🛡️ XXMNN: Anti-AI Pentest Defense System

XXMNN is a next-generation "Silent Sentinel" security system engineered to defend digital infrastructure against sophisticated, AI-powered pentesting tools such as Shannon, Claude, GPTBot, Nuclei, Burp Suite, and other autonomous threat agents.

Operating as a dormant background process, XXMNN consumes negligible system resources and activates only upon detecting anomalous behavior. It provides a 6-layer defense strategy that evolves beyond traditional signature-based WAFs.

┌──────────────────────────────────────────────────────────────────┐
│                    YOUR SERVER (Production)                      │
│                                                                  │
│   Nginx / Apache ──→ access.log                                  │
│                          │                                       │
│                     ┌────▼────┐                                  │
│                     │  XXMNN  │ ← Sleeps here, 0% CPU           │
│                     │ DORMANT │                                  │
│                     └────┬────┘                                  │
│                          │                                       │
│              Attack detected? ──→ NO: Continue sleeping          │
│                          │                                       │
│                        YES ↓                                     │
│                     ┌────▼────┐                                  │
│                     │  AWAKE  │ Analyze → Block → Report → Sleep │
│                     └─────────┘                                  │
└──────────────────────────────────────────────────────────────────┘

XXMNN sits right beside your web server. It reads the Nginx/Apache access log in real-time and:

1. DORMANT — Sleeps and monitors log lines with near-zero CPU
2. ALERT — Detects suspicious pattern, starts scoring the session
3. AWAKE — Threat confirmed, activates all defense layers
4. BLOCKING — Blocks IP via iptables + Cloudflare + Nginx
5. REPORTING — Generates forensic reports (JSON + HTML)
6. Returns to DORMANT — Goes back to sleep

xxmnn/
├── core/             # Sentinel engine, config, data models
├── detectors/        # 13 threat detectors + session manager
│   ├── ai_pentest        # AI bot signatures
│   ├── sql_injection     # SQLi patterns
│   ├── xss               # XSS patterns
│   ├── command_injection # CMD/PowerShell injection
│   ├── ssrf              # Server-side request forgery
│   ├── path_traversal    # Directory traversal
│   ├── brute_force       # Login brute force
│   ├── honeypot          # Trap endpoints
│   ├── behavioral        # Timing/jitter analysis
│   ├── automation_fingerprint  # [v3.1] Headless browser + bot detection
│   ├── payload_sequence       # [v3.1] Sequential payload chain analysis
│   ├── recon_detector         # [v3.1] Recon behavior patterns
│   └── multi_vector           # [v3.1] Parallel multi-vector correlation
├── responders/       # Firewall (iptables), Nginx, Cloudflare API
├── reporting/        # Forensic JSON + HTML reports
├── notifications/    # Email, Telegram, Slack
└── utils/            # Colors, log parser

XXMNN, Shannon, Claude, GPTBot, Nuclei, Burp Suite ve diğer otonom yapay zeka saldırı araçlarına karşı dijital altyapınızı koruyan yeni nesil bir "Sessiz Muhafız" güvenlik sistemidir.

XXMNN sunucunuzun yanına kurulur. Web sunucunuzun (Nginx/Apache) access log dosyasını gerçek zamanlı okur:

1. DORMANT (Uyku) — %0 CPU ile log satırlarını izler
2. ALERT (Alarm) — Şüpheli pattern tespit eder, oturum puanlamaya başlar
3. AWAKE (Uyanık) — Tehdit doğrulandı, tüm savunma katmanlarını aktive eder
4. BLOCKING (Engelleme) — IP'yi iptables + Cloudflare + Nginx ile engeller
5. REPORTING (Raporlama) — Adli rapor oluşturur (JSON + HTML)
6. DORMANT'a dönüş — Tekrar uyur

git clone https://github.com/YOUR_USERNAME/xxmnn.git
cd xxmnn
pip install -r requirements.txt

python -m xxmnn --demo

python -m xxmnn --watch /var/log/nginx/access.log

python -m xxmnn --file /var/log/nginx/access.log

tail -f /var/log/nginx/access.log | python -m xxmnn

python -m xxmnn --version

ssh root@YOUR_SERVER
git clone https://github.com/YOUR_USERNAME/xxmnn.git /opt/xxmnn
cd /opt/xxmnn
pip install -r requirements.txt

cp config.yaml.example config.yaml
nano config.yaml

cat > /etc/systemd/system/xxmnn.service << 'EOF'
[Unit]
Description=XXMNN Anti-AI Pentest Defense System
After=nginx.service

[Service]
Type=simple
ExecStart=/usr/bin/python3 -m xxmnn --watch /var/log/nginx/access.log -c /opt/xxmnn/config.yaml
WorkingDirectory=/opt/xxmnn
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable xxmnn
systemctl start xxmnn
systemctl status xxmnn

Artık XXMNN sunucunuzda uyuyor. Saldırı başladığında otomatik uyanacak, engelleyecek ve sizi bilgilendirecek.

cp config.yaml.example config.yaml
nano config.yaml

XXMNN saldırı tespit ettiğinde size otomatik email gönderir. Gmail ile kurulum:

⚠️ Normal Gmail şifresi çalışmaz! App Password oluşturman gerekiyor.

1. https://myaccount.google.com/apppasswords adresine git
2. Google hesabınla giriş yap
3. "Select app" → Mail seç
4. "Select device" → Other seç → "XXMNN" yaz
5. Generate tıkla
6. 16 haneli şifreyi kopyala (örn: abcd efgh ijkl mnop)

💡 App Passwords seçeneğini görmüyorsan: Önce 2-Step Verification aktive et.

notifications:
  email:
    enabled: true
    smtp_host: "smtp.gmail.com"
    smtp_port: 587
    username: "your_email@gmail.com"
    password: "abcd efgh ijkl mnop"    # App Password (NOT your Gmail password)
    from: "your_email@gmail.com"
    to: "alert_recipient@gmail.com"    # Where to send alerts

python -m xxmnn --demo
# Should show: [EMAIL] Bildirim gönderildi: your_email@gmail.com

XXMNN saldırı tespit ettiğinde Telegram'a anlık mesaj gönderir.

1. Telegram'ı aç → @BotFather ara → başlat
2. /newbot yaz
3. Bot adı ver: XXMNN Security Bot
4. Username ver: xxmnn_defense_bot (benzersiz olmalı)
5. Bot Token verilecek → Kopyala

✅ Done! Use this token to access the HTTP API:
7123456789:AAFxxxxxxxxxxxxxxxxxxxxxxxxxx

1. Oluşturduğun bota Telegram'dan bir mesaj at (herhangi bir şey yaz)
2. Tarayıcıda bu URL'yi aç (TOKEN kısmını kendi token'ınla değiştir):

https://api.telegram.org/bot7123456789:AAFxxxxxxxx/getUpdates

3. JSON çıktısında chat id'yi bul:

"chat": {
  "id": 987654321,    ← BU SENIN CHAT ID'N
  "first_name": "Your Name"
}

notifications:
  telegram:
    enabled: true
    bot_token: "7123456789:AAFxxxxxxxxxxxxxxxxxxxxxxxxxx"
    chat_id: "987654321"

python -m xxmnn --demo
# Should show: [TELEGRAM] Bildirim gönderildi

💡 Tip: Birden fazla kanalı aynı anda aktif edebilirsiniz. XXMNN tüm aktif kanallara bildirim gönderir.

XXMNN, bildirim şifrelerini (Gmail App Password, Telegram Token) korumak için 3 katmanlı config sistemi kullanır:

Katman 1: Varsayılanlar (kod içi)        → En düşük öncelik
Katman 2: config.yaml (dosya)            → Üzerine yazar
Katman 3: ENV variables (ortam değişkeni) → EN YÜKSEK öncelik ✅

# systemd servisinde şifreleri ENV olarak tanımla:
Environment=XXMNN_EMAIL_PASS=abcdefghijklmnop
Environment=XXMNN_TG_TOKEN=7123456789:AAFxxxxxxxxxx
Environment=XXMNN_TG_CHAT_ID=987654321

Desteklenen tüm ENV değişkenleri:

⚠️ Önemli: config.yaml kullanıyorsan dosya izinlerini kısıtla: chmod 600 config.yaml

• ✅ Automation Fingerprint Detector: 50+ bot/araç UA imzası + SDK header tespiti
• ✅ Payload Sequence Detector: 6 saldırı tipinde ardışık payload zinciri analizi + URL decode
• ✅ Recon Detector: 30 hassas dosya zinciri + hızlı tarama + HEAD parmak izi
• ✅ Multi-Vector Detector: Paralel çoklu vektör korelasyon motoru
• ✅ --watch modu: Gerçek zamanlı log izleme (tail -f benzeri)
• ✅ 6 katmanlı savunma: Otomasyon → Keşif → Session → İmza → Payload → Korelasyon
• ✅ AI pentest analizi: Shannon, Nuclei, Burp, ZAP, sqlmap parmak izleri eklendi
• ✅ Credential Security: ENV variable desteği — şifreler dosyada değil bellekte
• ✅ 7 fazlı savaş simülasyonu: 32 saldırı, 3 farklı saldırgan, 0 false positive

• ✅ 1251 satırlık monolitten 25+ modüllü paket yapısına refactor
• ✅ Bildirim sistemi: Email (SMTP/TLS), Telegram Bot API, Slack Webhook
• ✅ Cloudflare API ile otomatik IP engelleme
• ✅ 9 dedektörde genişletilmiş saldırı imzaları
• ✅ Session Scoring v2: Honeypot (+30), rapid login (+15)
• ✅ Duplicate BehavioralDetector sorunu giderildi
• ✅ Bare except: blokları spesifik exception handling ile değiştirildi

• ✅ Session scoring sistemi
• ✅ Honeypot dedektörü
• ✅ Davranışsal analiz (jitter + static resource)

• ✅ 7 temel dedektör (SQLi, XSS, CMD, SSRF, PathTraversal, BruteForce, AIPentest)
• ✅ Firewall + Nginx responder
• ✅ Forensic reporting (JSON + HTML)

This project is licensed under the MIT License - see the LICENSE file for details.