ThreatPad

사이버 위협 인텔리전스(CTI) 및 보안 운영 팀을 위해 구축된 협업형 실시간 노트 작성 플랫폼입니다.

ThreatPad는 현대 생산성 도구의 속도와 CTI 특화 기능(IOC 자동 추출, STIX 2.1 내보내기, 구조화된 위협 템플릿, 세분화된 접근 제어)을 결합합니다.

라이브 데모 — [email protected] / password123로 로그인

기능

• 리치 에디터 — 구문 강조, 표, 작업 목록, 편집/미리보기 전환을 지원하는 WYSIWYG
• 드로잉 및 다이어그램 — 공격 순서도, 네트워크 다이어그램, 워크플로우를 위한 전체 페이지 Excalidraw 캔버스. 또한 텍스트 노트 내에 인라인 드로잉 블록으로 삽입 가능
• IOC 자동 추출 — 노트 내용에서 IP, 도메인, URL, 해시, 이메일, CVE 감지
• 플러그인 기반 내보내기 — JSON, CSV, STIX 2.1 내장. 단일 파일로 나만의 플러그인 추가
• CTI 템플릿 — IOC 덤프, 위협 행위자 프로필, 인시던트 노트, 캠페인 트래커
• 워크스페이스 및 폴더 — 중첩 폴더, 여러 워크스페이스, 태그 기반 필터링
• 접근 제어 — 워크스페이스 RBAC(소유자/편집자/뷰어), 노트별 공유, 비공개 노트
• 버전 기록 — 5분마다 자동 스냅샷, 차이 보기, 원클릭 복원
• 전체 텍스트 검색 — PostgreSQL 기반 부분 문자열 + 형태소 검색
• 감사 로깅 — 워크스페이스 전체의 모든 사용자 행동 추적
• 자체 호스팅 — 데이터가 사용자 네트워크에 안전하게 유지

빠른 설치

Docker만 있으면 됩니다.

git clone https://github.com/bhavikmalhotra/ThreatPad.git
cd ThreatPad
docker compose -f docker-compose.prod.yml up -d --build

**http://localhost:3000**을 열면 관리자 계정 생성 과정이 안내됩니다.

이렇게 하면 PostgreSQL, Redis, API 서버, 웹 앱이 시작됩니다. 데이터베이스 스키마는 자동으로 적용됩니다.

개발 설정

Node.js 22+ 및 pnpm 9+가 필요합니다.

pnpm install
cp .env.example .env
docker compose up -d          # Postgres + Redis
pnpm --filter @threatpad/db push
pnpm --filter @threatpad/db seed   # 선택적 데모 데이터
pnpm dev

• 프론트엔드: http://localhost:3000
• API: http://localhost:3002
• 데모 로그인: [email protected] / password123 (시드 데이터가 있는 경우)

플러그인 작성

ThreatPad는 레지스트리 기반 플러그인 시스템을 사용합니다. 내보내기가 첫 번째 플러그인 유형이며, 더 많은 유형이 계획되어 있습니다.

apps/server/src/plugins/exporters/에 파일을 생성하세요:

import type { ExportPlugin } from '@threatpad/shared/types';

export const myExporter: ExportPlugin = {
  key: 'myformat',
  label: 'My Format',
  fileExtension: '.xml',
  contentType: 'application/xml',
  async export({ noteId, iocs, note }) {
    const xml = buildXml(iocs);
    return { data: xml, contentType: 'application/xml', filename: `iocs-${noteId}.xml` };
  },
};

apps/server/src/plugins/exporters/index.ts에 등록하세요:

import { myExporter } from './my-exporter.js';
exportRegistry.register(myExporter);

프론트엔드는 새 형식을 자동으로 감지합니다. UI 변경이 필요하지 않습니다.

플러그인 유형	사용 사례	상태
Export	IOC 내보내기 형식 (STIX, CSV, MISP, OpenIOC)	사용 가능
Enrichment	IOC 조회 (VirusTotal, Shodan, AbuseIPDB)	계획됨
IOC Patterns	사용자 지정 지표 유형 (YARA, Bitcoin, MITRE ATT&CK)	계획됨
Import	피드 수집 (TAXII, MISP, OpenCTI)	계획됨

문서

• 설정 및 환경 변수
• API 참조
• 아키텍처

라이선스

MIT