AEGIS LAN Security Auditor
Audyt bezpieczeństwa sieci lokalnej w trybie wyłącznie odczytu — blue team, nie pentest.
- PROJECT
- LAB-031
- STOS
- PYTHON · PYSIDE6 · SQLALCHEMY
- BAZA
- SQLITE (POSTGRES-READY)
- TRYB
- READ-ONLY
- JĘZYKI UI
- PL / EN
- STATUS
- W TRAKCIE
- DATA
- 01 września 2026
System oceny stanu bezpieczeństwa małej i średniej infrastruktury. Wykrywa, co jest w sieci, mierzy ekspozycję każdego urządzenia, czyta konfigurację, koreluje podatności i wykrywa anomalie względem wyuczonej linii bazowej — a potem tłumaczy ryzyko zwykłym językiem i mówi, co naprawić najpierw.
Pionowa linia przesuwa się po urządzeniach w tempie, w jakim skaner faktycznie pracuje — z ograniczeniem tempa, żeby nie zdusić wrażliwego sprzętu. Po przejściu linii przy urządzeniu pojawia się pasek ekspozycji, a jego kolor to poziom ryzyka. Wartości narastają, bo ocena składa się z kilku sprawdzeń wykonywanych po kolei: osiągalność, usługi, konfiguracja, porównanie z linią bazową.
PROBLEM
Narzędzia bezpieczeństwa dzielą się zwykle na dwie grupy: skanery dające surową listę otwartych portów, z której nic nie wynika, oraz narzędzia ofensywne, których nie wolno uruchomić na produkcji. Administrator małej sieci nie dostaje odpowiedzi na pytanie, które go interesuje: co naprawić najpierw.
POMYSŁ
Audyt odpowiadający na pięć pytań: co jest w mojej sieci, co jest na tych urządzeniach osiągalne, czy konfiguracja jest bezpieczna, co podejrzanego zmieniło się od ostatniego audytu i co naprawić w pierwszej kolejności.
Z twardym ograniczeniem: system nigdy nie eksploituje, nie łamie haseł, nie modyfikuje badanych hostów i nie omija uwierzytelniania. Skanuje wyłącznie zakresy jawnie autoryzowane.
PROJEKT
Pierwszym elementem architektury — nie ostatnim — jest strażnik zakresu działający w trybie fail-closed: cokolwiek nie jest jawnie w zakresie, nie jest dotykane. Drugim jest logowanie świadome redakcji: sekrety są usuwane z każdego wpisu.
Dalej: odkrywanie warstwy 1 (ICMP, ARP, reverse DNS, vendor z OUI), bezpieczny asynchroniczny skaner TCP z ograniczaniem tempa i wyciszaniem urządzeń wrażliwych, detekcja usług i TLS w trybie odczytu, silnik reguł sterowany plikami YAML oraz silnik oceny ryzyka (istotność ⟂ pewność, świadomy katalogu KEV, skala 0–100).
REALIZACJA
Projekt jest budowany etapami (18 zaplanowanych). Zaimplementowany jest kręgosłup wraz z GUI PySide6 w konwencji SOC, mapą sieci renderowaną jako samodzielny interaktywny HTML/SVG z eksportem do JSON i Graphviz DOT, modułami infrastruktury (hipernadzorca, kontenery, UPS/PDU, VoIP, backup, IoT) oraz web/DB/mail/VPN.
Doradca AI jest opcjonalny i domyślnie wyłączony — narracyjną ocenę sieci generuje lokalny model Ollama, a na zewnątrz nie wychodzą dane, tylko metadane.
Mapa sieci zasługuje na osobną wzmiankę: buduje logiczny graf topologii (internet → brama → podsieć → urządzenia pogrupowane typem) i renderuje go jako samodzielny plik HTML/SVG z przesuwaniem, powiększaniem, filtrem typów i wyszukiwarką. Otwiera się bez serwera i bez internetu, więc nadaje się do wysłania klientowi jako załącznik.
EFEKT
Aplikacja buduje się do pliku EXE (PyInstaller, skrypt podpisywania w repozytorium), generuje dwujęzyczne raporty PDF i HTML — w katalogu exports/ leżą gotowe audyty. Interfejs przełącza się między polskim a angielskim w locie, wraz z etykietami całego UI.
Raporty są jednojęzyczne — przełącznik PL/EN decyduje o języku całego dokumentu, choć same ustalenia przechowywane są w obu wersjach. To wynik konkretnej obserwacji: raport dwujęzyczny obok siebie jest dwa razy dłuższy i nikt nie czyta go do końca.
Moduły infrastruktury działają wyłącznie w trybie odczytu nawet tam, gdzie sterowanie byłoby technicznie możliwe: przy UPS i PDU system czyta stan baterii, czas podtrzymania i temperaturę, ale nie wykonuje żadnej akcji sterującej.
WNIOSKI
Najtrudniejszą częścią nie było skanowanie, tylko powiedzenie „nie wiem” tam, gdzie dane są niepewne. Ocena ryzyka rozdzielona na istotność i pewność okazała się jedynym sposobem, żeby raport nie strzelał alarmami przy każdej otwartej usłudze.
