AEGIS — een Threat-Ops Center uit publieke feeds
Wat begon als een sci-fi HUD-mockup is geworden tot een werkende threat-operations-app: realtime publieke OSINT-feeds (CISA KEV, Feodo Tracker C2, ThreatFox, Tor exit-nodes) matchen tegen jouw eigen netwerkverkeer. Zeven views — van wereldkaart tot per-IOC-detail —, een active shield die op Windows met één klik via de firewall blokkeert, en alles in één React + Node-stack op SQLite. Geen ENTERPRISE-licentie nodig.
De data is publiek — alleen niet leesbaar
Threat-intelligence is voor het overgrote deel publiek. CISA publiceert dagelijks bekende geëxploiteerde kwetsbaarheden (KEV-catalogus). Abuse.ch beheert Feodo Tracker (C2-servers van banking-trojans) en ThreatFox (cross-malware indicator-database). Tor publiceert z'n exit-nodes.
Maar als je ze gebruikt, doe je dat met 4 verschillende JSON-formaten, 4 update-cadenzen en 4 verschillende SLAs op API-uptime. Resultaat: óf je betaalt €18k+ per jaar voor een commercieel SIEM (Splunk, IBM QRadar), óf je hebt geen echt overzicht.
Wat ontbrak: een open, gratis, self-hosted threat-ops dashboard dat de publieke data fatsoenlijk uitleest, normaliseert en matcht tegen je eigen verkeer.
Vier feeds in, één HUD uit
De backend (Node + Express) trekt de feeds op een eigen cadens, normaliseert ze naar één IOC-tabel in SQLite en serveert via REST + Server-Sent Events naar de React-frontend. ip-api geocoding draait async voor de wereldkaart.
De frontend is een sci-fi HUD met zeven views: Threat Ops (overzicht), Shield (host-protection met firewall-knop), My Network (eigen verkeer matchen), Network Map (geolocated map), Forensics (IOC-tabel), Intelligence (malware-families) en History (trend-grafieken).
De Shield-view is onze favoriet: ze toont actieve verbindingen van je eigen machine, matcht ze tegen de IOC's, en biedt een één-klik-blok via Windows-firewall (met UAC, fully reversible). Geen agents installeren, geen kernel-modules.
Alles draait op SQLite, in één Node-proces. Een Raspberry Pi 5 kan 'm hosten.
Wat er nu daadwerkelijk op de aarde gebeurt
Live geolocated dreigingen vanuit publieke feeds, met jouw eigen host als anker (cyan stip). Verbindingslijnen geven actieve connecties weer naar bekende kwaadaardige IP's.
Doorzoekbaar tot op het laatste IP
Filter op family, geo, severity, source. Eén klik op een rij opent de per-indicator-pagina met first-seen, last-seen, geassocieerde campagnes en alle gerelateerde IOC's.
IOC-table · recent
Eén klik = firewall-blok, reversibel
Op Windows toont AEGIS de actieve TCP-verbindingen van je host, matcht ze tegen de IOC's, en biedt aan om bekende C2 via Windows Defender Firewall te blokkeren. Volledig terug te draaien.
Onder de motorkap
- FrontendReact 19 + Vite + TypeScript + custom HUD-styling
- BackendNode + Express met SSE-streaming naar de frontend
- StorageSQLite (better-sqlite3) — geen externe DB nodig
- FeedsCISA KEV · Feodo Tracker · ThreatFox · Tor exit-list
- Geoip-api (gratis tier) voor wereldkaart-locaties
- StreamingServer-Sent Events i.p.v. websocket (firewall-friendly)
- Firewall-integratieWindows Defender via PowerShell (UAC)
- Host-monitornetstat-poll + IOC-match in geheugen
Waar het anders is
- Zelf-hostbaarDraait op een Pi 5 of een laag-volume VPS — geen €18k SIEM
- Feed-versheid bewaaktVisuele indicator zodra een feed achterloopt
- Sci-fi HUDBegonnen als design-mockup, gegroeid tot live app
- Reversible blockingIedere firewall-regel kan met één klik weg
- Export-vriendelijkCSV of blocklist-formaat voor andere tools
- Trends bewaardSQLite onthoudt historie — je ziet weekgrafiek per family
"We zijn begonnen omdat we mooie cyber-dashboards leuk vonden. Een week later ontdekten we dat de echte data publiek beschikbaar is en niemand er een fatsoenlijk product van had gemaakt — alleen dure SIEM-licenties. Toen werd het onze missie om er een open-source-tier alternatief van te maken dat een Pi nog kan hosten."
Meer werk van Lynuxis
Een operations-dashboard voor jouw operatie?
SOC, netwerk, fleet, productie, energie — overal waar real-time data uit publieke of eigen bronnen samenkomt, werkt een HUD-stijl dashboard. Vaste prijs, eigen domein.