레드 팀 인프라 트래커 및 C2 리다이렉터 -- RedWarden의 현대적인 대안입니다.

InfraGuard는 인터넷과 C2 팀서버 사이에 위치하여, 모든 인바운드 요청을 malleable C2 프로필에 대해 검증하고 규칙에 맞지 않는 모든 것을 차단합니다. 스캐너, 봇, 블루 팀 프로브는 데코이 사이트로 리다이렉트되는 반면, 합법적인 비콘 트래픽은 팀서버로 통과합니다.

아키텍처

기능

프록시 및 리스너

• 멀티 도메인 프록시 -- 여러 도메인을 동시에 프록시하며, 각각 독립적인 C2 프로필, 업스트림, 규칙을 가집니다
• 멀티 프로토콜 리스너 -- HTTP/HTTPS, DNS, MQTT, WebSocket 리스너가 공유 IP 인텔리전스 및 이벤트 추적과 함께 동시에 실행됩니다
• 회로 차단기 -- 업스트림별 장애 보호 기능으로 closed/open/half-open 상태를 가지며, 백엔드에 연결할 수 없을 때 도메인의 드롭 액션으로 폴백합니다
• 프로토콜 장애 조치 -- 우선순위로 정렬된 리스너 프로토콜 간 자동 장애 조치 및 복구

C2 프로필 지원

• C2 프로필 검증 -- Cobalt Strike, Mythic, Brute Ratel C4, Sliver, Havoc, Nighthawk, PoshC2 프로필을 리다이렉터 규칙으로 파싱하고 적용합니다
• 핫 스왑 가능한 프로필 -- 프록시를 재시작하지 않고 대시보드에서 런타임 중 도메인의 활성 C2 프로필을 교체할 수 있습니다
• 프로필 생성 마법사 -- 안내형 양식을 통해 8가지 지원 유형 모두에 대한 새 C2 프로필을 처음부터 생성하거나, 자동 유형 감지 및 검증을 통해 기존 프로필을 가져오고 업로드할 수 있습니다
• AI 지원 프로필 생성 -- 선택적 Ollama 통합으로 대시보드에 채팅 패널을 제공하여 프로필 생성 지원 및 OPSEC 조언을 제공합니다

필터 파이프라인

• 점수 기반 필터 파이프라인 -- 10개의 필터가 각각 0.0~1.0 점수를 기여하며, 구성 가능한 임계값이 차단/허용을 결정합니다. 필터: JA3, IP, 봇, 헤더, DNS, 지리, 프로필, 재생, 열거, 샌드박스
• JA3 TLS 지문 필터링 -- HTTP 데이터가 교환되기 전에 TLS 핸드셰이크 계층에서 Masscan, ZGrab2, Shodan, curl, Python requests, Nmap을 차단합니다. 리버스 프록시 헤더 또는 커스텀 asyncio 프로토콜을 통해 작동하며, 선택적 허용 목록 모드로 비콘 JA3을 강제합니다
• 샌드박스 및 헤드리스 브라우저 탐지 -- HTTP 신호 전반에 걸친 점수 누적: HeadlessChrome UA, Accept-Language 누락, sec-ch-ua 없는 Chrome, Safe Links 및 msnbot 스캐너 UA, 비브라우저 Accept 순서
• 경로 열거 탐지 -- 슬라이딩 윈도우에서 IP별 고유 URI 추적; URI 공간을 매핑하기 전에 dirbuster/ffuf/gobuster를 차단합니다
• DNS 서브도메인 열거 탐지 -- 클라이언트 IP별 NXDOMAIN 응답을 추적; 임계값 위반 시 소스 IP를 자동 차단합니다
• 안티봇 / 안티크롤링 -- 40개 이상의 알려진 스캐너/봇 User-Agent 패턴, 헤더 이상 탐지
• 재생 방지 -- 콘텐츠 해시로 중복 요청을 거부; 해시는 SQLite에 영속화되어 재시작 후에도 보호가 유지됩니다
• 드롭 액션 -- 리다이렉트, TCP 리셋, 데코이 사이트로 프록시, 또는 타르핏(스캐너 시간 낭비를 위한 느린 응답)

인텔리전스

• IP 인텔리전스 -- 19개 보안 벤더 범위(Shodan, Censys, Rapid7 등)에 대한 내장 CIDR 블록리스트, GeoIP 필터링, 역방향 DNS 키워드 매칭
• 위협 인텔 피드 -- 공개 소스(abuse.ch, Emerging Threats, Spamhaus DROP, Binary Defense)에서 블록리스트 자동 업데이트, 구성 가능한 갱신 간격 및 디스크 캐싱
• 동적 IP 차단 -- 허용 목록 범위 밖의 IP 차단; N회의 유효한 C2 요청 후 IP 자동 허용 목록 등록
• 허용 목록 강화 -- 허용 목록에 등록된 CIDR은 시작 시 GeoIP 데이터베이스를 통해 ASN, 조직, 국가, 대륙 데이터로 자동 강화됩니다
• 번 탐지 -- crt.sh를 통한 인증서 투명성 로그 모니터링, URLhaus/OpenPhish/Google Safe Browsing을 통한 도메인 평판 자체 모니터링, 단일 IP가 여러 운영자 도메인에 접근할 때 교차 도메인 분석가 탐지
• 번 신뢰도 점수 -- 6개의 가중 신호(JA3 다양성, 볼륨 급증, 새 ASN, CT 로그 노출, 평판 적중, 실패한 인증 시도)에서 지속적인 0~100 점수. 권장 조치(모니터링, 로테이션, 즉시 번) 포함
• 카나리아 토큰 주입 -- 추적 픽셀, 허니팟 링크, 허니팟 폼이 데코이 페이지에 자동 주입되어 블루 팀 조사를 탐지합니다
• 패시브 DNS 모니터링 -- 도메인의 외부 해석을 위해 CIRCL PDNS를 폴링; 새 레코드, NXDOMAIN 급증, 최초 노출을 탐지합니다

페이로드 전달

• 콘텐츠 전달 경로 -- PwnDrop, Mythic 파일 저장소, 로컬 파일시스템 또는 HTTP 프록시 백엔드를 통해 특정 경로에서 페이로드, 데코이, 정적 파일을 제공합니다. 선택적 조건부 전달로 타겟에는 실제 콘텐츠를, 스캐너에는 데코이를 제공합니다
• Mythic 파일 스테이징 -- mythic_file 백엔드가 Mythic의 /direct/download/{uuid}를 깔끔한 URL로 프록시합니다. 고정 UUID 또는 프록시 모드; 접근 제어는 InfraGuard의 필터 스택이 제공합니다
• 일회용 페이로드 토큰 -- 비콘이 동적으로 허용 목록에 등록될 때 토큰이 자동 발급됩니다. 원자적 단일 사용 SQLite 강제로 분석가나 샌드박스의 URL 재생을 방지합니다. 구성 가능한 TTL 및 최대 사용 횟수
• 경로별 속도 제한 -- 콘텐츠 경로에 슬라이딩 윈도우 IP별 다운로드 속도 제한기; 한도 초과 시 구성된 스캐너 데코이 또는 429를 제공합니다
• 전달 가드 -- 콘텐츠 경로에 대한 환경 키잉: 비콘 IP 요구, UA 허용 목록, 필수 헤더 값, 금지 헤더; 검사 실패 시 원시 403이 아닌 도메인 드롭 액션을 제공합니다
• 피싱 캠페인 토큰 -- 이메일 링크에 포함된 캠페인별 토큰으로 피싱 페이지를 게이트합니다. 정적 토큰 목록 또는 구성 가능한 TTL을 가진 HMAC 서명 자체 검증 토큰

복원력

• 인프라 로테이션 -- 사전 점검, 롤백, age 암호화 상태를 갖춘 5개 클라우드 제공업체에 걸친 원클릭 블루-그린 Terraform 로테이션
• 로테이션 스케줄링 -- 자동 로테이션 정책: 고정 간격, 번 트리거, 요청 수 임계값, 지그재그 롤링
• 도메인 프론팅 -- SNI/Host 헤더 분할을 통한 CDN 기반 C2 라우팅, CDN 헤더 스트리핑 및 SSRF 보호
• 데드맨 스위치 -- 운영자가 체크인하지 않으면 C2 포워딩을 자동 중지하는 운영자 하트비트 TTL
• 엣지 프록시 -- CDN 인프라를 통한 도메인 프론팅, 엣지 국가 차단, 호스트 재작성을 위한 Cloudflare Worker 및 AWS Lambda

대시보드 및 운영자 도구

• 웹 대시보드 -- 로그인 페이지, 실시간 요청 피드, 도메인 통계, 상위 차단 IP, WebSocket 이벤트 스트리밍, 인라인 차단/허용 목록/차단 해제 작업을 갖춘 실시간 SPA
• 데코이 페이지 관리 -- 대시보드에서 직접 데코이 HTML 페이지를 나열, 미리보기, 편집
• 커맨드 포스트 -- 여러 InfraGuard 노드의 통계, 요청, 실시간 이벤트를 단일 뷰로 병합하는 다중 인스턴스 집계 대시보드
• 터미널 UI -- 로그인 화면, 실시간 API 폴링, 색상 구분 요청 로그를 갖춘 Textual 기반 TUI
• 엔게이지먼트 보고서 -- 도메인별 분석, 필터 효과, 운영자 감사 추적을 포함한 독립형 HTML, JSON 또는 CSV 보고서
• Prometheus 메트릭 -- 요청 카운터, 업스트림 지연 시간 히스토그램, 회로 차단기 상태, 피드 신선도, 활성 연결을 노출하는 /metrics 엔드포인트

통합 및 플러그인

• SIEM 통합 -- 일괄 포워딩을 지원하는 Elasticsearch, Wazuh, Syslog(CEF/JSON)용 내장 플러그인
• 웹훅 알림 -- Discord(임베드), Slack(Block Kit), 일반 웹훅용 내장 플러그인; 번 탐지 알림은 동일한 플러그인 시스템을 통해 라우팅됩니다
• Phishing.club 통합 -- 피싱 이벤트를 수집하고 클릭한 타겟 IP를 자동 허용 목록에 등록하는 HMAC 서명 웹훅 수신기
• 플러그인 시스템 -- on_event 훅, 플러그인별 구성, 이벤트 필터링을 갖춘 이벤트 중심 아키텍처

구성 및 배포

• 구성 암호화 -- age(전체 파일) 및 SOPS(값별) 암호화, .env 파일 지원
• 구성 검증 -- CLI diff 도구 및 20개 이상의 보안, 운영, TLS 검증 검사
• API 키 관리 -- 키별 속도 제한, 사용량 추적, 할당량을 갖춘 API 키 생성, 폐기, 로테이션
• 백엔드 구성 생성 -- TLS, IP 필터링, 헤더 검사, 별칭, 커스텀 헤더를 갖춘 Nginx, Caddy 또는 Apache 구성 생성
• 규칙 수집 -- 기존 .htaccess 및 robots.txt 파일에서 IP 블록리스트와 User-Agent 패턴 가져오기
• Docker 배포 -- 선택적 Let's Encrypt, GeoIP 다운로더, PwnDrop 페이로드 서버, Ollama AI 어시스턴트를 갖춘 Dockerfile + docker-compose
• GeoIP 지원 -- Docker 자동 다운로드를 지원하는 3가지 GeoLite2 데이터베이스(City, ASN, Country) 모두
• 자체 서명 TLS 폴백 -- 구성된 경로가 존재하지 않을 때 인증서를 자동 생성
• 환경 변수 지원 -- .env 파일 자동 로드; ${VAR} 구문이 모든 구성 값과 키에서 작동
• 구성 가능한 헬스 엔드포인트 -- 핑거프린팅을 피하기 위해 헬스 체크 경로 변경
• 구조화 로깅 -- structlog를 통한 JSON 형식 구조화 로그
• 추적 및 영속성 -- 요청 로깅, 통계, 노드 레지스트리, 재생 해시, 페이로드 토큰을 위한 WAL 모드 SQLite

설치 가이드

설치 방법은 Wiki 페이지를 확인하세요

CLI 참조```

infraguard --version Show version infraguard --help Show help

infraguard run -c config.yaml Start the reverse proxy infraguard run -c config.yaml --port 8443 Override listen port infraguard run -c config.yaml --host 0.0.0.0 Override bind address

infraguard dashboard -c config.yaml Start the web dashboard infraguard dashboard -c config.yaml --port 9090 Override dashboard port

infraguard tui Launch TUI with login screen infraguard tui --url http://host:8080 --token TOK Auto-connect to dashboard infraguard tui -c config.yaml Read URL/token from config

infraguard command-post -c command-post.yaml Start multi-instance dashboard infraguard command-post --instance name:url:token Add instance via CLI (repeatable)

infraguard profile parse Parse and display a C2 profile infraguard profile parse --format json Output as JSON infraguard profile parse --type brute_ratel Force profile type infraguard profile convert -o out.json Convert profile to JSON

Supported --type values: auto, cobalt_strike, mythic, brute_ratel, sliver, havoc, nighthawk, poshc2

Auto-detection: .profile = CS, .toml = Havoc, .yaml = PoshC2, .json = auto-detect by keys

infraguard ingest <files...> Ingest .htaccess/robots.txt rules infraguard ingest <files...> --format blocklist Output as IP blocklist infraguard ingest <files...> --format json Output as JSON infraguard ingest <files...> -o banned_ips.txt Write blocklist to file

infraguard generate nginx -c config.yaml Generate Nginx config infraguard generate caddy -c config.yaml Generate Caddyfile infraguard generate apache -c config.yaml Generate Apache VirtualHost

infraguard init -o config.yaml Generate starter config infraguard validate -c config.yaml Validate config file

### 생성기 옵션

`generate` 명령은 운영자 맞춤 설정을 위한 추가 플래그를 지원합니다:

| 플래그 | 설명 |
|---|---|
| `--listen-port PORT` | 수신 포트 재정의 (기본값: 구성 파일 기준) |
| `--ssl-cert PATH` | SSL 인증서 경로 재정의 |
| `--ssl-key PATH` | SSL 키 경로 재정의 |
| `--redirect-url URL` | 차단된 요청에 대한 리디렉션 URL 재정의 |
| `--default-action redirect\|404` | 일치하지 않는 요청에 대한 동작 |
| `--no-ip-filter` | IP 허용/거부 블록 생략 |
| `--no-header-check` | 헤더 검증 규칙 생략 |
| `--alias DOMAIN:ALIAS` | 서버 이름 별칭 추가 (반복 가능) |
| `--header NAME:VALUE` | 사용자 정의 응답 헤더 추가 (반복 가능) |

## Command Post (다중 인스턴스 대시보드)

여러 VPS 또는 클라우드 제공업체에서 여러 InfraGuard 인스턴스를 실행할 때, Command Post는 모든 노드의 통계, 요청 및 실시간 이벤트를 단일 대시보드로 집계합니다.```
┌─────────────────────────────┐
│    Command Post Dashboard   │
│    http://localhost:9090    │
└──────────┬──────────────────┘
           │ parallel fetch
     ┌─────┼──────┬──────────┐
     ▼     ▼      ▼          ▼
   IG-1   IG-2   IG-3   ... IG-N

빠른 시작```bash

Via config file

infraguard command-post -c config/command-post.yaml

Via CLI args

infraguard command-post
--instance "prod:https://ig1.example.com:8080:TOKEN1"
--instance "staging:https://ig2.example.com:8080:TOKEN2"
--port 9090

Via Docker

docker compose --profile command-post up -d command-post

### Configuration

`config/command-post.yaml` 파일을 생성합니다:```yaml
instances:
  - name: "prod-cs"
    url: "https://ig1.example.com:8080"
    token: "${IG_PROD_TOKEN}"
  - name: "prod-mythic"
    url: "https://ig2.example.com:8080"
    token: "${IG_MYTHIC_TOKEN}"
  - name: "staging"
    url: "https://ig3.example.com:8080"
    token: "${IG_STAGING_TOKEN}"

port: 9090
# auth_token: "${COMMAND_POST_TOKEN}"

표시되는 내용

• 병합된 통계 -- 모든 인스턴스에 걸쳐 합산된 총 요청 수, 허용 수, 차단 수
• 인스턴스 상태 표시줄 -- 연결된 각 노드의 정상/오류 상태를 색상으로 표시
• 인터리브된 요청 로그 -- 모든 인스턴스의 요청을 타임스탬프 기준으로 정렬하고, 각 요청에 인스턴스 이름을 태그로 표시
• 병합된 상위 차단 IP 목록 -- 모든 인스턴스에 걸쳐 집계
• 도메인별 통계 -- 모든 인스턴스의 도메인을 재계산된 차단 비율과 함께 표시
• 실시간 이벤트 피드 -- 모든 노드에서 멀티플렉싱된 WebSocket 이벤트
• 차단/허용 목록 작업 -- 모든 인스턴스 또는 특정 인스턴스로 전파

API 엔드포인트

Docker 배포

빠른 시작```bash

cp .env.example .env

Edit .env with your domain, teamserver, and token

docker compose up -d

이 두 서비스를 시작합니다:
- **proxy** -- 포트 443과 80에서 동작하는 리다이렉터
- **dashboard** -- 포트 8080에서 동작하는 웹 UI

### Let's Encrypt 사용 시```bash
# Set in .env:
#   INFRAGUARD_LETSENCRYPT=true
#   INFRAGUARD_DOMAIN=cdn.example.com
#   [email protected]

# Obtain the initial certificate
docker compose --profile letsencrypt up certbot

# Start the proxy (will use the LE cert)
docker compose up -d proxy dashboard

# Start auto-renewal (checks every 12 hours)
docker compose --profile letsencrypt up -d certbot-renew

Requirements for Let's Encrypt:

• Port 80 must be reachable from the internet
• INFRAGUARD_DOMAIN must resolve to this host's public IP
• INFRAGUARD_DOMAIN_EMAIL must be a valid email address

With GeoIP databases```bash

Download all three GeoLite2 databases (City, ASN, Country)

docker compose --profile geoip up geoip-update

Then start normally - databases are mounted at /app/geoip/

docker compose up -d proxy dashboard

### PwnDrop(페이로드 전달) 사용 시```bash
# Start PwnDrop alongside the proxy
docker compose --profile pwndrop up -d pwndrop

# Access PwnDrop admin UI at https://localhost:8443
# InfraGuard reaches it internally at http://pwndrop:80

그런 다음 구성 파일에서 콘텐츠 라우트를 설정하여 페이로드 경로를 PwnDrop으로 프록시하세요:```yaml domains: cdn.example.com: content_routes: - path: "/downloads/*" backend: type: "pwndrop" target: "http://pwndrop:80" auth_token: "${PWNDROP_TOKEN}"

### Ollama 사용 (AI 지원 프로필 생성)```bash
# Start the Ollama service
docker compose --profile ollama up -d ollama

# Pull the default model (~5 GB)
docker compose --profile ollama exec ollama ollama pull qwen3:8b

# The dashboard's AI chat panel will connect automatically

대시보드 환경 변수 INFRAGUARD_OLLAMA_URL은 docker-compose.yml에 미리 구성되어 있습니다. Ollama가 실행 중이면 대시보드의 디코이 및 프로필 페이지에 AI 어시스턴트 토글이 표시됩니다.

확장```bash

Run multiple redirector nodes

docker compose up -d --scale proxy-node=3

`docker-compose.yml`에서 `proxy-node` 서비스를 주석 해제하여 활성화하세요.

### 볼륨

| 볼륨 | 용도 |
|---|---|
| `./config` | 구성 파일 (읽기 전용으로 마운트됨) |
| `./examples` | C2 프로필 (읽기 전용으로 마운트됨) |
| `./rules` | 수집된 차단 목록 및 규칙 소스 파일 (읽기 전용으로 마운트됨) |
| `./data` | SQLite 데이터베이스 및 생성된 프로필 (영구 저장됨) |
| `certs` | TLS 인증서 (프록시와 certbot 간 공유) |
| `geoip` | GeoLite2 데이터베이스 (`geoip-update` 서비스로 채워짐) |
| `pwndrop-data` | PwnDrop 업로드 파일 및 데이터베이스 |
| `ollama-data` | Ollama 모델 가중치 및 구성 |

## 아키텍처```
infraguard/
    __init__.py              Package init
    __main__.py              python -m infraguard entry
    main.py                  Click CLI
    config/                  YAML config loading, .env support, Pydantic validation
    core/                    ASGI proxy engine (app, proxy, router, TLS, drop actions, content delivery)
    profiles/                C2 profile parsers and generators (8 types)
    pipeline/                Request validation filters (JA3, IP, bot, header, DNS, geo, profile, replay, enumeration, sandbox)
    intel/                   IP intelligence (blocklists, GeoIP, rDNS, feeds, rule ingestion)
    tracking/                SQLite persistence (request logging, stats, node registry)
    plugins/                 Plugin system (protocol, loader, builtins)
    ui/
        api/                 REST API + WebSocket (Starlette)
        web/                 SPA dashboard (HTML/JS/CSS)
        tui/                 Terminal UI (Textual) with login screen
        command_post/        Multi-instance aggregation dashboard
    listeners/               Protocol listeners (HTTP, DNS, MQTT, WebSocket)
    backends/                Config generators (Nginx, Caddy, Apache)
    models/                  Shared types and event models

RedWarden과의 비교

기여자

• Mgeeky - 원래 아이디어 (RedWarden)
• curi0usJack - .htaccess 규칙
• 프로필
  • threatexpress - jquery-c2.3.14.profile
  • InfinityCurve - Havoc 프로필
• C2 프레임워크
  • Cobalt Strike - Malleable C2 프로필 지원
  • Mythic - HTTPX 프로필 지원 + 파일 스테이징
  • Brute Ratel C4 - 서버 구성 프로필 지원
  • Sliver - HTTP C2 프로필 지원
  • Havoc - TOML 프로필 지원
  • Nighthawk - JSON 리스너 구성 지원
  • PoshC2 - YAML 구성 지원

프로젝트에 기여하고 싶다면 버전 이름으로 새 브랜치를 만들고 풀 리퀘스트에 동일한 버전 이름을 지정하세요. 예: branch=v1.2.3 | [v1.2.3] 항목 추가됨.

라이선스

BSD 2-Clause License. 자세한 내용은 LICENSE를 참조하세요.

Copyright (c) 2026, Whispergate