Agentic-SOC-Simulation

KI-gestützte SOC-Simulationsplattform

📸 Dashboard V1.0 (Alte Version)

📺 YouTube-Demo (V2.0): https://www.youtube.com/watch?v=XFazCM4x4b4

📺 YouTube-Demo (V1.0): https://www.youtube.com/watch?v=_gRINAQaKmo

✨ Wichtigste Highlights

• ♾️ Full-Stack-SOC-Parallelsimulation

  • Mehr als ein einzelner Analyst: Dieses Projekt simuliert nicht nur einen KI-Analysten, sondern ein komplettes SOC-Betriebssystem.
  • Abdeckung des gesamten Lebenszyklus: Von der Angriffssimulation des Red Teams -> Datengenerierung durch das Purple Team -> Regelentwicklung durch das Blue Team -> Erkennung durch die Engine -> Triage-Untersuchung -> Incident-Response -> Berichtsarchivierung.
  • Abbildung realer Architektur: Repliziert vollständig Kernkomponenten eines modernen SOC, einschließlich Security Data Warehouse, Detection Engine, SOAR-Orchestrierung und visuellen War Room.

• 🤖 Multi-Agenten-Kollaborationsschwarm

  • Sieben Rollen, ein Team: Simuliert eine reale SOC-Organisationsstruktur, in der sieben Agenten nahtlos über gemeinsamen Kontext zusammenarbeiten und eine Schwarmintelligenz demonstrieren, die einzelnen Einheiten überlegen ist:
    • 😈 Purple Team: Erzeugt hochrealistischen Angriffsverkehr und Hintergrundrauschen basierend auf Szenarien (OCSF-Standard).
    • 🛠️ Detection Eng: Analysiert Telemetriedaten, um Erkennungsregeln automatisch zu entwickeln und zu verifizieren.
    • ⚙️ Analysis Engine: Führt Erkennungslogik aus, durchsucht das Data Warehouse und löst Warnmeldungen aus.
    • 🔍 Triage: Filtert Fehlalarme und bewertet die Glaubwürdigkeit von Warnmeldungen.
    • 🕵️‍♂️ Forensics: Ruft Tools für tiefgehende Untersuchungen auf und konstruiert Angriffsketten.
    • 🛡️ Commander: Formuliert Reaktionsstrategien, führt Sperren aus oder fordert Genehmigungen an.
    • 📝 Reporter: Fasst Untersuchungsergebnisse zusammen und generiert strukturierte Sicherheitsberichte.

• 📊 Datengetriebenes Detection Engineering

  • Security Data Warehouse: Integriertes leichtgewichtiges Data Warehouse, das Speicherung und Abruf von Daten im OCSF-Standard (Open Cybersecurity Schema Framework) unterstützt.
  • Telemetriebeobachtung: Bietet visuelle Pivot-Tabellen, mit denen Analysten rohe Telemetrielogs direkt beobachten können, um Datenqualität und Angriffssignaturen zu verifizieren.
  • Detection Engineering Workbench: Ein dedizierter Arbeitsbereich, der den Transformationsprozess von „Daten“ zu „Regeln“ visualisiert und so Transparenz und Erklärbarkeit der Erkennungslogik erreicht.

• 🧠 Tiefes Reasoning & kognitive Intelligenz

  • Angetrieben von der DeepSeek-Reasoning-Engine mit menschenähnlichen Fähigkeiten zur logischen Analyse und Entscheidungsfindung.
  • Chain of Thought: Kann mehrdeutige Informationen verarbeiten, Ermittlungspfade autonom planen, vollständige Beweisketten aufbauen und End-to-End-Automatisierung von „Warnung“ bis „Schlussfolgerung“ erreichen.

• 🕸️ Dynamischer Bedrohungsgraph

  • Echtzeitvisualisierung von Angriffsketten basierend auf streamlit-agraph.
  • Universelle Graphenkonstruktions-Engine: Integrierte Prinzipien für Attribution, Interaktion und Kausalität. Ob APT-Angriff oder Ransomware – sie konstruiert automatisch ineinandergreifende Angriffsnarrative.
  • Keine isolierten Knoten: Erzwingt Entitätskorrelation und reorganisiert fragmentierte Hinweise (IPs, Domains, Dateien, Schwachstellen) zu intuitiven Angriffsnarrativen.

• 🛡️ Asynchrone Mensch-KI-Symbiose

  • Ein innovativer HITL-Mechanismus (Human-in-the-Loop) stellt sicher, dass kritische Entscheidungen (wie netzwerkweite Sperren) auch bei autonomen KI-Handlungen unter Aufsicht menschlicher Experten bleiben.
  • Nicht-blockierende Interaktion: Verwendet einen PENDING_APPROVAL-Mechanismus, der es der KI ermöglicht, nach dem Senden von risikoreichen Betriebsanfragen andere Aufgaben fortzusetzen, während sie auf die asynchrone Bestätigung menschlicher Experten im Dashboard wartet.

🏗️ Systemarchitektur

Dieses Projekt verwendet ein Schichtenarchitektur-Design und simuliert eine reale Unternehmens-Sicherheitsbetriebsumgebung:

1. Dashboard (Streamlit): app/main.py

   • Das visuelle Kommandozentrum für Sicherheitsanalysten.
   • Detection Engineering Workbench: Zeigt Datenproduktions- und Regelerstellungsprozesse an.
   • Security-Data-Warehouse-Ansicht: Echtzeitansicht der OCSF-Telemetriedaten.
   • War Room: Echtzeitanzeige des Untersuchungsprozesses und des Wissensgraphen des Agenten.

2. MCP-Server (FastAPI): mcp_server/main.py

   • Fungiert als „Hände und Füße“ des Agenten.
   • Stellt Standard-APIs für Agentenaufrufe bereit.
   • Enthält Logik für echte/simulierte Sicherheitstools.

3. KI-Agent (Python): agent/

   • core.py: Das „Gehirn“ der Operationen. Definiert die Basisklasse Agent und die 7 spezialisierten Rollen (Purple, Detection, Engine, Triage, Forensics, Commander, Reporter).
   • engine.py: Die Analysis Engine, die für das Abgleichen von OCSF-Telemetrie mit Erkennungsregeln verantwortlich ist.
   • ocsf.py: Definiert die OCSF-Datenmodelle (Open Cybersecurity Schema Framework).

⚙️ Beispiel für den Ausführungsablauf (Parallelsimulation)

Das Folgende zeigt, wie das System eine vollständige Parallelsimulationsübung behandelt:

1. Szenariodefinition: Der Benutzer gibt ein Angriffsszenario ein (z. B. Lazarus-APT-Angriff).
2. Datengenerierung (Schritt 1): Das Purple Team erzeugt OCSF-Telemetriedaten, die sowohl normales Hintergrundrauschen als auch bösartiges Verhalten enthalten, und speichert sie im Security Data Warehouse.
3. Regelentwicklung (Schritt 2): Der Detection Engineer analysiert Telemetriedaten im Warehouse, um automatisch Erkennungsregeln zu schreiben.
4. Engine-Scan (Schritt 3): Die Analysis Engine führt die Regeln aus, durchsucht das Warehouse und löst Warnmeldungen aus.
5. Triage: Der Triage-Agent analysiert die Glaubwürdigkeit der Warnmeldung, stuft sie als hohes Risiko ein und leitet sie an die Forensik weiter.
6. Forensik: Der Forensik-Agent
   • Ruft check_ip_reputation auf, um zu bestätigen, dass die Quell-IP bösartig ist.
   • Ruft analyze_payload auf, um den Anhang als schädlichen Downloader zu identifizieren.
   • Ruft graph_add_relation auf, um den Graphen zu erstellen: IP(45.33...) --[Liefert]--> Host(Workstation).
7. Korrelationsanalyse: Wenn später eine „C2-Verbindung“-Warnung eingeht, korreliert der Forensik-Agent sie automatisch mit dem vorhandenen Knoten Host(Workstation) und bildet so eine Angriffskette.
8. Reaktion (Commander): Der Commander stellt fest, dass die Bedrohung bestätigt ist, und versucht, die C2-IP zu sperren.
9. Menschliche Genehmigung (HITL): Löst PENDING_APPROVAL aus, der Analyst klickt in der Oberfläche auf „Genehmigen“.
10. Berichterstattung (Reporter): Der Reporter-Agent generiert automatisch einen Markdown-Bericht mit der vollständigen Beweiskette und den Bearbeitungsergebnissen.

🚀 Schnellstart

1. Umgebungsvorbereitung

Klonen Sie das Projekt und installieren Sie die Abhängigkeiten:

2. Dienste starten

Sie müssen zwei Terminalfenster öffnen, um die folgenden Befehle jeweils auszuführen:

Terminal 1: MCP-Toolserver starten

Terminal 2: Web-Dashboard starten

3. Konfiguration & Ausprobieren

1. Auf die Oberfläche zugreifen: Öffnen Sie Ihren Browser und besuchen Sie http://localhost:8501.
2. API-Schlüssel konfigurieren: Geben Sie Ihren DeepSeek API Key und VirusTotal API Key (optional) in der Seitenleiste „Systemkonfiguration“ ein. Die Konfiguration gilt nur für die aktuelle Sitzung; es müssen keine lokalen Dateien geändert werden.
3. Parallelsimulation:
   • Geben Sie im Seitenleistenbereich „♾️ Parallelsimulation“ ein Angriffsszenario ein oder verwenden Sie das Standard-Szenario.
   • Klicken Sie auf „🚀 Vollständige Simulation starten“.
   • Das System führt automatisch Datengenerierung, Regelentwicklung und Engine-Erkennung aus und fährt dann mit dem SOC-Response-Workflow fort.
4. Beobachten & Interagieren:
   • Beobachten Sie den Bereich „SOC-Team“, um zu sehen, wie KI-Ingenieure mit verschiedenen Rollen im Staffelbetrieb arbeiten.
   • Im Bereich „Security Data Warehouse“ können Sie die erzeugten OCSF-Telemetriedaten einsehen.
   • Im Bereich „Knowledge Graph“ können Sie die in Echtzeit konstruierte Angriffskette einsehen.
   • Wenn risikoreiche Operationen auftreten, können Sie diese im Bereich „Menschliche Entscheidung“ genehmigen oder ablehnen.

📂 Projektstruktur