Argus

Фреймворк security-аналитики

Argus — это многофазный фреймворк для разведки и анализа безопасности, созданный для профессионального пентеста и оценки поверхности атаки. Он работает полностью автономно — без API-ключей, внешних сервисов и учётных записей. Одна команда даёт полную картину внешней экспозиции организации.

Архитектура

argus/
├── sources/          Certificate Transparency, пассивный DNS, brute force
├── correlators/      DNS-резолвинг, обход CDN, сканирование портов
├── intelligence/     43 аналитических модуля
│   ├── Core          TLS, HTTP, email, контент-дискавери, JS-секреты
│   ├── Graph         Векторы атак, соответствие стандартам, CVE, обнаружение аномалий
│   ├── Advanced      SSRF-цепочки, OAuth/GraphQL/WebSocket, BGP, stealth
│   └── Intelligence  Углублённый CVE, перечисление API, облачные хранилища, threat intel
├── ontology/         Граф знаний (NetworkX), модель сущностей, движок пивотинга
├── output/           HTML-отчёт, executive-отчёт, CSV, JSON, терминал
└── web/              Интерактивная FastAPI-панель с WebSocket

Движок строит граф знаний всех обнаруженных сущностей — доменов, IP-адресов, сертификатов, организаций, технологий, открытых портов — и связей между ними. Каждая находка — это аномалия, привязанная к узлу графа, с оценкой CVSS 3.1, привязкой к вектору атаки и маппингом на требования стандартов.

43 фазы

Установка

Требования: Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Веб-интерфейс (опционально):

pip install fastapi uvicorn websockets

Использование

python argus.py -d TARGET [OPTIONS]

Базовые сканирования

# Сбор CT-логов + DNS-резолвинг + обнаружение аномалий
python argus.py -d target.com

# Полное сканирование из 43 фаз
python argus.py -d target.com --full

# Полное сканирование с executive-отчётом
python argus.py -d target.com --full --output executive

# Полное сканирование с аутентификацией и фаззингом
python argus.py -d target.com --full --fuzz --auth

# Сканирование с известными учётными данными
python argus.py -d target.com --full --auth --user admin --password admin123

Целевые модули

# Brute force поддоменов + AXFR
python argus.py -d target.com --brute --axfr

# Углублённая инфраструктура: ASN + обход CDN + порты
python argus.py -d target.com --deep --cdn-bypass --ports

# Стелс-сканирование (параноидальный профиль джиттера)
python argus.py -d target.com --full --stealth-profile paranoid

# Через Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Пакетное и непрерывное сканирование

# Пакетное сканирование из файла
python argus.py -f targets.txt --full --output json

# Непрерывный мониторинг с алертами в Slack
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Веб-панель
python argus.py --serve --ui-port 8080

Опции

Target:
  -d DOMAIN             Один целевой домен
  -f FILE               Файл с одним доменом на строку

Scan Modules:
  --full                Включить все модули
  --deep                ASN, обнаружение облака, Wayback, reverse IP
  --brute               Brute force поддоменов + перестановки
  --axfr                DNS zone transfer
  --cdn-bypass          Обнаружение исходного IP за CDN/WAF
  --ports               Сканирование TCP-портов + сбор баннеров (178 портов)
  --jarm                JARM TLS-фингерпринтинг
  --fuzz                Фаззинг параметров (SQLi, XSS, SSRF, IDOR, traversal)
  --auth                Анализ аутентификации
  --user USER           Имя пользователя для сканирования с аутентификацией
  --password PASS       Пароль для сканирования с аутентификацией

Output:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Путь к выходному файлу
  -v                    Подробное логирование
  -q                    Тихий режим

Performance:
  --threads N           Количество параллельных потоков (по умолчанию: 30)
  --timeout N           Таймаут запроса в секундах (по умолчанию: 10)
  --proxy URL           Прокси (socks5://host:port или http://host:port)
  --no-cache            Отключить дисковый кэш
  --stealth-profile     paranoid | careful | normal | aggressive

Web UI:
  --serve               Запустить интерактивную веб-панель
  --ui-port N           Порт веб-интерфейса (по умолчанию: 8080)

Daemon:
  --daemon              Режим непрерывного мониторинга
  --webhook URL         URL вебхука для алертов (Slack/Telegram)
  --interval N          Интервал сканирования в часах (по умолчанию: 6)

Результаты

HTML-отчёт

Интерактивная визуализация графа всей инфраструктуры с находками, оценкой рисков и картой связей. Самодостаточный одиночный файл.

Executive-отчёт

Сводка на деловом языке с описанием векторов атак, нарушений требований по каждому фреймворку, приоритизированным планом исправлений и матрицей рисков.

JSON

Полный машиночитаемый результат, включающий весь граф знаний, все аномалии с оценками CVSS, векторы атак и метаданные сканирования. Подходит для интеграции с SIEM, тикет-системами или кастомными инструментами.

Детали модулей сканирования

Контент-дискавери Проверяет 100+ путей на каждом живом домене. Обнаруживает файлы .env, Git-репозитории, админ-панели, резервные архивы, дампы баз данных, эндпоинты Spring Actuator, интерфейсы GraphQL и многое другое. Включает определение SPA/CDN catch-all — хосты, отвечающие 200 на любой URL, обрабатываются корректно с валидацией по паттернам для исключения ложных срабатываний.

Фаззер Контекстно-зависимый фаззинг параметров. Определяет тип параметра (числовой, строковый, путь, URL) перед выбором payload-ов. Тестирует SQLi (50 payload-ов, error-based и time-based), XSS (39 payload-ов), SSRF (45 payload-ов, включая метаданные AWS/GCP/Azure), path traversal (33 payload-а), open redirect и IDOR. Обнаружение WAF с тремя уровнями обхода.

Аутентификация Находит формы входа, автоматически извлекает CSRF-токены, определяет CAPTCHA и пропускает её. Тестирует 132 комбинации учётных данных, включая дефолтные пароли вендоров, пароли из утечек и домен-специфичные варианты. Анализ JWT с перебором HMAC для слабых секретов. Обнаружение эндпоинтов OAuth/SSO.

SSRF-цепочки Выходит за рамки обнаружения на одном эндпоинте. Использует подтверждённый SSRF для пивотинга: перечисляет учётные данные AWS IAM, токены сервисных аккаунтов GCP, токены Azure Managed Identity и проверяет внутренние сервисы (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Тестирует протокол Gopher для записи в Redis.

BGP-аналитика Поадерсный анализ AS-путей через RIPEstat и BGPView. Определяет ASN, префиксы, прямых пиров, присутствие на IXP. Обнаруживает аномалии маршрутов (несколько origin ASN) как индикаторы BGP-хайджека. Автоматически коррелирует облачных провайдеров по ASN.

Фаззер протоколов OAuth 2.0: обнаружение implicit flow, отсутствие PKCE, открытый redirect_uri, отсутствие параметра state, незащищённые token-эндпоинты. GraphQL: полная интроспекция, проверка лимитов глубины, abuse через batch-запросы, извлечение подсказок по полям, перечисление мутаций. WebSocket: обход origin (CSWSH), незащищённый upgrade.

Облачные хранилища 35 перестановок имени цели проверяются против S3, Azure Blob Storage, Google Cloud Storage и DigitalOcean Spaces. Публичные бакеты дают список файлов. Приватные бакеты подтверждаются как существующие.

Углублённый CVE Фингерпринтит 22 технологии (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL и др.) по заголовкам ответов, баннерам и содержимому страниц. Сопоставляет с версионированной базой CVE, включая критические уязвимости 2019–2024 годов.

Threat Intelligence Проверка DNS-блэклистов (Spamhaus, SpamCop, SORBS, Barracuda) через публичные DNS-запросы. Обнаружение Tor exit-нод. Оценка репутации ASN по известным bulletproof-хостингам. Все источники публичные — API-ключи не требуются.

Категории обнаруженных аномалий

Маппинг на стандарты

Каждая находка сопоставляется с применимыми требованиями фреймворков:

• OWASP Top 10 2021
• GDPR (статьи 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Граф знаний

Argus строит реляционный граф, связывающий:

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

Аналитика графа даёт:

• Оценку центральности (какие узлы наиболее критичны)
• Обнаружение bridge-узлов (единых точек отказа)
• Выявление кластеров (связанных групп инфраструктуры)
• Синтез векторов атак (цепочки от точки входа до цели)

Сравнение сканов

Каждое сканирование сохраняет снимок. Последующие сканы сравниваются с предыдущим состоянием и сообщают:

• Новые обнаруженные домены
• Новые открытые порты
• Новые типы аномалий
• Изменения инфраструктуры

Требования

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Опционально для веб-интерфейса:

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Лицензия

Только для авторизованного тестирования безопасности. Пользователи несут ответственность за получение явного письменного разрешения перед сканированием любой цели.

github.com/DozerMx/Argus