AiSOC: یه مرکز عملیات امنیتی متن‌باز با ایجنت‌های هوش مصنوعی
هوش مصنوعیخلاصهٔ کامل‌تر
AiSOC یه پروژه متن‌باز با لایسنس MIT هست که می‌خواد کار یه مرکز عملیات امنیتی یا SOC (یعنی تیمی که لاگ‌ها و هشدارهای امنیتی رو شبانه‌روز زیر نظر داره) رو خودکار کنه. لاگ‌ها از ابزارهای امنیتی مثل Splunk، Sentinel، CrowdStrike یا Okta میان. AiSOC یکسان‌شون می‌کنه، از کتابخونه ۷۴۰۷ تایی قوانینش ۲۹۶۶ قانون اجرایی رو روشون اجرا می‌کنه و هشدارهای مرتبط رو تو یه incident جمع می‌کنه.
بعد یه ایجنت هوش مصنوعی هر incident رو بررسی می‌کنه. ایجنت فقط از ابزارهای تایپ‌شده مثل کوئری روی دیتا یا جستجو تو گراف استفاده می‌کنه و هیچ‌وقت خودش SQL نمی‌نویسه. همه پرامپت‌ها، فراخوانی ابزارها، منابع و هزینه توکن تو یه دفتر به اسم Investigation Ledger ثبت میشه و میشه اونو به شکل یه بسته امضاشده خروجی گرفت. اگه ایجنت به نشونه‌ای استناد کنه که تو شواهد نبوده، حکمش برای بررسی دستی برمی‌گرده.
به گفته سازنده‌ها، یه قانون فقط وقتی «اجرایی» حساب میشه که یه رویداد واقعی از کانکتور رد بشه و واقعاً ببینن اون قانون فعال میشه. برای واکنش‌ها هم playbookها پیش‌فرض فقط پیش‌نمایش می‌دن و اجرای واقعی سه تا تأیید لازم داره: سطح دیپلوی، tenant و خود playbook. کسی که درخواست اقدام رو داده هم نمی‌تونه خودش تأییدش کنه.
نسخه پایه با یه دستور make up بالا میاد و حدود ۸ گیگ رم و ۲۰ گیگ دیسک می‌خواد. یه مدل محلی حدوداً ۲ گیگی (llama3.2:3b) همراهش هست که روی CPU کار می‌کنه، پس بدون هیچ کلید API حکم triage واقعی می‌گیری. سازنده‌ها صادقانه گفتن این مدل frontier نیست و هیچ سرویس‌دهنده ابری‌ای هنوز روش تست نشده. ۹۱ کانکتور آماده هم داره و ابزار aisoc-migrate قوانین SPL، KQL و EQL رو ترجمه می‌کنه.
خود پروژه هم گفته AiSOC جایگزین کامل SIEM نیست، یعنی نگه‌داری طولانی‌مدت لاگ رو انجام نمی‌ده و پیش‌فرض هم خودمختار نیست. توسعه‌ش با پشتیبانی شرکت Cyble انجام میشه.
نکات کلیدی:
- ۲۹۶۶ قانون اجرایی از کتابخونه ۷۴۰۷ تایی، به‌علاوه ۷۶ قانون پنجره زمانی
- ایجنت فقط ابزار تایپ‌شده صدا می‌زنه و همه کارهاش تو Investigation Ledger ثبت میشه
- هیچ اقدامی روی ابزارهای بیرونی بدون تأیید انسان انجام نمی‌شه
- نسخه core حدود ۸ گیگ رم و نسخه full حدود ۱۲ گیگ رم می‌خواد
- مدل محلی llama3.2:3b همراهش میاد و بدون کلید API کار می‌کنه
- ۹۱ کانکتور داده و لایسنس MIT
