Gnx80s/Week_11_Project

正在运行IR流水线...

获取威胁情报...

分析流量...

处理事件...

生成报告...

生成图表...

然后返回一个简短的完成摘要并在可用时发送关键图表：


IR流水线完成

- 已处理事件：7

- 数据包捕获：已启用

- 被阻止IP命中：3

- 运行文件夹：run_YYYYMMDD_HHMMSS

- 生成的图表：6

示例命令回复：


IR自动化状态

- 机器人在线：ON

- Telegram告警：ON

- Telegram命令：ON

- 数据包捕获：ON

- 流量监控：ON

- 被阻止IP：12

- 事件历史条目：34


IR快速统计

- 总事件数：34

- 严重性：high=10, medium=14, low=8, critical=2

- 类型：blocked_ip_contact=12, malicious_ip=7, brute_force=9

- 被阻止IP：12

## 使用方法

- 在`data/sample_incidents.json`中添加本地示例事件
- 在`data/watchlist_ips.txt`中添加观察列表IP
- 在`data/blocked_ips.txt`中添加被阻止IP
- 在`.env`中配置API密钥和运行时设置
- 运行流水线
- 在`reports/`中查看最新的文件夹
- 检查生成的实例报告、摘要文件、处理后的JSON/CSV、图表和运行日志

## 事件类型

支持的事件类型：

- `malicious_ip`（恶意IP）
- `brute_force`（暴力破解）
- `port_scan`（端口扫描）
- `suspicious_file`（可疑文件）
- `blocked_ip_contact`（被阻止IP接触）

支持的严重性：

- `low`（低）
- `medium`（中）
- `high`（高）
- `critical`（严重）

## 项目结构


Week11_Project/

├── app/

│   ├── config.py

│   ├── engine.py

│   ├── logger.py

│   ├── main.py

│   ├── notifier.py

│   ├── parser.py

│   ├── playbook_manager.py

│   ├── responder.py

│   ├── run_context.py

│   ├── telegram_bot.py

│   ├── utils.py

│   └── validator.py

|

├── incident_sources/

│   ├── external_feed_loader.py

│   ├── local_packet_capture.py

│   ├── local_source_loader.py

│   ├── local_traffic_monitor.py

│   └── source_manager.py

|

├── playbooks/

│   ├── blocked_ip_contact.json

│   ├── brute_force.json

│   ├── malicious_ip.json

│   ├── port_scan.json

│   └── suspicious_file.json

|

├── data/

│   ├── blocked_ips.txt

│   ├── incident_history.csv

│   ├── incident_history.json

│   ├── quarantined_files.txt

│   ├── sample_incidents.json

│   └── watchlist_ips.txt

|

├── reports/

├── .env

├── README.md

└── requirements.txt

## 预期控制台输出


======================================================================

IR自动化引擎启动

======================================================================

[INFO] 开始实时数据包捕获窗口（15秒）...



事件ID：IR-2026-SAMPLE-001

类型：brute_force

严重性：high

状态：resolved

采取的操作：



- 事件 IR-2026-SAMPLE-001 已保存到历史记录

- IP已被阻止：192.168.1.55

- 已更新事件 IR-2026-SAMPLE-001 的报告

Telegram告警结果：Telegram发送成功：message_id=123

======================================================================

已创建运行文件夹：reports/run_YYYYMMDD_HHMMSS

事件报告：reports/run_YYYYMMDD_HHMMSS/incident_report.txt

摘要JSON：reports/run_YYYYMMDD_HHMMSS/run_summary.json

处理后的事件JSON：reports/run_YYYYMMDD_HHMMSS/processed_incidents.json

处理后的事件CSV：reports/run_YYYYMMDD_HHMMSS/processed_incidents.csv

图表文件夹：reports/run_YYYYMMDD_HHMMSS/charts

运行日志：reports/run_YYYYMMDD_HHMMSS/ir_engine.log

处理的事件总数：1

### 输出产物

执行后，系统生成：

- `incident_report.txt`
- `run_summary.txt`
- `run_summary.json`
- `processed_incidents.json`
- `processed_incidents.csv`
- `ir_engine.log`
- `charts/` 目录下的图表图片
- 数据包捕获成功时的数据包捕获JSON和文本报告
- 数据包捕获成功时的 `packet_capture_summary.json`
- 数据包捕获成功时的 `packet_capture_report.txt`
- 仅当Telegram命令出错时，`reports/telegram_bot.log`
- 仅当可重用的流水线在运行文件夹完成前失败时，`reports/ir_pipeline_error.log`

长期事件历史保存在：

- `data/incident_history.json`
- `data/incident_history.csv`

## 说明

- `block_ip` 通过将IP写入 `data/blocked_ips.txt` 模拟。
- `quarantine_file` 通过将文件路径写入 `data/quarantined_files.txt` 模拟。
- 仅对高或严重事件发送Telegram告警。
- 仅当 `TELEGRAM_COMMANDS_ENABLED=true` 时启用Telegram命令。
- Telegram命令仅响应 `ALLOWED_CHAT_IDS` 中的批准聊天ID。
- 添加多个Telegram用户，使用逗号分隔的聊天ID，然后重启机器人。
- `/start_ir` 直接调用 `run_ir_pipeline()` 而非启动子进程。
- JSON是主要的结构化事件格式；CSV用于分析和更简单的导出。
- 每个时间戳的运行日志以 `ir_engine.log` 形式写入各自的报告文件夹。
- 项目不再创建或写入单独的根 `logs/` 文件夹。
- 外部API加载器在密钥缺失时安全跳过。
- 如果当前终端没有嗅探权限，数据包捕获会安全报告错误。

## 免责声明

IR自动化仅严格用于教育和防御性网络安全目的。

本项目旨在演示事件摄取、响应剧本、告警、数据包捕获、报告和安全分析工作流，在受控且合法的环境中。

您不得使用本项目：

- 执行未经授权的扫描或拦截
- 针对您不拥有或未经明确许可测试的系统
- 进行任何恶意活动
- 违反适用法律、法规或组织策略

威胁情报数据可能不完整、陈旧或不准确。本系统生成的告警和检测不应被视为权威性，而应在验证后使用。

作者以原样提供本项目，不提供任何形式的保证，并对误用、损害或法律后果不承担任何责任。

使用本项目即表示您同意负责任地、道德地仅在授权环境中使用它。