beenuar/AiSOC

해결하는 문제

AiSOC는 보안 원격 측정 데이터의 트리아지(triage) 및 조사를 자동화하기 위해 설계된 오픈 소스, 자체 호스팅 가능한 AI 보안 운영 센터(SOC)입니다. 다양한 보안 도구에서 데이터를 수집하고, 방대한 실행 가능 규칙 라이브러리를 사용하여 위협을 탐지하며, AI 에이전트를 활용해 완전히 감사 가능한 추론 과정으로 인시던트를 조사함으로써 보안 분석가의 부담을 줄여줍니다. 대응 조치는 반드시 인간의 승인을 거치도록 하여 프로덕션 환경에서 AI의 자율적인 오류를 방지합니다.

작동 방식

AiSOC는 파이프라인으로 작동합니다. 원격 측정 데이터는 커넥터를 통해 수집되어 공통 형식으로 정규화된 후, 수천 개의 실행 가능한 규칙을 실행하는 탐지 엔진을 거쳐 경고를 생성합니다. 이러한 경고는 인시던트로 그룹화됩니다. 이후 AI 에이전트가 경고 컨텍스트, 엔티티 컨텍스트, 이전 판정 결과를 읽고 데이터 레이크 쿼리 및 강화 조회를 위한 타입 지정 도구를 호출하여 인시던트를 트리아지합니다. 프롬프트와 도구 호출을 포함한 에이전트 추론의 모든 단계는 감사 가능성을 위해 Investigation Ledger에 기록됩니다. 대응 플레이북을 트리거할 수 있지만, 기본적으로 미리보기 모드로 유지되며 실행하려면 명시적인 인간의 승인이 필요합니다.

대상 사용자

엄격한 휴먼 인 더 루프(Human-in-the-Loop) 제어와 AI 의사 결정에 대한 완전한 감사 가능성을 유지하면서, AI 기반의 트리아지 및 조사 플랫폼을 자체 호스팅해야 하는 보안 운영 팀 및 조직.

주요 특징

• 감사 가능한 AI 에이전트: 모든 프롬프트, 도구 호출, 판정 결과는 포렌식 감사를 위해 서명된 증거 번들에 로그로 기록됩니다.
• 광범위한 탐지 라이브러리: 수천 개의 규칙이 포함되어 있으며, 그중 2,600개 이상의 규칙은 실제 원격 측정 데이터에 대해 실행 가능함이 검증되었습니다.
• 폭넓은 연결성: Splunk, Sentinel, AWS, Kubernetes와 같은 도구를 위한 84개의 클릭 앤 커넥트 데이터 커넥터를 제공합니다.
• 로컬 LLM 지원: Ollama를 통한 로컬 모델(Llama 3.2 3B)을 기본 제공하여 CPU 전용 추론이 가능하며, 데이터 프라이버시와 비용 없는 트리아지를 보장합니다.
• 거버넌스가 적용된 대응: 대응 조치는 권한 계층에 의해 제한되며 인간의 승인이 필요하므로, 승인되지 않은 자율적인 동작을 방지합니다.
• 휴먼 인 더 루프: 플레이북에는 시스템 재시작 후에도 유지되는 지속적인 승인 대기 기능이 포함되어 있습니다.