---

Что такое SecFlow?

SecFlow — это открытый автоматизированный конвейер анализа угроз, предназначенный для аналитиков безопасности, команд SOC и исследователей. Вместо того чтобы вручную запускать разрозненные инструменты и сопоставлять результаты, SecFlow:

1. Классифицирует ваши входные данные с помощью детерминированных правил (без ИИ на первом проходе)
2. Направляет их через подходящий специализированный анализатор через HTTP-микросервисы
3. Анализирует результаты каждого прохода с помощью ИИ Groq для определения следующего шага
4. Повторяет — отслеживая индикаторы компрометации, загружая полезные нагрузки, переключаясь между анализаторами
5. Формирует отчёт — генерирует HTML-отчёт PWNDoc с YARA-правилами обнаружения, SIGMA-правилами для SIEM, привязкой к MITRE ATT&CK и экспортом в PDF в один клик

---

Возможности

Функция	Подробности
Маршрутизация на основе ИИ	Groq qwen/qwen3-32b решает, какой анализатор использовать после каждого прохода — без ручной настройки
5 специализированных анализаторов	Вредоносное ПО · Стеганография · Разведка · Веб-уязвимости · Макросы/Oфис
Умный первый проход	file + python-magic — детерминированные правила на первом проходе, ИИ вызывается только при неоднозначном типе
Загрузка и анализ	Отслеживает индикаторы компрометации — загружает полезные нагрузки, найденные в необработанном выводе, и направляет их в нужный анализатор
Генерация YARA-правил	Автоматически создаёт 2–5 готовых к использованию YARA-правил для каждого анализа, каждое с указанием точных доказательств
Генерация SIGMA-правил	Автоматически создаёт 2–4 SIGMA-правила для Splunk / Elastic / Sentinel, охватывающих разные источники журналов
Привязка к MITRE ATT&CK	Каждое обнаружение сопоставляется с реальными идентификаторами TTP и названиями тактик
Два формата отчёта	HTML-отчёт (печать в PDF из браузера) + структурированный JSON-отчёт (подача напрямую в ИИ для дальнейшего анализа)
Панель управления на React	Полноценный фронтенд — отправляйте запросы, наблюдайте за ходом конвейера в реальном времени, просматривайте результаты по анализаторам
Интеграция с VirusTotal	Анализаторы вредоносного ПО и макросов опрашивают более 70 антивирусных движков через API VT v3
Настраиваемая глубина цикла	3, 4 или 5 проходов — досрочное завершение, если ИИ сообщает об отсутствии дальнейших сигналов
Автономный режим	Каждый анализатор-микросервис предоставляет собственный REST API — используйте их независимо

---

Архитектура```

User Input (file / URL / IP / domain / image) │ ▼ ┌────────────────────────────────┐ │ Input Classifier │ file + python-magic → deterministic rule │ (Rule-based, pass 1 only) │ unknown type? → Groq AI fallback └───────────────┬────────────────┘ │ first analyzer selected ▼ ┌────────────────────────────────────────────────────────┐ │ Analyzer Loop (N = 3 / 4 / 5 passes) │ │ │ │ ┌──────────────────────────────────────────────────┐ │ │ │ Run Analyzer (HTTP → Docker microservice) │ │ │ │ Malware · Steg · Recon · Web · Macro │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ findings + raw_output │ │ ┌───────────────▼──────────────────────────────────┐ │ │ │ AI Routing Engine (Groq qwen/qwen3-32b) │ │ │ │ IOC extraction → next_tool + target │ │ │ └───────────────┬──────────────────────────────────┘ │ │ │ │ │ ┌───────┴──────────────────┐ │ │ next tool null │ │ │ │ │ │ │ Download HTTP payloads │ │ │ from raw_output → re-analyze │ │ └──────────────── repeat ────────────────────┘│ └─────────────────┬──────────────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ Findings Store │ All passes · all findings accumulated └───────────────┬────────────────┘ │ ▼ ┌────────────────────────────────────────────┐ │ Threat Intelligence Engine │ │ (Groq llama-3.3-70b-versatile) │ │ ├─ Threat Summary + MITRE ATT&CK TTPs │ │ ├─ YARA Detection Rules (2–5 rules) │ │ └─ SIGMA SIEM Rules (2–4 rules) │ └───────────────┬────────────────────────────┘ │ ▼ ┌────────────────────────────────┐ │ PWNDoc HTML Report │ Groq summary → browser-rendered HTML │ │ One-click Export PDF button └────────────────────────────────┘

---

## Быстрый старт

### Предварительные требования

- Docker + Docker Compose
- Ключи API для Groq и VirusTotal (бесплатные версии подходят)

### 1. Клонируйте репозиторий```bash
git clone https://github.com/aradhyacp/SecFlow.git
cd SecFlow/backend

2. Настройка переменных окружения```bash

cp .env.example .env

Отредактируйте `.env` с вашими ключами:```env
# Required
GROQ_API_KEY=your_groq_api_key_here
VIRUSTOTAL_API_KEY=your_vt_api_key_here

# Optional — unlock additional OSINT capabilities
NUMVERIFY_API_KEY=your_numverify_key      # Phone number lookups
THREATFOX_API_KEY=your_threatfox_key      # Higher ThreatFox rate limits
ipAPI_KEY=your_ipapi_key                  # Higher ip-api.com rate limits

# Pipeline control
MAX_PASSES=3                              # 3 | 4 | 5

3. Запустите все службы```bash

docker compose up -d

This starts 6 containers:

| Service | Port | Role |
|---|---|---|
| `orchestrator` | `5000` | Контроллер пайплайна — основная точка входа |
| `malware-analyzer` | `5001` | Декомпиляция Ghidra + VirusTotal |
| `steg-analyzer` | `5002` | binwalk + zsteg + steghide + ExifTool |
| `recon-analyzer` | `5003` | ip-api + ThreatFox + OSINT |
| `web-analyzer` | `5005` | Сканер уязвимостей HTTP + аудит заголовков |
| `macro-analyzer` | `5006` | oletools (olevba) + VirusTotal |