DarkGrid – Dashboard Globale di Threat Intelligence

Dashboard OSINT di threat intelligence: un globo 3D e un feed in tempo reale che mostrano infrastrutture dannose da fonti pubbliche come AbuseIPDB e OpenPhish.

https://github.com/user-attachments/assets/e4f6a4fa-6ff4-4ad1-8e5c-5b50ce6ad722

Panoramica

DarkGrid visualizza le infrastrutture internet sospette a livello globale:

• Globo delle minacce 3D con "ping" pulsanti per paese basati sul volume degli indicatori.
• Feed delle minacce con IP/URL più recenti dai collector OSINT.
• Barra Trova/Localizza per saltare a indicatori o posizioni geografiche.
• Pannello Intel per schede di contesto (cluster di minacce, dossier regionali, notizie, ecc.).

L'attenzione è sulla consapevolezza situazionale delle infrastrutture, non sugli individui.

Struttura del progetto

• backend/ – API OSINT FastAPI + SQLite
  • Collector: AbuseIPDB (IP), OpenPhish (URL)
  • Lo scheduler esegue i collector all'avvio e ogni 15 minuti
  • /api/indicators/latest – indicatori più recenti per il feed
  • /api/map – bucket per paese per il globo
• frontend/ – App Next.js 16 (interfaccia DarkGrid)
  • src/app/page.tsx – layout principale del dashboard
  • src/components/ThreatGlobeViewer.tsx – globo 3D
  • src/hooks/useThreatDataPolling.ts – polling dell'API delle minacce
• docker-compose.yml – stack locale (backend + frontend)

Avvio rapido (Docker)

1. Crea un file .env in questa directory (stessa cartella di docker-compose.yml):

   root@kitploit:~

   copy .env.example .env
   

   Modifica il file .env e imposta:

   • ABUSEIPDB_API_KEY – ottieni una chiave gratuita da https://www.abuseipdb.com/.

2. Avvia lo stack:

   root@kitploit:~

   docker-compose up -d
   

   Oppure esegui in primo piano per vedere i log:

   root@kitploit:~

   docker-compose up
   

3. Apri l'interfaccia e l'API:

   • Dashboard: http://localhost:3000
   • Backend API: http://localhost:8000
   • Health: http://localhost:8000/health

Dati e ingestione

• Database: SQLite, creato automaticamente al primo avvio del backend.

  • In Docker, i dati sono nel volume backend_data in /app/data/threat_intel.db.
  • Nello sviluppo locale (senza Docker), i dati sono in backend/data/threat_intel.db.

• Collector (eseguiti all'avvio e ogni 15 minuti):

  • AbuseIPDB (richiede ABUSEIPDB_API_KEY):

    • Produce indicatori con type=ip, source=abuseipdb e geo.country.
    • Alimenta sia il feed delle minacce sia i ping del globo (bucket per paese).

  • OpenPhish (nessuna chiave richiesta):

    • Produce indicatori con type=url, source=openphish (senza geo).
    • Appare solo nel feed delle minacce (nessun ping del globo).

• Risoluzione dei problemi: globo o feed vuoto:

  • Se il globo e il feed è vuoto:

Sviluppo locale (senza Docker)

Requisiti:

• Python 3.11+
• Node.js 20+

Backend

cd backend
python -m venv .venv
.venv\Scripts\activate  # su Windows
pip install -r requirements.txt
python main.py  # serve su http://localhost:8000

Assicurati che il tuo file .env principale contenga ABUSEIPDB_API_KEY per l'ingestione.

Frontend

cd frontend
npm install

Crea frontend/.env.local (solo per sviluppo locale):

NEXT_PUBLIC_THREAT_API_URL=http://localhost:8000

Poi esegui:

npm run dev

Apri http://localhost:3000.

Stato

Questo progetto è in fase di sviluppo e rappresenta un MVP grezzo del dashboard di threat intelligence DarkGrid. Sono previste modifiche sostanziali mentre il backend, i collector e l'interfaccia vengono perfezionati.

Le fasi future pianificate includono:

• Ping del globo più ricchi: bucket più granulari, dimensioni/animazioni perfezionate e miglior comportamento al click.
• Fonti OSINT aggiuntive: più feed di reputazione IP/URL/dominio e malware oltre AbuseIPDB e OpenPhish.
• Informazioni più approfondite sugli indicatori: dettagli estesi per ogni indicatore e cluster di paesi.