d3vhex/sentoraएक ओपन-सोर्स, सेल्फ-होस्टेड AI-संचालित SIEM, EDR और SOAR प्लेटफ़ॉर्म, जो आधुनिक सुरक्षा संचालन के लिए डिज़ाइन किया गया है।
छोटी/मध्यम टीमों के लिए सेल्फ-होस्टेड सुरक्षा स्टैक, जिनके पास समर्पित
SOC नहीं है। प्रत्येक एंडपॉइंट पर एक एजेंट तैनात करें, उन्हें सर्वर की ओर इंगित करें, और आपको
SIEM लॉग, फ़ाइल अखंडता, पैकेज भेद्यताएँ, OpenSearch-संचालित
लॉग एक्सप्लोरर, स्वायत्त AI ट्राइएज और एक SOAR प्लेबुक इंजन मिलता है, सब कुछ एक ही
docker compose up में।
"AI" वाला हिस्सा एक स्थानीय रूप से चलने वाला Ollama मॉडल है (डिफ़ॉल्ट llama3.2:3b)।
लॉग कभी बॉक्स से बाहर नहीं जाते; कोई OpenAI कुंजी नहीं, कोई Anthropic कुंजी नहीं, कोई
फ़ोन-होम नहीं। यदि आप एक बेहतर मॉडल चाहते हैं और आपके पास RAM है, तो उसे .env में बदल दें।
टेलीमेट्री एकत्र करता है Windows और Linux एजेंटों से एक ही TCP चैनल के माध्यम से। SIEM इवेंट, अलर्ट, FIM, पैकेज, नेटवर्क कनेक्शन, खुले पोर्ट, Docker गतिविधि, स्क्रीन फ़्रेम।
एंडपॉइंट पर ही Sigma नियमों से पहचान करता है। 47 MITRE
ATT&CK तकनीकों को कवर करने वाले 43 नियम conf/sigma/builtin/ में शिप होते हैं; उनके बगल में
कम्युनिटी नियमसेट डालें। Sigma टेक्स्ट के बजाय नामित फ़ील्ड का मिलान करता है, इसलिए
Image|endswith: '\vssadmin.exe' को किसी असंबंधित संदेश में दिखने वाले "vssadmin" शब्द से
पराजित नहीं किया जा सकता — और
CommandLine|utf16le|base64offset|contains एक base64
-EncodedCommand पेलोड के अंदर पढ़ता है, जहाँ सादा टेक्स्ट कमांड लाइन केवल
रैपर दिखाती है। eval कॉर्पस पर मापा गया: 10 में से 9 हमले अकेले Sigma द्वारा पकड़े गए,
9 में से 0 हार्ड नेगेटिव गलत रूप से फ़्लैग हुए। यह परत नियतात्मक है और
मॉडल के अनुपलब्ध होने पर भी काम करती रहती है।
इवेंट्स के आर-पार सहसंबंध बनाता है, जो कोई भी प्रति-इवेंट नियम नहीं कर सकता। एक अकेला विफल
लॉगऑन सामान्य बात है; चालीस सेकंड में एक स्रोत से पाँच खातों का विफल होना
पासवर्ड स्प्रे है, और उन पाँच इवेंट्स में से किसी एक को देखकर आपको यह कभी पता नहीं चलेगा।
स्प्रे, ब्रूट फ़ोर्स, बार-बार विफलताओं के बाद आने वाली सफलता, और खाता निर्माण या
सेवा इंस्टॉल के विस्फोटों को कवर करता है — दोनों प्लेटफ़ॉर्म पर, Windows इवेंट ID से या
पार्स किए गए auth.log लाइनों से।
दो वांटेज पॉइंट्स पर चलता है, क्योंकि वे अलग-अलग हमले देखते हैं। एजेंट पर प्रति होस्ट, जहाँ एक मशीन के विरुद्ध हमला पूरी तरह दिखाई देता है। और ingest पथ में होस्ट्स के आर-पार, जहाँ पचास मशीनों पर एक-एक विफलता के साथ चला गया स्प्रे दिखाई देता है — कोई भी एकल एजेंट एक से अधिक इवेंट नहीं देखता, और यही अधिक कुशल हमला है, क्योंकि चौड़ा और उथला स्प्रे करना प्रति-खाता लॉकआउट और प्रति-होस्ट थ्रेशोल्ड दोनों के नीचे रहता है।
Sigma के साथ कुल कवरेज: 51 तकनीकें। प्रत्येक विंडो प्रति-इवेंट के बजाय एक बार सक्रिय होती है, और प्रत्येक काउंटर सीमित है — हमलावर द्वारा दिए गए उपयोगकर्ता नाम पर आधारित काउंटर मेमोरी समाप्ति का एक आदिम तरीका है, पहचान नहीं।
नियमों से ही डिटेक्शन को MITRE ATT&CK पर मैप करता है। नियमों में
tags: attack.t1490 होता है, इसलिए पुराना होने वाला कोई हस्त-रखरखाव मैपिंग तालिका नहीं है। कवरेज पृष्ठ तीन अवस्थाओं को अलग करता है जिन्हें एकल "कवरेज %" छिपा देता:
कवर और देखा गया, कवर और शांत, और बिल्कुल भी कवर नहीं — अंतिम वही है जहाँ कंसोल की चुप्पी का कोई अर्थ नहीं।
प्रत्येक इवेंट को स्थानीय LLM से ट्राइएज करता है। तीन वर्कर समानांतर में चलते हैं:
एक प्रत्येक आने वाले इवेंट को वास्तविक समय में देखता है, एक ऑपरेटर-संचालित
गहरे स्कैन चलाता है, और एक यह तय करता है कि रक्षात्मक कार्रवाई करनी है या नहीं
(BLOCK_IP, ISOLATE_HOST, KILL_PROCESS, आदि)।
रक्षात्मक वर्कर के लिए शैडो मोड। AI_SHADOW_MODE=1 फ़्लिप करें और
प्रत्येक स्वायत्त निर्णय को भेजे जाने के बजाय SOAR Hub में मानवीय स्वीकृति के लिए रखा जाता है। वास्तविक ट्रैफ़िक पर मॉडल को ट्यून करने के लिए उपयोगी है, इससे पहले कि उसे स्वयं कार्य करने दिया जाए।
सब कुछ OpenSearch में इंडेक्स करता है ताकि आप एक ही स्थान से फ़ज़ी / सटीक / starts-with क्वेरी के साथ अपने फ़्लीट को grep कर सकें।
SOAR प्लेबुक चलाता है जो एक छोटे विज़ुअल एडिटर में बनाई जाती हैं, जिनमें मल्टी-स्टेप, प्रति-नोड परिणाम ट्रैकिंग होती है, और जिन्हें मैन्युअली या AI निर्णय द्वारा ट्रिगर किया जा सकता है।
प्रत्येक एजेंट के इंस्टॉल किए गए पैकेजों को OSV के विरुद्ध क्षमता-स्कैन करता है (ऑनलाइन या आंतरिक मिरर के माध्यम से)।
abuse.ch (Feodo, ThreatFox, URLhaus) से थ्रेट-इंटेल फ़ीड खींचता है और उन्हें स्थानीय संकेतक तालिका में रखता है, स्टेलनेस प्रूनिंग और एयर-गैप स्विच के साथ।
एजेंट कॉन्फ़िग को पुश करने से पहले मान्य करता है। YAML पार्स, संरचनात्मक आकार और regex संकलन — एक अमान्य regex वैध YAML होता है और चुपचाप उसे शामिल करने वाले नियम को अक्षम कर देता है।
अंतर्निहित रिमोट डेस्कटॉप WebSocket JPEG स्ट्रीमिंग के माध्यम से, एंडपॉइंट पर अलग VNC इंस्टॉल की आवश्यकता नहीं।
साइडबार सब कुछ तीन अनुभागों में समूहित करता है: टेलीमेट्री (डैशबोर्ड, एजेंट, अलर्ट, एसेट, FIM, लॉग, AI), ऑटोमेशन प्रतिक्रिया (रक्षात्मक कार्रवाइयाँ, प्लेबुक, ऑटोमेशन नियम), और प्रशासन।
प्रत्येक नामांकित एजेंट का अपना पृष्ठ होता है जिसमें बारह टैब होते हैं। अवलोकन लाइव संसाधन मीटर, सबसे हाल के SIEM लॉग, एजेंट मेटाडेटा और एक थ्रेट सारांश दिखाता है:
अलर्ट वे सब कुछ हैं जिन्हें एजेंट के अपने सहसंबंध नियमों ने पहले ही चिह्नित कर दिया है। गंभीरता-रंगीन, फ़िल्टर करने योग्य, खोजने योग्य:
AI Analysis टैब स्थानीय LLM का ऑपरेटर-उन्मुख पक्ष है। मैन्युअल और स्वचालित स्कैन दोनों यहीं आते हैं। प्रत्येक अंतर्दृष्टि में एक निर्णय चिप, विश्वास, MITRE संकेतक (जब मॉडल उन्हें लौटाता है), IOC, अगले कदम, और एक View Source बटन होता है जो ठीक उसी लॉग पंक्ति को खोलता है जिसे AI ने देखा था:
प्रति एजेंट हार्डवेयर, सॉफ़्टवेयर, और नेटवर्क सॉकेट। हार्डवेयर टैब प्रत्येक PnP डिवाइस को सूचीबद्ध करता है, सॉफ़्टवेयर इंस्टॉल किए गए पैकेजों को सूचीबद्ध करता है, नेटवर्क प्रत्येक TCP/UDP सॉकेट को उसके स्वामी प्रक्रिया के साथ सूचीबद्ध करता है:
OpenSearch द्वारा समर्थित क्रॉस-एजेंट खोज। एक एजेंट चुनें, एक डेटासेट चुनें (SIEM इवेंट, सुरक्षा अलर्ट, प्रक्रिया इवेंट, नेटवर्क, FIM, ऑडिट लॉग), और खोजें। पावर उपयोगकर्ताओं के लिए OpenSearch Dashboards (Kibana फ़ोर्क) खोलने का एक बटन भी है:
