ethan-andrews/threatintel-aggregator자체 호스팅 위협 인텔리전스 플랫폼 — 피드 집계, AI 트리아지, MITRE ATT&CK 커버리지, Sentinel 통합 탐지 엔지니어링. 독립 실행형 또는 완전한 Azure 통합으로 실행됩니다.
60개 이상의 보안 벤더로부터 RSS 피드를 수집하고, AI 트리아지를 실행하며, 발견된 항목을 RunZero 자산 인벤토리와 상관 분석하고, 다크 모드 웹 대시보드를 통해 실행 가능한 경보를 표시하는 자체 호스팅 위협 인텔리전스 플랫폼입니다.
클라우드 의존성 없이 독립적으로 실행되도록 설계되었으며, 또는 Azure/Entra/Sentinel 환경에 완전히 통합할 수도 있습니다 — 보유한 환경에 맞는 티어를 선택하세요.
| 티어 | 스크립트 | AI 트리아지 | 인증 | 스토리지 | 제공 기능 |
|---|---|---|---|---|---|
| Basic | scripts/setup-basic.sh | 꺼짐 | 로컬 API 키 | 로컬 Postgres (Docker) | 피드 집계, IOC 추출, MITRE 매트릭스, 대시보드 — AI 없음, 클라우드 없음, 가입할 것도 없음 |
| Basic + API | scripts/setup-basic-api.sh | Anthropic (직접) | 로컬 API 키 | 로컬 Postgres (Docker) | 위의 모든 기능에 더해 AI 심각도/TTP/요약 트리아지 |
| Azure + API | scripts/setup-azure.ps1 | Azure AI Foundry | Microsoft Entra ID SSO | 자체 Postgres (Azure DB for PostgreSQL 등) | Azure Container Apps에 전체 배포, 사용자별 역할이 적용된 SSO. (detections.ai 파이프라인 통합은 향후 릴리스에서 제공됩니다 — 아래 참조.) |
세 가지 모두 완전히 동일한 애플리케이션 코드를 실행합니다 — 달라지는 것은 어떤 환경 변수가 설정되는지뿐입니다. 전체 참조는 환경 변수를 참조하세요.```bash
./scripts/setup-basic.sh
./scripts/setup-basic-api.sh
./scripts/setup-azure.ps1
두 개의 bash 스크립트는 로컬 Postgres 컨테이너를 띄우고, 스키마를 적용하고, `backend/.env` / `frontend/.env.local`을 생성해 줍니다 — 그런 다음 실제로 앱을 시작하는 두 명령(`pip install` + 백엔드 실행, `npm install` + 프론트엔드 개발 서버 실행)을 출력합니다. `setup-azure.ps1`은 실제 Azure Container Apps 배포 런북인 `infra/provision.ps1`을 감싼 얇은 래퍼입니다.
---
## Features
- **Feed aggregation** — 60개 이상의 Tier 1/2/3 보안 RSS 피드를 일정에 따라 폴링하며, 중복을 제거하고 홍보성 콘텐츠를 자동으로 필터링합니다
- **AI triage** — 각 항목을 심각도(Critical/High/Medium/Low/Informational), MITRE ATT&CK TTP, 그리고 쉬운 영어 요약으로 분류합니다. 프로바이더 모듈식: Anthropic API 직접 사용 또는 Azure AI Foundry, 환경 변수 하나로 전환 가능하며 어느 쪽이든 기능 손실이 없습니다
- **IOC extraction** — 각 항목에서 IP, 도메인, URL, 파일 해시, CVE를 자동으로 추출합니다
- **RunZero integration** — 자산 인벤토리를 동기화하고 위협 인텔을 실제 자산과 상관 분석합니다; CVE, 소프트웨어 이름, OS 버전, IP 주소로 매칭합니다. `RUNZERO` 아래 세 개의 하위 탭: **Matches**(인벤토리와 상관 분석된 항목, 심각도/날짜/신뢰도/KEV로 필터링 가능), **Exposure**(조직 수준의 확인됨/가능성 있는 상태와 완화 추적), **Metrics**(시간 경과에 따른 유입 대비 완화 추세)
- **Your Stack** — 환경에 있는 소프트웨어/OS를 정의하면 모든 항목을 관련성 기준으로 재점수화합니다
- **IOC ledger** — 추출된 모든 지표의 검색 가능한 원장으로, 항목 상호 참조와 STIX/CSV 내보내기를 지원합니다
- **MITRE ATT&CK matrix** — 수집된 위협 인텔 전반의 TTP 커버리지 히트맵
- **Feed health dashboard** — 피드별 폴링 상태, 연속 실패 추적, 7일간 기사 볼륨
- **Detections** — 탐지로 등록된 모든 것(AI 생성, 자체 파일에서 가져온 것, 라이브 Sentinel 워크스페이스에서 동기화된 것)을 아우르는 9개 탭 검토 화면(아래 참조)
- **Modular auth** — 역할 기반 접근이 가능한 Microsoft Entra ID SSO, 또는 Azure 의존성이 전혀 없는 단일 공유 로컬 API 키. 프론트엔드에서 자동 감지됩니다; [Auth modes](#auth-modes) 참조
### 탐지 관련 두 가지 기능
이 저장소는 실제로 "detections"라는 우산 아래 관련 있지만 독립적으로 사용 가능한 두 가지를 제공합니다:
1. **`DETECTIONS` 탭** — 아홉 개의 하위 탭으로 나뉜 자체 완결형 검토 화면:
- **All Detections** — 등록된 모든 분석의 전체 카탈로그로, 기법/처분/검토 상태로 필터링 가능하며, 각 항목은 설명과 전체 KQL로 펼칠 수 있습니다.
- **Defender Custom Detections** — 동일한 카탈로그이지만, Sentinel 분석 규칙이 아닌 Microsoft Defender for Endpoint의 사용자 지정 탐지 규칙으로 향하는 탐지에 한정됩니다.
- **Alignment Reviews** — 탐지 분석이 MITRE 기법에 대해 등록될 때마다, AI 검사가 실제 커버리지를 MITRE 자체의 해당 기법 설명과 비교합니다. 그것이 어긋나거나 기법을 부분적으로만 커버할 경우, AI의 추론, 제안된 KQL 수정, 그리고 그 수정 자체의 검증 결과(정적 게이트 + 백테스트)와 함께 사람이 검토할 항목으로 여기에 나타납니다 — 결코 맹목적인 제안이 아닙니다.
- **Disposition Alerts** — 부패 탐지 큐: 승인된 분석의 텔레메트리가 쇠퇴하거나 기반 규칙이 오류를 내기 시작하면 여기에 재검토용으로 플래그되며, 공유된 MITRE 기법만이 아니라 자체 탐지 이름으로 명명됩니다.
- **Generated Hunts** — 탐지는 헌트로 그룹화됩니다(현재는 가져온 파일당 하나; 해당 통합이 출시되면 원본 TI 기사/detections.ai 프로젝트당 하나), Microsoft Sentinel 자체의 Hunts 기능과 일치합니다. 헌트는 `Microsoft.SecurityInsights/hunts` 객체와 그 구성 저장 검색 쿼리로 실제 Sentinel 워크스페이스에 동기화될 수 있습니다(`SENTINEL_HUNTING_SYNC_ENABLED`와 `mode` — off/manual/auto — 로 게이트되며, Settings > API Settings에서 팀별로 구성 가능; 옵트인하지 않는 한 결코 조용한 자동 푸시는 없습니다).
- **Sentinel Hunts** — Sentinel 워크스페이스의 Hunting 기능에 실제로 배포된 것의 라이브 인벤토리로, 이 앱 자체의 동기화 이력이 아니라 ARM에서 직접 가져옵니다; 제자리에서 적용하거나 무시할 수 있는 쿼리별 테스트/튜닝 제안을 포함합니다.
- **Sentinel Analytics Rules** — Microsoft Sentinel의 Analytics Rules(`Microsoft.SecurityInsights/alertRules`)에 대한 동일한 개념 — 이들은 일정에 따라 실제로 인시던트/경보를 발생시키는 것이므로 Hunting과는 구별되는 Sentinel 리소스 유형입니다 — 동일한 튜닝 제안 적용/무시 워크플로를 갖습니다.
- **Local Detections** — 아래의 [Running without Sentinel or an AI provider](#running-without-sentinel-or-an-ai-provider-local-detections-import) 참조.
- **Audit Log** (관리자 전용) — 이 앱이 실제로 실행한 모든 검사의 교차 파이프라인 기록: AI 생성 탐지 게이트/제어 프로브 결과, Sentinel 헌트 동기화 시도, Sentinel 헌트 쿼리/분석 규칙 테스트 실행이 하나의 페이지네이션되고 필터링 가능한 목록으로 결합됩니다 — 의도적으로 어떤 단일 검토 탭도 단독으로 다루지 않는 것을 포괄합니다.
검토 화면 자체를 위해 추가 배포가 필요 없이 메인 백엔드 내부에서 전적으로 실행됩니다. 자체 API 설계는 완전히 자체 완결형임에도 불구하고 의도적으로 아래의 detections.ai 관례를 따릅니다.
2. **detections.ai 파이프라인 오케스트레이터 — 출시 예정.** detections.ai는 AI 지원 탐지 생성을 위한 공개 API를 개발 중이며, 이 저장소에는 이를 위한 실제 통합(`backend/detection_pipeline/orchestrator.py`)이 있습니다. 이는 트리아지된 위협 인텔을 받아 기존 탐지 커버리지와 대조하고, 예약 작업으로 Sentinel 워크스페이스용 KQL 초안을 생성합니다. 이 통합은 해당 API가 제공되면 이를 지원할 예정이며, 아직 이 공개 릴리스에는 포함되지 않았습니다. 그동안 **Detections 탭을 사용하는 데 전혀 필요하지 않습니다** — 아래의 [Local Detections Import](#running-without-sentinel-or-an-ai-provider-local-detections-import)가 오늘날 AI 생성 없이, Sentinel 없이 설정에서도 동일한 "실제 탐지를 이 앱에 가져오기" 목표를 다룹니다.
### Sentinel이나 AI 프로바이더 없이 실행하기: Local Detections Import
앱의 이름과 주요 피치를 고려할 때, **Basic** 티어의 셀프 호스터가 가장 흔히 할 질문은 아마도 *"Sentinel이나 AI 프로바이더가 구성되어 있지 않은데, 그래도 Detections/Hunts 탭에서 뭔가 얻을 수 있나요?"*일 것입니다. 답은 예입니다: 앱을 자신의 탐지 규칙 파일 폴더(직접 작성한 것, 실제 Sentinel/Defender 테넌트에서 내보낸 것, 또는 공개 Sigma/Sentinel 규칙 저장소에서 가져온 것)로 지정하면 카탈로그화하고, MITRE 태그를 달고, 정적으로 검증합니다 — 이 모든 것에 Sentinel 연결도, `DETECTIONS_AI_API_KEY`/Anthropic 키도 필요하지 않습니다.