nox-framework

はじめに

NOXは、速度、運用セキュリティ、および深みを単一のまとまりのあるフレームワークで要求するオペレーター向けに設計された、目的特化型のサイバー脅威インテリジェンスエンジンです。これは既存ツールのラッパーではありません。完全に非同期でプラグイン駆動のインテリジェンスプラットフォームであり、実行ロジックとソース定義が厳密に分離されています。

機能

アーキテクチャ

プラグイン駆動設計

NOXは厳格な関心分離に基づいて動作します。nox.py は純粋で不可知な実行エンジンであり、非同期I/O、JA3フィンガープリンティング、SSLセッション管理、再帰的ピボット、結果相関を担当します。ハードコードされたインテリジェンスロジックは一切含まれません。

すべてのインテリジェンスは sources/ 内のJSONプラグインとして定義されます。これらのプラグインは、NOXが何をクエリし、どのように認証し、何を抽出するかについての唯一の情報源です。ビルドツール build_sources.py のみが、これらのプラグインを作成または変更するための許可された方法です。``` build_sources.py ──► sources/*.json ──► nox.py (runtime loader) [Builder] [Plugins] [Execution Engine]

> [!IMPORTANT]
> **`sources/*.json`ファイルは自動生成されたアーティファクトです。直接編集しないでください。**
> すべてのソースの追加と変更は`build_sources.py`で行い、`python build_sources.py`を実行して適用する必要があります。手動で編集すると、次回のビルドで上書きされます。

#### ソーススキーマ```json
{
  "name": "MyPrivateDB",
  "endpoint": "https://api.myprivatedb.com/search?q={target}",
  "method": "GET",
  "headers": { "Authorization": "Bearer {MY_API_KEY}" },
  "regex_pattern": "([\\w.+-]+@[\\w-]+\\.[\\w.]+):([\\S]+)",
  "required_api_key_name": "MY_API_KEY",
  "api_key_slots": ["{MY_API_KEY}"],
  "input_type": "email",
  "output_type": ["username", "ip"],
  "pivot_types": ["email", "username"],
  "confidence": 0.9
}

Supported fields: name, endpoint, method, headers, regex_pattern (又は json_root + normalization_map), required_api_key_name, api_key_slots, input_type, output_type, pivot_types, confidence.

Autoscan パイプライン

--autoscan (CLI) / autoscan (REPL) は、単一のコマンドで完全なインテリジェンスパイプラインを実行します:``` For each asset (seed + every discovered identifier): ├─ Phase 1 — Breach Scan │ 124 sources queried in parallel (async) │ ├─ Phase 2 — Hash Crack (non-blocking, concurrent) │ Hashes found in breach data → rainbow-table APIs → cracked plaintext │ → password-recycling breach scan │ ├─ Phase 3 — Dorking │ Google/Bing/SearXNG dorks → leaked docs, .env files, SQL dumps │ → new identifiers extracted and re-injected │ └─ Phase 4 — Scraping Pastebin, IntelX, Telegram CTI channels → credential extraction → new identifiers extracted and re-injected

All identifiers discovered in phases 1–4 are re-injected as new seeds. Child assets are processed concurrently via asyncio.gather.

`scan`（`--autoscan`なし）はフェーズ1のみ実行 — 情報漏洩ソース、ピボット/ドーク/スクレイピングなし。

---

### 再帰的アバランチエンジン

スキャン中に発見されたすべての識別子（漏洩レコード、ドークヒット、またはスクレイピングされたペースト/Telegramコンテンツから）は、新しいインテリジェンスシードとして扱われます。各アセットに対し、エンジンは4つのフェーズを順次実行します：漏洩スキャン → ハッシュクラック → ドーク → スクレイピング。**全4フェーズ**から抽出された識別子は収集され、新しいシードとして再注入されます。子アセットはその後、`asyncio.gather` を介して同時に処理されます。```
[email protected]
  └─► [Breach] username: j.doe      ──► [Breach + Crack + Dork + Scrape]
  │         └─► github.com/jdoe     ──► [Breach + Crack + Dork + Scrape]
  └─► [Breach] hash: 5f4dcc...      ──► [AutoCrack] → "password123"
  │         └─► [Breach] password-recycling scan across all sources
  └─► [Dork] [email protected]          ──► [Breach + Crack + Dork + Scrape]
  └─► [Scrape/paste] [email protected] ──► [Breach + Crack + Dork + Scrape]

• seen_assets セット — グローバルな重複排除。フェーズに関係なく、一度処理された識別子は二度と処理されません。
• グローバルセマフォ — 発見ツリー全体で単一の同時実行制限を共有し、--threads を尊重します。
• --depth N — 設定可能なピボット深度（デフォルト: 2）。ハードなバックストップにより暴走再帰を防ぎます。
• --no-pivot — 高速な侵害のみのスキャンのために再帰的エンリッチメントを無効にします。

ハッシュピボッティング

--autoscan 中に侵害データでハッシュが見つかった場合:

1. ハッシュタイプが識別されます（MD5/NTLM、SHA1、SHA256、bcrypt）
2. バックグラウンドタスクで、複数のレインボーテーブルAPIが同時にクエリされます
3. 解読成功時 — プレーンテキストが記録され、レコードが更新され、パスワードがピボットキューに注入され、すべての侵害ソースにわたるパスワード再利用分析が行われます
4. 解読失敗時 — 失敗が nox_system.log に記録され、ハッシュはレポートに保持され、他のすべてのアセットでのピボッティングは直ちに続行されます

解読プロセスは完全にノンブロッキングです。タイムアウトやAPIの失敗がスキャンを一時停止することはありません。--no-online-crack を使用すると、解読をローカルワードリストのみに制限できます（サードパーティAPIへのデータ送信なし）。

ガーディアンプロキシエンジン

ガーディアンエンジンは、NOXのゼロコンフィグOPSECレイヤーです。--proxy または --tor フラグが指定されていない場合、自動的に有効になります。

解決順序: