beenuar/AiSOC

解決する課題

AiSOCは、セキュリティテレメトリのトリアージと調査を自動化するために設計された、オープンソースでセルフホスト可能なAIセキュリティオペレーションセンター（SOC）です。さまざまなセキュリティツールからデータを取り込み、実行可能なルールの大規模ライブラリを使用して脅威を検知し、AIエージェントを使用して完全に監査可能な推論プロセスでインシデントを調査することで、セキュリティアナリストの負担を軽減します。対応アクションは必ず人間が承認する仕組みとなっており、本番環境におけるAIの自律的な誤動作を防ぎます。

仕組み

AiSOCはパイプラインとして動作します。テレメトリはコネクタを介して取り込まれ、共通の形式に正規化された後、数千の実行可能なルールを実行する検知エンジンを通過してアラートを生成します。これらのアラートはインシデントとしてグループ化されます。次に、AIエージェントがアラートのコンテキスト、エンティティのコンテキスト、過去の判定結果を読み取り、データレイククエリやエンリッチメント検索のための型付きツールを呼び出すことで、これらのインシデントをトリアージします。プロンプトやツール呼び出しを含むエージェントの推論のすべてのステップは、監査可能性のためにInvestigation Ledgerに記録されます。レスポンスプレイブックをトリガーすることは可能ですが、デフォルトではプレビューモードのままであり、実行には明示的な人間の承認が必要です。

対象ユーザー

厳格なヒューマン・イン・ザ・ループ制御とAIの意思決定の完全な監査可能性を維持しつつ、AIを活用したトリアージおよび調査プラットフォームをセルフホストしたいセキュリティ運用チームおよび組織。

ハイライト

• 監査可能なAIエージェント: すべてのプロンプト、ツール呼び出し、判定結果は、フォレンジック監査のために署名付きエビデンスバンドルにログ記録されます。
• 広範な検知ライブラリ: 数千のルールが含まれており、そのうち2,600以上のルールは実際のテレメトリに対して実行可能であることが証明されています。
• 幅広い接続性: Splunk、Sentinel、AWS、Kubernetesなどのツール向けに、84個のクリック＆コネクトデータコネクタを備えています。
• ローカルLLMサポート: Ollamaを介したローカルモデル（Llama 3.2 3B）を同梱しており、CPUのみでの推論が可能で、データのプライバシーとゼロコストのトリアージを保証します。
• ガバナンスされた対応: 対応アクションは権限階層によって制限され、人間の承認が必要となるため、許可されていない自律的なアクションを防ぎます。
• ヒューマン・イン・ザ・ループ: プレイブックには、システム再起動後も保持される永続的な承認一時停止機能が含まれています。