MDsalmanhyder/Security-Threat-Detection-Dashboard

# 🛡️ CyberShield SIEM 与威胁检测仪表板 使用 **React 19、TypeScript 和 Tailwind CSS** 构建的**安全信息与事件管理 (SIEM)** 仪表板。具备实时日志摄取、机器学习统计异常检测、MITRE ATT&CK 框架映射、动态攻击拓扑可视化以及自动化的 SOAR 事件响应剧本等功能。       ## 📸 视觉展示与界面截图 以下是 CyberShield SIEM 平台的关键视图： | 视图 | 截图 | 描述 | | :--- | :---: | :--- | | **SOC 仪表板** |  | 实时威胁分数仪表、每秒事件数 (EPS) 实时流、系统健康状况和威胁情报源。 | | **异常检测引擎** |  | ML 置信度评分、统计基线偏差、数据外发指标以及异常分数分布。 | | **攻击拓扑图** |  | 动态可视化节点图，映射 C2 通道、受感染的工作站、被盗用的凭证以及横向移动向量。 | | **MITRE ATT&CK 矩阵** |  | 覆盖从侦察到数据外发的企业矩阵映射图，并带有实时告警指示器。 | | **SOAR 事件响应** |  | 具备自动化缓解剧本、主机隔离控制和严重性过滤的分类处理中心。 | ## 🏗️ 系统架构 CyberShield 采用解耦的实时流式遥测与检测架构： ``` flowchart TB subgraph Data Sources W1[Windows Event Logs] F1[Firewall Syslogs] S1[Sysmon / EDR Telemetry] AS[Attack Simulator Engine] end subgraph Streaming & Ingestion Layer LC[logCollector Service] EPS[EPS Calculator & Buffer] end subgraph Analytics & Detection Engine AE[anomalyEngine Service] RULE1[Auth Spike Detector\nEvent 4625 >= 4] RULE2[Data Exfiltration Monitor\nBytes Out > 5MB] RULE3[Malicious Process Execution\n(vssadmin / mimikatz)] RULE4[Reconnaissance Port Scanner\nUnique Ports >= 4] TS[Threat Score Calculator\nMatrix Score Engine] end subgraph Correlation & SOAR Layer AL[Alert Router] PB[Automated SOAR Playbooks] HI[Active Host Isolation Engine] end subgraph UI & Operations Layer DB[SIEM Dashboard] ADV[Anomaly Detection View] ATV[Attack Visualization Graph] MITRE[MITRE ATT&CK Matrix] SOAR[Alert Center & Playbooks] WORK[Log Query Workbench] end W1 & F1 & S1 & AS --> LC LC --> EPS EPS --> AE AE --> RULE1 & RULE2 & RULE3 & RULE4 RULE1 & RULE2 & RULE3 & RULE4 --> TS TS --> AL AL --> PB & HI AL --> DB & ADV & ATV & MITRE & SOAR & WORK ``` ### 技术架构图  ## ⚡ 核心功能 - 📊 **实时 SIEM 监控**：流式传输实时安全遥测数据，具备动态的每秒事件数 (EPS) 跟踪和整体威胁评分计算功能。 - 🧠 **统计与启发式异常引擎**： - **身份验证激增 (`AUTH_SPIKE`)**：标记快速的暴力破解或密码喷射尝试 ($ \ge 4 $ 次登录失败)。 - **数据外发 (`TRAFFIC_EXFILTRATION`)**：检测大流量出站网络传输 ($ > 5 \text{ MB} $)。 - **可疑进程执行 (`SUSPICIOUS_PROCESS`)**：实时检测高风险命令 (`mimikatz`, `vssadmin`, `certutil`, `powershell -enc`, `bitsadmin`)。 - **侦察端口扫描 (`PORT_SCAN`)**：识别探测多个监听端口的外部 IP。 - 🌐 **动态攻击拓扑图**：可视化节点链接图，渲染 C2 通道、受感染的工作站、被盗用的凭证以及向量轨迹。 - 🎯 **MITRE ATT&CK 企业矩阵**：全面覆盖 12 种战术类别（初始访问、执行、持久化、权限提升、防御规避、凭证访问、发现、横向移动、收集、外发、命令与控制、影响）。 - 🚨 **SOAR 事件响应与剧本**：交互式的逐步隔离剧本，具备 **一键主机隔离** 控制功能。 - 💣 **合成红队攻击模拟器**：触发自动化的模拟攻击（暴力破解、勒索软件执行、数据外发、端口扫描），以测试 SOC 的响应能力。 - 🔍 **KQL/SPL 风格日志工作台**：支持查询、按严重程度或事件源过滤、检查原始 JSON 日志有效载荷以及复制日志详情。 ## 📐 检测启发式算法与威胁评分公式 威胁评分根据未处理的告警和基线统计异常进行动态计算： $$ \text{Threat Score} = \min \left( 99, \, 15 + \sum_{a \in \text{Alerts}} W(a) + \sum_{m \in \text{Anomalies}} (S(m) \times 0.15) \right) $$ | 严重级别 | 告警权重 $W(a)$ | 所需操作 | | :--- | :---: | :--- | | **CRITICAL** | `+25` | 立即隔离主机并启动积极的事件响应 | | **HIGH** | `+15` | SOC 分析师在 15 分钟内进行分类处理 | | **MEDIUM** | `+8` | 排入标准运营班次以供审查 | | **LOW** | `+3` | 记录以供审计和基线比较 | ## 🚀 运行说明 ### 前置条件 请确保您的计算机上已安装以下软件： - **Node.js**: `v18.0.0` 或更高版本 - **npm**: `v9.0.0` 或更高版本（或 `pnpm` / `yarn`） ### 1. 克隆代码库 ``` git clone https://github.com/your-username/cyber-security-threat-detection-dashboard.git cd cyber-security-threat-detection-dashboard ``` ### 2. 安装依赖项 ``` npm install ``` ### 3. 启动开发服务器 ``` npm run dev ``` 打开浏览器并访问 `http://localhost:5173` 即可进入实时仪表板。 ### 4. 生产环境构建 生成优化后的生产环境包： ``` npm run build ``` ### 5. 预览生产构建 ``` npm run preview ``` ## 📁 仓库结构 ``` cyber-security-threat-detection-dashboard/ ├── docs/ │ └── screenshots/ # High-resolution UI screenshots & architecture diagram ├── public/ # Static assets & SVG icons ├── src/ │ ├── components/ # React UI components & view modules │ │ ├── AlertCenterView.tsx # SOAR triage center & automated playbooks │ │ ├── AnomalyDetectionView.tsx # ML statistical anomaly analytics view │ │ ├── AttackSimulator.tsx # Controlled red-team attack scenario generator │ │ ├── AttackVisualizationView.tsx # Dynamic attack path topology graph │ │ ├── LogQueryWorkbench.tsx # KQL/SPL style log inspector workbench │ │ ├── MitreAttackView.tsx # MITRE ATT&CK framework matrix module │ │ ├── Navbar.tsx # Navigation header & global threat score gauge │ │ ├── Sidebar.tsx # Module navigation sidebar │ │ └── SIEMDashboard.tsx # Main SOC operational overview dashboard │ ├── services/ # Core detection & data collection logic │ │ ├── anomalyEngine.ts # Statistical anomaly detection & threat scoring │ │ ├── logCollector.ts # Telemetry streaming engine & log parsers │ │ └── mitreData.ts # MITRE ATT&CK framework dataset │ ├── types/ # TypeScript type definitions │ │ └── siem.ts # Telemetry, Alert, Anomaly & Log data interfaces │ ├── App.tsx # Core application orchestrator & audio alarm manager │ ├── App.css # Glassmorphism UI styling & layout overrides │ ├── index.css # Tailwind CSS theme configuration │ └── main.tsx # Application entry point ├── package.json # Project dependencies & scripts ├── tsconfig.json # TypeScript configuration ├── vite.config.ts # Vite bundler configuration └── README.md # Project documentation ``` ## 🛠️ 技术栈 - **框架**: [React 19](https://react.dev/) - **语言**: [TypeScript](https://www.typescriptlang.org/) - **构建工具**: [Vite 6](https://vitejs.dev/) - **样式**: [Tailwind CSS v4](https://tailwindcss.com/) - **图标**: [Lucide React](https://lucide.dev/) - **图表与图形**: [Recharts](https://recharts.org/) & 原生 SVG 节点网络 - **Linter**: [Oxlint](https://oxc.rs/) ## 📄 许可证 本项目基于 **MIT License** 授权 - 有关详细信息，请参阅 [LICENSE](LICENSE) 文件。

标签：AMSI绕过, React, SOAR, Syscalls, Tailwind CSS, TypeScript, 威胁检测, 安全插件, 安全运营, 扫描框架, 自动化攻击