Security Monitor — Wächter

Der Security Monitor ist Modus 3 von HelixMind. Ein autonomes Sicherheitssystem, das deine Codebase in Echtzeit ueberwacht. Schwachstellen, verdaechtige Aenderungen und potenzielle Bedrohungen. Waehrend du Code schreibst, laeuft der Waechter still im Hintergrund und prueft jede Dateiaenderung, jede neue Dependency, jedes Config-Update.

Waehl aus drei Schutzstufen: Passive (nur beobachten), Defensive (automatisch auf bekannte Bedrohungen reagieren) oder Active (volle autonome Verteidigung mit Genehmigungs-Queue). Jede Stufe bietet eine andere Balance zwischen Komfort und Kontrolle.

Verfuegbar in der CLI und im Web-Dashboard. Gleiche Engine, gleiche Erkennung, zwei Interfaces.

Wo laeuft der Monitor?

Interface	Wie starten	Was du bekommst
CLI Terminal	/security fuer einmalige Audits, /monitor fuer kontinuierliches Monitoring	Laeuft als Background-Session. du codest weiter, waehrend er ueberwacht. Findings erscheinen im Session-Output und im Findings-Panel des Brains.
Web App	Monitor-Tab im Dashboard	Echtzeit-Threat-Timeline, Defense-Aktionen mit Undo, Approval-Queue fuer Active Mode. Visuelle Severity-Indikatoren und historische Trend-Charts.

Beide Interfaces berichten an die 3D-Brain-Visualisierung. Security-Nodes leuchten im Helix auf, sobald Bedrohungen entdeckt werden. eine sofortige visuelle Karte der Sicherheitslage deines Projekts.

Drei Schutzstufen

Passive Mode

Beobachtet und berichtet. Greift nicht ein. Das ist der Standard.

Ideal fuer: Einen Security-Ueberblick gewinnen, die Bedrohungslandschaft verstehen, bevor man sich auf automatisierte Verteidigung festlegt.

Was er tut:

• Scannt Quellcode nach Secrets, Injection-Patterns und unsicherem Code
• Prueft Dependencies gegen bekannte Schwachstellen-Datenbanken
• Ueberwacht Dateiaenderungen und markiert verdaechtige Modifikationen
• Loggt jeden Fund mit Severity, Dateipfad und empfohlenem Fix

Was er nicht tut: Dateien aendern, Verbindungen blockieren, Prozesse beenden oder Konfigurationen modifizieren. Passive Mode ist read-only.

Defensive Mode

Erkennt Bedrohungen und reagiert automatisch mit vorab genehmigten Aktionen. Keine Bestaetigungsdialoge, kein Warten. der Waechter handelt bei bekannten Threats sofort.

Ideal fuer: Hands-off-Schutz waehrend der aktiven Entwicklung. Du definierst die Regeln, der Waechter setzt sie durch.

Was er automatisch tut:

• Warnt bei bekannten CVEs in deinem Dependency-Tree
• Markiert hardcodierte Secrets und API-Keys mit exaktem Dateipfad
• Meldet unsichere Code-Patterns (SQL Injection, XSS, Command Injection)
• Fuehrt vorkonfigurierte Defense-Aktionen aus deiner allowedDefenses-Liste aus

Voraussetzung: Vorkonfigurierte erlaubte Verteidigungsaktionen in deiner .helixmind/config.json. Der Waechter fuehrt nur Aktionen aus, die du explizit vorab genehmigt hast.

Active Mode

Volle autonome Verteidigung mit Human-in-the-Loop. Der maechtigste Modus. der Waechter erkennt Bedrohungen und schlaegt Verteidigungsaktionen vor, aber jede Aktion geht durch eine Genehmigungs-Queue.

Ideal fuer: Produktionsumgebungen, Hochsicherheitsprojekte, Teams die einen Audit-Trail fuer jede Security-Entscheidung brauchen.

So funktioniert es:

• Bedrohung erkannt. Waechter erstellt einen Genehmigungs-Antrag mit vollem Kontext
• Du pruefst den Antrag im Web-Dashboard oder der CLI
• Genehmige oder lehne jede Aktion einzeln ab
• Genehmigte Aktionen werden sofort ausgefuehrt, abgelehnte werden mit deiner Begruendung geloggt

Was Active Mode kann (mit deiner Genehmigung):

• Verdaechtige IPs per Firewall-Regel blockieren
• Schaedliche oder verdaechtige Prozesse beenden
• Unerwartet offene Netzwerk-Ports schliessen
• Exponierte Secrets und API-Keys automatisch rotieren
• Kompromittierte Services vom Netzwerk isolieren
• Honeypot-Decoys deployen, um Angreifer-Verhalten zu tracken

Was erkennt der Monitor?

Kategorie	Beispiele
Secrets Exposure	API-Keys, Tokens, Passwoerter hardcodiert in Quelldateien
Injection Risks	SQL Injection, Command Injection, XSS-Patterns in deinem Code
Dependency Vulnerabilities	Bekannte CVEs in npm-, pip-, gem- und anderen Paketmanagern
Path Traversal	Directory-Traversal-Versuche, Symlink-Angriffe
Auth Weaknesses	Fehlende Session-Verwaltung, schwache Passwort-Handhabung, unsichere Token-Speicherung
Config Drift	Unautorisierte oder unerwartete Aenderungen an Konfigurationsdateien
Privilege Escalation	Unerwartete Berechtigungsaenderungen, SUID-Bit-Modifikationen
Supply Chain Risks	Verdaechtige neue Dependencies, Typosquatting-Pakete, kompromittierte Maintainer
Info Disclosure	Stack-Traces in Produktion, exponierte Debug-Infos, zu ausfuehrliche Fehlermeldungen
Race Conditions	TOCTOU-Bugs, Concurrent-Access-Probleme, unsichere Dateioperationen

Die Detection-Engine kombiniert statische Analyse (Pattern-Matching ueber deinen Quellcode) mit dynamischen Checks (Prozess-Monitoring, Port-Scanning, Dependency-Aufloesung). Jeder Fund enthaelt Severity-Level, exakten Dateipfad mit Zeilennummer und eine konkrete Fix-Empfehlung.

Defense-Aktionen

Wenn Bedrohungen erkannt werden, kann der Waechter handeln. Im Passive Mode wird nur berichtet. Im Defensive Mode werden vorab genehmigte Aktionen ausgefuehrt. Im Active Mode werden Genehmigungs-Antraege erstellt.

Aktion	Was sie tut
Block IP	Blockiert eine verdaechtige IP-Adresse per Firewall-Regel. Reversibel.
Kill Process	Beendet einen schaedlichen oder verdaechtigen Prozess sofort.
Close Port	Schliesst einen unerwartet offenen Netzwerk-Port.
Rotate Secret	Rotiert ein exponiertes Secret oder API-Key automatisch und aktualisiert Referenzen.
Isolate Service	Isoliert einen kompromittierten Service vom Netzwerk, um laterale Bewegung zu verhindern.
Deploy Honeypot	Erstellt einen Koeder-Service, um Angreifer-Verhalten zu beobachten und zu tracken.

Jede Aktion wird geloggt, ist reversibel und im Brain sichtbar. Der Waechter fuehrt einen vollstaendigen Audit-Trail. wer was genehmigt hat, wann es ausgefuehrt wurde und wie der Zustand vorher und nachher war.

Monitor in der CLI nutzen

Einmaliger Security-Audit

Fuehre /security aus fuer einen sofortigen, gruendlichen Scan deiner Codebase. Kein Hintergrundprozess, kein kontinuierliches Monitoring. nur ein Snapshot deiner aktuellen Sicherheitslage.

/security                    # Vollstaendiger Codebase-Audit
/security ports              # Offene Ports pruefen
/security processes          # Laufende Prozesse pruefen
/security configs            # Konfigurations-Aenderungen pruefen
/security packages           # Vulnerable Dependencies pruefen

Findings werden nach Severity eingestuft und entsprechend behandelt:

Severity	Was passiert
CRITICAL	Sofortige Aufmerksamkeit mit detaillierten Behebungsschritten
HIGH	Prominent hervorgehoben mit Fix-Empfehlungen
MEDIUM	Gemeldet zur manuellen Pruefung, wenn es dir passt
LOW	Informativ. geloggt zur Kenntnisnahme

Alle Findings erscheinen im Findings-Panel des Brains (die linke Seitenleiste in der 3D-Visualisierung). Sie bleiben ueber Sessions hinweg erhalten, sodass du deine Sicherheitslage ueber die Zeit verfolgen kannst.

Kontinuierliches Monitoring

Starte den Waechter als Hintergrundprozess, der in regelmaessigen Intervallen scannt:

/monitor                     # Passive Mode, 5 Minuten Intervall
/monitor active 60           # Active Mode, Rescan alle 60 Sekunden
/monitor defensive 180       # Defensive Mode, 3 Minuten Intervall

Der Monitor laeuft als Background-Session. Dein interaktiver Prompt bleibt verfuegbar. du codest, chattest oder fuehrst andere Befehle aus, waehrend der Waechter ueberwacht.

Mit /sessions siehst du den Status des Monitors. Mit /stop beendest du das Monitoring. Druecke ESC ESC (doppeltes Escape) fuer einen Notfall-Stopp, der den Monitor und alle anderen Background-Sessions sofort beendet.

Monitor in der Web App nutzen

Die Web App gibt dir eine visuelle Kommandozentrale fuer den Security Monitor:

• Threat-Timeline: Eine chronologische Ansicht aller erkannten Bedrohungen, farbcodiert nach Severity. Scrolle durch die Historie, um Muster zu erkennen.
• Mode-Switcher: Wechsle zwischen Passive, Defensive und Active Mode mit einem Klick. Keine CLI-Befehle noetig.
• Approval-Queue (Active Mode). Jede ausstehende Defense-Aktion zeigt vollen Kontext: was erkannt wurde, was der Waechter tun will und warum. Genehmige oder lehne ab mit einem Klick.
• Aktive Verteidigungen: Sieh alle aktuell aktiven Defense-Aktionen. Jede hat einen Undo-Button fuer sofortiges Rueckgaengigmachen.
• System-Baseline: Sieh den Baseline-Snapshot und erkenne genau, was sich seit dem letzten sauberen Scan veraendert hat.
• Trend-Charts: Verfolge Finding-Zahlen ueber die Zeit nach Severity. Sieh ob sich deine Sicherheitslage verbessert oder verschlechtert.

Die Web App verbindet sich mit deiner laufenden CLI-Instanz. Starte den Monitor in der CLI und verwalte alles ueber den Browser. oder starte direkt aus dem Dashboard.

Konfiguration

Konfiguriere den Security Monitor in .helixmind/config.json:

{
  "monitor": {
    "enabled": true,
    "defaultMode": "passive",
    "scanInterval": 300,
    "maxThreatHistory": 1000,
    "autoApproveLow": false,
    "allowedDefenses": ["block_ip", "kill_process", "close_port"]
  }
}

Key	Beschreibung	Standard
enabled	Ob der Monitor verfuegbar ist	true
defaultMode	Startmodus bei /monitor	"passive"
scanInterval	Sekunden zwischen Scans	300 (5 Minuten)
maxThreatHistory	Maximale Threat-Eintraege in der Historie	1000
autoApproveLow	LOW-Severity-Aktionen automatisch genehmigen	false
allowedDefenses	Welche Defense-Aktionen Defensive Mode ausfuehren darf	[]

Einzelne Keys kannst du auch ueber die CLI setzen:

helixmind config set monitor.defaultMode defensive
helixmind config set monitor.scanInterval 120

Brain-Integration

Alles, was der Security Monitor tut, spiegelt sich in der 3D-Brain-Visualisierung wider:

• Security-Findings erscheinen als farbige Nodes im Helix. Rot fuer Critical, Orange fuer High, Gelb fuer Medium, Blau fuer Low
• Aktive Verteidigungen zeigen sich als animierte Verbindungen zwischen Nodes, die pulsieren, solange die Verteidigung aktiv ist
• Bedrohungsmuster werden visuell sichtbar. Cluster roter Nodes im selben Bereich des Helix deuten auf systematische Probleme hin
• Historische Bedrohungen werden in der Spiral-Memory gespeichert, sodass der Waechter aus vergangenen Vorfaellen lernen und wiederkehrende Muster erkennen kann

Oeffne das Brain (/brain in der CLI oder den Brain-Tab in der Web App) waehrend der Monitor laeuft, um deine Sicherheitslandschaft in Echtzeit zu beobachten.

Login erforderlich (Free+)

Der Security Monitor erfordert ein kostenloses HelixMind-Konto. Fuehre helixmind login in der CLI aus zum Freischalten. kostenlos fuer immer, keine Kreditkarte noetig.