Gratis AI-vagtcentral til it-sikkerhed kan køre på egen server

Open source-projektet AiSOC vil give virksomheder en AI-drevet vagtcentral for it-sikkerhed, som de selv kan drive. Et sådant center kaldes et SOC (Security Operations Center) og er det sted, hvor man holder øje med alarmer om mulige hackerangreb. Projektet har MIT-licens, så koden kan frit bruges.

Sådan virker det

AI-agenter læser alarmer, slår op i data via typede værktøjer (forespørgsler og graf-opslag) og skriver alle handlinger ned i en såkaldt Investigation Ledger. Ifølge projektet bliver alle prompts og værktøjskald registreret og kan afspilles igen, så man kan følge, hvordan en konklusion er nået.

Forløbet går fra indtag og normalisering af data over detektion og korrelation til undersøgelse og respons. Ifølge dokumentationen er agenterne styret med LangGraph, og der nævnes specialiserede agenter til phishing, identitetstrusler og insiderrisici.

Responshandlinger kræver menneskelig godkendelse, og destruktive kommandoer kræver eksplicit godkendelse. AI'en kan altså ikke selv gribe ind uden et menneske.

Tal fra projektet selv

Repositoriet angiver 87 dataconnectors, blandt andet til Splunk, Sentinel, Elastic, CrowdStrike, Okta, AWS og Kubernetes. Der nævnes 2.530 eksekverbare detektionsregler ud af 7.015. Dokumentationen nævner i stedet 2.535 eksekverbare regler plus 4.480 importerede til dækningskortlægning, så tallene afviger.

Projektet oplyser desuden, at 1.734 af 2.005 Splunk-regler kan oversættes, og at 44 af 50 triageafgørelser var brugbare, før en JSON-begrænsning blev indført. Det er projektets egne tal. Product Hunt-listingen nævner et offentligt evalueringsframework med 200 testincidenter.

Installation og begrænsninger

Der er tre profiler: Core (ca. 8 GB RAM), Full (ca. 12 GB RAM, med eventlager, entitetsgraf og søgning) og Demo med syntetiske data. Det kræver Docker Compose v2, 20 GB ledig disk og Python 3.9+.

Systemet kan køre uden API-nøgler med en lokal Ollama-model og understøtter ifølge dokumentationen lokale sprogmodeller i afskårne miljøer. Repositoriet oplyser dog, at ingen hosted udbyder er afprøvet. Der er også en MCP-server, som kan kobles til blandt andet Claude, Cursor og Continue.

Dokumentationen indrømmer flere huller: TAXII-håndtering er kun en demo, MITRE-dækningsrapporten viser kun tagged teknikker og ikke, hvor godt detektionen virker, og der er ingen automatisk regelgenerering til teknikker uden dækning.

Hvem står bag

Ifølge projektet er udviklingen finansieret og støttet af sikkerhedsfirmaet Cyble, som udgiver det åbent uden særbehandling eller telemetri. Product Hunt-listingen angiver Beenu Arora, medstifter og direktør i Cyble, som skaber. Alle oplysninger her stammer fra projektets egne sider, og der er ikke fundet uafhængig test af værktøjet.