GPEWebDefender

एक वेब-अटैक मॉनिटर। यह nginx / Caddy / ऐप के बगल में बैठता है, एक्सेस लॉग टेल करता है, और बताता है कि साइट प्रोब की जा रही है या एक्सप्लॉइट की जा रही है। अगर यह प्रोसेस मर जाए, तो साइट सर्व करती रहती है।

यह Wazuh नहीं है, OSSEC नहीं है, और WAF नहीं है।

कमांड gpewebdefender है। होस्ट, टोकन, मैप पिन, GeoIP और लॉग पाथ फ्लैग या env फाइलें हैं — किसी विशेष कंपनी या सर्वर के बारे में कुछ भी कंपाइल नहीं किया गया है।

अगर आपने यह कभी नहीं चलाया है: इस फाइल को एक बार ऊपर से नीचे पढ़ें, फिर Method A या Method B करें। “Pick a shape” को स्किप न करें।

पूरी तस्वीर: dochub/index.html या चल रहे मैनेजर पर /docs/। 03 · Install & run से शुरू करें।

यह कैसा दिखता है

एक असली ऑपरेटर बॉक्स का लाइव डैशबोर्ड। आपके नाम और पिन वही होंगे जो आप कॉन्फ़िगर करते हैं।

लाइव मैप

एक शॉट केवल तब फायर होता है जब अलर्ट आता है — अटैकर देश से उस होस्ट तक जो हिट हुआ — फिर गायब हो जाता है। होस्ट प्लेट पर बने रहते हैं। फ़ीड वही इवेंट हैं, नंबर दिए हुए।

अलर्ट कार्ड

एक पंक्ति पर क्लिक करें। कंट्री प्लेट, अटैक-टाइप मार्क और जो सर्वर हिट हुआ, साथ में सामान्य फ़ील्ड (रूल, MITRE, एविडेंस)। कोई स्थायी ट्रैक नहीं।

इनसाइट

रिपोर्ट्स → इनसाइट। वही अलर्ट, विभाजित रूप में। 1h / 24h / 7d एक वास्तविक घड़ी है। सर्च करने के लिए किसी बार या होस्ट कार्ड पर क्लिक करें। CSV / JSON / Copy उस विंडो को एक्सपोर्ट करते हैं (सेशन कुकी, फाइल में कोई इन्जेस्ट टोकन नहीं)।

सर्च

मैनेजर पर FTS5। कीवर्ड, IP, होस्ट, काइंड। नवीनतम पहले (पलटने के लिए When पर क्लिक करें)। कोई Elasticsearch नहीं।

आकार चुनें

पोर्ट 8787 को इंटरनेट के लिए न खोलें। डिफ़ॉल्ट लिसन 127.0.0.1:8787 है। जब तक आप सामने HTTPS + लॉगिन नहीं रखते, SSH टनल का उपयोग करें।

पहले देखें (किसी भी OS पर)

go build -o gpewebdefender.exe .\cmd\gpewebdefender
gpewebdefender.exe demo

Linux पर:

go build -o gpewebdefender ./cmd/gpewebdefender
./gpewebdefender demo

http://127.0.0.1:8787 खोलें
वे मैप शॉट काल्पनिक हैं। किसी डैशबोर्ड को वास्तविकता मानने से पहले DocHub 04 देखें।

Method A — स्क्रिप्ट (Linux + systemd)

इस रिपो से, root के रूप में। अगर आप Windows पर हैं तो पहले Linux बाइनरी बनाएँ:

$env:GOOS="linux"; $env:GOARCH="amd64"; $env:CGO_ENABLED="0"
go build -o gpewebdefender-linux-amd64 .\cmd\gpewebdefender

All-in-one (इस बॉक्स के पास एक्सेस लॉग है):

chmod +x deploy/install-manager.sh deploy/install-agent.sh
sudo ./deploy/install-manager.sh --all-in-one \
  --tail /var/log/nginx/access.log \
  --journal \
  --home 40.7,-74.0

Split (पहले मॉनिटर, फिर हर वेब बॉक्स):

# on the monitor
sudo ./deploy/install-manager.sh --home 40.7,-74.0

# on a web / SSH box
scp root@MONITOR:/usr/local/bin/gpewebdefender /usr/local/bin/gpewebdefender
scp root@MONITOR:/etc/gpewebdefender/env /etc/gpewebdefender/env
sudo ./deploy/install-agent.sh \
  --url http://MONITOR:8787 \
  --name web-1 \
  --tail /var/log/nginx/access.log \
  --journal

MONITOR, web-1 और लॉग पाथ को अपने मानों से बदलें।

फिर अपने लैपटॉप से:

ssh -L 8787:127.0.0.1:8787 user@THEBOX

http://127.0.0.1:8787/login खोलें और पहला admin (एक व्यक्ति) बनाएँ। यह इन्जेस्ट टोकन नहीं है।

Method B — आप हर फाइल खुद टाइप करते हैं

1. बाइनरी को /usr/local/bin/gpewebdefender पर कॉपी करें और chmod +x करें।
2. useradd --system --home /var/lib/gpewebdefender --shell /usr/sbin/nologin gpewebdefender
3. rules/ और dochub/ को /var/lib/gpewebdefender/ में कॉपी करें।
4. deploy/env.example को /etc/gpewebdefender/env पर कॉपी करें। एक लंबा रैंडम GWD_TOKEN डालें। Mode 640।
5. deploy/gpewebdefender.service.example को systemd में कॉपी करें। ज़रूरत पड़ने पर home / tail एडिट करें।
6. systemctl daemon-reload && systemctl enable --now gpewebdefender
7. अन्य होस्ट: को टोकन, एक स्थिर और / के साथ।

उदाहरण deploy/ में हैं।

यह चालू होने के बाद (इन्हें क्रम से करें)

1. टनल + /login → पहला admin। या एक बार SIEM_ADMIN_USER + SIEM_ADMIN_PASSWORD सेट करें, फिर पासवर्ड वाली लाइन हटा दें।
2. Settings → डैशबोर्ड को नाम दें, साइट पिन करें (US या 40.7,-74.0), हर एजेंट --name के लिए एक पंक्ति।
3. Live — शॉट केवल तब फायर होते हैं जब अलर्ट आता है, फिर वे गायब हो जाते हैं।
4. Reports → Insight — 1h / 24h / 7d एक वास्तविक घड़ी है। सर्च करने के लिए किसी बार पर क्लिक करें। CSV / JSON एक्सपोर्ट वही विंडो है (सेशन कुकी, फाइल में कोई टोकन नहीं)।
5. वैकल्पिक GeoIP: MaxMind / DB-IP .mmdb डालें और --geoip पास करें।
6. वैकल्पिक HTTPS: deploy/nginx-gwd.conf.example। पब्लिक vhost पर /api/ingest को डिनाई करें। DocHub 15 और 18।
7. वैकल्पिक ऐप अस्वीकृतियाँ जिन्हें एक्सेस लॉग नहीं देख सकता: /api/ingest पर JSON POST करें। कभी भी पासवर्ड न भेजें। DocHub ।

अगर UI खाली है: आप demo में नहीं हैं, और अभी तक किसी --tail / एजेंट ने कोई लाइन नहीं भेजी है। journalctl -u gpewebdefender -n 50।

यह क्या देखता है

जो कुछ भी एक्सेस लॉग में दिखाई दे:

• SQL injection, XSS, path traversal, command injection, SSTI, PHP wrappers
• URL या UA में Log4Shell / Spring4Shell / cloud-metadata SSRF
• सीक्रेट-फाइल और एडमिन खोज (.env, .git, phpMyAdmin, wp-login, actuators)
• ज्ञात स्कैनर (sqlmap, nuclei, nikto, ffuf, …)
• 404 स्टॉर्म, 401/403 हैमरिंग, लॉगिन ब्रूट फोर्स, रिक्वेस्ट फ्लड
• वैकल्पिक: --journal या auth.log के माध्यम से sshd / sudo
• वैकल्पिक: आपका ऐप kind=applogin / tenantlogin / secprobe POST करता है

यह POST बॉडी नहीं देख सकता जब तक आप उन्हें लॉग न करें (आपको आमतौर पर नहीं करना चाहिए)।

लॉग फॉर्मेट

nginx / Apache combined, या nginx / Caddy / Traefik JSON। JSON पर स्विच करना उचित है। DocHub 05 देखें।

रूल्स

rules/ में बिल्ट-इन YAML। अतिरिक्त फाइलें: --rules path/to/more.yaml। वैकल्पिक CMS honey: --rules packs (packs/cms.yaml लोड करता है)। यह प्लगइन स्कैनर नहीं है।

संसाधन आवश्यकता

एक स्टैटिक Go बाइनरी + SQLite। एक समर्पित 2 CPU / 2 GB बॉक्स पर्याप्त है। कोई JVM नहीं, कोई OpenSearch नहीं, कोई Elasticsearch नहीं।

पब्लिश / बिल्ड

यह ट्री पब्लिक प्रोडक्ट है। इसमें कोई इन्वेंट्री, टोकन या होस्टनेम नहीं हैं।

go test ./...
set GOOS=linux
set GOARCH=amd64
set CGO_ENABLED=0
go build -o gpewebdefender-linux-amd64 .\cmd\gpewebdefender

लाइव फ्लीट कॉन्फ़िग को इस रिपॉजिटरी से बाहर रखें।