🛡 Aegis SOC as Service

Registriraj

Uvezi pravilo

info low medium high critical Enabled Auto-block

+ Dodaj

Pocetna stranica — na jednom mjestu vidite stanje cijele infrastrukture.

Gornji red — statisticke kartice:

Top indikatori:
Ispod kartica vidite 3 najaktivnija elementa. Svaki je klikabilan:
• Top napadani node — klik otvara detalje tog noda
• Top pravilo — klik otvara Alarme filtrirane na to pravilo
• Top MITRE tehnika — klik otvara Alarme filtrirane na tu MITRE tehniku

Node kartice:
Svaki node ima svoju karticu sa statusom (online / offline), CPU/RAM/Disk grafom i verzijom agenta. Kartice se automatski osvjezavaju svakih 30 sekundi. Kliknite na karticu za otvaranje detalja noda.

Zadnji alarmi:
Na dnu Dashboarda vidite 10 najnovijih alarma s brzim pristupom detaljima. Kliknite na alarm za otvaranje kompletnih detalja.

Nodovi su serveri, racunala ili mrezni uredaji koje Aegis prati. Svaki node ima instaliranog agenta (Linux/Windows) ili se povezuje putem API-ja (Barracuda/MikroTik).

Kako dodati novi node:
Sto vidite na kartici noda:

Konfiguracija noda (kliknite na node za detalje):
• Naziv i lokacija — mozete promijeniti naziv i upisati lokaciju (grad/adresa) za prikaz na karti
• Heartbeat / Inventory / Log interval — koliko cesto agent javlja status, skenira servise i salje logove (default: 30s / 600s / 30s)
• Port Scanner — ukljucite ako zelite detektirati skeniranje portova na ovom serveru
• Auto-Block — ukljucite da SDS automatski blokira napadace na firewallu ovog noda
• Geo Block izuzece — iskljucite geo blocking za ovaj node (npr. ako ima legitimne korisnike iz blokiranih zemalja)

Windows Event Log kanali:
Samo za Windows nodove. Agent moze pratiti razlicite Windows Event Log kanale.

1. Kliknite Osvjezi kanale — agent skenira sve dostupne kanale na serveru
2. Oznacite kanale koje zelite pratiti (npr. Application, System, PowerShell)
3. Kliknite Spremi kanale

IP adrese i Copy gumb:
• Svaki node prikazuje javnu i LAN (lokalnu) IP adresu u tablici i u detaljima noda
• Uz svaku IP adresu nalazi se mali 📋 copy gumb koji kopira adresu u clipboard
• Ako node ima vise IP adresa, prikazuje se "+N vise..." link koji otvara popup sa svim adresama
• Windows i Linux agenti automatski salju sve mrezne interface u inventory

Dekomisioniranje noda:
• Kliknite 💀 Dekomisioniraj u detaljima noda ili 🔧 gumb u tablici
• Odaberite sto zelite obrisati: alarme, logove, mrezne podatke
• FIM podaci, paketi, ranjivosti i security checkovi se uvijek brisu
• Za online nodove: agent se prvo deinstalira, zatim se podaci brisu
• Za offline nodove: brisanje se pokrece odmah u pozadini s progress barom

Aegis SOC podrzava prikupljanje logova, inventara i licenci s FortiGate firewalla putem REST API-ja. Kolektor se spaja na FortiGate svakih 60 sekundi i automatski dohvaca sve podatke.




Sto Aegis automatski prikuplja s FortiGatea?
• Logovi: event/system, event/user, event/router, event/vpn, traffic/forward, traffic/local
• Heartbeat: CPU opterecenje, RAM koristenje, hostname, OS verzija, uptime
• Inventar: model, serijski broj, firmware verzija, CPU jezgre, RAM, mrezni interfejsi
• Licence: sve aktivne i istekle licence s datumom isteka (vidljive u Asset Inventory)
• ARP tablica: za otkrivanje uredaja na mrezi (Device Discovery)
• Zadnji boot: detektiran iz system logova ("FortiGate started" poruka)

Mass Deploy omogucuje instalaciju Aegis agenta na veliki broj Linux i Windows masina putem jednog univerzalnog URL-a. Skripta automatski prepoznaje operativni sustav.


Kako radi detekcija platforme?
• curl (Linux) salje User-Agent curl/X.X — backend vraca bash skriptu
• irm (PowerShell/Windows) salje User-Agent PowerShell/X.X — backend vraca PS1 skriptu
• Browser — ne skida skriptu, prikazuje HTML stranicu s obje komande i copy gumbima

Progress pracenje:
• U tablici tokena kliknite 👁 gumb za prikaz progresa
• Progress bar prikazuje koliko je masina instalirano od ukupnog broja
• Tablica nodova prikazuje status (online/offline), OS, hostname i zadnje vidjeno vrijeme
• Auto-refresh svakih 5 sekundi dok deploy traje

Za praćenje Microsoft SQL Server logova potrebno je uključiti odgovarajuće Windows Event Log kanale na nodu.

Potrebni kanali:
• Application — obavezan; MSSQL Server piše sve ključne događaje ovdje (login greške, backup status, errori, shutdown)
• Security — preporučen; sadrži audit događaje prijave/odjave i promjene dozvola
• System — preporučen; sadrži događaje pokretanja/zaustavljanja SQL servisa

Kako uključiti:
1. Otvori detalje Windows noda na kojem je MSSQL instaliran
2. U sekciji Windows Event Log kanali klikni Osvježi kanale
3. Uključi kanale: Application, Security, System
4. Klikni Spremi kanale

Detekcijska pravila (automatski aktivna):
• MSSQL Login Failed — detekcija brute force napada na SQL login (5+ u 10min)
• MSSQL SA Login Attempt — svaki pokušaj prijave sa 'sa' accountom (kritično)
• MSSQL Permission / Access Denied — pokušaji pristupa bez dozvola
• MSSQL Database Error / Corruption — DBCC greške, korupcija baze, I/O errori
• MSSQL Backup Failure — neuspjeli backup operacije
• MSSQL SQL Injection Pattern — detekcija xp_cmdshell, sp_OACreate, openrowset i sličnih opasnih poziva
• MSSQL Service Stopped — neočekivano gašenje SQL servisa

Za praćenje Microsoft Exchange Server logova (on-premise) potrebno je uključiti odgovarajuće Windows Event Log kanale na nodu.

Korak 1 — Osvježi kanale:
Otvori detalje Exchange noda, u sekciji Windows Event Log kanali klikni Osvježi kanale da agent skenira sve dostupne kanale na serveru.

Korak 2 — Uključi kanale:
• Application — obavezan; Exchange errori, auth eventi, transport logovi
• Security — preporučen; audit prijava/odjava, promjene dozvola
• System — preporučen; pokretanje/zaustavljanje servisa
• MSExchange Management — preporučen; admin akcije (mailbox promjene, transport pravila, ConnectMailbox, Export/Import)
• Microsoft-Exchange-HighAvailability/Operational — DAG failover, database mount/dismount
• Microsoft-Exchange-ManagedAvailability/Monitoring — health monitori, proaktivna detekcija problema
• Microsoft-Exchange-ManagedAvailability/RecoveryActionResults — automatske recovery akcije (restart servisa, failover)

Korak 3 — Spremi kanale

Detekcijska pravila (automatski aktivna):
• Exchange Authentication Failure — neuspjele prijave na Exchange (brute force detekcija, 5+ u 5min)
• Exchange OWA/ECP Brute Force — napadi na Outlook Web App / Exchange Control Panel (password spraying, 8+ u 10min)
• Exchange Transport Relay Abuse — pokušaji zlouporabe mail relay-a (spam relay, 5+ u 5min)

Napomena: Agent šalje samo nove evente od trenutka uključivanja kanala — stari logovi se ne šalju retroaktivno.

Aegis SOC automatski detektira indikatore ransomware napada kroz cijeli kill chain — od početnog pristupa do enkripcije.

Pravila (sva CRITICAL osim gdje je navedeno drugačije):
• Volume Shadow Copy Deleted — vssadmin delete shadows, wmic shadowcopy delete (gotovo uvijek ransomware)
• Boot Recovery Disabled — bcdedit /set recoveryenabled no, reagentc /disable
• Backup Catalog Deleted — wbadmin delete catalog, diskshadow
• Mass File Access — 100+ pristupa fajlovima u 60 sekundi (indikator enkripcije)
• Ransomware Note Detected — detekcija poznatih imena ransomware obavijesti (README_TO_DECRYPT, HOW_TO_RECOVER...)
• PowerShell Download Cradle — Invoke-WebRequest, DownloadString, certutil -urlcache
• PowerShell Encoded Command — obfuscirane PowerShell komande (-EncodedCommand, FromBase64String)
• PsExec / Remote Execution — lateralno kretanje (PsExec, PAExec, RemCom)
• LSASS Memory Access — krađa kredencijala (mimikatz pattern, pristup lsass.exe memoriji)
• Suspicious Process Execution — mshta, regsvr32, certutil -decode, wmic process call
• RDP Brute Force (LogonType 10) — 3+ neuspjelih RDP prijava u 5 minuta (najčešći ulazni vektor)
• Windows Event Log Cleared — brisanje sigurnosnih logova (Event 1102/104)
• Windows Firewall Disabled — netsh advfirewall set state off
• Suspicious Scheduled Task — schtasks s cmd/powershell/mshta (HIGH)

Dodatna zaštita:
• Windows Defender RTP Disabled — alert ako je Real-Time Protection isključen, ali ne javlja ako je instaliran drugi AV (ESET, Bitdefender, Kaspersky, Sophos, CrowdStrike, SentinelOne, Trend Micro, Palo Alto, Cylance, Malwarebytes, Norton/Symantec, Webroot)
• Windows Login Failed (4625) — 5+ neuspjelih prijava u 10 minuta (brute force)
• Windows Guest Account Login — svaki pokušaj korištenja Guest accounta
• SMB Authentication Failure — lateralno kretanje preko mrežnih dijeljenja
• Kerberos Pre-Auth Failed — napad na Active Directory (password guessing)
• Windows Service Installed (7045) — nova usluga instalirana (persistence mehanizam, MEDIUM)

Pokriveni MITRE ATT&CK koraci:
• Initial Access — RDP brute force (T1110)
• Execution — PowerShell, scheduled tasks, suspicious processes (T1059, T1053)
• Persistence — novi servisi, scheduled tasks (T1543, T1053)
• Credential Access — LSASS dump, Kerberos, brute force (T1003, T1558, T1110)
• Lateral Movement — PsExec, SMB, explicit credentials (T1570, T1021)
• Defense Evasion — AV disabled, firewall off, log clearing, encoded commands (T1562, T1070, T1027)
• Impact — shadow copy delete, backup delete, file encryption, ransom note (T1490, T1486)

Centralizirani pregled logova sa svih nodova. Dva moda rada: Live logovi (iz baze) i History logovi (s diska).

IIS filter: Kad odaberete Windows node koji ima IIS logove, pojavi se plavi bar s opcijama:
• HTTPS (443) — samo IIS logovi s porta 443
• HTTP (80) — samo IIS logovi s porta 80
• Oba IIS — svi IIS logovi zajedno
• Svi — svi logovi (Security, PowerShell, IIS...) kao i prije

Live Tail: Kliknite ▶ Live tail za pracenje u realnom vremenu. Novi logovi se automatski pojavljuju svakih 5 sekundi. Filteri (node, servis) se postuju i u tail modu. Kliknite ⏸ Stop za zaustavljanje.

Prijetnje: Kliknite 🚨 Prijetnje za prikaz samo logova koje je SDS oznacio MITRE pravilom — samo potencijalno opasni logovi.

IP adrese u logovima: Svaka IP adresa u tekstu loga je klikabilna. Klik otvara Alarme filtrirane na tu IP. Privatne (LAN) adrese su oznacene LAN badgeom u ljubicastoj boji.

Saved Filters: Spremite cesto koristene filtere klikom na 💾 Spremi. Postavite default filter zvjezdicom ⭐. Filtri su dijeljeni s timom.

Alarmi su sigurnosna upozorenja koja SDS automatski generira kad detektira sumnjivo ponasanje u logovima.

Sto znace boje/razine:

Sto znace statusi:
• New — novi alarm, nitko ga nije pregledao
• Acknowledged — netko ga je vidio i potvrdio da ga pregledava
• Resolved — rijeseno (napadac blokiran, problem otklonjen)
• False Positive — lazni alarm (npr. legitiman korisnik pogrijesio lozinku)

Bulk akcije: Oznacite vise alarma checkboxom, pa na floating baru odaberite akciju (Ack / Resolve / FP / Notify / Delete) za sve odjednom.

AbuseIPDB: Uz svaku javnu IP adresu automatski se prikazuje reputacija:
• 🔴 80%+ — poznati napadac, prijavljen vise puta
• 🟠 40%+ — sumnjiva IP, ima prijava
• 🟡 10%+ — nesto prijava, mozda scanner
• 🟢 0% — cista IP, nema prijava

Filteri: Koristite filtere iznad tablice za brzi pregled. Tenant, Node, Status, Severity, Datum od/do, IP adresa. Dashboard kartice (Kriticno, Visoko...) automatski postavljaju filter kad kliknete na njih.

Zvuk: U donjem status baru mozete ukljuciti zvucnu notifikaciju — sustav svira zvuk kad se pojavi novi alarm.

Pregled i upravljanje blokiranim IP adresama na firewallima svih nodova.

Aktivni blokovi: Tablica svih trenutno blokiranih IP adresa s informacijama tko je blokirao (admin, SDS auto-block, geo-block), na kojem nodu i kada.

Odblokiranje: Kliknite na blokiranu IP u tablici, zatim Odblokiraj. Morate upisati razlog.

FW usporedba: Sustav automatski usporeduje sto SOC misli da je blokirano s onim sto je stvarno na firewallu noda. Ako postoje razlike (npr. admin rucno odblokirao na serveru), prikazuje upozorenje.

Povijest: Kompletna povijest svih block/unblock komandi s vremenom, razlogom i tko je izvrsio. Tablice su sortabilne — kliknite na zaglavlje kolone.

Detekcijska pravila definiraju sto SDS (Standalone Detection Service) trazi u logovima i kako reagira kad nadje podudaranje.

Struktura pravila:
• MITRE tehnika — svako pravilo je vezano uz MITRE ATT&CK tehniku (npr. T1110 Brute Force)
• Fail pattern — regex koji detektira neuspjeli pokusaj (npr. "Failed password")
• Success pattern — regex koji detektira uspjesni pokusaj (npr. "Accepted password")
• Fail threshold — koliko failova u vremenskom prozoru okida alarm (npr. 5 u 5 min)
• Severity — critical, high, medium, low, info


Upravljanje pravilima:
• Toggle ON/OFF — aktiviraj/deaktiviraj pravilo bez brisanja
• Dopusti privatne IP (LAN) — checkbox 🏠 za detekciju 10.x, 172.16-31.x, 192.168.x; LAN IP-ovi oznaceni ljubicastom bojom u alarmima
• Governance — vlasnik pravila, verzija, zadnje okidanje, trigger count 24h/7d
• Sortiranje — klikni na zaglavlje kolone za sortiranje po bilo kojem stupcu

Pravilo za bilježenje uspješnih Windows prijava s javnih IP adresa (EventID 4624).

⚙ Kako aktivirati:
• Otvori Pravila tab
• Pronađi pravilo "Windows Successful Logon" (po defaultu isključeno)
• Klikni toggle za aktivaciju

💡 Što prati:
• Sve uspješne Windows prijave (EventID 4624)
• Ako je uključen checkbox 🏠 Dopusti privatne IP na pravilu, detektira i interne (LAN) prijave — označene ljubičastom bojom s LAN badgeom
• Severity: info — ne šalje email notifikacije, samo bilježi u alarme
• Threshold: 1 — svaka uspješna prijava s javnog IP-a kreira zapis

🔎 Gdje vidjeti rezultate:
• Alarmi tab — alarmi s pravilom "Windows Successful Logon" prikazuju tko se prijavio, odakle (IP) i kada
• Detalji alarma — klikni na alarm za puni pregled: IP info, AbuseIPDB, geo-lokacija, karta
• Logovi tab — filtriraj po servisu "Windows-Security-Logon" za sirove logove prijava
• Karta prijetnji — uspješne prijave s javnih IP-ova vidljive na globalnoj karti

⚠ Napomena: Pravilo možete uključiti i isključiti u bilo kojem trenutku. Kad je isključeno, SDS ga potpuno ignorira i ne troši resurse.

Katalog MITRE ATT&CK tehnika korištenih u detekcijskim pravilima. MITRE ATT&CK je industrijski standard za klasifikaciju napada.

Sto sadrzi:
• MITRE ID — jedinstveni identifikator tehnike (npr. T1110 = Brute Force, T1078 = Valid Accounts)
• Naziv — opisni naziv tehnike na engleskom
• Taktika — faza napada (Initial Access, Credential Access, Lateral Movement...)


Zasto je vazno:
• Svaki alarm u sustavu je klasificiran po MITRE tehnici — omogucuje standardizirano izvjestavanje
• Threat Insights koristi MITRE podatke za analizu distribucije napada
• Security Report prikazuje MITRE pregled po tehnikama

Interaktivna globalna karta koja prikazuje odakle dolaze napadi na vasu infrastrukturu u realnom vremenu.

Sto prikazuje:
• Markeri — svaki alarm koji ima geo-lokaciju prikazan je kao marker na karti (Leaflet/OpenStreetMap)
• Boja markera — ovisi o severity: crvena (critical/high), narancasta (medium), plava (low/info)
• Linije — vizualna poveznica od napadaceve lokacije do ciljanog noda
• Clusteri — kad je puno napada iz iste regije, markeri se grupiraju (klikni za rasirivanje)


Napomena: Geo-lokacija se dobiva iz AbuseIPDB ili IP geolokacijske baze. Privatne (LAN) IP adrese nemaju geo-lokaciju i ne prikazuju se na karti.

Pregled i generiranje sigurnosnih izvjestaja za odabrani tenant i vremenski period.

Dostupne sekcije:
• Top IP adrese — sortabilna tablica najaktivnijih napadaca s AbuseIPDB scorom; klikni IP za SIEM drill-down
• Alarmi po nodu — sortabilna tablica sa stupcima: ukupno, aktivni, kriticno, visoko, srednje, nisko
• MITRE pregled — sortabilna tablica MITRE tehnika po broju alarma
• Port Scanner nadzor — TreeView prikaz aktivnog skeniranja portova
• Kreator izvjestaja — potpuni sigurnosni izvjestaj: top IP-ovi, drzave, satni/dnevni trendovi, MITRE distribucija
• PDF ispis — formatirani Aegis izvjestaj za print/PDF s logotipom i brandingom tenanta


Automatski izvjestaji: Za automatsko slanje izvjestaja emailom po rasporedu (dnevno/tjedno/mjesecno), koristite Zakazani izvjestaji u Postavkama.

Napredna analitika sigurnosnih prijetnji. Tri sekcije:

📈 Trendovi napada
• Trend chart — jedinstveni napadači po danima (30 dana)
• Heatmap — intenzitet napada po satima i danima tjedna (narančasta skala)
• Ovaj tjedan vs prošli — usporedba alarma, IP-ova i pokušaja s postotkom promjene
• Top korisnici — word cloud napadnutih korisničkih imena
• Top države — zemlje porijekla napada s progress barovima

🚫 Repeat Offenders
• Recidivisti — IP adrese blokirane 2+ puta (vraćaju se)
• Persistent Attackers — IP na 2+ nodova s 3+ alarma — koordinirani napadiči
• Najnapadaniji nodovi — rangiranje po broju pokušaja

🚑 Block Hygiene
• Trajno blokirane — najstarije trajne blokade
• Stale blokovi — blokirano 30+ dana bez ikakve aktivnosti (kandidati za unblock)
• Preporuke — automatske sugestije: trajni ban za persistent, unblock stale, upozorenje na porast napada

Interni chat za administratore. Ikona 💬 u status baru.
• Grupne poruke — vide svi admini
• Privatne poruke — odaberi primatelja iz dropdown-a (ljubičasta boja)
• Datoteke — 📎 gumb za upload slika i dokumenata (max 10MB), Ctrl+V za paste slike
• Linkovi — URL-ovi u tekstu automatski postaju klikabilni
• Read receipts — ✓✓ i imena tko je pročitao
• Zvuk — notifikacija kad stigne nova poruka
• Drag — povuci naslovnu traku za pomicanje panela, pamti poziciju
• Minimize — ▼ gumb za smanjivanje u status bar

• Branding — logo, naziv firme, adresa, kontakt (prikazuje se u headeru, footeru, print izvještajima i favicon-u)
• Tema — klikni 🌙 u headeru za prebacivanje tamna/svijetla tema (pamti se u browseru)
• FW Auto Compare — automatska usporedba firewall pravila
• SDS — Standalone Detection Service status i upravljanje; toggle za debug log (prikazuje svaki regex match i threshold provjeru u detector.log)
• Retroaktivna obrada — ponovna analiza starih logova kroz pravila
• SMTP — konfiguracija email obavijesti
• Obavijesti — toggle za email notifikacije
• Webhook — HTTP webhook za integracije
• AbuseIPDB — API ključ za provjeru reputacije IP adresa
• Retencija podataka — automatsko brisanje starih komandi i IIS logova (konfigurirajte dane retencije)
• Reverse Proxy — checkbox u konfiguraciji noda; automatski uključuje IIS logiranje, noise filter (MAPI/ActiveSync/EWS skip) i OWA/ECP detekciju; isključivanje gasi sve
• Whitelist — IP adrese koje se ne blokiraju

Integracija Barracuda CloudGen Firewall uređaja kao SOC nodova putem REST API-ja.

⚙ Kako dodati Barracudu:
• Otvori Nodovi tab → Dodaj novi node
• Odaberi tip: 🛡 Barracuda Firewall
• Upiši: naziv (proizvoljno), IP adresu, API port (obično 8080), Access Token
• Klikni Dodaj node — kolektor se automatski povezuje unutar ~1 minutu
• Nakon povezivanja: servisi, telemetrija i inventar opreme se automatski popunjavaju

📋 Priprema na Barracudi:
• REST API Service mora biti uključen (Configuration → Infrastructure Services → REST API)
• Kreirati Access Token s dugim TTL-om i uključenim REST API forwarding
• Port (8080/8443) mora biti dostupan sa SOC servera

🔎 Praćenje logova:
• Otvori Barracuda node → Servisi → uključi log tipove koje želiš pratiti
• Preporučeno: box_Firewall_threat, box_Auth_access, box_SSH_sshd, box_Config_changes, box_Event_operative
• box_Firewall_Activity ima velik volumen — uključiti samo po potrebi

📊 Telemetrija i inventar:
• CPU, RAM, uptime — automatski svakih 30 sekundi
• Inventar opreme (model, S/N, firmware, mrežni interfejsi, MAC adrese) — automatski
• Heartbeat — ako Barracuda ne odgovara, node prelazi u offline nakon ~3 min

🛡 Blokiranje IP-ova kroz Barracudu (dual-list model):
Aegis blokira IP-ove kroz Barracudu putem dviju per-podnode lista na parent FW-u:
• Aegis-Blocked-<NodeName> — automatski blokovi (SDS auto-block, Geo-block, Alert-driven)
• Aegis-Manual-<NodeName> — rucni blokovi iz GUI-a (FW Governance, Firewall pravila po nodovima)
Aegis ih automatski kreira i odrzava (self-healing sync svakih 10 min). Korisnik napravi 2 rule-a po child nodu koristeci te 2 liste kao source. Unblock uklanja IP iz OBJE liste istovremeno.

1. Jednokratna postavka na Barracudi (Firewall Admin / WebUI):
• Provjeri da API token ima Manager rolu (Aegis to auto-detekcija radi non-destructively preko GET /rest/config/v1/box/admins/<name>)
• Aegis kroz self-healing sync automatski kreira obje liste Aegis-Blocked-<NodeName> i Aegis-Manual-<NodeName> za svaki child node — ne moras rucno kreirati
• U Forwarding Firewall Rules dodaj DVA pravila na vrhu rule liste za svaki child node:

Rule 1: AEGIS-AUTO-<NodeName>
  Source: Aegis-Blocked-<NodeName>   Dest: Any   Service: Any   Action: Block

Rule 2: AEGIS-MANUAL-<NodeName>
  Source: Aegis-Manual-<NodeName>   Dest: Any   Service: Any   Action: Block

• Activate pa Aegis dalje sve radi sam
• Na classic CGF (ne policy-driven CGW), Aegis pokusa auto-kreirati rule preko POST /rest/config/v1/forwarding-firewall/rules pri prvom blocku — ako uspije, ne trebas rucno. Na policy-driven CGW vf1000 API vraca 409 i moras rucno.

2. Kako Aegis koristi objekt:
• Block IP-a → doda u included listu (PUT)
• Unblock IP-a → ukloni iz included liste (PUT)
• Kad je lista prazna, drži placeholder 192.0.2.1 (RFC5737, ne-rutabilan) jer Barracuda zabranjuje empty included
• Ovaj pristup radi i na policy-driven CGW/CGF appliance-ima (vf1000, GWAY-*) gdje klasični Rules REST API ne postoji

3. Delegirani blokovi (Linux/Win iza Barracude):
• Linux/Win nodovi koji imaju parent_node_id = Barracuda i Block delegate → ON (u detaljima noda) automatski delegiraju blokove na parent firewall — manual, alert-driven, geo-block, auto-block svi prolaze isti path
• Aegis za svaki podnode kreira zasebni objekt Aegis-Blocked-<ChildName> — dakle BARICA ima više objekata, jedan po podnodu — pa znaš točno koji blok dolazi od kojeg noda
• U Firewall pravila po nodovima → Osvjezi s noda za podnode vidiš gore sekciju === Blokirano na barracuda 'BARICA-RW' za 'NODE_NAME' === sa živim popisom žto je blokirano za taj specifičan node

4. Auto-detect 4-state write_state (non-destructive):
Aegis koristi admin role lookup preko GET /rest/config/v1/box/admins + per-admin role provjere (trazi rolu "Manager"). Ne kreira testne objekte, ne triggera config lock. Svakih 5 min background probe osvjezava state:
• full (zeleni badge) — ima Manager rolu, sve block akcije rade
• readonly (crveni) — token autoriziran ali nema Manager rolu — kontaktiraj admina da grant-a ulogu
• no_access (narancasti) — 401/403 — token revokan, peer IP restrikcija, admin disabled — kontaktiraj admina
• unreachable (sivi) — timeout/connection refused — provjeri network i je li box online
Badge u listi nodova i node detail panelu. Tooltip pokazuje admin imena, role i vrijeme provjere. Sve auto-block / geo-block / manual akcije prije poziva API-ja provjeravaju write_state i vracaju jasnu poruku ako nije full.

⚠ Ograničenja:
• Nema agent update/restart/install/uninstall — Barracuda nema instaliranog agenta
• Nema port scannera ni CSF-a
• Block po portu nije podržan na CGW vf1000 (jer Rules API ne postoji); block je uvijek source-IP-based (sve sa tog IP-a se baca)
• Akcije: Blokiraj/Otblokiraj IP, Dekomisioniraj node

🛡 Management IP allowlist (dodavanje admin IP-ova):
Kada treba omoguciti novi izvor IP-a za pristup management/SSH servisima Barracude (npr. novi ured, VPN, home office), radi se preko network objekta koji je kao source u rule-u za mgmt servise. Na OGMA kutijama to je Management-OGMA (provjeri kako se zove kod vas u Firewall Admin -> Forwarding Rules -> provjera source polja u rule-u za SSH/807/REST).

Preko REST-a:
GET objekta → dodaj novi entry u included → PUT puno tijelo natrag.

curl -H "X-API-Token: $TOKEN" <BASE>/rest/config/v1/forwarding-firewall/objects/networks/Management-OGMA
(modificiraj JSON)
curl -X PUT -H "X-API-Token: $TOKEN" -H "Content-Type: application/json" -d @modified.json <BASE>/rest/config/v1/forwarding-firewall/objects/networks/Management-OGMA

⚠ Vazno: promjena se upisuje u config tree ali NIJE odmah aktivna. Moras rucno otvoriti Firewall Admin GUI i kliknuti Send Changes → Activate (ili kroz ESM ako je box managed). REST /rest/config/v1/commit endpoint postoji ali trazi session token koji jos nismo uspjeli dobiti — istrazujemo.

🗑 Diagnostika — full REST config dump:
Ako treba pregledati sve sto REST dopusta (za debug pristupa, provjeru objekata, admin rola), pokreni skriptu _barica_dump.py iz C:\aegis\ prilagodjenu za konkretan box (promijeni TOKEN i BASE). Vraca box info, network IPs, sessions, admins s rolama, sve network/service/connection objekte. Output u JSON formatu u /tmp/barica_dump.txt na serveru (ili lokalno).

Integracija MikroTik RouterOS uređaja putem RouterOS API-ja (port 8728).
Radi na RouterOS v6 i v7 — koristi standardni API protokol, ne REST API.

⚙ Kako dodati MikroTik:
• Otvori Nodovi tab → Dodaj novi node
• Odaberi tip: 📡 MikroTik
• Upiši: naziv, IP adresu, API port (8728), korisničko ime, lozinku
• Klikni Dodaj node — kolektor se automatski povezuje unutar ~30 sekundi

📋 Priprema na MikroTiku (obavezno prije dodavanja noda):


🔎 Što se prati:
• Login pokušaji — brute force detekcija (fail + success korelacija)
• Promjene konfiguracije — tko je što promijenio, s koje IP adrese
• Firewall pravila — dodavanje, promjena, brisanje FW pravila
• Interface down/up — detekcija pada linkova
• Kreiranje/brisanje korisnika — persistence detekcija

📊 Telemetrija i inventar:
• CPU, RAM, uptime — automatski svakih 30 sekundi
• Inventar (model, firmware, interfejsi, disk) — automatski
• Ako MikroTik ne odgovara, node prelazi u offline

⚠ Napomena:
• Sva MikroTik pravila imaju allow_private_ip jer se MikroTiku često pristupa s LAN-a
• IP adresa i korisničko ime se automatski izvlače iz korisnik@IP formata u logovima

Detekcija brute force napada na Synology DSM login stranicu.

Kako radi:
• Agent na Synology NAS-u čita /var/log/synoplugin.log (ili /var/log/messages ako syslog prosljeduje synoplugin evente)
• SDS prepoznaje STATUS=fail i STATUS=success iz Synology DSM login logova
• Automatska ekstrakcija IP adrese iz IP=x.x.x.x polja
• Podrška za privatne IP adrese (LAN) jer se NAS-u često pristupa interno

Kako dodati log source:
• Otvori Nodovi → odaberi Synology NAS node → Log Sources
• Dodaj novi: path = /var/log/synoplugin.log, service name = synoplugin
• Ako NAS koristi syslog-ng koji piše u /var/log/messages, service name će biti synoplugind.service — pravilo ih oboje prepoznaje

Detekcijska pravila:
• Synology DSM Login Brute Force — detektira neuspjele loginove, severity HIGH
• Synology DSM Successful Login — prati uspješne loginove, severity INFO (isključeno po defaultu)

IIS (Internet Information Services) na Windowsu ne zapisuje pristupne logove u Event Log. Umjesto toga, IIS pise logove u tekstualne datoteke na disku. Aegis agent zna citati te datoteke i slati ih na SOC za analizu.

Gdje se nalaze IIS logovi?
IIS sprema logove u folder: C:\inetpub\logs\LogFiles\
Unutar tog foldera postoji po jedan podfolder za svaki IIS site:
Agent automatski prati najnoviji fajl u folderu. Kad IIS sutra kreira novi fajl (u_ex260329.log), agent automatski prelazi na njega.

Kako saznati W3SVC broj?
Svaki IIS site ima svoj ID broj. Folder se zove W3SVC + taj broj.
• Nacin 1: Na serveru otvorite folder C:\inetpub\logs\LogFiles\ i pogledajte koji podfolderi postoje (W3SVC1, W3SVC2...)
• Nacin 2: Otvorite IIS Manager → klik na site → Advanced Settings → polje ID pokazuje broj
• W3SVC1 = site ID 1, W3SVC2 = site ID 2 itd.

Sto sustav detektira u IIS logovima:
• IIS HTTP 401/403 Brute Force — netko ponavlja pristupe s krivim podacima (npr. pokusava pogoditi lozinku za OWA/ECP)
• IIS Path Traversal / Suspicious URL — netko pokusava pristupiti sumnjivim putanjama (.env, .git, web.config, /admin, /../..)
• IIS HTTP 500 Server Error Spike — nagli porast serverskih gresaka (moze ukazivati na napad ili problem)

Sto se dogada nakon dodavanja?
• Na sljedecem heartbeatu (do 30 sekundi) agent pocinje citati IIS logove
• Logovi se pojavljuju u Logovi tabu s oznakom servisa (npr. IIS-443)
• SDS ih automatski analizira i generira alarme ako detektira sumnjivo ponasanje
• Ako je Auto-Block ukljucen na pravilu i nodu, napadac se automatski blokira na Windows Firewallu

Kad dobijete lažni alarm koji se stalno ponavlja, dodajte iznimku da sustav ubuduće preskoči te logove.

Scope opcije:
• API — log se ne sprema u bazu (najagresivnije)
• SDS — log se sprema ali SDS ga preskače u detekciji
• Oba — API + SDS zajedno
• FIM — File Integrity Monitoring preskače fajlove koji sadrže pattern (npr. GroupPolicy, CSPUpdate, desktop.ini)

Primjeri:

Upravo ste dobili pristup Aegis SOC-u. Evo sto napraviti prvih 24 sata:

Secure Login dodaje dodatni sloj sigurnosti pri prijavi.

Kako radi:
• Korisnik upisuje samo email adresu na login ekranu
• Sustav šalje jednokratni sigurnosni link na email
• Korisnik klikne link → otvara se forma za lozinku
• Nakon ispravne lozinke, ako je 2FA uključen → TOTP ekran
• Token je jednokratan, hashiran (SHA-256), automatski se briše

Postavke (admin):
• Toggle ON/OFF — kada je OFF, login radi standardno (email + lozinka na istom ekranu)
• TTL tokena — koliko minuta link vrijedi (minimalno 5 minuta)
• Zahtijeva konfiguriran SMTP — bez SMTP-a se ne može aktivirati
• Rate limit — max 3 zahtjeva po email adresi u 10 minuta

Centralizirano blokiranje zemalja na svim nodovima.

Kako radi:
• Admin odabere zemlje za blokiranje (globalno ili per-node)
• SDS pri svakoj detekciji provjerava geo lokaciju IP-a (ip-api.com lookup)
• Ako je zemlja blokirana → odmah šalje block_ip komandu na node (CSF/iptables/netsh)
• Kreira alarm s oznakom GEO_BLOCK i statusom "resolved" (već blokirano)

Tab Geo Blocking (Admin → Geo Blocking):
• Toggle ON/OFF — globalno uključivanje/isključivanje
• Lijevi panel — popis nodova + "Globalno" scope
• Desni panel — pravila za odabrani scope; dodavanje/brisanje zemalja
• Globalna pravila — primjenjuju se na sve nodove
• Per-node pravila — override globalnih; Block (dodatno blokiranje) ili Allow (izuzetak od globalnog)

Prioritet:
• Per-node pravilo > globalno pravilo
• Primjer: globalno blokiraj CN → svi nodovi blokiraju Kinu
• X1-buba: Allow CN → Kina prolazi samo na X1-buba

Vidljivost:
• Dashboard — kartica "Geo Block danas" s brojem; klik otvara sve geo block alarme
• Alarmi — 🌐 GEO BLOCK badge; filter po pravilu "Geo Block"
• Blokirano — 🌐 GEO badge uz "system:geo-block" u stupcu Blokirao

Izuzece (Geo Block Exempt):
• U node detaljima (konfiguracija) → checkbox "Izuzeto" kod GEO BLOCKING
• Kad je ukljuceno, SDS preskace SVA geo block pravila za taj node
• Automatski: cancela pending geo-block komande, queue-a unblock za vec blokirane IP-ove, resolve-a Geo Block alarme
• Korisno za nodove koji trebaju pristup iz svih zemalja (web serveri, API serveri)

Sustav za automatsko prepoznavanje botova i botneta iz alarma.

Kako radi:
• SDS analizira svaku IP adresu iz alarma i dodjeljuje bot score (0-100) na temelju: brzine napada, multi-node prisutnosti, AbuseIPDB scorea, recidivizma i volumena
• IP s score ≥60 postaje bot; IP-ovi iz istog /24 subneta s istim tipom napada se grupiraju u isti bot
• Svaki bot dobiva identitet: BOT-0001, BOT-0002... s praćenjem svih IP adresa, napada i nodova

Tab Botovi (Analitika → Botovi):
• Stat kartice — ukupno botova, aktivni, IP adresa, DDoS kandidati
• Tablica botova — klasifikacija (Botnet / Botnet-Large / DDoS), prijetnja, IP-ovi, napadi, status. Sve kolone sortirajuce
• Bot detail — klik na bota otvara detaljan pregled:
   • Mrezne informacije — primarni ASN, zemlja, subnet, ISP, organizacija, hosting flag, AbuseIPDB score
   • ASN/Zemlja distribucija — ako bot ima IP-ove iz više ASN-ova ili zemalja
   • Napadnuti nodovi — lista s brojem napada po nodu
   • IP tablica — sve IP adrese bota s bot score, abuse score, zemljom, ASN-om, statusom (sortirajuca)
   • Alarmi — zadnjih 50 povezanih alarma (sortirajuca tablica)
   • Biljeske — slobodni tekst za analiticara
   • Akcije — Neutraliziraj (oznaci riješenim), Aktiviraj, Obrisi, Auto-block toggle

Klasifikacija:
• Botnet — <20 IP adresa
• Botnet-Large — 20-499 IP adresa
• DDoS — 500+ IP adresa

Status bota:
• Active — zadnji napad <7 dana
• Dormant — zadnji napad 7-30 dana
• Inactive — zadnji napad >30 dana
• Neutralized — ručno oznacen kao riješen

Retroaktivna analiza (Postavke → Bot Recognition):
• Pokrenite analizu svih postojećih alarma za kreiranje botova iz povijesnih podataka
• Odaberite date range (opcijski) ili ostavite prazno za sve podatke
• Progress bar prikazuje napredak; analiza radi u pozadini bez utjecaja na SDS detekciju
• Idempotentno — moze se pokrenuti vise puta; ne dupicira botove

Real-time detekcija:
• SDS automatski scorira nove IP adrese u svakom ciklusu (3s) i pridružuje ih botovima
• Bot badge 🤖 se prikazuje u tablici alarma za IP-ove koji pripadaju botovima
• Auto-block: ako je ukljucen na botu, svaka nova IP se automatski blokira

Fingerprinting (Faza 2):
• SDS računa fingerprint za svakog bota: prosječni interval napada, stddev, lista usernamea, ciljani nodovi, subneti
• Težinski matching: timing 30%, usernames 25%, attack type 20%, targets 15%, ASN/subnet 10%
• Nova IP koja nema isti subnet ali ima slično ponašanje (score ≥70%) se automatski pridružuje postojećem botu
• Fingerprint info vidljiv u bot detail modalu (sekcija 🔎 Fingerprint)

DDoS detekcija (Faza 3):
• Automatska eskalacija bota u DDoS kada ima 500+ IP adresa ili 100+ novih IP u 5 minuta
• 3 razine: Level 1 (WARNING: 500-2000 IP), Level 2 (CRITICAL: 2000-10000 IP), Level 3 (EMERGENCY: 10000+ IP)
• DDoS dashboard se prikazuje na vrhu Botovi taba kada postoji aktivni napad
• Geo heatmap prikazuje distribuciju napadackih IP-ova po zemljama
• Webhook za automatsku mitigaciju (Cloudflare, upstream provider) — salje se automatski ili rucno iz bot detalja
• IOC Export — download TXT fajla sa svim IP adresama bota za unos u vanjski WAF/firewall
• Kriticna notifikacija — email NOC-u pri DDoS detekciji + zvuk alarma u GUI-ju

Bot detail modal:
• 🌎 Mapa — Leaflet geografska mapa svih IP adresa bota (plavi=aktivni, crveni=blokirani)
• 📈 Timeline — bar chart novih IP-ova po satima (zadnjih 7 dana)
• 🔎 Fingerprint — detalji ponašanja bota
• ⚠ DDoS info — level, pocetak napada, webhook i IOC gumbovi (samo za DDoS botove)

Ovaj vodič opisuje kompletni postupak od trenutka kad sustav detektira DDoS napad do zatvaranja incidenta.

1. Kako ćete znati da je DDoS u tijeku?
Aegis vas obavještava na 5 načina istovremeno:

2. Što znače razine (Level)?

3. Korak po korak: što napraviti

4. Preventivne mjere (prije napada)
• Geo Blocking — ako ne očekujete promet iz Kine, Rusije ili drugih zemalja, blokirajte ih preventivno
• Auto-block na nodovima — uključite auto-block na svim produkcijskim nodovima
• Webhook — konfigurirajte webhook za DDoS detekciju u API Integracijama — automatska mitigacija bez ručne intervencije
• Obavijesti — provjerite da su globalne obavijesti uključene i da je NOC email ispravan (Postavke)

5. Ako napad ne prestaje
• Napad razine 2+ koji traje više od 30 minuta — kontaktirajte ISP-a za upstream mitigaciju
• Razmotriti privremeno ograničenje pristupa samo na poznate IP raspone
• Ako imate CDN (Cloudflare) — prebacite DNS na Cloudflare proxy i aktivirajte "Under Attack" mode
• Za Exchange/web servere — ograničite pristup samo iz Hrvatske/EU putem Geo Blocking-a

Jedinstveni SIEM pretraživač koji prati put svake IP adrese kroz mrežnu infrastrukturu.
Nalazi se pod Monitoring → SIEM.

Kako koristiti:
• Upišite IP adresu, ime noda ili tenant u polje za pretragu i kliknite Pretraži
• Sustav automatski prikazuje: put kroz mrežu, mapu, konekcije, alarme, logove i block historiju
• Dodatni filteri: vremenski raspon, smjer (inbound/outbound), port

Što se prikazuje:
• Summary kartice — broj konekcija, inbound/outbound, unique IP-ovi, nodovi
• IP Info panel — geo lokacija, ISP, AbuseIPDB reputacija, bot status, block historija (tko blokirao, kad, razlog)
• Chain prikaz — vizualni put prometa: 🌐 Napadac → 🛡 Firewall → 🖥 Server → ❓ Backend
• Mrežna mapa — D3.js interaktivni graf s nodovima i konekcijama
• Konekcije tablica — sortirajuća, klikabilne IP adrese za daljnju pretragu
• NAT translacije — Barracuda, MikroTik, FortiGate NAT iz FW logova
• Povezani alarmi — svi alarmi za tu IP
• Logovi — posljednjih 15 log linija sa svih nodova
• Firewall Events — IPS, block, scan zapisi + bypass detekcije

Topologija — pametno prepoznavanje puta:
• Firewall ispred — ako node ima konfiguriran FW (Barracuda, MikroTik), prikazuje: IP → FW → Server
• ❓ Nepoznati gateway — ako node nema FW u SOC-u ali je iza nekog uređaja, prikazuje žuti "?" između
• Direktna veza — serveri s javnom IP direktno na interfejsu (npr. cPanel): IP → Server
• Reverse proxy backend — ako server proslijeđuje promet dalje (IIS ARR), prikazuje backend s imenom iz logova (npr. VMP-EXCH)

Interakcija s mapom:
• Zoom/drag — scroll za zoom, drag za pomicanje
• Klik na node — highlight samo tog noda i njegovih konekcija, ostali se dim-aju
• Klik na chain red — filtrira mapu, konekcije, alarme i logove samo za taj put
• "Prikaži sve" — vraća prikaz svih putova
• Klik na vanjsku IP — odmah pokreće novu pretragu za tu IP
• Hover — tooltip s detaljima noda

Activity Dashboard (novo!):
Kad otvorite SIEM tab, automatski se prikazuje pregled aktivnosti bez potrebe za upisom IP-a:
• Stat kartice — ukupni dogadaji, critical, high, medium, unique IP-ovi
• Timeline — aktivnost po satu u obliku bar grafa, obojeno po najvisem severity-u
• Top napadaci — sortirajuća tablica, klik na IP odmah pokreće SIEM trace
• Po pravilu — koja pravila generiraju najvise detekcija
• Zadnjih 50 dogadaja — tablica s klikabilnim IP-ovima, MITRE oznakom i statusom
• Filtri — odaberite severity ili node za filtriranje dashboarda
• Kad pretrazite IP, dashboard se sakrije i prikazuje detalje. Gumb "← Pregled" vraća vas na dashboard.

Modul za pracenje aktivnosti na bazama podataka. Nalazi se pod DAM tab.

Navigacija (dva nivoa):
Nivo 1 — Pregled nodova:
• DAM tab prikazuje kartice svih nodova koji imaju detektiranu bazu podataka
• Svaka kartica prikazuje: ime noda, engine badge (MSSQL/MySQL/MariaDB/PostgreSQL/MongoDB), online/offline status
• Na kartici se vidi: compliance badge (zeleno/crveno), broj alarma, broj DB logova
• Za MSSQL nodove: lista detektiranih baza podataka (master, msdb, korisnicke baze)
• Za MySQL/MariaDB nodove: Audit ON/OFF badge
• Vremenski filter: 24h / 3 dana / 7 dana

Nivo 2 — Drill-down (klik na karticu):
• Gumb "Natrag na pregled" vraca na Nivo 1
• Stat kartice: ukupno dogadaja, Login Failed, Privilege Escalation, Bulk Delete, Schema Change, Backup/Export, User Change
• Tablica po pravilu: koje DAM pravilo je koliko puta okidalo
• Za MSSQL: lista detektiranih baza na tom nodu
• DB Security Alarmi: tablica s vremenom, severity, pravilo, IP, korisnik, broj pokusaja, trigger log
• DB Logovi: raw logovi s MySQL/MSSQL/PostgreSQL servisa
• Compliance provjere: per-node backupi, CHECKDB, maintenance planovi

MySQL Detaljni Logging (toggle switch):
Na MySQL/MariaDB nodovima u drill-downu vidljiv je toggle switch "MySQL Detaljni Logging".

Switch OFF (default):
• Agent prati samo MySQL error log (mysql-error kanal)
• Detektira: crash/restart, access denied, too many connections, aborted connections

Switch ON:
• Agent aktivira MySQL general_log i taila log datoteku
• Salje SAMO opasne operacije: DROP DATABASE/TABLE, DELETE FROM, TRUNCATE TABLE, ALTER TABLE, CREATE/DROP USER, GRANT, REVOKE, mysqldump, LOAD DATA, INTO OUTFILE
• Obicni SELECT/SHOW upiti se NE salju — samo security-relevantne operacije
• Postavka je persistentna — prezivljava restart agenta
• Radi na Linux i Windows serverima s MySQL/MariaDB

Što DAM prati (18 pravila):
• DB: Login Failed (high) — neuspjesni pokusaji prijave na MSSQL, MySQL, PostgreSQL
• DB: Privilege Escalation (critical) — GRANT, REVOKE, CREATE USER, ALTER ROLE
• DB: Bulk Delete/Truncate (critical) — DROP DATABASE, DELETE FROM, TRUNCATE TABLE
• DB: Schema Changed (medium) — CREATE/ALTER/DROP TABLE, INDEX, DATABASE
• DB: Backup/Export (high) — BACKUP DATABASE, mysqldump, pg_dump, bcp
• DB: User Created/Modified (high) — CREATE/ALTER/DROP USER/LOGIN
• DB: Sensitive Data Access (high) — pristup tablicama s lozinkama, GDPR podacima
• DAM: MSSQL Login Failed (high) — Error 18456, FAILED_LOGIN_GROUP
• DAM: MSSQL Service Event (medium) — SQL Server start/stop/shutdown
• DAM: MySQL Access Denied (medium) — Access denied for user
• DAM: MySQL Connection Aborted (medium) — Aborted connection, Too many connections
• DAM: MySQL Crash/Restart (high) — Shutdown complete, ready for connections
• DAM: PostgreSQL Auth Failure (high) — FATAL password auth failed, no pg_hba
• DAM: PostgreSQL DDL Change (high) — CREATE/ALTER/DROP TABLE/DATABASE/ROLE
• DAM: PostgreSQL Fatal Error (critical) — FATAL shutdown, PANIC
• DAM: PostgreSQL Warning (low) — collation, corruption, mismatch
• DAM: phpMyAdmin Probe (medium) — skeniranje phpMyAdmin/pma putanja
• DAM: cPanel DB Auth (low) — cPanel MySQL operacije

Compliance provjere:
• Auto-detect — skenira logove zadnjih 7 dana i predlaze provjere za detektirane DB engine-e
• Rucno dodavanje — definirajte operaciju, regex pattern, service filter i interval
• Status: OK (zeleno), Warning (zuto), Critical (crveno), Unknown (sivo)
• Primjeri: MSSQL Backup (dnevno), MSSQL CHECKDB (tjedno), PostgreSQL Checkpoint (dnevno)
• SDS worker provjerava compliance svakih sat vremena i salje alarm ako operacija kasni

Podrzane baze:
• MSSQL — SQL Server Audit + Event Log (Windows agent automatski skuplja)
• MySQL/MariaDB — error log (default) + general_log (kad je toggle ON)
• PostgreSQL — syslog/journald (log_statement, pgAudit)
• MongoDB — mongod log (detekcija putem running_services)

Primajte alarme, obavijesti o prijetnjama, DDoS detekciju i ostale dogadjaje direktno na Telegram, WhatsApp ili Signal.

✈ Telegram postavljanje:
1. Otvorite @BotFather na Telegramu
2. Posaljite /newbot i pratite upute za kreiranje bota
3. Kopirajte Bot Token (format: 123456789:ABCdefGHI...)
4. Dodajte bota u grupu ili mu posaljite poruku direktno
5. Za Chat ID grupe: dodajte @getmyid_bot u grupu ili koristite https://api.telegram.org/bot{TOKEN}/getUpdates
6. U Aegis SOC: Postavke → Telegram/WhatsApp/Signal → unesite Bot Token i Chat ID
7. Kliknite Test za provjeru
8. Ukljucite Telegram checkbox u globalnim kanalima

💬 WhatsApp postavljanje:
1. Registrirajte se na Meta Business
2. Kreirajte WhatsApp Business aplikaciju
3. U WhatsApp → API Setup: kopirajte Phone Number ID i Permanent Access Token
4. Dodajte primatelja u sandbox (za test) ili registrirajte broj (za produkciju)
5. U Aegis SOC: unesite Token, Phone Number ID i broj primatelja (+385...)
6. Kliknite Test za provjeru

🔒 Signal postavljanje:
1. Pokrenite signal-cli-rest-api Docker container:
docker run -d -p 8080:8080 -v signal-data:/home/.local bbernhard/signal-cli-rest-api
2. Registrirajte broj: POST /v1/register/+385...
3. Potvrdite verifikacijski kod: POST /v1/register/+385.../verify/CODE
4. U Aegis SOC: unesite REST API URL (npr. http://localhost:8080), broj posiljatelja i primatelje
5. Kliknite Test za provjeru

Napomena: Svi kanali se mogu kombinirati — npr. kriticni alarmi idu na Telegram I email, a DDoS dodatno na WhatsApp. Konfiguracija je u Postavke → Obavijesti → NMS Matrica.

Omogućava trecim sustavima da se spoje na Aegis SOC i citaju podatke putem REST API-ja.

Aktivacija:
• Postavke → sekcija "API za vanjske sustave" → ukljucite toggle
• Kad je ukljuceno, pojavi se Admin → API Integracije u meniju

Kreiranje integracije:
• Kliknite + Nova integracija
• Upisite naziv (npr. "Grafana", "ITSM ticketing")
• Odaberite scopeove — koji podaci su dostupni (health, alerts, nodes, blocks, bots, firewall, network, stats, reports)
• Postavite rate limit (max zahtjeva po minuti, default 60)
• Opcionalno: IP whitelist (samo odredene IP adrese smiju pristupiti)
• Opcionalno: datum isteka (ili trajni kljuc)
• API kljuc se prikazuje samo jednom — kopirajte ga odmah!

Koristenje API-ja:
• Svaki zahtjev mora sadrzavati header X-Api-Key: <vas_kljuc>
• Svi endpointi su pod /api/v1/ext/ — npr. /api/v1/ext/health, /api/v1/ext/alerts
• Kliknite Dokumentacija za personaliziranu dokumentaciju s primjerima u cURL, Python, C#, VB.NET i PHP

Webhookovi (push):
• U detaljima integracije kliknite + Dodaj webhook
• Odaberite event tip: alert_critical, alert_high, node_offline, bot_detected, firewall_bypass, ddos_detected
• Unesite URL na koji ce se slati HTTP POST
• Opcionalno: signing secret za HMAC-SHA256 potpis

Debug mode:
• U detaljima integracije kliknite Debug ON
• Svaki API poziv se detaljno logira (metoda, path, status code, trajanje, IP)
• Logovi vidljivi u tablici na dnu detalj panela

Sigurnost:
• API kljuc se sprema kao SHA-256 hash (ne moze se procitati iz baze)
• Rate limiting po kljucu (zastita od preopterecenja)
• IP whitelist (opcionalno ogranicenje pristupa)
• Tenant izolacija (kljuc vidi samo podatke svog tenanta)
• Scope kontrola (kljuc pristupa samo dozvoljenim endpointima)
• Audit trail svakog poziva

Centralni pregled zdravlja Aegis SOC servera i svih servisa u realnom vremenu.

Pristup: Status kolektora tab (admin only)

Sekcije:

1. Resursi servera
• CPU % — trenutno opterecenje procesora + load average (1/5/15 min)
• RAM — zauzetak memorije u MB/GB i postotak
• Disk — zauzetak diska po particijama
• Sparkline grafovi — vizualni trend zadnjih ~30 min za svaki resurs; crvena linija = upozorenje

2. SDS (Standalone Detection Service)
• Status — running/stopped/degraded
• Alarmi danas/sat/mjesec — brojaci s trendovima
• Histogram 24h — graficki prikaz aktivnosti detekcije po satima
• Watermark — zadnji obradjeni log ID (pracenje napretka)

3. Servisi
• API — FastAPI/Uvicorn status, uptime, broj zahtjeva
• Nginx — web server status
• MySQL — baza podataka status, konekcije
• SDS — detekcijski servis, PID, uptime
• Kolektori — MikroTik, Barracuda, FortiGate kolektor procesi

4. Baza podataka
• Tablice — naziv, broj redova, velicina na disku
• Ukupna velicina — zbirna velicina svih tablica
• Retencija — ako je ukljucena, prikazuje konfigurirane periode brisanja

5. Obavijesti (email log)
• Popis svih poslanih i neuspjelih email obavijesti
• Za svaku: timestamp, status (sent/failed), primatelj, predmet, severity, node, greska

Pristup: Izvještaji tab → Security Report panel

Opcije generiranja:
• Pojedinačni node — odaberite node iz dropdowna za izvještaj tog sustava
• Tenant — odaberite tenant za izvještaj svih nodova tog tenanta (svaki node zasebno)
• Svi nodovi — ostavite prazno za kompletni izvještaj cijele infrastrukture
• Period — opcionalno definirajte datum od-do; bez datuma = kompletna povijest
• Sekcije — checkboxevi za odabir sadržaja (sažetak, alarmi, napadači, MITRE, blokade, telemetrija, servisi, timeline)

Generiranje:
• Kliknite Generiraj izvještaj — PDF se generira u pozadini
• Progress je vidljiv u globalnom status baru na dnu ekrana (npr. "Node 3/8: mikbak (38%)")
• Možete nastaviti raditi na drugim tabovima dok se generira
• Kad završi, dobivate toast obavijest i gumb "Preuzmi PDF" postaje aktivan

Sadržaj PDF-a:
• Naslovnica s podatcima tenanta/firme, periodom i uvodnim tekstom
• Sadržaj (TOC) s brojevima stranica po nodu
• Per-node: risk ocjena, napadači s AbuseIPDB, MITRE mapiranje s raw evidence, telemetrija graf, karta napada, akcijski plan
• Ukupna sigurnosna ocjena s obrazloženjem i preporukama

Email: Upišite email adresu i kliknite "Pošalji na mail" za slanje HTML sažetka izvještaja.

Napomena: PDF se čuva na serveru 24 sata nakon generiranja, zatim se automatski briše.

Pristup: Klik na node → panel "File Integrity Monitoring"

Što radi: Agent svakih 5 minuta računa SHA256 hash kritičnih sistemskih fajlova i šalje na server. Server uspoređuje s prethodnim hashom i detektira promjene.

Tipovi događaja:
• ✎ modified — sadržaj fajla je promijenjen (novi hash)
• 🗑 deleted — fajl je obrisan
• ✚ created — novi fajl detektiran
• 🔒 permissions — promijenjene dozvole (ali sadržaj isti)

Praćeni fajlovi (Linux): /etc/passwd, /etc/shadow, /etc/sudoers, /etc/ssh/sshd_config, /etc/crontab, /etc/cron.d/*, /etc/systemd/system/*, /etc/nginx/*, /root/.ssh/authorized_keys
Praćeni fajlovi (Windows): hosts, SAM, SYSTEM, SECURITY, SOFTWARE, Scheduled Tasks, sshd_config, IIS config

Custom putanje: U FIM panelu kliknite "Custom FIM putanje" i dodajte vlastite putanje (jedna po liniji)
Alarmi: Svaka promjena generira alarm u centralnom sustavu (MITRE T1565.001 — Stored Data Manipulation) + email obavijest
Toggle: Postavke → File Integrity Monitoring toggle za globalno uključivanje/isključivanje
Iznimke: Iznimke tab → scope: FIM — dodajte patterne za preskačenje (npr. CSPUpdate, GroupPolicy, desktop.ini). 16 preset patterna za poznati Windows/Linux noise već uključeno.
Deduplikacija: Isti fajl na istom nodu generira max 1 event po satu — sprečava spam za fajlove koji se često mijenjaju.

Pristup: Klik na Windows node → panel "Registry Security Audit"

Sto radi: Agent svakih 6h provjerava ~30 kriticnih Windows registry kljuceva koji utjecu na sigurnost sustava. Svaka provjera ima status: PASS, FAIL ili INFO.

Kategorije provjera:
• Network: SMBv1 iskljucen, LLMNR iskljucen, NetBIOS node type, Null session
• Firewall: Windows Firewall upaljen na sva 3 profila (Domain/Private/Public)
• Remote Access: RDP NLA, RDP enkripcija, WinRM Basic auth, Remote Assistance
• Credentials: WDigest plaintext, LSA Protection, LM Hash, Credential Guard, Cached Logons
• System: UAC, AutoRun, PowerShell v2, Safe DLL Search, Print Spooler
• Antivirus: Windows Defender Real-time, Defender nije iskljucen
• Audit: Security Event Log velicina
• Accounts: Guest account, Anonymous SID lookup

Score: Postotak pass/total provjera. Zeleno (≥80%), zuto (60-79%), crveno (<60%).

Gumbi:
• Skeniraj — salje registry_audit komandu agentu za instant provjeru
• Osvjezi — ponovno ucitava rezultate iz baze