FENGARDE

Вход в систему. Доказательства на выходе.
Открытый конвейер безопасности для IT, AI и OT: от сырых логов до подтверждённого инцидента и черновика уведомления по NIS2.

Страница проекта и живое демо · Быстрый старт · Консоль · Архитектура · Статус (SSOT)

Бейджи отражают последний реальный запуск на main, а не обещание. Оставшиеся замечания Scorecard — это принятые и задокументированные компромиссы, а не пробелы; см. SSOT.md §1.

FENGARDE связывает телеметрию безопасности из IT, AI и OT, чтобы показать, что произошло, кто или что действовал, что было затронуто, как связаны события и какие доказательства подтверждают вывод.

Создан для европейского промышленного Mittelstand: открытый исходный код, self-hosted, Apache-2.0, с путём формирования черновика уведомления об инциденте по NIS2, детерминированным генератором отчётов на немецком/английском, опциональными RBAC/MFA/журналом аудита/мультитенантностью для развёртываний в стиле MSP, опциональным профилем HA (протестированным живым отключением, а не просто подключённым), и AI-триажем, который никогда не покидает вашу сеть.

Логи собираются, нормализуются в одну схему (OCSF), прогоняются через правила корреляции на скользящем окне, группируются в инциденты с причинно-следственным графом и пакетом доказательств с хеш-цепочкой, и индексируются в OpenSearch. Каждый сервис независим и общается с остальными только через шину сообщений, поэтому любую часть можно масштабировать или заменить, не переписывая остальные.

Почему FENGARDE

• OCSF-нативный, а не доработанный. Каждый источник нормализуется в одну открытую схему с первого дня, поэтому одно правило покрывает каждый источник, порождающий событие: вход по SSH, вход в Windows и вход в Active Directory — это одно обнаружение brute-force, а не три. Никакой привязки к формату логов вендора.
• OT и IT в одном конвейере. OPC UA и Modbus/TCP нормализуются в ту же схему, что Active Directory, Windows и ваш межсетевой экран, поэтому производственный цех проходит через тот же движок обнаружения, консоль и путь отчётов, что и офисная сеть, а не через второй инструментарий.
• AI-триаж, который никогда не покидает вашу сеть. Локальный Ollama, когда задан OLLAMA_URL; иначе размеченная детерминированная заглушка. Данные оповещений никогда не передаются через сторонний LLM API, и консоль указывает, какой движок фактически работал. Качество вердиктов низкое у двух измеренных моделей (qwen2.5:3b — 1 из 54 размеченных оповещений верно, qwen2.5:7b — 7 из 54, в основном ответы suspicious); см. eval/llm_triage/RESULTS.md.
• Доказательства, а не просто оповещения. Инциденты несут типизированный причинно-следственный граф и пакет доказательств с хеш-цепочкой Меркла, который API проверяет перед выдачей.
• Честный статус. Что доказано, что заявлено и что является заглушкой, записано в SSOT.md и проверяется тестами; этот README лишь резюмирует это.

OpenSearch, а не Elastic: никакого упоминания лицензии на движке хранения (ADR 003). Стоит знать, но это не отличие от Wazuh (его indexer — тоже форк OpenSearch).

Попробовать

Быстрый старт

git clone https://github.com/supermhel/fengarde.git && cd fengarde
make preflight   # doctor: checks vm.max_map_count, Docker RAM, free ports
make demo        # docker compose up -- a real SSH brute-force alert appears
                 # in the dashboard within ~30-60s, no manual step
# open http://localhost:8080

Нет Docker под рукой? Весь конвейер обнаружения работает без инфраструктуры:

make e2e         # SSH brute-force -> real alert -> idempotent replay, no Docker/Redis/OpenSearch
bash tools/demo.sh   # same test, narrated (Windows: powershell -File tools\demo.ps1)

Что вы видите: 10 неудачных попыток входа с одного IP в течение 60 секунд (SSH Failed password или Windows EventID 4625 — оба нормализуются в одно и то же событие аутентификации OCSF) срабатывает common_bruteforce.yml (threshold: 10, window_seconds: 60, группировка по IP-адресу источника), и оповещение попадает в список оповещений панели управления, идемпотентно при повторной доставке.

Предварительные требования: Docker Desktop или Docker Engine + Compose v2, ≥4 ГБ ОЗУ, выделенных для Docker; Linux, macOS или Windows через WSL2 (контейнеры Linux, POSIX-скрипты sh). Python 3 только если вы добавляете парсер — для этого Docker не нужен (см. Contributing).

sudo sysctl -w vm.max_map_count=262144
# persist across reboots:
echo 'vm.max_map_count=262144' | sudo tee /etc/sysctl.d/99-fengarde.conf

Другие цели: