FENGARDE

로그인은 들어오고, 증거는 나간다.
IT, AI, OT를 위한 오픈소스 보안 파이프라인: 원시 로그에서 검증된 인시던트와 NIS2 신고 초안까지.

프로젝트 페이지 및 라이브 데모 · 빠른 시작 · 콘솔 · 아키텍처 · 상태 (SSOT)

배지는 약속이 아니라 main에서의 최신 실제 실행 결과를 반영합니다. Scorecard의 나머지 발견 사항은 수용되고 문서화된 트레이드오프이며, 미비점이 아닙니다. SSOT.md §1을 참고하세요.

FENGARDE는 IT, AI, OT 전반의 보안 텔레메트리를 연결하여 무슨 일이 일어났는지, 누가 또는 무엇이 행동했는지, 무엇이 영향을 받았는지, 이벤트들이 어떻게 연관되는지, 그리고 결론을 뒷받침하는 증거가 무엇인지를 보여줍니다.

유럽 산업 중견기업을 위해 만들어졌습니다: 오픈소스, 자체 호스팅, Apache-2.0, NIS2 인시던트 신고 초안 경로, 결정론적 독일어/영어 보고서 생성기, MSP 스타일 배포를 위한 선택적 RBAC/MFA/감사 로그/멀티테넌시, 선택적 HA 프로필(단순 연결이 아닌 실제 킬 테스트 검증 완료), 그리고 네트워크를 벗어나지 않는 AI 트리아지를 갖추고 있습니다.

로그는 수집되어 하나의 스키마(OCSF)로 정규화되고, 슬라이딩 윈도우에 걸친 상관 규칙을 통과하며, 인과 그래프와 해시 체인 증거 패키지를 갖춘 인시던트로 그룹화되어 OpenSearch에 인덱싱됩니다. 모든 서비스는 독립적이며 메시지 버스로만 서로 통신하므로, 다른 부분을 다시 작성하지 않고도 어느 구성 요소든 확장하거나 교체할 수 있습니다.

FENGARDE를 선택하는 이유

• 사후 개조가 아닌 OCSF 네이티브. 모든 소스가 첫날부터 동일한 개방형 스키마로 정규화되므로, 해당 이벤트를 내보내는 모든 소스를 하나의 규칙으로 커버합니다: SSH 로그인, Windows 로그인, Active Directory 로그인이 세 개의 탐지가 아닌 하나의 무차별 대입 탐지가 됩니다. 벤더 로그 형식에 종속되지 않습니다.
• OT와 IT를 하나의 파이프라인에서. OPC UA와 Modbus/TCP는 Active Directory, Windows, 방화벽과 동일한 스키마로 정규화되므로, 플랜트 현장이 사무실 네트워크와 동일한 탐지 엔진, 콘솔, 보고서 경로를 거치며, 별도의 두 번째 툴체인을 필요로 하지 않습니다.
• 네트워크를 벗어나지 않는 AI 트리아지. OLLAMA_URL이 설정되면 로컬 Ollama를, 그렇지 않으면 레이블이 지정된 결정론적 스텁을 사용합니다. 경보 데이터는 절대 제3자 LLM API를 통해 전송되지 않으며, 콘솔은 실제로 어떤 엔진이 실행되었는지 표시합니다. 측정된 두 모델에서 판정 품질은 낮습니다(qwen2.5:3b는 레이블이 지정된 경보 54건 중 1건 정답, qwen2.5:7b는 54건 중 7건 정답, 대부분 suspicious 응답). eval/llm_triage/RESULTS.md를 참고하세요.
• 경보가 아닌 증거. 인시던트는 타입이 지정된 인과 그래프와 API가 제공 전에 검증하는 Merkle 해시 체인 증거 패키지를 갖추고 있습니다.
• 정직한 상태. 무엇이 입증되었고, 무엇이 주장되며, 무엇이 스텁인지가 SSOT.md에 기록되어 테스트로 강제됩니다. 이 README는 이를 요약할 뿐입니다.

Elastic이 아닌 OpenSearch: 스토리지 엔진에 라이선스 별표가 없습니다 (ADR 003). 알아둘 만하지만, Wazuh에 대한 차별점은 아닙니다(그 인덱서도 OpenSearch 포크이기 때문입니다).

사용해 보기

빠른 시작

git clone https://github.com/supermhel/fengarde.git && cd fengarde
make preflight   # doctor: checks vm.max_map_count, Docker RAM, free ports
make demo        # docker compose up -- a real SSH brute-force alert appears
                 # in the dashboard within ~30-60s, no manual step
# open http://localhost:8080

Docker가 없으신가요? 전체 탐지 파이프라인은 별도 인프라 없이 실행됩니다:

make e2e         # SSH brute-force -> real alert -> idempotent replay, no Docker/Redis/OpenSearch
bash tools/demo.sh   # same test, narrated (Windows: powershell -File tools\demo.ps1)

확인 중인 내용: 60초 이내에 한 IP에서 발생한 10회의 로그인 실패(SSH Failed password 또는 Windows EventID 4625 — 둘 다 동일한 OCSF Authentication 이벤트로 정규화됨)가 common_bruteforce.yml(threshold: 10, window_seconds: 60, 소스 IP 기준 그룹화)을 트리거하며, 알림은 대시보드의 알림 목록에 표시되고 재전송 시에도 멱등성을 유지합니다.

사전 요구 사항: Docker Desktop 또는 Docker Engine + Compose v2, Docker에 할당된 RAM ≥4 GB; Linux, macOS, 또는 WSL2를 통한 Windows(Linux 컨테이너, POSIX sh 스크립트). Python 3는 파서를 기여하는 경우에만 필요하며, 그 경우 Docker는 필요하지 않습니다(Contributing 참조).

sudo sysctl -w vm.max_map_count=262144
# persist across reboots:
echo 'vm.max_map_count=262144' | sudo tee /etc/sysctl.d/99-fengarde.conf

기타 대상:

make test     # full zero-infra contract test suite, no Docker needed
make up       # start the stack detached
make down     # stop the stack, remove volumes
make ha-up    # opt-in: Redis Sentinel + 3-node OpenSearch HA (needs REDIS_PASSWORD)
make ha-down  # stop the HA profile, remove its volumes

make preflight는 시작하기 전에 게시된 포트가 비어 있는지 확인합니다.

콘솔

make up 후 콘솔은 http://localhost:8080에 있습니다 (React 18 및 Vite; /legacy/에 있던 이전 단일 파일 UI는 2026-10-20에 폐기됨). 세 그룹에 걸친 열한 개의 뷰 (사이드바의 열 개와 Account):

독일어와 영어, 라이트 및 다크, 휴대폰 너비. 로그인은 MFA 코드를 받고 어느 호스트와 통신하는지, 로그인 서비스가 응답하는지 여부를 알려주며, 일반 HTTP에서는 경고합니다. 각 역할이 무엇을 할 수 있는지는 로그인 페이지에 나열되어 있습니다.