thalesgroup-cert/Watcher

解决的问题

Watcher 是一个自动化网络安全威胁检测平台，帮助安全团队发现并监控新兴威胁、漏洞和数据泄露。它将来自 RSS 订阅源、证书透明度日志和公开泄露站点等碎片化信息源的情报集中整合，减少了追踪威胁行为者和恶意基础设施所需的手动工作量。

工作原理

基于 Django 和 React 构建，该平台集成了多种专用工具和 AI 模型，实现安全监控自动化：

• AI 分析：使用 Hugging Face Transformers，特别是 flan-t5-base 用于文本生成，bert-base-NER 用于命名实体识别（NER），以总结威胁情报并提取恶意指标（IOCs）。
• 域名监控：使用 dnstwist 进行拼写错误劫持检测，使用 certstream 实现实时证书监控。
• 数据泄露检测：扫描 GitHub、GitLab、Pastebin 和 npm 注册表等平台，检测敏感信息泄露。
• 集成：与 TheHive（案例管理）和 MISP（协作威胁情报共享）等安全工具同步发现结果。

适用人群

需要集中化系统来监控组织威胁、追踪恶意域名并管理威胁情报源的安全运营中心（SOC）、CERT 团队和网络安全分析师。

主要亮点

• AI 驱动的情报分析：自动生成每周趋势主题摘要，并按需生成安全关键词摘要。
• 全面监控：使用 TLSH 模糊哈希技术监控 CVE、勒索软件受害者和恶意域名变更。
• 广泛泄露检测：跨 StackOverflow、Bitbucket 等多样化平台追踪敏感数据。
• 企业就绪：支持 SSO/OpenID Connect、LDAP 和细粒度访问控制。
• 可扩展生态系统：提供专用连接器仪表板，用于管理与 Slack、SMTP 等安全工具的集成。