-analyzer` | `5001` | Descompilación de Ghidra + VirusTotal |
| `steg-analyzer` | `5002` | binwalk + zsteg + steghide + ExifTool |
| `recon-analyzer` | `5003` | ip-api + ThreatFox + OSINT |
| `web-analyzer` | `5005` | Escáner de vulnerabilidades HTTP + auditoría de cabeceras |
| `macro-analyzer` | `5006` | oletools (olevba) + VirusTotal |

> **Nota:** El primer inicio puede tardar varios minutos — el Analizador de Malware descarga Ghidra 12.0.1 (~500 MB) y requiere una JVM JDK 21.