The wedge CLI एक निर्धारक इंजन के साथ अलर्ट के एक बैच को verdicts (escalate / review / suppress) में स्कोर करता है, जिसे production triage scorer से पोर्ट किया गया है — किसी LLM key की आवश्यकता नहीं है। या वह रास्ता चुनें जो आपकी मशीन पर पहले से मौजूद चीज़ों से मेल खाता हो:

| आपके पास क्या है…                          | यह चलाएँ                                                                                                 | आपको क्या मिलता है                                                                                       |
|---------------------------------------|----------------------------------------------------------------------------------------------------------|----------------------------------------------------------------------------------------------------|
| **Python 3.10+** (Docker नहीं)          | `pip install -e packages/aisoc-sandbox && aisoc-sandbox demo`                                            | ऑफ़लाइन एजेंट जाँच Detect → Triage → Hunt → Respond से गुज़रकर stdout पर छपती है। **< 5 s.** कोई API key नहीं, कोई network नहीं। |
| **ब्राउज़र** (शून्य इंस्टॉल)          | [कोडस्पेस में खोलें](https://codespaces.new/beenuar/AiSOC?quickstart=1)                                  | ब्राउज़र IDE → `pnpm aisoc:demo --no-open` → forwarded port `3000` पर क्लिक करें। ~5 मिनट cold.              |
| **Docker + pnpm**                     | `git clone https://github.com/beenuar/AiSOC && cd AiSOC && pnpm aisoc:demo`                              | Postgres + Redis + Kafka + api + agents + web पर स्थानीय stack। ब्राउज़र `INC-RT-001` पर खुलता है।       |
| **कुछ नहीं** (क्लीन Linux/macOS/Win)   | `curl -fsSL https://raw.githubusercontent.com/beenuar/AiSOC/main/install.sh \| bash`                     | आपके लिए Docker, Node, pnpm, git बूटस्ट्रैप करता है; फिर `pnpm aisoc:demo` चलाता है।                           |

पहली पंक्ति नई है: [`aisoc-sandbox`](https://github.com/beenuar/aisoc/blob/HEAD/packages/aisoc-sandbox/) एजेंट फ़नल का एक zero-dependency, in-memory सिम्युलेटर है। कोई [बंडल किया गया परिदृश्य](https://github.com/beenuar/aisoc/blob/HEAD/packages/aisoc-sandbox/README.md#bundled-scenarios) चुनें (`lateral-movement`, `aws-credential-exfil`, `phishing-payload`, `kubernetes-privesc`, `github-token-theft`) या `--file` के ज़रिए अपना खुद का JSON दें। बाकी तीन पंक्तियाँ असली stack बूट करती हैं और आपको `/cases/INC-RT-001?tab=ledger` पर ले जाती हैं — एक LockBit 3.0 ransomware मामला जो जाँच के बीच में है, जिसमें AI एजेंट के prompts, tool calls और rationale [Investigation Ledger](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/investigation-rail.md) में स्ट्रीम होते हैं। असली stack को `pnpm aisoc:demo:down` से रोकें।

> **क्या डेमो अब भी `main` पर बूट होता है?** हर push पर [`compose-smoke`](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke.yml) (वही `pnpm aisoc:demo` पथ जो आप स्थानीय रूप से चलाते हैं) और seeded console पर [`e2e`](https://github.com/beenuar/AiSOC/actions/workflows/e2e.yml) चलता है; रात्रिकालीन [`compose-smoke-nightly`](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke-nightly.yml) इसे cold caches के साथ दोहराता है। नीचे लाल बैज एक release-blocker है।
>
> [![Compose Smoke](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/compose-smoke.yml?branch=main&label=compose-smoke%20(main)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke.yml)
> [![Nightly cold cache](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/compose-smoke-nightly.yml?branch=main&label=compose-smoke%20(nightly,%20cold)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/compose-smoke-nightly.yml)
> [![E2E](https://img.shields.io/github/actions/workflow/status/beenuar/AiSOC/e2e.yml?branch=main&label=e2e%20(seeded%20console)&style=flat-square)](https://github.com/beenuar/AiSOC/actions/workflows/e2e.yml)

पूर्ण multi-platform deploy गाइड [`apps/docs/docs/installation.md`](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/installation.md) में है (Render, Fly.io, Docker Compose, Kubernetes, Terraform)। पूर्ण storage tier के साथ production-grade इंस्टॉल: [`infra/helm/`](https://github.com/beenuar/aisoc/blob/HEAD/infra/helm/) या [`infra/terraform/`](https://github.com/beenuar/aisoc/blob/HEAD/infra/terraform/)।

---

## AiSOC क्या है

AiSOC एक single self-hostable stack है जो security events को इंगेस्ट करता है, उन्हें correlate करता है, AI-driven investigation चलाता है, और परिणाम को SOC console में दिखाता है। एजेंट और substrate दोनों MIT-licensed हैं, इसलिए आप इनमें से किसी को भी read, fork या replace कर सकते हैं।

तीन गुण इसे closed-source AI SOC विक्रेताओं से अलग करते हैं:

1. **एजेंट के निर्णय लॉग होते हैं।** Investigation Ledger हर run के हर चरण के लिए LLM prompt, response, उद्धृत साक्ष्य और downstream tool calls संग्रहीत करता है। रीप्ले बाद में उपलब्ध होते हैं।
2. **Substrate के पास CI में सार्वजनिक eval harness है।** पाँच suites `main` / `develop` को लक्षित करने वाले हर PR को गेट करते हैं — alert reduction एक निश्चित 1 000-alert stream के विरुद्ध वास्तविक माप है; तीन rubric-based suites एक निर्धारित 200-incident dataset (55 templates) पर per-template macros के साथ substrate self-consistency gates हैं; पाँचवाँ gate backing telemetry corpus को मान्य करता है। [बेंचमार्क पृष्ठ](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/benchmark.md) यह दस्तावेजित करता है कि प्रत्येक suite क्या मापता है और क्या नहीं।
3. **आप नियंत्रित करते हैं कि आपके perimeter से बाहर क्या जाता है।** Vendor cloud पर कोई callback नहीं और कोई "model improvement" telemetry नहीं। Hosted LLM के साथ, evidence डिफ़ॉल्ट रूप से pseudonymized होता है (internal IPs, hostnames, emails, paths, secrets, usernames opaque tokens बन जाते हैं); पूरी तरह air-gapped path के लिए स्थानीय मॉडल (Ollama/vLLM) चलाएँ। प्रत्येक mode में बाहर वास्तव में क्या जाता है: [`docs/trust/data-flows.md`](https://github.com/beenuar/aisoc/blob/HEAD/docs/trust/data-flows.md)।

---

## AiSOC की तुलना

| क्षमता | AiSOC | Wazuh | Splunk ES | क्लोज्ड-सोर्स AI SOC |
|---|---|---|---|---|
| ओपन-सोर्स लाइसेंस | MIT | GPL-2 | मालिकाना | मालिकाना |
| Self-hostable | हाँ | हाँ | केवल एंटरप्राइज़ | केवल क्लाउड |
| स्वायत्त AI जाँच | LangGraph | नहीं | आंशिक (Splunk AI) | हाँ |
| एजेंट निर्णय ऑडिट ट्रेल | सार्वजनिक Investigation Ledger | n/a | n/a | प्रकाशित नहीं |
| सार्वजनिक substrate eval harness | CI-गेटेड, reproducible, synthetic telemetry corpus + per-template macros के साथ | n/a | n/a | प्रकाशित नहीं |
| डिटेक्शन सामग्री | 947 executable (869 native) live stream पर फायरिंग + 6 000-rule provenance-tracked imported library ([सत्य तालिका](https://github.com/beenuar/aisoc/blob/HEAD/docs/detections/truth-table.md)) | 1 200+ rules | 1 000+ apps | क्यूरेटेड |
| प्लगइन SDK | Python / TypeScript / Go | केवल YAML rules | apps | मालिकाना |
| डेटा निवास | आपका infra | आपका infra | आंशिक | विक्रेता क्लाउड |
| मूल्य निर्धारण | $0 (self-host) | $0 (self-host) | प्रति ingest GB | एंटरप्राइज़ |

Closed-source AI SOC विक्रेता काम करने वाले उत्पाद भेजते हैं। AiSOC का योगदान यह है कि एजेंट स्वयं खुला है, हर-चरण का निर्णय ट्रेल पठनीय है, और substrate `main` / `develop` को लक्षित करने वाले हर PR पर सार्वजनिक eval harness द्वारा गेटेड है।

---

## आपको कंसोल में क्या दिखेगा

<div align="center">

| <a href="apps/docs/docs/console/queue.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/01-alerts-queue.svg" alt="SLA काउंटडाउन के साथ अलर्ट कतार" width="100%" /></a> | <a href="apps/docs/docs/console/investigation-rail.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/02-investigation-rail.svg" alt="निर्धारित correlation narrative के साथ Investigation Rail" width="100%" /></a> |
|:---:|:---:|
| **Alerts queue** — server-anchored SLA countdowns, atomic claim, one-click triage. [दस्तावेज़](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/queue.md) | **Investigation Rail** — narrative, pivot-path entity chips, 6-event timeline, recommended actions. [दस्तावेज़](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/investigation-rail.md) |
| <a href="apps/docs/docs/console/rule-tuning.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/03-hunt-workbench.svg" alt="नेचुरल-भाषा /hunt workbench" width="100%" /></a> | <a href="apps/docs/docs/plugins/overview.md"><img src="https://raw.githubusercontent.com/beenuar/aisoc/HEAD/apps/web/public/screenshots/04-marketplace.svg" alt="प्लगइन और डिटेक्शन मार्केटप्लेस" width="100%" /></a> |
| **`/hunt` workbench** — अंग्रेज़ी में एक hypothesis टाइप करें, ES&#124;QL / SPL / KQL वापस पाएँ, save + schedule करें। [दस्तावेज़](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/console/rule-tuning.md) | **Marketplace** — plugins, playbooks, detections एक-क्लिक टेनेंट इंस्टॉल के साथ। [दस्तावेज़](https://github.com/beenuar/aisoc/blob/HEAD/apps/docs/docs/plugins/overview.md) |

<sub><em>ऊपर के चार टाइल SVG placeholder हैं। असली PNG screenshots अगले Phase 2 visuals rollup के साथ आते हैं; तब तक इस README के शीर्ष पर मौजूद [वॉकथ्रू वीडियो](https://github.com/beenuar/aisoc/blob/HEAD/apps/web/public/demo/) canonical reference है।</em></sub>

</div>

---

## आर्किटेक्चर```mermaid
flowchart LR
    subgraph Sources["Sources"]
        EDR["EDR / XDR"]
        SIEM["SIEM"]
        Cloud["Cloud APIs"]
        IDP["Identity"]
        Net["Network"]
    end

    subgraph Ingest["Ingest & Normalize"]
        Connectors["Connectors\n(Python · 78 vendors)"]
        OsqueryTLS["osquery-tls\n(Python · host telemetry)"]
        IngestSvc["Ingest worker\n(Go · OCSF)"]
        Enrich["Enrichment\n(Go · IOC + Shodan)"]
    end

    subgraph Spine["Event Spine"]
        Kafka[("Apache Kafka")]
    end

    subgraph Detect["Detect & Reason"]
        Fusion["Fusion\n(Python · ML)"]
        UEBA["UEBA\n(Python · baseline)"]
        Rules["Rule engine\n(Sigma · YARA · KQL)"]
        Agents["AI Agents\n(LangGraph)"]
    end

    subgraph Storage["Storage Tier"]
        PG[("PostgreSQL")]
        CH[("ClickHouse")]
        OS[("OpenSearch")]
        QD[("Qdrant")]
        N4[("Neo4j")]
        RD[("Redis")]
    end

    subgraph Surface["Surface"]
        API["Core API\n(FastAPI)"]
        Web["Web Console + Responder PWA\n(Next.js)"]
        MCP["MCP Server\n(TS · stdio)"]
    end

    Sources --> Connectors --> IngestSvc --> Kafka
    OsqueryTLS --> IngestSvc
    IngestSvc --> Enrich --> Kafka
    Kafka --> Fusion --> Storage
    Kafka --> UEBA --> Kafka
    Kafka --> Rules --> Kafka
    Agents --> Storage
    API --> Storage
    Web --> API
    MCP --> API