The wedge CLI scores a batch of alerts to verdicts (escalate / review / suppress) with a deterministic engine ported from the production triage scorer — zero LLM key required. Or pick whichever path matches what you already have on your machine:

| If you have…                          | Run this                                                                                                 | What you get                                                                                       |
|---------------------------------------|----------------------------------------------------------------------------------------------------------|----------------------------------------------------------------------------------------------------|
| **Python 3.10+** (بدون Docker)        | `pip install -e packages/aisoc-sandbox && aisoc-sandbox demo`                                            | تحقيق وكيل دون اتصال يمر عبر Detect → Triage → Hunt → Respond ويُطبع إلى stdout. **< 5 ثوانٍ.** لا مفتاح API، ولا شبكة. |
| **متصفح** (بدون تثبيت)                | [افتح في Codespaces](https://codespaces.new/beenuar/AiSOC?quickstart=1)                                  | IDE المتصفح → `pnpm aisoc:demo --no-open` → انقر على المنفذ المُعاد توجيهه `3000`. ~5 دقائق عند بدء بارد. |
| **Docker + pnpm**                     | `git clone https://github.com/beenuar/AiSOC && cd AiSOC && pnpm aisoc:demo`                              | حزمة محلية تعمل على Postgres + Redis + Kafka + api + agents + web. يفتح المتصفح على `INC-RT-001`. |
| **لا شيء** (Linux/macOS/Win نظيف)     | `curl -fsSL https://raw.githubusercontent.com/beenuar/AiSOC/main/install.sh \| bash`                     | يجهّز لك Docker وNode وpnpm وgit؛ ثم يشغّل `pnpm aisoc:demo`.                                      |

الصف الأول جديد: [`aisoc-sandbox`](https://github.com/beenuar/aisoc/blob/HEAD/packages/aisoc-sandbox/) عبارة عن محاكي داخل الذاكرة بدون أي تبعيات لمسار الوكيل. اختر [سيناريو مدمجًا](https://github.com/beenuar/aisoc/blob/HEAD/packages/aisoc-sandbox/README.md#bundled-scenarios) (`lateral-movement`, `aws-credential-exfil`, `phishing-payload`, `kubernetes-privesc`, `github-token-theft`) أو أدخل JSON خاصًا بك عبر `--file`. الصفوف الثلاثة الأخرى تُقلع الحزمة الحقيقية وتُنزلك على `/cases/INC-RT-001?tab=ledger` — حالة برمجية فدية LockBit 3.0 في منتصف التحقيق، مع تدفق مطالبات وكيل الذكاء الاصطناعي واستدعاءات الأدوات والأساس المنطقي إلى [سجل التحقيق](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/investigation-rail.md). أوقف الحزمة الحقيقية باستخدام `pnpm aisoc:demo:down`.

> **هل ما زال العرض التجريبي يُقلع على `main`؟** كل push يشغّل [`compose-smoke`](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke.yml) (نفس مسار `pnpm aisoc:demo` الذي تشغّله محليًا) و [`e2e`](https://github.com/beenuar/AiSOC/actions/workflows/e2e.yml) ضد وحدة التحكم المُجهّزة ببيانات أولية؛ ويُكرر [`compose-smoke-nightly`](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke-nightly.yml) ذلك ليلًا مع مخابئ باردة. أي شارة حمراء أدناه تُعد مانعًا للإصدار.
>
> [![Compose Smoke](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/compose-smoke.yml?branch=main&label=compose-smoke%20(main)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke.yml)
> [![Nightly cold cache](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/compose-smoke-nightly.yml?branch=main&label=compose-smoke%20(nightly,%20cold)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke-nightly.yml)
> [![E2E](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/e2e.yml?branch=main&label=e2e%20(seeded%20console)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/e2e.yml)

الدليل الكامل للنشر عبر منصات متعددة موجود في [`apps/docs/docs/installation.md`](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/installation.md) (Render, Fly.io, Docker Compose, Kubernetes, Terraform). التثبيت بمستوى إنتاجي مع طبقة تخزين كاملة: [`infra/helm/`](https://github.com/beenuar/aisoc/blob/HEAD/infra/helm/) أو [`infra/terraform/`](https://github.com/beenuar/aisoc/blob/HEAD/infra/terraform/).

---

## ما هو AiSOC

AiSOC هو حزمة واحدة قابلة للاستضافة الذاتية تبتلع الأحداث الأمنية وتربطها ببعضها، وتجري تحقيقًا مدفوعًا بالذكاء الاصطناعي، وتعرض النتيجة في وحدة تحكم SOC. الوكيل والبنية الأساسية مرخّصان برخصة MIT، لذا يمكنك قراءة أيٍّ منهما أو تفريعه أو استبداله.

ثلاث خصائص تميّزه عن بائعي أنظمة SOC ذات الذكاء الاصطناعي مغلق المصدر:

1. **قرارات الوكيل مسجّلة.** يخزّن سجل التحقيق مطالبة LLM والاستجابة والأدلة المُستشهد بها واستدعاءات الأدوات اللاحقة لكل خطوة في كل تشغيل. يمكن إعادة تشغيلها لاحقًا.
2. **البنية الأساسية لديها أداة تقييم علنية في CI.** خمس مجموعات اختبار تمثل بوابات لكل PR يستهدف `main` / `develop` — تقليل التنبيهات هو قياس فعلي مقابل تدفق ثابت من 1 000 تنبيه؛ ثلاث مجموعات مبنية على معايير تقييم هي بوابات تماسك ذاتي للبنية الأساسية على مجموعة بيانات حتمية من 200 حادثة (55 قالبًا) مع وحدات ماكرو لكل قالب؛ بوابة خامسة تتحقق من مجموعة بيانات القياس الداعمة. توثّق [صفحة المعايير](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/benchmark.md) بالضبط ما تقيسه كل مجموعة وما لا تقيسه.
3. **تتحكم أنت فيما يغادر محيطك.** لا اتصالات عكسية بسحابة المورّد ولا قياسات "تحسين النموذج". مع LLM مستضاف، تُجعل الأدلة مجهولة الهوية افتراضيًا (تصبح عناوين IP الداخلية وأسماء المضيفين والبريد الإلكتروني والمسارات والأسرار وأسماء المستخدمين رموزًا غير شفافة)؛ شغّل نموذجًا محليًا (Ollama/vLLM) لمسار معزول تمامًا عن الشبكة. ما يغادر بالضبط في كل نمط: [`docs/trust/data-flows.md`](https://github.com/beenuar/aisoc/blob/HEAD/docs/trust/data-flows.md).

المُنظِّم هو LangGraph من حوالي 600 سطر في [`services/agents/`](https://github.com/beenuar/aisoc/blob/HEAD/services/agents/). إنه صغير بما يكفي لقراءته من البداية إلى النهاية، واستبدال النماذج فيه، وتعديله.

---

## كيف يقارن AiSOC بالآخرين

| الإمكانية | AiSOC | Wazuh | Splunk ES | نظام SOC ذو ذكاء اصطناعي مغلق المصدر |
|---|---|---|---|---|
| رخصة المصدر المفتوح | MIT | GPL-2 | ملكية | ملكية |
| قابل للاستضافة الذاتية | نعم | نعم | للمؤسسات فقط | للسحابة فقط |
| تحقيق ذكاء اصطناعي مستقل | LangGraph | لا | جزئي (Splunk AI) | نعم |
| مسار تدقيق قرارات الوكيل | سجل التحقيق العلني | غير متاح | غير متاح | غير منشور |
| أداة تقييم علنية للبنية الأساسية | خاضعة لبوابات CI، قابلة للتكرار، مع مجموعة بيانات قياس اصطناعية + وحدات ماكرو لكل قالب | غير متاح | غير متاح | غير منشور |
| محتوى الكشف | 947 كشفًا قابلًا للتنفيذ (869 أصليًا) تعمل على التدفق المباشر + مكتبة مستوردة من 6 000 قاعدة مع تتبّع المصدر ([جدول الحقيقة](https://github.com/beenuar/aisoc/blob/HEAD/docs/detections/truth-table.md)) | أكثر من 1 200 قاعدة | أكثر من 1 000 تطبيق | منسّق |
| SDK الإضافات | Python / TypeScript / Go | قواعد YAML فقط | تطبيقات | ملكية |
| توطين البيانات | بنيتك التحتية | بنيتك التحتية | جزئي | سحابة المورّد |
| التسعير | $0 (استضافة ذاتية) | $0 (استضافة ذاتية) | لكل جيجابايت من البيانات المستوعبة | للمؤسسات |

بائعو أنظمة SOC ذات الذكاء الاصطناعي مغلق المصدر يُطلقون منتجات تعمل. مساهمة AiSOC هي جعل الوكيل نفسه مفتوحًا، ومسار القرار في كل خطوة قابلاً للقراءة، والبنية الأساسية خاضعة لبوابة أداة تقييم علنية على كل PR يستهدف `main` / `develop`.

---

## ما ستراه في وحدة التحكم

<div align="center">

| <a href="apps/docs/docs/console/queue.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/01-alerts-queue.svg" alt="Alerts queue with SLA countdowns" width="100%" /></a> | <a href="apps/docs/docs/console/investigation-rail.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/02-investigation-rail.svg" alt="Investigation Rail with deterministic correlation narrative" width="100%" /></a> |
|:---:|:---:|
| **قائمة التنبيهات** — عدّادات تنازلية لـ SLA مثبتة على الخادم، حجز ذري، فرز بنقرة واحدة. [الوثائق](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/queue.md) | **مسار التحقيق** — سرد، رقائق كيانات مسار التنقل، خط زمني من 6 أحداث، إجراءات موصى بها. [الوثائق](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/investigation-rail.md) |
| <a href="apps/docs/docs/console/rule-tuning.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/03-hunt-workbench.svg" alt="Natural-language /hunt workbench" width="100%" /></a> | <a href="apps/docs/docs/plugins/overview.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/04-marketplace.svg" alt="Plugin and detection marketplace" width="100%" /></a> |
| **منضدة `/hunt`** — اكتب فرضية بالإنجليزية، وستحصل على ES&#124;QL / SPL / KQL، ثم احفظها وجدولها. [الوثائق](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/rule-tuning.md) | **السوق** — إضافات، ودلائل تشغيل، وقواعد كشف مع تثبيت للمستأجر بنقرة واحدة. [الوثائق](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/plugins/overview.md) |

<sub><em>المربعات الأربعة أعلاه عناصر نائبة SVG. ستُطرح لقطات شاشة PNG حقيقية مع حزمة المرئيات التالية من المرحلة 2؛ [فيديو الشرح](https://github.com/beenuar/aisoc/blob/HEAD/apps/web/public/demo/) في أعلى هذا README هو المرجع المعتمد حتى ذلك الحين.</em></sub>

</div>

---

## البنية المعمارية```mermaid
flowchart LR
    subgraph Sources["Sources"]
        EDR["EDR / XDR"]
        SIEM["SIEM"]
        Cloud["Cloud APIs"]
        IDP["Identity"]
        Net["Network"]
    end

    subgraph Ingest["Ingest & Normalize"]
        Connectors["Connectors\n(Python · 78 vendors)"]
        OsqueryTLS["osquery-tls\n(Python · host telemetry)"]
        IngestSvc["Ingest worker\n(Go · OCSF)"]
        Enrich["Enrichment\n(Go · IOC + Shodan)"]
    end

    subgraph Spine["Event Spine"]
        Kafka[("Apache Kafka")]
    end

    subgraph Detect["Detect & Reason"]
        Fusion["Fusion\n(Python · ML)"]
        UEBA["UEBA\n(Python · baseline)"]
        Rules["Rule engine\n(Sigma · YARA · KQL)"]
        Agents["AI Agents\n(LangGraph)"]
    end

    subgraph Storage["Storage Tier"]
        PG[("PostgreSQL")]
        CH[("ClickHouse")]
        OS[("OpenSearch")]
        QD[("Qdrant")]
        N4[("Neo4j")]
        RD[("Redis")]
    end

    subgraph Surface["Surface"]
        API["Core API\n(FastAPI)"]
        Web["Web Console + Responder PWA\n(Next.js)"]
        MCP["MCP Server\n(TS · stdio)"]
    end

    Sources --> Connectors --> IngestSvc --> Kafka
    OsqueryTLS --> IngestSvc
    IngestSvc --> Enrich --> Kafka
    Kafka --> Fusion --> Storage
    Kafka --> UEBA --> Kafka
    Kafka --> Rules --> Kafka
    Agents --> Storage
    API --> Storage
    Web --> API
    MCP --> API