lama-labs/zero-touch-containmentAntigena (Darktrace) → Aruba ClearPass CoA ब्रिज — मॉडल-संचालित, रीयल-टाइम उपयोगकर्ता/डिवाइस क्वारंटाइन। शून्य SOC क्लिक्स। हेक्सागोनल आर्किटेक्चर, 82% परीक्षण कवरेज।
Antigena (Darktrace) → Aruba ClearPass CoA ब्रिज — मॉडल-संचालित, रीयल-टाइम उपयोगकर्ता/डिवाइस क्वारंटाइन। डिटेक्शन और कंटेनमेंट के बीच शून्य SOC क्लिक।
एक प्रोडक्शन NDR↔NAC इंटीग्रेशन पैटर्न का सैनिटाइज़्ड रेफरेंस इम्प्लीमेंटेशन जो वित्त-क्षेत्रीय पैमाने (बहु-हज़ार एंडपॉइंट, 24/7 SOC) पर संचालित किया गया। ग्राहक-विशिष्ट भागों को सिंथेटिक फिक्स्चर से बदल दिया गया; वास्तुकला, निर्णय प्रवाह और परिचालन पैटर्न वास्तविक हैं।
NDR (Darktrace, ExtraHop, Vectra) का वादा सेकंडों में डिटेक्शन है। अधिकांश बैंकों में वास्तविकता: सेकंडों में डिटेक्शन, घंटों में कंटेनमेंट — क्योंकि SOC का NAC/फायरवॉल टीमों को हैंडऑफ़ मैन्युअल है।
यह टूलकिट Antigena (Darktrace का स्वायत्त प्रतिक्रिया मॉड्यूल) को Aruba ClearPass (ClearPass REST API के माध्यम से) से जोड़कर उस अंतर को बंद करता है। जब एक Darktrace मॉडल एक कॉन्फ़िगरेबल गंभीरता सीमा से ऊपर फायर करता है, तो टूलकिट:
मॉडल फायर → क्वारंटाइन VLAN सक्रिय होने तक एंड-टू-एंड माध्य विलंबता: 5 सेकंड से कम।
zero-touch-containment/
├── README.md ← आप यहाँ हैं
├── LICENSE
├── .gitignore
├── docs/
│ ├── architecture.md ← पूर्ण आर्किटेक्चर गहराई + SOLID ट्रेस
│ └── lessons-learned.md ← इसे प्रोडक्शन में चलाने से 10 सबक
│
├── webhook/ ← इनबाउंड HTTP परत (SRP द्वारा विभाजित)
│ ├── app.py ← केवल FastAPI रूट्स + लाइफस्पैन
│ ├── auth.py ← verify_hmac() — HMAC-SHA1 मान्यता
│ ├── replay.py ← ReplayCache — LRU रिप्ले सुरक्षा
│ └── models.py ← AntigenaEvent pydantic स्कीमा
│
├── engine/ ← YAML-संचालित निर्णय इंजन
│ ├── decision.py ← DecisionEngine (QuarantineReader Protocol पर निर्भर)
│ ├── rules.py ← मैपिंग + अलाउलिस्ट के लिए YAML लोडर
│ └── models.py ← Action + MappingRule + ActionKind
│
├── clearpass/ ← NAC एडेप्टर (CoAClient Protocol को लागू करता है)
│ ├── client.py ← ClearPassClient — REST CoA-शैली ऑप्स
│ ├── ports.py ← CoAClient Protocol — किसी भी NAC बैकएंड के लिए पोर्ट
│ └── auth.py ← OAuth2 TokenCache
│
├── ledger/ ← SQLite लेज़र (5 पोर्ट लागू करता है — ISP लागू)
│ ├── store.py ← SqliteLedger — ऑल-इन-वन कार्यान्वयन
│ ├── ports.py ← EventStore + QuarantineWriter + QuarantineReader
│ │ + ReleaseManager + HealthChecker (अलग किए गए)
│ └── schema.py ← SQL DDL स्थिरांक
│
├── cli/ ← SOC संचालन CLI
│ └── soc.py ← `ztc release-expired` + नियोजित कमांड
│
├── config/
│ ├── mapping.example.yaml ← गंभीरता → क्रिया मैपिंग
│ └── allowlist.example.yaml ← VIP / कभी-क्वारंटाइन न करें सूची
│
├── deploy/
│ ├── docker-compose.yml
│ ├── Dockerfile
│ └── .env.example
│
├── tests/ ← प्रत्येक परत को कवर करने वाले 60 परीक्षण
│ ├── test_decision.py
│ ├── test_ledger.py
│ ├── test_webhook_helpers.py
│ ├── test_clearpass_client.py
│ ├── test_protocols.py ← संरचनात्मक ISP/DIP अनुपालन परीक्षण
│ └── fixtures/sample_event.json
│
├── requirements.txt
└── pyproject.toml
git clone https://gitlab.com/zimlama/zero-touch-containment.git
cd zero-touch-containment
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
cp config/mapping.example.yaml config/mapping.yaml
cp config/allowlist.example.yaml config/allowlist.yaml
cp deploy/.env.example .env # CLEARPASS_HOST, OAUTH क्रेडेंशियल, HMAC सीक्रेट भरें
# वेबहुक रिसीवर चलाएँ
uvicorn webhook.app:app --host 0.0.0.0 --port 8080
# दूसरे शेल में: एक नमूना इवेंट रीप्ले करें
curl -X POST http://localhost:8080/antigena \
-H "Content-Type: application/json" \
-H "X-Darktrace-Signature: sha1=$(echo -n @tests/fixtures/sample_event.json | openssl dgst -sha1 -hmac "$HMAC_SECRET" | awk '{print $2}')" \
--data @tests/fixtures/sample_event.json
वेबहुक HMAC-SHA1 सत्यापित करता है, mapping.yaml के विरुद्ध निर्णय इंजन चलाता है, और या तो:
┌──────────────┐ 1. वेबहुक ┌──────────────────┐ 2. मान्य करें ┌──────────────────┐
│ Darktrace │ ──────────────▶ │ वेबहुक │ ───────────────▶ │ निर्णय │
│ Antigena │ HMAC-SHA1 │ रिसीवर │ पार्स + प्रमाणी │ इंजन │
│ मॉडल फायर │ │ (FastAPI) │ │ (YAML-संचालित) │
└──────────────┘ └──────────────────┘ └─────────┬────────┘
│
▼
3. क्रिया समाधान
(अलाउलिस्ट + दर सीमा)
│
┌───────────────────────┬───────────────────────┼────────────────────────┐
▼ ▼ ▼ ▼
┌──────────────┐ ┌────────────────┐ ┌──────────────┐ ┌─────────────┐
│ ClearPass │ │ SQLite │ │ Slack/Teams │ │ SIEM │
│ REST API │ │ लेज़र │ │ सूचना │ │ (संरचित │
│ - भूमिका स्वैप│ │ - स्थिति │ │ │ │ लॉग) │
│ - डिस्कनेक्ट │ │ - स्वचालित │ │ │ │ │
│ │ │ रिलीज़ │ │ │ │ │
└──────────────┘ └────────────────┘ └──────────────┘ └─────────────┘
पूर्ण विवरण के लिए docs/architecture.md देखें।