🤖 AUTO AUDIT

자율 반사형 실행 에이전트(Go/Java)의 격리된 데모 스탠드

Русский 🇷🇺 • English 🇬🇧 • 中文 🇨🇳 • Español 🇪🇸 • Deutsch 🇩🇪 • Italiano 🇮🇹 • العربية 🇸🇦

---

🧭 일반 정보

[!NOTE] AUTO AUDIT는 중요 취약점 **Log4Shell (CVE-2021-44228 / БДУ ФСТЭК:2021-06103)**에 대한 탐지, 검증, 익스플로잇, 자동 수정(Self-Healing / Auto-Remediation) 및 컴플라이언스 보고의 **100% 자율 폐쇄 루프(Sense-Think-Act)**를 시연하는 소프트웨어 패키지입니다.

이 스탠드는 Java Spring Boot 기반의 로컬 웹 애플리케이션, 내장 LDAP TCP Callback Listener, 그리고 외부 환경의 부분적 관측 가능성(Partially Observable Markov Decision Process — POMDP) 하에서 결정을 내리는 Go 에이전트의 인지 코어를 배포합니다.```mermaid %%{init: { 'theme': 'dark', 'themeVariables': { 'background': '#0f172a', 'primaryColor': '#1e293b', 'primaryTextColor': '#cbd5e1', 'primaryBorderColor': '#3b82f6', 'lineColor': '#38bdf8', 'secondaryColor': '#1e1b4b', 'tertiaryColor': '#0f172a', 'edgeLabelBackground': '#0f172a' } }}%% graph TD classDef sense fill:#0284c7,stroke:#0ea5e9,stroke-width:2px,color:#fff; classDef think fill:#4f46e5,stroke:#6366f1,stroke-width:2px,color:#fff; classDef act fill:#059669,stroke:#10b981,stroke-width:2px,color:#fff; classDef target fill:#dc2626,stroke:#ef4444,stroke-width:2px,color:#fff;

subgraph Sense ["🔍 СЕНСОРНЫЙ АНАЛИЗ (Sense)"]
    A[Внешние отклики / TCP-коллбеки]:::sense --> B(Обновление Базы Знаний):::sense
end
subgraph Think ["🧠 КОГНИТИВНОЕ ЯДРО (Think)"]
    B --> C{Вычисление Utility Policy}:::think
    C -->|Рефлексивный вывод| D[Выбор эффектора из реестра]:::think
end
subgraph subgraph_Act ["⚡ ИСПОЛНЕНИЕ (Act)"]
    D --> E[Выполнение Tool.Execute]:::act
    E -->|Воздействие| F((Java Spring Boot Target)):::target
    F -.->|Обратный канал OOB| A
end

---

## 🛠️ 기술 아키텍처 및 구성 요소

에이전트의 프로그램 구조는 클린 아키텍처(*Hexagonal Architecture / Ports and Adapters*), SOLID 및 TDD 원칙에 따라 설계되었습니다:

* 📂 **[cmd/agent/main.go](https://github.com/c00ln3t/log4shellauditor/blob/main/cmd/agent/main.go)** — 진입점. 백그라운드 프로세스의 수명 주기를 관리하고 에이전트 고루틴의 실행을 조정합니다.
* 📂 **`internal/`** — 인지 루프의 핵심 비즈니스 로직:
  * 🧠 **[agent/agent.go](https://github.com/c00ln3t/log4shellauditor/blob/main/internal/agent/agent.go)** — 인지 루프. 제어 루프와 `Think()` 전략 선택 결정 규칙을 구현합니다.
  * 💾 **[core/model.go](https://github.com/c00ln3t/log4shellauditor/blob/main/internal/core/model.go)** — `sync.RWMutex` 기반 스레드 안전 지식 베이스(`KnowledgeBase` / LTM).
  * 🔌 **[core/effector.go](https://github.com/c00ln3t/log4shellauditor/blob/main/internal/core/effector.go)** — 이펙터용 `Tool` 인터페이스.
  * ⚙️ **[effectors/](https://github.com/c00ln3t/log4shellauditor/blob/main/internal/effectors)** — 다형성 이펙터(도구) 레지스트리:
    * 🔍 `ToolPortScanner` — 네트워크 경계 정찰.
    * 🌐 `ToolDiscovery` — 연결 지점 및 입력 벡터 탐색 (`X-Api-Version`).
    * 🔬 `ToolPayloadGenerator` — JNDI 시그니처 벡터 합성.
    * 🚀 `ToolProber` — OOB(Out-of-Band) 트레이싱을 통한 취약점 확인.
    * 🛡️ `ToolSemanticFuzzer` — 중첩된 구문 변형을 통한 필터링 분류기 우회(WAF Evasion).
    * 🩹 `ToolRemediator` — 자동 패칭(Self-Healing).
    * 📄 `ToolReporter` — ГОСТ Р 56939-2016에 따른 보고서 생성.
* 📂 **`pkg/`** — 유틸리티 패키지 및 라이브러리:
  * 📡 **[oob/](https://github.com/c00ln3t/log4shellauditor/blob/main/pkg/oob)** — OOB(Out-of-band) 리스너(LDAP 및 HTTP).
  * ☕ **[jvm/](https://github.com/c00ln3t/log4shellauditor/blob/main/pkg/jvm)** — 로컬 Java 대상의 수명 주기 및 재시작 관리.
* 📂 **[deployments/](https://github.com/c00ln3t/log4shellauditor/blob/main/deployments)** — 배포용 구성 파일(Docker, Compose).
* 📂 **[test/vulnerable-app/](https://github.com/c00ln3t/log4shellauditor/blob/main/test/vulnerable-app)** — 취약한 테스트용 Java Spring Boot 애플리케이션.


---

## 🎯 수학적 장치 및 인지 루프(Think-Act Loop) 명세

에이전트의 의사 결정은 **부분 관측 마르코프 결정 과정(POMDP)**으로 공식화되며, 튜플 $\langle S, A, T, R, \Omega, O, \gamma \rangle$로 표현됩니다:
* $S$ — 대상 환경의 숨겨진 상태들의 이산 공간 (포트 접근성, 취약한 매개변수의 존재, WAF 활동, 침해 사실, 패칭 상태, 컴플라이언스 보고서 존재 여부).
* $A$ — 이펙터 행동 공간 (도구 호출: `port_scanner`, `discovery`, `payload_generator`, `prober`, `semantic_fuzzer`, `remediator`, `reporter`, `stop`).
* $\Omega$ — 관측 공간 (수신된 HTTP 응답, OOB TCP 콜백, 파일 시스템 기록).
* $O(o \mid s', a)$ — 응답 $o \in \Omega$를 얻을 확률을 결정하는 관측 함수.

### 1. 신뢰 벡터(Belief State)
에이전트는 환경의 숨겨진 상태 $s \in S$에 대한 직접적인 정보가 없으며, `KnowledgeBase` 메모리에 저장되고 동적으로 갱신되는 $S$에 대한 확률 분포인 신뢰 벡터 $b(s)$로 작동합니다:
* $b(S_{recon}) \in \{0, 1\}$ — 네트워크 정찰 상태(포트 열림/닫힘). `ToolPerformance["port_scanner"]`에 매핑됩니다.
* $b(S_{discovery}) \in \{0, 1\}$ — 입력 벡터 매핑(매개변수 발견 여부). `len(DiscoveryVectors) > 0`에 매핑됩니다.
* $b(S_{payload}) \in \{0, 1\}$ — 익스플로잇 시그니처 준비 상태. `len(CustomPayloads) > 0`에 매핑됩니다.
* $b(S_{exploit}) \in \{0, 1\}$ — 침해 상태(Loot/Flag 존재 여부). `len(Loot) > 0`에 매핑됩니다.
* $b(S_{patch}) \in \{0, 1\}$ — 취약점 국소화 사실. `PatchApplied`에 매핑됩니다.
* $b(S_{verify}) \in \{0, 1\}$ — 재발성 OOB 트리거 부재 검증. `PatchVerified`에 매핑됩니다.
* $b(S_{report}) \in \{0, 1\}$ — 규정 준수 보고서 생성. `ReportGenerated`에 매핑됩니다.

### 2. 결정 규칙 함수(Policy Mapping)
의사 결정 함수 `Think()`는 현재 누적된 신뢰 상태 $b$를 최적의 이펙터 행동 $a \in A$에 순차적으로 매핑하는 결정론적 결정 규칙 $\pi: B \to A$를 구현합니다.

### 3. 적응형 학습 및 도구 효율성 평가
각 도구 $a \in A$에 대해 `ToolStats` 메모리에 통계가 누적되고 효용 지표(Efficiency Score)가 계산됩니다:

$$\text{EfficiencyScore}(a) = \frac{SuccessCount_a}{UsageCount_a}$$

에이전트는 이러한 지표를 사용해 궤적을 동적으로 변경합니다: 기본 프로브 `prober`가 실패하면($\text{EfficiencyScore}(\text{prober}) = 0$), 에이전트는 대상 노드에 필터링(WAF)이 있음을 식별하고, `semantic_fuzzer` 도구로 WAF 우회 보상 전략을 활성화하여 주입 벡터를 변형합니다.

### 스탠드(벤치) 작동의 단계별 시나리오: