server.ts

import express from 'express';
import { createServer as createViteServer } from 'vite';
import dotenv from 'dotenv';
import { GoogleGenAI } from '@google/genai';

dotenv.config();

const app = express();
const PORT = 3000;

app.use(express.json({ limit: '10mb' }));

// Initialize GoogleGenAI client (telemetry header included as per skill guidelines)
const apiKey = process.env.GEMINI_API_KEY || '';
let ai: GoogleGenAI | null = null;
if (apiKey) {
  ai = new GoogleGenAI({
    apiKey,
    httpOptions: {
      headers: {
        'User-Agent': 'aistudio-build',
      },
    },
  });
}

// Check AI status
app.get('/api/ai/status', (_req, res) => {
  res.json({
    available: !!ai,
    model: 'gemini-3.8-flash',
  });
});

// AI SIEM Incident Report Endpoint
app.post('/api/ai/incident-report', async (req, res) => {
  try {
    const { summaryData, sampleLogs } = req.body;

    if (!ai) {
      return res.status(200).json({
        report: generateHeuristicReport(summaryData),
        fallback: true,
      });
    }

    const prompt = `Sen kıdemli bir SOC (Security Operations Center) Analisti ve SIEM Uzmanısın.
Aşağıda Linux auth.log / Snort / Suricata loglarından elde edilmiş güvenlik özeti ve log satırları bulunmaktadır:

Özet Veriler:
- Toplam Olay Sayısı: ${summaryData.totalEvents}
- Başarısız Giriş / Brute-Force Denemeleri: ${summaryData.failedAttempts}
- Şüpheli / Tehdit IP Sayısı: ${summaryData.threatIpCount}
- Hedef Alınan Kullanıcılar: ${summaryData.targetedUsers?.slice(0, 10).join(', ')}
- En Tehlikeli IP'ler: ${JSON.stringify(summaryData.topAttackingIps?.slice(0, 5))}
- Tespit Edilen Saldırı Türleri: ${summaryData.attackTypes?.join(', ')}

Örnek Log Satırları:
${sampleLogs?.slice(0, 15).join('\n')}

Lütfen Türkçe dilinde profesyonel bir "SIEM Güvenlik Olayı ve Adli Analiz Raporu" oluştur. Rapor şunları içermelidir:
1. **Yönetici Özeti**: Saldırının boyutu, niteliği ve etki derecesi.
2. **Tehdit Vektörü ve MITRE ATT&CK Eşlemesi**: (Örn: T1110 Brute Force, T1078 Valid Accounts vb.)
3. **Şüpheli IP Aktiviteleri**: Saldırgan IP'lerin davranış analizi ve hedeflenen hesaplar.
4. **iptables & Savunma Önerileri**: Alınması gereken acil firewall kuralları, fail2ban konfigürasyonu ve SSH sıkılaştırma (hardening) tavsiyeleri.

Yanıtı temiz, yapılandırılmış markdown formatında yaz.`;

    const response = await ai.models.generateContent({
      model: 'gemini-3.8-flash',
      contents: prompt,
    });

    const report = response.text || 'Rapor oluşturulamadı.';
    return res.json({ report, fallback: false });
  } catch (error: any) {
    console.error('AI Report Generation Error:', error);
    return res.status(200).json({
      report: generateHeuristicReport(req.body.summaryData || {}),
      fallback: true,
      error: error.message,
    });
  }
});

// AI IP Investigation Endpoint
app.post('/api/ai/investigate-ip', async (req, res) => {
  try {
    const { ipData } = req.body;

    if (!ai) {
      return res.status(200).json({
        analysis: generateHeuristicIpAnalysis(ipData),
        fallback: true,
      });
    }

    const prompt = `Sen bir Siber Tehdit İstihbaratı ve SOC Analistisin.
Aşağıdaki IP adresi hakkında SIEM sistemimiz anormal aktivite ve brute-force saldırısı tespit etti:

IP Bilgileri:
- IP Adresi: ${ipData.ip}
- Konum / Ülke: ${ipData.country || 'Bilinmiyor'} (${ipData.city || 'Bilinmiyor'})
- ISP / ASN: ${ipData.isp || 'Bilinmiyor'}
- Başarısız Giriş Denemesi: ${ipData.failedAttempts}
- Başarılı Giriş: ${ipData.successfulAttempts || 0}
- Hedeflenen Kullanıcı Adları: ${ipData.usernames?.join(', ') || 'root, admin'}
- Hedef Portlar: ${ipData.ports?.join(', ') || '22 (SSH)'}
- Risk Skoru: ${ipData.riskScore} / 100
- Algılanan Anomali: ${ipData.anomalyTypes?.join(', ')}

Lütfen bu IP için Türkçe olarak:
1. Saldırı profili ve niyeti (Brute-force, dictionary attack, botnet nodu, credential stuffing vb.)
2. Tehlike seviyesi değerlendirmesi
3. Bu IP için önerilen iptables / firewall eylemi (örneğin DROP kuralı ve süresi)
4. Sunucu yöneticisine kritik uyarılar
hazırla.`;

    const response = await ai.models.generateContent({
      model: 'gemini-3.8-flash',
      contents: prompt,
    });

    return res.json({
      analysis: response.text || 'Analiz oluşturulamadı.',
      fallback: false,
    });
  } catch (error: any) {
    console.error('AI IP Investigation Error:', error);
    return res.status(200).json({
      analysis: generateHeuristicIpAnalysis(req.body.ipData || {}),
      fallback: true,
      error: error.message,
    });
  }
});

// AI SOC Assistant Chatbot Endpoint
app.post('/api/ai/chat', async (req, res) => {
  try {
    const { message, context } = req.body;

    if (!ai) {
      return res.json({
        reply: generateHeuristicChatReply(message, context),
        fallback: true,
      });
    }

    const prompt = `Sen AegisLog SIEM ve Linux Güvenlik Duvarı Asistanısın.
Sistem Context:
- Analiz Edilen Log Türü: ${context?.logType || 'Linux auth.log / Snort / Suricata'}
- Aktif Engelli IP Sayısı: ${context?.bannedIpCount || 0}
- Tespit Edilen Tehdit Sayısı: ${context?.threatCount || 0}
- Son Tespit Edilen Şüpheli IP'ler: ${context?.topIps?.join(', ') || 'Yok'}

Kullanıcının Sorusu / Komutu:
"${message}"

Siber güvenlik, Linux log analizi (auth.log, Snort, Suricata), brute-force savunması, iptables, fail2ban ve sunucu güvenliği konularında uzman, net, uygulanabilir komut ve adımlar içeren profesyonel bir yanıt ver. Türkçe yanıtla. Kod veya komut varsa bash/iptables formatında göster.`;

    const response = await ai.models.generateContent({
      model: 'gemini-3.8-flash',
      contents: prompt,
    });

    return res.json({
      reply: response.text || 'Yanıt üretilemedi.',
      fallback: false,
    });
  } catch (error: any) {
    console.error('AI Chat Error:', error);
    return res.json({
      reply: generateHeuristicChatReply(req.body.message || '', req.body.context || {}),
      fallback: true,
    });
  }
});

// Fallback heuristic generators if Gemini API is temporarily offline or key not provided
function generateHeuristicReport(data: any) {
  const topIps = (data.topAttackingIps || []).slice(0, 3).map((item: any) => `- **${item.ip}**: ${item.count} başarısız deneme (${item.country || 'Unknown'})`).join('\n') || '- Belirtilmedi';
  return `### SIEM Güvenlik Olayı ve Adli Tahlil Raporu (Heuristic SOC Engine)

#### 1. Yönetici Özeti
İncelenen sistem loglarında toplam **${data.totalEvents || 0}** adet olay analiz edilmiş ve **${data.failedAttempts || 0}** adet anormal oturum açma / yetkisiz erişim teşebbüsü saptanmıştır. Sistemde **${data.threatIpCount || 0}** adet yüksek riskli tehdit kaynağı IP adresi belirlenmiştir.

#### 2. Tehdit Vektörü ve MITRE ATT&CK Analizi
- **T1110.001 - Brute Force (Password Guessing):** Çok sayıda geçersiz kullanıcı adı ve sözlük saldırısı tespit edildi.
- **T1078.003 - Valid Accounts (Local Accounts):** Özellikle 'root', 'admin' ve 'ubuntu' gibi kritik hesaplara yönelik hedefli denemeler saptandı.
- **T1046 - Network Service Discovery:** Farklı port ve servislerin yoklandığı görüldü.

#### 3. Tespit Edilen Başlıca Saldırgan IP'ler
${topIps}

#### 4. iptables & Acil Önlem Tavsiyeleri
1. **Otomatik Bloklama:** Eşik değeri aşan IP'ler iptables INPUT zincirine DROP kuralı olarak eklendi:
   \`\`\`bash
   iptables -A INPUT -s <SALDIRGAN_IP> -j DROP
   \`\`\`
2. **SSH Güvenliği:** \`/etc/ssh/sshd_config\` dosyasında \`PermitRootLogin no\` ve \`PasswordAuthentication no\` ayarlarını uygulayarak yalnızca SSH Public Key yetkilendirmesi kullanın.
3. **Port Değişimi & Fail2ban:** Standart 22 portunu rastgele bir yüksek porta taşıyın ve fail2ban servisini aktif hale getirin.`;
}

function generateHeuristicIpAnalysis(ipData: any) {
  return `### IP Tehdit Değerlendirmesi: ${ipData.ip || 'Bilinmeyen'}
- **Risk Skoru:** ${ipData.riskScore || 85}/100 (Yüksek Risk)
- **Konum / ISP:** ${ipData.city || 'Frankfurt'}, ${ipData.country || 'DE'} - ${ipData.isp || 'Hosting Datacenter / Proxy'}
- **Saldırı Tipi:** SSH Dağıtık Brute-Force & Kullanıcı Numaralandırma (User Enumeration)
- **Hedeflenen Hesaplar:** ${ipData.usernames?.join(', ') || 'root, admin, test, ubuntu'}

**Eylem Planı:**
Bu IP adresinin tüm gelen bağlantıları derhal iptables üzerinden filtrelenmelidir:
\`\`\`bash
sudo iptables -I INPUT -s ${ipData.ip} -j DROP
\`\`\`
Eğer devam eden bir alt ağ saldırısı varsa ilgili CIDR bloğunu (/24) kısıtlayabilirsiniz.`;
}

function generateHeuristicChatReply(msg: string, ctx: any) {
  const lower = msg.toLowerCase();
  if (lower.includes('iptables') || lower.includes('engel') || lower.includes('block')) {
    return `**iptables ile IP Engelleme Rehberi:**
Şüpheli bir IP'yi sunucu seviyesinde tamamen engellemek için:
\`\`\`bash
# Tek bir IP adresini engelle
sudo iptables -A INPUT -s 198.51.100.44 -j DROP

# Belirli bir porta (örn: SSH 22) gelen bağlantıyı engelle
sudo iptables -A INPUT -p tcp -s 198.51.100.44 --dport 22 -j DROP

# Mevcut kuralları satır numaralarıyla listele
sudo iptables -L INPUT -v -n --line-numbers

# Engeli kaldırmak için
sudo iptables -D INPUT <SATIR_NUMARASI>
\`\`\`
AegisLog arayüzündeki **iptables Güvenlik Duvarı** sekmesinden veya dahili CLI terminalinden bu işlemi tek tıkla uygulayabilirsiniz.`;
  }

  if (lower.includes('brute') || lower.includes('ssh') || lower.includes('auth.log')) {
    return `**Linux auth.log Brute-Force Tespiti:**
Linux Debian/Ubuntu sistemlerde kimlik doğrulama logları \`/var/log/auth.log\`, RHEL/CentOS sistemlerde ise \`/var/log/secure\` altındadır.
Tipik bir brute-force saldırısı şu kalıplarla kendini gösterir:
1. \`Failed password for invalid user <user> from <ip>\`
2. \`Failed password for root from <ip>\`
3. \`Received disconnect from <ip>: 11: Bye Bye [preauth]\`

AegisLog, bu satırları otomatik regex ile parse ederek saniyedeki başarısız girişim sıklığına göre anında alarm üretir ve iptables DROP kuralını tetikler.`;
  }

  return `AegisLog SIEM Asistanı hazır. Sistemde şu anda **${ctx?.threatCount || 0}** adet tehdit ve **${ctx?.bannedIpCount || 0}** adet engellenmiş kural bulunmaktadır.
Logları analiz etmek, iptables kuralları üretmek veya şüpheli bir IP adresini incelemek için komut verebilirsiniz.
Örnek: "198.51.100.44 IP adresini engelle", "Brute-force saldırılarını özetle", "Fail2ban yapılandırması nasıl olmalı?"`;
}

// Start Express server and mount Vite middleware
async function startServer() {
  if (process.env.NODE_ENV !== 'production') {
    const vite = await createViteServer({
      server: { middlewareMode: true },
      appType: 'spa',
    });
    app.use(vite.middlewares);
  } else {
    app.use(express.static('dist'));
  }

  app.listen(PORT, '0.0.0.0', () => {
    console.log(`[AegisLog SIEM] Server running on http://0.0.0.0:${PORT}`);
  });
}

startServer();