Dev & Pentester Landing — Evidence & Resilience Orchestrator

Techniczny punkt wejścia. Bez marketingu. Poniżej: quickstart (import → pack → retest), formaty importu z realnymi parserami, przykłady curl, kontrakt openapi.json, kanon statusów i znane ograniczenia. Baza API: https://k0nsult.cloud/api/ip3/v1.

1 · Quickstart (import → pack → retest)

Minimalna ścieżka end-to-end na warstwie v1 (auth-gated, DB). Wymaga konta v1 (na zaproszenie — patrz roadmap-dev). Sample pack niżej działa bez logowania.

2 · Formaty importu (realne parsery)

Każdy endpoint ma test jednostkowy parsera + test integracyjny na żywej bazie. Kanon liczb → Evidence Matrix.

Normalizacja: severity → P0–P3, enrichment offline (KEV/CVSS/EPSS hint z seedu), mapowanie MITRE ATT&CK (GET /incidents/:id/ttp). Online-lookup NVD/CISA, STIX/TAXII, deduplikacja/idempotencja = ROADMAP. YARA/RE: ipIII orkiestruje dowody z warsztatu RE — nie deobfuskuje.

3 · Przykłady curl

Baza: API=https://k0nsult.cloud/api/ip3/v1. Zamień :id, :eid i dane logowania na własne. Uwierzytelnianie: Authorization: Bearer <token>.

Login → token

# zwraca {token, token_type:"Bearer", expires_in:3600, roles[]}
TOKEN=$(curl -s -X POST https://k0nsult.cloud/api/ip3/v1/auth/login \
  -H 'Content-Type: application/json' \
  -d '{"email":"analyst@example.org","password":"<secret>"}' \
  | sed -n 's/.*"token":"\([^"]*\)".*/\1/p')

Import — Burp (XML)

curl -s -X POST https://k0nsult.cloud/api/ip3/v1/imports/burp \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/xml' \
  --data-binary @burp-export.xml
# 201 {ok,connector_run:{...},created,evidence_ids[...]}  |  422 no_findings

Import — Nessus (CSV) / ZAP (JSON) / Generic (JSON)

curl -s -X POST https://k0nsult.cloud/api/ip3/v1/imports/nessus \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: text/csv' \
  --data-binary @nessus.csv

curl -s -X POST https://k0nsult.cloud/api/ip3/v1/imports/zap \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  --data-binary @zap-report.json

curl -s -X POST https://k0nsult.cloud/api/ip3/v1/imports/generic \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  -d '{"source_tool":"custom-dast","findings":[{"title":"SQLi /login","severity":"high","cve":"CVE-2021-44228","cvss":9.8,"incident_type":"injection"}]}'

Import — YARA / RE (malware, defensywnie)

curl -s -X POST https://k0nsult.cloud/api/ip3/v1/imports/re \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  -d '{"findings":[{"title":"YARA hit: Emotet loader","severity":"high","type":"malware","sha256":"<hash>","technique":"T1027"}]}'
# ipIII = evidence orchestration, NIE disassembler/deobfuscator

Board pack — evidence-package (PDF)

curl -s -X GET "https://k0nsult.cloud/api/ip3/v1/reports/evidence-package/:id?format=pdf" \
  -H "Authorization: Bearer $TOKEN" -o board-pack.pdf
# ?format=json => manifest + package_sha256 + chain-of-custody + audit trail

Legal Trigger Engine (incydent → obowiązek)

curl -s -X GET "https://k0nsult.cloud/api/ip3/v1/incidents/:id/legal-triggers?personal_data=true&high_risk=true&entity=bank&sector=finance" \
  -H "Authorization: Bearer $TOKEN"
# {triggers[],trigger_count,basis,doctrine} — DORA art.19 / NIS2 24h-72h / RODO art.33-34 / AI Act art.73
# zegary (deadline ISO od created_at) + draft powiadomienia. DECISION-SUPPORT, nie porada prawna.

MITRE ATT&CK — TTP mapping

curl -s -X GET https://k0nsult.cloud/api/ip3/v1/incidents/:id/ttp \
  -H "Authorization: Bearer $TOKEN"
# {ttps:[{id:"T1027",tactic,name}...],count} — heurystyka, nie automatyczna atrybucja

DORA/TIBER — engagement report-package

curl -s -X GET "https://k0nsult.cloud/api/ip3/v1/engagements/:eid/report-package?format=pdf" \
  -H "Authorization: Bearer $TOKEN" -o tlpt-report.pdf
# raport TLPT: engagement + timeline + evidence-register + final-report + manifest + package_sha256

4 · Kontrakt — openapi.json

Kontrakt referencyjny (OpenAPI 3.1). Nie jest to SLA. Statusy per-endpoint w polu x-status (LIVE / GAP / reference).

5 · Status matrix (kanon statusu)

Ta strona nie definiuje statusów lokalnie. Jedyne źródło prawdy dla statusu każdego elementu portalu → Status Matrix. Poniżej tylko legenda reguły §16.

6 · Known limitations (jawne granice)

Skrót. Pełny, wersjonowany rejestr → Known Limitations. Deklarujemy je zamiast je ukrywać — to jest waluta zaufania.

• Import = MEDIA_SIGNAL, nie dowód naprawy. Zaimportowany finding to sygnał do triażu; status naprawy wymaga retestu CONFIRMED (close-with-evidence).
• Auth: JWT lokalny. OIDC realny IdP, mTLS, podpis PQC = ROADMAP. x-konsult-secret deprecated na prod.
• Multi-tenant. Obecnie jedna org; izolacja tenantów (RLS PostgreSQL) = ROADMAP.
• Enrichment offline. KEV/CVSS/EPSS z seedu; online NVD/CISA lookup, STIX/TAXII, MISP/OpenCTI = ROADMAP.
• Deduplikacja / idempotencja importu = ROADMAP (powtórny import może utworzyć duplikaty).
• Board pack PDF ma sha256 integralności; podpis PAdES + timestamp TSA = ROADMAP.
• Legal triggers = DECISION-SUPPORT, nie porada prawna; terminy orientacyjne (ISO od created_at).
• MITRE TTP = heurystyka, nie automatyczna atrybucja aktora.
• SIEM/CTI/BAS i AI red-team = ROADMAP (S5/S6). Zero technik ofensywnych poza RoE.

7 · Sample pack (bez logowania)

Syntetyczne artefakty do testu parserów i kształtu odpowiedzi — publiczne, bez tokenu, zero danych realnych. Whitelist plików (zero path-traversal).

# indeks sample pack (JSON)
curl -s https://k0nsult.cloud/ai-truth/ipIII/samples

# pobierz demo i sprawdź parser lokalnie (bez zapisu — potrzebny token do /imports)
curl -s -o burp.xml https://k0nsult.cloud/ai-truth/ipIII/samples/import-burp-demo.xml

8 · Zgłaszanie podatności (VDP)

Znalazłeś błąd w ipIII? Zgłoś przez /.well-known/security.txt lub stronę disclosure / CVD. Testy bezpieczeństwa samego portalu — tylko po uzgodnieniu zakresu (RoE). Weryfikator integralności pakietów: verify.