InfraGuard

Red team インフラストラクチャトラッカー兼 C2 リダイレクタ -- RedWarden の現代的代替品。

InfraGuard はインターネットと C2 チームサーバーの間に位置し、すべてのインバウンドリクエストを malleable C2 プロファイルに対して検証し、適合しないものをブロックします。スキャナー、ボット、ブルーチームのプローブは偽のサイトにリダイレクトされ、正当なビーコントラフィックはチームサーバーに通過します。

アーキテクチャ

機能

• マルチドメインプロキシ -- 複数のドメインを同時にプロキシし、それぞれに独立した C2 プロファイル、アップストリーム、ルールを設定可能
• C2 プロファイル検証 -- Cobalt Strike、Mythic、Brute Ratel C4、Sliver、Havoc、Nighthawk、PoshC2 のプロファイルをリダイレクタルールとしてパースし適用
• マルチプロトコルリスナー -- HTTP/HTTPS、DNS、MQTT、WebSocket リスナーを同時実行し、共有の IP インテリジェンスとイベント追跡
• スコアベースのフィルターパイプライン -- 10 のフィルター（JA3、IP、ボット、ヘッダー、DNS、地理、プロファイル、リプレイ、列挙、サンドボックス）がそれぞれ 0.0～1.0 のスコアを算出；しきい値でブロック/許可を決定
• JA3 TLS フィンガープリントフィルタリング -- Masscan、ZGrab2、Shodan、curl、Python requests、Nmap を TLS ハンドシェイク層で HTTP データ交換前にブロック；リバースプロキシヘッダー（nginx ssl_fingerprint、HAProxy ネイティブ JA3）またはカスタム asyncio プロトコルで動作；オプションの許可リストモードでビーコン JA3 を強制
• サンドボックス / ヘッドレスブラウザ検出 -- HTTP シグナル（HeadlessChrome UA、Accept-Language 欠落、Chrome で sec-ch-ua なし、Safe Links / msnbot スキャナー UA、非ブラウザの Accept 順序）によるスコア累積モデル；Microsoft Safe Links、Cuckoo、ANY.RUN、VirusTotal URL スキャナーをブロック
• パス列挙検出 -- スライディングウィンドウ内での IP ごとのユニーク URI 追跡；dirbuster/ffuf/gobuster が URI 空間をマッピングする前にハードブロック；設定可能なブロックしきい値と疑わしいしきい値
• DNS サブドメイン列挙検出 -- クライアント IP ごとの NXDOMAIN 応答を追跡；しきい値超過時に即座に送信元 IP をブロックリストに追加；Amass、subfinder、dnsrecon を DNS リスナーでブロック
• アンチボット / アンチクローリング -- 40 以上の既知スキャナー/ボット User-Agent パターン、ヘッダー異常検出
• IP インテリジェンス -- 19 のセキュリティベンダー範囲（Shodan、Censys、Rapid7 など）の組み込み CIDR ブロックリスト、GeoIP フィルタリング、リバース DNS キーワードマッチング
• 脅威インテルフィード -- 公開ソース（abuse.ch、Emerging Threats、Spamhaus DROP、Binary Defense）からの自動更新ブロックリスト、設定可能な更新間隔とディスクキャッシュ
• ルール取り込み -- 既存の .htaccess および robots.txt ファイルから IP ブロックリストと User-Agent パターンをインポート
• 動的 IP ブロック -- 許可範囲外の IP をブロック；N 回の有効な C2 リクエスト後に IP を自動許可リストに追加
• 許可リスト拡充 -- 許可された CIDR は起動時に GeoIP データベースを介して ASN、組織、国、大陸データが自動拡充
• バーン検出 -- 証明書透過性ログ監視（crt.sh ポーリング）、ドメインレピュテーション自己監視（URLhaus、OpenPhish、Google Safe Browsing）、クロスドメインアナリスト検出（単一 IP が複数のオペレータードメインにアクセス）；すべてのバーンアラートは既存の webhook プラグインを通じて発報
• コンテンツ配信ルート -- PwnDrop、Mythic ファイルストア、ローカルファイルシステム、HTTP プロキシバックエンドを介して特定のパスでペイロード、デコイ、静的ファイルを提供；オプションの条件付き配信（ターゲットには実際のコンテンツ、スキャナーにはデコイ）
• Mythic ファイルステージング -- mythic_file バックエンドが Mythic の /direct/download/{uuid} をクリーンな URL でプロキシ；固定 UUID（URL エイリアシング）またはプロキシモード（パスから UUID を取得）；アクセス制御は InfraGuard のフィルタースタック全体によって提供
• ワンタイムペイロードトークン -- ビーコンが動的に許可リストに追加されたときに自動的に発行されるトークン；アトミックな単一使用 SQLite 強制によりアナリストやサンドボックスによる URL リプレイを防止；設定可能な TTL と最大使用回数
• ルートごとのレート制限 -- コンテンツルートに対するスライディングウィンドウ IP ごとのダウンロードレート制限；制限超過時は設定されたスキャナーデコイまたは 429 を提供
• 配信ガード -- コンテンツルートに対する環境キーイング：ビーコン IP（動的許可リスト）、UA 許可リスト（正規表現）、必要なヘッダー値（インプラント固有ヘッダー）、禁止ヘッダー（Via、X-Forwarded-For、CF-Worker）が必要；チェック失敗時は raw 403 ではなくドメインドロップアクションを提供
• フィッシングキャンペーントークン -- フィッシングページをメールリンクに埋め込まれたキャンペーンごとのトークンでゲート；静的トークンリストまたは HMAC 署名自己検証トークンで設定可能な TTL；CT ログや脅威フィードで URL を発見したアナリストはページを読み込めない
• リプレイ保護 -- コンテンツハッシュによる重複リクエストを拒否；ハッシュは SQLite に永続化されるため再起動後も保護継続
• ドロップアクション -- リダイレクト、TCP リセット、デコイサイトへのプロキシ、またはターピット（スキャナーの時間を浪費する遅延応答）
• ウェブダッシュボード -- ログインページ、ライブリクエストフィード、ドメイン統計、ブロックトップ IP、認証済み WebSocket イベントストリーミング、インラインブロック/許可リスト/ブロック解除アクションを備えたリアルタイム SPA
• コマンドポスト -- 複数の InfraGuard ノードからの統計、リクエスト、ライブイベントを統合した単一ビューに集約するマルチインスタンス集約ダッシュボード
• ターミナル UI -- Textual ベースの TUI（ログイン画面、ライブ API ポーリング、色分けされたリクエストログ）
• SIEM 統合 -- Elasticsearch、Wazuh、Syslog（CEF/JSON）用の組み込みプラグイン、バッチ転送対応
• Webhook アラート -- Discord（埋め込み）、Slack（Block Kit）、汎用 webhook（Rocket.Chat、Mattermost、Teams）用の組み込みプラグイン；バーン検出アラートは同じプラグインシステムを通じてルーティング
• プラグインシステム -- on_event フックによるイベント駆動アーキテクチャ、プラグインごとの設定、イベントフィルタリング（only_blocked、min_score、ドメイン include/exclude）
• バックエンド設定生成 -- 完全なオペレーターカスタマイズ（TLS、IP フィルタリング、ヘッダーチェック、エイリアス、カスタムヘッダー）で Nginx、Caddy、Apache 設定を生成
• エッジプロキシ -- CDN インフラストラクチャを介したドメインフロンティング、エッジ国別ブロック、ホスト書き換えのための軽量 Cloudflare Worker と AWS Lambda
• Docker デプロイ -- オプションの Let's Encrypt、GeoIP ダウンローダー、PwnDrop ペイロードサーバーを含む Dockerfile + docker-compose
• GeoIP サポート -- 3 種類すべての GeoLite2 データベース（City、ASN、Country）と Docker 自動ダウンロード；許可された CIDR は起動時に自動拡充
• 自己署名 TLS フォールバック -- 設定されたパスが存在しない場合に証明書を自動生成
• 環境変数サポート -- .env ファイルを自動ロード；すべての設定値とキーで ${VAR} 構文が使用可能
• 設定可能なヘルスエンドポイント -- フィンガープリンティングを避けるためにヘルスチェックパスを変更可能
• 構造化ロギング -- structlog による JSON 形式の構造化ログ
• 追跡と永続性 -- リクエストログ、統計、ノードレジストリ、リプレイハッシュ、ペイロードトークン用の WAL モード SQLite

インストールガイド

インストールについてはWiki ページを参照してください

CLI リファレンス

infraguard --version                                Show version
infraguard --help                                   Show help

infraguard run -c config.yaml                       Start the reverse proxy
infraguard run -c config.yaml --port 8443           Override listen port
infraguard run -c config.yaml --host 0.0.0.0        Override bind address

infraguard dashboard -c config.yaml                 Start the web dashboard
infraguard dashboard -c config.yaml --port 9090     Override dashboard port

infraguard tui                                      Launch TUI with login screen
infraguard tui --url http://host:8080 --token TOK   Auto-connect to dashboard
infraguard tui -c config.yaml                       Read URL/token from config

infraguard command-post -c command-post.yaml         Start multi-instance dashboard
infraguard command-post --instance name:url:token    Add instance via CLI (repeatable)

infraguard profile parse <file>                     Parse and display a C2 profile
infraguard profile parse <file> --format json        Output as JSON
infraguard profile parse <file> --type brute_ratel   Force profile type
infraguard profile convert <file> -o out.json        Convert profile to JSON

# Supported --type values: auto, cobalt_strike, mythic, brute_ratel, sliver, havoc, nighthawk, poshc2
# Auto-detection: .profile = CS, .toml = Havoc, .yaml = PoshC2, .json = auto-detect by keys

infraguard ingest <files...>                         Ingest .htaccess/robots.txt rules
infraguard ingest <files...> --format blocklist      Output as IP blocklist
infraguard ingest <files...> --format json           Output as JSON
infraguard ingest <files...> -o banned_ips.txt       Write blocklist to file

infraguard generate nginx -c config.yaml             Generate Nginx config
infraguard generate caddy -c config.yaml             Generate Caddyfile
infraguard generate apache -c config.yaml            Generate Apache VirtualHost

infraguard init -o config.yaml                       Generate starter config
infraguard validate -c config.yaml                   Validate config file

ジェネレーターオプション

generate コマンドは、オペレーターのカスタマイズのために追加のフラグを受け付けます：

コマンドポスト（マルチインスタンスダッシュボード）

複数の InfraGuard インスタンスを異なる VPS やクラウドプロバイダーで実行する場合、コマンドポストはすべてのノードからの統計、リクエスト、ライブイベントを単一のダッシュボードに集約します。

┌─────────────────────────────┐
│    コマンドポストダッシュボード   │
│    http://localhost:9090    │
└──────────┬──────────────────┘
           │ 並列フェッチ
     ┌─────┼──────┬──────────┐
     ▼     ▼      ▼          ▼
   IG-1   IG-2   IG-3   ... IG-N

クイックスタート

# 設定ファイル経由
infraguard command-post -c config/command-post.yaml

# CLI引数経由
infraguard command-post \
  --instance "prod:https://ig1.example.com:8080:TOKEN1" \
  --instance "staging:https://ig2.example.com:8080:TOKEN2" \
  --port 9090

# Docker経由
docker compose --profile command-post up -d command-post

設定

config/command-post.yaml を作成：

instances:
  - name: "prod-cs"
    url: "https://ig1.example.com:8080"
    token: "${IG_PROD_TOKEN}"
  - name: "prod-mythic"
    url: "https://ig2.example.com:8080"
    token: "${IG_MYTHIC_TOKEN}"
  - name: "staging"
    url: "https://ig3.example.com:8080"
    token: "${IG_STAGING_TOKEN}"

port: 9090
# auth_token: "${COMMAND_POST_TOKEN}"

表示内容

• 統合統計 -- 全インスタンスの合計リクエスト数、許可数、ブロック数
• インスタンスヘルスバー -- 接続された各ノードの緑/赤ステータス
• インターリーブリクエストログ -- 全インスタンスからのリクエストをタイムスタンプ順に並べ、各リクエストにインスタンス名をタグ付け
• 統合ブロックトップIP -- 全インスタンスを集約
• ドメインごとの統計 -- 全インスタンスのドメインについて再計算されたブロック率
• ライブイベントフィード -- 全ノードからの多重化されたWebSocketイベント
• ブロック/許可リストアクション -- 全インスタンスまたは特定のインスタンスにファンアウト

API エンドポイント

Docker デプロイ

クイックスタート

cp .env.example .env
# .env をドメイン、チームサーバー、トークンで編集
docker compose up -d

これにより2つのサービスが起動します：

• proxy -- ポート443および80のリダイレクタ
• dashboard -- ポート8080のWeb UI

Let's Encrypt を使用する場合

# .env で設定：
#   INFRAGUARD_LETSENCRYPT=true
#   INFRAGUARD_DOMAIN=cdn.example.com
#   [email protected]

# 初期証明書を取得
docker compose --profile letsencrypt up certbot

# プロキシを起動（LE証明書を使用）
docker compose up -d proxy dashboard

# 自動更新を開始（12時間ごとにチェック）
docker compose --profile letsencrypt up -d certbot-renew

Let's Encrypt の要件：

• ポート80がインターネットから到達可能であること
• INFRAGUARD_DOMAIN がこのホストのパブリックIPに解決されること
• INFRAGUARD_DOMAIN_EMAIL が有効なメールアドレスであること

GeoIP データベースを使用する場合

# 3種類すべての GeoLite2 データベース（City、ASN、Country）をダウンロード
docker compose --profile geoip up geoip-update

# その後通常通り起動 - データベースは /app/geoip/ にマウント
docker compose up -d proxy dashboard

PwnDrop を使用する場合（ペイロード配信）

# PwnDrop をプロキシと一緒に起動
docker compose --profile pwndrop up -d pwndrop

# PwnDrop 管理UIに https://localhost:8443 でアクセス
# InfraGuard は内部で http://pwndrop:80 にアクセス

次に、設定でコンテンツルートを構成し、ペイロードパスを PwnDrop にプロキシします：

domains:
  cdn.example.com:
    content_routes:
      - path: "/downloads/*"
        backend:
          type: "pwndrop"
          target: "http://pwndrop:80"
          auth_token: "${PWNDROP_TOKEN}"

スケーリング

# 複数のリダイレクタノードを実行
docker compose up -d --scale proxy-node=3

docker-compose.yml の proxy-node サービスをコメント解除して有効にします。

ボリューム

アーキテクチャ

infraguard/
    __init__.py              Package init
    __main__.py              python -m infraguard entry
    main.py                  Click CLI
    config/                  YAML config loading, .env support, Pydantic validation
    core/                    ASGI proxy engine (app, proxy, router, TLS, drop actions, content delivery)
    profiles/                C2 profile parsers (Cobalt Strike, Mythic, Brute Ratel, Sliver, Havoc, Nighthawk, PoshC2)
    pipeline/                Request validation filters (JA3, IP, bot, header, DNS, geo, profile, replay, enumeration, sandbox)
    intel/                   IP intelligence (blocklists, GeoIP, rDNS, feeds, rule ingestion)
    tracking/                SQLite persistence (request logging, stats, node registry)
    plugins/                 Plugin system (protocol, loader, builtins)
    ui/
        api/                 REST API + WebSocket (Starlette)
        web/                 SPA dashboard (HTML/JS/CSS)
        tui/                 Terminal UI (Textual) with login screen
        command_post/        Multi-instance aggregation dashboard
    listeners/               Protocol listeners (HTTP, DNS, MQTT, WebSocket)
    backends/                Config generators (Nginx, Caddy, Apache)
    models/                  Shared types and event models

RedWarden との比較

貢献

• Mgeeky - オリジナルアイデア (RedWarden)
• curi0usJack - .htaccess ルール
• プロファイル
  • threatexpress - jquery-c2.3.14.profile
  • InfinityCurve - Havoc プロファイル
• C2 フレームワーク
  • Cobalt Strike - Malleable C2 プロファイルサポート
  • Mythic - HTTPX プロファイルサポート + ファイルステージング
  • Brute Ratel C4 - サーバー設定プロファイルサポート
  • Sliver - HTTP C2 プロファイルサポート
  • Havoc - TOML プロファイルサポート
  • Nighthawk - JSON リスナー設定サポート
  • PoshC2 - YAML 設定サポート

プロジェクトに貢献したい場合は、バージョン名で新しいブランチを作成し、プルリクエストで同じバージョン名を指定してください。例: branch=v1.2.3 | [v1.2.3] Added blah item.

ライセンス

BSD 2-Clause License。詳細は LICENSE を参照してください。

Copyright (c) 2026, Whispergate