OneAlert AI Security OS

نظام دفاع إلكتروني مستقل ومفتوح المصدر للشبكات الصناعية

عوامل ذكاء اصطناعي تكتشف وتستقصي وتصطاد وتستجيب للتهديدات عبر البنية التحتية لـ OT/ICS — مع بوابات موافقة بشرية ومسارات تدقيق كاملة.

إعداد تجريبي · الميزات · بداية سريعة · الهندسة

جربه الآن

عرض حي: https://onealert-demo.mangoglacier-b3ad215d.southeastasia.azurecontainerapps.io/app/


البريد الإلكتروني	`[email protected]`
كلمة المرور	`password123`

محمّل مسبقاً بمحطة معالجة مياه واقعية: 11 أصل OT/IT، سيناريو هجوم متعدد المراحل (اختراق VPN → حركة جانبية → محاولة وصول إلى PLC)، حالة تحقيق مولّدة بالذكاء الاصطناعي مع رسم خرائط MITRE ATT&CK، وأكثر من 15 حدثاً أمنياً.

شاهدها قيد التشغيل

لوحة التحكم
لوحة قياس الوضع الأمني مع مؤشرات الأداء الرئيسية وتوزيع الخطورة وخريطة حرارة المخاطر

لماذا هذا موجود

تكلف أدوات SOC للمؤسسات 300-800 ألف دولار سنوياً. لا تستطيع الشركات المصنعة الصغيرة والمتوسطة التي تمتلك PLCs وأنظمة SCADA وشبكات OT تحمل تلك التكاليف — لكنها أصبحت مستهدفة بشكل متزايد. يمنحهم OneAlert فريق أزرق ذكي يقوم بما يلي:

استيعاب القياسات الشبكية من Suricata/Zeek
اكتشاف الحالات الشاذة بواسطة عوامل ذكاء اصطناعي (وليس قواعد ثابتة فقط)
ربط التنبيهات في حالات تحقيق مع رسم خرائط MITRE ATT&CK
توليد خطط استجابة مع بوابات موافقة بشرية
صيد التهديدات باستخدام اللغة الطبيعية
فرض قيود السلامة في OT (لا إجراءات ذاتية على PLCs)

الميزات

خط أنابيب عوامل الذكاء الاصطناعي

ستة عوامل متخصصة تعمل كفريق:

الحكم الذاتي المُدار

5 مستويات حكم ذاتي (L0 للقراءة فقط إلى L4 وضع الأزمة)
قيد سلامة OT: تتطلب أصول مستوى Purdue 0-3 دائماً موافقة بشرية للاحتواء
سجل كامل للعامل: يُسجّل كل قرار ذكي مع النموذج والرموز والمنطق
محرك السياسات: قواعد الموافقة على الإجراءات حسب المنطقة ونوع الأصل ومستوى الحكم الذاتي
سير عمل الموافقة: الموافقة/رفض خطط الاستجابة عبر REST API قبل التنفيذ
منفذ الإجراءات: 12 نوع إجراء (إشعار، حظر IP، عزل مضيف، عزل VLAN، إلخ.)

تنقيح المعلومات الشخصية والأسرار

8 أنواع أنماط: رسائل البريد الإلكتروني، أرقام الضمان الاجتماعي، بطاقات الائتمان، مفاتيح API، رموز Bearer، كلمات المرور، المفاتيح الخاصة، JWTs
مدمج في استيعاب الأحداث: تُجرّد الأسرار قبل التخزين ومعالجة LLM
الحفاظ على العناصر القابلة للملاحظة في الشبكة: IPs والمنافذ والنطاقات وأسماء المضيفين تُحتفظ بها للتحليل الأمني

التحقق الأرجواني للفريق

اختبار ATT&CK محاكى: 8 فئات تقنيات مع مكتبة اختبارات ذرية
أوضاع التشغيل: تجربة/مختبر/إنتاج؛ يتطلب وضع الإنتاج موافقة بشرية صريحة
مقاييس تغطية الكشف: نسب الكشف لكل تقنية وتحليل الفجوات
تتبع نتائج الضوابط: أي قواعد كشف اشتغلت وأيها فشلت

البحث الدلالي ونصف قطر الانفجار

بحث عن الحالات باللغة الطبيعية: ترتيب TF-IDF بدون تبعيات خارجية
استرجاع الحوادث المماثلة: مطابقة تشابه جيب التمام مع إبراز تقنيات MITRE المشتركة
رسم بياني لنصف قطر الانفجار: تصور علاقات الكيانات (الأصول، IPs، تقنيات MITRE لكل حالة)

استيعاب الأحداث الأمنية

محلل Suricata EVE JSON (التنبيهات، DNS، HTTP، TLS، التدفقات)
محلل سجلات Zeek (conn, dns, http, ssl, files, notice)
مستقبل Webhook للاستيعاب الفوري من Filebeat/Fluentd
رفع الملفات للتحليل دون اتصال

تكامل MITRE ATT&CK

مصفوفة Enterprise + ICS (16 تكتيك، 30+ تقنية)
رسم خرائط تلقائي من تواقيع Suricata إلى التقنيات
خريطة حرارة تغطية الكشف لكل تكتيك
متصفح تقنيات قابل للبحث

مختبر صيد التهديدات

إدخال باللغة الطبيعية: "ابحث عن حركة جانبية من محطة عمل هندسية إلى شبكة PLC الفرعية"
يولد الذكاء الاصطناعي استعلامات SQL ضد بيانات الأحداث الخاصة بك
قواعد كشف Sigma مولّدة تلقائياً من النتائج المؤكدة
التحقق من سلامة الاستعلام للقراءة فقط (يمنع INSERT/UPDATE/DELETE)

إدارة الثغرات في OT/ICS

تجميع CVE متعدد المصادر (NVD, CISA KEV, ICS-CERT, Cisco PSIRT, Microsoft MSRC)
معالجة تصحيحية ذكية تراعي OT (ضوابط تعويضية للمناطق الحرجة)
تسجيل احتمالية استغلال EPSS
تحليل SBOM (CycloneDX/SPDX)
اكتشاف سلبي للأجهزة مع تصنيف نموذج Purdue

الامتثال كرمز

IEC 62443-3-3 (10 ضوابط) + NIST CSF 2.0 (11 ضابطاً)
جمع أدلة آلي من بيانات المنصة
تسجيل امتثال مستمر

تعدد المستأجرين والفواتير

نموذج مؤسسة مع وصول يعتمد على الأدوار (مدير/محلل/مشاهد)
فواتير Stripe (مجاني، مبتدئ $499، محترف $1,999، مؤسسة $4,999/شهرياً)
تكاملات SIEM (Splunk, Sentinel, ServiceNow, PagerDuty)

بداية سريعة

أمر واحد للتجربة

git clone https://github.com/mangod12/OneAlert.git
cd OneAlert
pip install -r requirements.txt
python -m backend.demo

افتح http://localhost:8000/app/ — يتم تحميل البيانات التجريبية تلقائياً مع سيناريو هجوم.

Docker

docker compose up --build

التطوير المحلي

# الخلفية
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python -m uvicorn backend.main:app --reload

# الواجهة الأمامية
cd frontend-v2 && npm install && npm run dev

متغيرات البيئة

# مطلوب لعوامل الذكاء الاصطناعي
AI_PROVIDER=anthropic          # أو openai, ollama, vllm, groq
ANTHROPIC_API_KEY=sk-ant-...   # أو AI_API_KEY لمتوافق مع OpenAI

# اختياري
AI_TRIAGE_MODEL=claude-sonnet-4-20250514
AI_BASE_URL=http://localhost:11434/v1  # لـ Ollama/vLLM
SECRET_KEY=your-production-secret
DATABASE_URL=postgresql://user:pass@host/db

الهندسة

                      OneAlert AI Security OS
 ┌─────────────────┬───────────────────┬───────────────────────┐
 │  طبقة الاستشعار │   طبقة العوامل    │     مستوى التحكم       │
 │                 │                   │                        │
 │  Suricata EVE   │  عامل الكشف      │  محرك السياسات         │
 │  سجلات Zeek     │  عامل الفرز      │  مستويات الحكم الذاتي  │
 │  Syslog/Auth    │  عامل الصيد      │  سير عمل الموافقة      │
 │  اكتشاف OT      │  عامل الاستجابة  │  سجل العامل            │
 │  تنقيح PII      │  العامل الأرجواني│  قيود مناطق OT         │
 │                 │  عامل الامتثال   │  منفذ الإجراءات        │
 ├─────────────────┼───────────────────┼───────────────────────┤
 │  طبقة البيانات  │   بيئة تشغيل الذكاء│     الواجهة الأمامية  │
 │                 │   الاصطناعي       │                        │
 │  PostgreSQL     │  Claude (افتراضي) │  لوحة التحكم           │
 │  SQLite (تطوير) │  متوافق مع OpenAI │  الحالات والتحقيقات    │
 │  مخزن الأحداث   │  Ollama/vLLM      │  عارض الأحداث          │
 │  سجل العامل     │  توجيه النموذج   │  خريطة MITRE ATT&CK    │
 │  البحث الدلالي  │                   │  مختبر الصيد           │
 │                 │                   │  خطط الاستجابة         │
 │                 │                   │  التحقق الأرجواني      │
 └─────────────────┴───────────────────┴───────────────────────┘

تدفق البيانات

أحداث Suricata/Zeek ──► API الاستيعاب ──► مخزن الأحداث
                                            │
                                       عامل الكشف (كشف الشذوذ)
                                            │
تنبيهات CVE (NVD/CISA/ICS-CERT) ──► عامل الفرز (الربط + MITRE)
                                            │
                                       حالات التحقيق
                                            │
                                       عامل الاستجابة (خطط مُدارة)
                                            │
                                  موافقة بشرية ──► تنفيذ الإجراءات

مجموعة التقنيات

نظرة عامة على API

وثائق API كاملة في /docs عند التشغيل محلياً.

هيكل المشروع

backend/
├── services/ai/          # بيئة تشغيل LLM مستقلة عن المزود
├── services/agents/       # عوامل الكشف والفرز والصيد والاستجابة والعامل الأرجواني
├── services/mitre/        # تكامل MITRE ATT&CK
├── services/parsers/      # محللات أحداث Suricata + Zeek
├── models/                # نماذج SQLAlchemy + مخططات Pydantic
├── routers/               # معالجات مسارات FastAPI
├── services/pii_redactor.py    # خط أنابيب تنقيح PII/الأسرار
├── services/action_executor.py # تنفيذ إجراءات الاستجابة
├── services/semantic_search.py # بحث TF-IDF + نصف قطر الانفجار
└── services/              # CVE, الامتثال, الفواتير, الإشعارات

frontend-v2/src/
├── pages/                 # لوحة التحكم, الحالات, الأحداث, مختبر الصيد, خريطة MITRE, خطط الاستجابة, التحقق
├── components/            # الرسوم البيانية, التخطيط, واجهة المستخدم المشتركة
└── stores/                # حالة المصادقة في Zustand

tests/                     # 309 اختبار pytest
tests/e2e/                 # اختبارات Playwright E2E ضد التطبيق المنشور
docs/                      # AI_CONTEXT, ARCHITECTURE, CODEMAP, VISION

مقارنة OneAlert

ما يميز OneAlert: عوامل ذكاء اصطناعي تحقق وتستجيب، لا فقط تجمع السجلات. كل إجراء مُدار بالسياسات مع موافقة بشرية لأصول OT.

صُمم من أجل

المساهمة

المساهمات مرحب بها! المجالات التي تكون المساعدة فيها أكثر قيمة:

محللات أحداث جديدة: Windows Event Log, AWS CloudTrail, Azure Activity
تغطية MITRE: المزيد من تعيينات التقنيات وقواعد الكشف
نظام Sigma البيئي: استيراد/تصدير قواعد Sigma، اختبارها ضد بيانات الأحداث
واجهة المستخدم/تجربة المستخدم: عناصر واجهة لوحة التحكم، تصور الحالات، رسم بياني للطوبولوجيا
بروتوكولات OT: محللات إضافية لبروتوكولات ICS (BACnet, HART-IP)

الترخيص

MIT — انظر License.

بُني لفرق الأمن التي لا تستطيع تحمل منصة SOC بقيمة 500 ألف دولار لكنها لا تزال بحاجة إلى واحدة.

حالة تحقيق مولّدة بالذكاء الاصطناعي مع رسم خرائط MITRE ATT&CK وجدول زمني للهجوم	خريطة حرارة تغطية MITRE ATT&CK مع بحث عن التقنيات
صيد التهديدات باللغة الطبيعية مع استعلامات مولّدة بالذكاء الاصطناعي	أحداث أمنية من Suricata/Zeek مع فلترة حسب الخطورة
تنبيهات ثغرات CVE مع معالجة تصحيحية بالذكاء الاصطناعي	جرد أصول OT/IT مع تصنيف نموذج Purdue

عامل الكشف	يحلل إحصائيات الأحداث لاكتشاف مسح المنافذ والشذوذ في بروتوكولات OT وأنماط C2
عامل الفرز	يربط التنبيهات والأحداث في حالات تحقيق مع رسم خرائط MITRE ATT&CK
عامل الصيد	يأخذ فرضيات باللغة الطبيعية، ويُولّد استعلامات SQL، ويُخرج قواعد Sigma
عامل الاستجابة	يُولّد خطط استجابة مع إجراءات احتواء مرتبة
العامل الأرجواني	يحاكي تقنيات ATT&CK للتحقق من تغطية الكشف
عامل الامتثال	يربط بيانات المنصة بضوابط IEC 62443 و NIST CSF

الخلفية	FastAPI, Python 3.11+, SQLAlchemy 2.0 async
الواجهة الأمامية	React 19, Vite 8, Tailwind CSS v4, Zustand, Recharts
بيئة الذكاء الاصطناعي	مستقلة عن المزود (Claude, GPT-4o, Ollama, vLLM, Groq)
قاعدة البيانات	PostgreSQL (إنتاج), SQLite (تطوير)
المصادقة	JWT + GitHub OAuth + TOTP MFA
النشر	Docker, Azure Container Apps
CI	GitHub Actions, 330+ اختبار (309 pytest + 22 Playwright E2E)

`POST /api/v1/events/ingest`	مستقبل Webhook للأحداث الأمنية
`POST /api/v1/events/upload`	تحميل ملفات سجلات Suricata/Zeek
`POST /api/v1/cases/pipeline`	تشغيل خط أنابيب عوامل الذكاء الاصطناعي بالكامل
`POST /api/v1/cases/auto-triage`	تشغيل عامل الفرز على البيانات الحديثة
`POST /api/v1/hunt/`	بدء صيد تهديدات باللغة الطبيعية
`GET /api/v1/mitre/coverage`	تغطية كشف MITRE ATT&CK
`GET /api/v1/cases/`	قائمة حالات التحقيق
`GET /api/v1/alerts/`	قائمة تنبيهات الثغرات
`GET /api/v1/events/stats`	إحصائيات استيعاب الأحداث
`GET /api/v1/cases/search?q=`	بحث دلالي عن الحالات
`GET /api/v1/cases/{id}/similar`	إيجاد حوادث مماثلة
`GET /api/v1/cases/{id}/blast-radius`	رسم بياني لكيانات نصف قطر الانفجار
`GET /api/v1/response-plans/`	قائمة خطط الاستجابة
`POST /api/v1/response-plans/{id}/approve`	الموافقة على خطة استجابة
`POST /api/v1/response-plans/{id}/execute`	تنفيذ الخطة المعتمدة
`POST /api/v1/validation/runs`	إنشاء تشغيل تحقق أرجواني
`POST /api/v1/validation/runs/{id}/execute`	تشغيل اختبارات تقنيات ATT&CK
`GET /api/v1/validation/coverage`	تغطية الكشف حسب التقنية

المياه/الصرف الصحي	مراقبة PLCs التي تتحكم في جرعات المواد الكيميائية ومحطات الضخ
التصنيع	حماية واجهات HMI وأنظمة SCADA في أرض المصنع
الطاقة/المرافق	كشف الحركة الجانبية من شبكات IT إلى شبكات تحكم OT
MSSPs	SOC كخدمة متعدد المستأجرين للعملاء الصناعيين
فرق الأمن	التحقق الأرجواني من تغطية الكشف
الامتثال	جمع أدلة آلي لـ IEC 62443 و NIST CSF

فرز ذكي	نعم (6 عوامل)	لا	لا	لا	لا
رسم خرائط MITRE ATT&CK	تلقائي	قواعد يدوية	يدوي	لا	نعم
دعم بروتوكولات OT/ICS	Modbus, S7, EtherNet/IP	محدود	قائم على Zeek	لا	لا
صيد التهديدات باللغة الطبيعية	نعم	لا	لا	لا	لا
استجابة مُدارة (بوابات موافقة)	نعم (L0-L4)	لا	لا	لا	لا
التحقق الأرجواني	مدمج	لا	لا	لا	نعم (أساسي)
تنقيح PII قبل LLM	نعم	غير متوفر	غير متوفر	غير متوفر	غير متوفر
استيعاب Suricata + Zeek	نعم	نعم	نعم	لا	لا
الامتثال (IEC 62443, NIST CSF)	تلقائي	يدوي	لا	لا	لا
تحليل SBOM	نعم	لا	لا	لا	لا
قابل للاستضافة الذاتية	نعم	نعم	نعم	نعم	نعم
فواتير SaaS (Stripe)	مدمج	لا	لا	لا	لا

OneAlert

الأكثر شعبية