EagleEye - 基于主机的入侵检测与网络监控系统

该项目目前仍需大量工作才能投入使用，因为这是我的毕业设计，所以并非用户友好型，仅限有经验的用户使用，目前为测试版。我将它发布/制作出来仅用于教育目的！

• EagleEye 由两部分组成：
  • 客户端（Client） (用 Go 语言编写)
    • 用途: 捕获设备上的每个数据包，提取常见协议中的重要细节，最后将所有收集到的数据发送到主控端（如果主控端在线）。
    • 使用: 应安装在你想要监控的每个设备上（例如：公司员工的设备）。
  • 主控端（Master）: (用 Python 和 Bootstrap 编写)
    • 用途: 接收客户端发送的每个数据包，在 GUI 监控表中组织显示，显示已连接设备的信息（如当前系统用户/系统信息），将捕获的数据与预先编写的威胁模型进行比较，最后向主控用户发出网络中可能存在的安全威胁警报，这与典型的 IDS 系统功能相同。
    • 使用: 应运行在与客户端同一网络的服务器上（例如：由 IT 部门或公司蓝队管理的服务器）。

更多信息，请阅读关于入侵检测系统（IDS）及其类型的资料。我推荐 NIST 指南。

屏幕截图

主界面

---

监控表

注意：表中的按钮允许你将表格导出为（CSV、Excel、PDF），将表格数据复制到剪贴板，以及打印表格数据（如果需要）。

监控表搜索

简单搜索

详细搜索

如你所见，这里的搜索功能允许你搜索表中表示的任何内容。

---

已连接设备表

当有新的客户端连接时

每个客户端的信息

注意：表格每 5 秒自动刷新，或在页面刷新时刷新！

---

威胁表

检测到威胁时

检测到的任何潜在威胁的详细信息 + 点击可查看参考

威胁桌面通知

注意：表格每 5 秒自动刷新，或在页面刷新时刷新！

---

安装说明

客户端

要求

• 目前仅支持 Windows 系统（因为从注册表中抓取数据，需要修改这一点）。
• 以下安装说明

安装说明

1. 确保已安装 Go 语言环境。
2. 使用以下命令安装 gopacket 库： go get github.com/google/gopacket
3. 从 此处 下载并安装 npcap。
4. 根据你的需要修改代码中的以下变量：

• 第57行: 将 url 变量改为你的主控端（Master）URL
• 第59行: 将 device 变量改为你要监听的网络接口，对于 Windows 系统，你需要参考 这篇文章。
• 第66行: 将 filter 变量改为你想要的网络包捕获过滤条件，或保持原样为空（如果要捕获所有数据包）。过滤语法为 BPF，与 Wireshark 搜索中使用的相同，你可以从 本指南 中学习。我还在注释中留下了一些示例，供需要的人使用。

5. 当然，在 CMD 中导航到客户端目录。
6. 现在你可以使用以下命令将客户端作为脚本运行：go run main.go
7. 要编译/构建它，可以使用以下命令：go build -o client.exe main.go，也许你需要 本指南。
8. 如果你完成了所有这些，那就去生活吧伙计 😆（开玩笑的）

---

主控端

要求

• 任何操作系统。
• 以下安装说明，比客户端简单得多，别担心，哈哈！

安装说明

1. 确保已安装 Python 3（版本 3.5 及以上）和 pip。
2. 在 CMD 中导航到主控端文件夹，然后使用以下命令安装依赖：pip install -r requirements.txt 或 python -m pip install -r requirements.txt
3. 如果你在 Windows 系统上，并且在意 CMD 中的彩色打印，请运行以下命令：pip install -r coloring-requirements.txt 或 python -m pip install -r coloring-requirements.txt
4. 现在根据你的需要修改几个变量 😆

• 第21行: 将 host_port 变量改为你希望服务的端口（默认：8000）
• 第23行: 将 serve_localhost 变量改为 True，如果你只想在本地主机上运行主控端（默认：True）
• 第24行: 将 view_browser 变量改为 True，如果你希望主控端自动在浏览器中打开服务 URL（默认：True）

5. 现在你可以通过 python interface.py 运行主控端。
6. 玩得开心 :)

待办事项列表

• 扩展 GUI（用户登录、设置等）
• 添加邮件和短信通知。
• 优化网络使用
• 添加更多威胁模型，特别是更复杂的如基于 ARP 欺骗的攻击。
• 为安全威胁表格添加详细报告。
• 添加检查每个客户端状态的能力，如果设备在例如 1 小时内不活跃且未在线，则更改其状态。
• 使客户端在更多平台上工作。
• 为客户端制作安装 GUI（更用户友好）
• 待定