VoidAccess bringt selbst gehostete Threat Intelligence und lokale KI für Sicherheitsforscher

Sicherheitsforscher und IT-Teams, die ihre eigene Infrastruktur verwalten, haben nun eine neue Option zur Organisation komplexer Threat Intelligence. VoidAccess, Ende Oktober 2026 veröffentlicht, ist eine selbst gehostete Plattform, die Daten sowohl aus dem öffentlichen Web als auch aus über Tor erreichbaren Quellen aggregiert. Sie zielt darauf ab, verstreute Browser-Tabs durch eine einheitliche Oberfläche zum Nachverfolgen von Domains, IP-Adressen und Malware-Indikatoren zu ersetzen.

Was passiert ist

VoidAccess adressiert das häufige Problem fragmentierter Beweise bei Sicherheitsuntersuchungen. Anstatt disparate Berichte manuell abzugleichen, fragt das Tool mehrere Quellen gleichzeitig ab. Es extrahiert technische Indikatoren wie Datei-Hashes, Domains und bekannte Bedrohungsverweise. Das System organisiert diese Erkenntnisse anschließend in Beziehungsgraphen, sodass Analysten Verbindungen zwischen verschiedenen Infrastrukturelementen visualisieren können, ohne ständig den Kontext wechseln zu müssen.

Die Software ist für autorisierte Untersuchungen konzipiert und legt Wert auf Datensouveränität. Durch den lokalen Betrieb des Stacks halten Teams ihre Rechercheabfragen und -ergebnisse innerhalb ihrer eigenen Netzwerkgrenzen. Das Tool unterstützt den Export von Daten in Branchenstandards wie STIX und MISP sowie in einfacheren CSV- und Markdown-Dateien, um sicherzustellen, dass gesammelte Informationen in bestehende Sicherheitsworkflows integriert oder mit relevanten Stakeholdern geteilt werden können.

Wichtige Details

• VoidAccess ist ein Projekt unter MIT-Lizenz mit dokumentierter Sicherheitsrichtlinie und Anleitung zum Self-Hosting.
• Die offizielle Bereitstellung nutzt Docker Compose, um vier Dienste auszuführen: PostgreSQL, Tor, ein FastAPI-Backend und ein Next.js-Frontend.
• Eine Python-Befehlszeilenschnittstelle (CLI) steht Nutzern zur Verfügung, die terminalbasierte Workflows der Web-Oberfläche vorziehen.
• Die Plattform unterstützt lokale KI-Verarbeitung via Ollama, was die Interpretation von Erkenntnissen ermöglicht, ohne Daten an externe kommerzielle Anbieter zu senden.
• Externe Anreicherungsdienste, die API-Schlüssel erfordern, sind optional und können deaktiviert werden, um einen vollständig offline arbeitenden Analysemodus für die KI-Komponente beizubehalten.
• Der Einrichtungsassistent generiert automatisch Anwendungsgeheimnisse und Datenbank-Zugangsdaten, um die Erstkonfiguration zu vereinfachen.

Hintergrund

Threat Intelligence umfasst oft die Korrelation disparater Datenpunkte, um böswillige Akteure oder kompromittierte Systeme zu identifizieren. Traditionell erfordert dies den Zugriff auf verschiedene öffentliche Feeds, private Berichte und manchmal Dark-Web-Quellen. Dies manuell durchzuführen ist zeitaufwendig und fehleranfällig. Das Self-Hosting solcher Tools ermöglicht es Organisationen, die Kontrolle über sensible Daten zu behalten und sicherzustellen, dass Ermittlungsdetails nicht an Drittanbieter-SaaS-Plattformen durchsickern.

VoidAccess nutzt moderne Webtechnologien, um die Erfassungsebene von der Präsentationsebene zu trennen. Das Backend übernimmt die schwere Arbeit beim Abfragen von Tor-Netzwerken und Parsen von Sicherheits-Feeds, während das Frontend eine visuelle Graph-Oberfläche bereitstellt. Diese Architektur ist in modernen DevOps-Stacks üblich, wo Dienste zur einfacheren Verwaltung und Isolation containerisiert werden. Die Integration lokaler KI-Modelle spiegelt einen wachsenden Trend in datenschutzorientierter Software wider, bei dem Berechnungsaufgaben on-premise ausgeführt werden, um Risiken der Datenexfiltration zu vermeiden.

Warum es wichtig ist

Für Teams, die ihre eigene Software betreiben, ist die Kontrolle über Sicherheitsforschungsdaten kritisch. Die Nutzung cloud-basierter Threat-Intelligence-Plattformen bedeutet oft, interne Kompromittierungsindikatoren an externe Server zu senden. VoidAccess ermöglicht es diesen Teams, tiefgehende Untersuchungen durchzuführen, ohne ihre spezifischen Ziele oder Erkenntnisse Dritten preiszugeben. Dies ist besonders wichtig für Branchen mit strengen Compliance-Anforderungen oder solche, die mit hochsensiblen geistigen Eigentumsrechten umgehen.

Die Fähigkeit, Beziehungen zwischen Bedrohungen zu visualisieren, hilft Analysten, ihre Reaktionsmaßnahmen zu priorisieren. Eine einfache Liste verdächtiger IPs mag keine breitere Kampagne offenbaren, aber ein Graph, der gemeinsame Infrastruktur zeigt, kann koordinierte Angriffe hervorheben. Allerdings warnt die Dokumentation des Tools, dass diese Verbindungen kein Beweis für Eigentümerschaft sind. Gemeinsames Hosting und wiederverwendete Infrastruktur können False Positives erzeugen, daher bleibt menschliche Verifizierung unerlässlich. Das Tool dient als Entscheidungshilfe, nicht als autonome Autorität.

Darüber hinaus reduziert die Möglichkeit, lokale KI-Modelle zu nutzen, Betriebskosten und Datenschutzbedenken. Teams können große Sprachmodelle nutzen, um Erkenntnisse zusammenzufassen oder nächste Schritte vorzuschlagen, ohne pro-Token-Gebühren zu zahlen oder das Risiko einer Datenpreisgabe einzugehen. Dies macht fortgeschrittene Analysen für kleinere Teams oder Homelab-Enthusiasten zugänglich, die möglicherweise keine Budgets für Enterprise-Security-Suiten haben.

Was Sie tun können

• Überprüfen Sie das VoidAccess GitHub-Repository und lesen Sie die Self-Hosting-Dokumentation sorgfältig vor der Bereitstellung.
• Stellen Sie das Tool in einem eingeschränkten Netzwerksegment bereit, statt es direkt über einen Reverse Proxy dem öffentlichen Internet auszusetzen.
• Konfigurieren Sie den Einrichtungsassistenten so, dass starke, eindeutige Geheimnisse für die Datenbank und API-Authentifizierung generiert werden.
• Testen Sie die Python-Befehlszeilenschnittstelle, wenn Ihr Team skriptbare, terminalbasierte Ermittlungsworkflows bevorzugt.
• Richten Sie Ollama lokal ein, wenn Sie KI-Unterstützung wünschen, und stellen Sie sicher, dass Sie die Ressourcenanforderungen für den Betrieb lokaler Modelle verstehen.
• Behandeln Sie alle generierten KI-Erklärungen und Graphverbindungen als Hinweise, die einer manuellen Überprüfung bedürfen, nicht als definitive Schlussfolgerungen.