🛡️ Agentic SOC Parallel Simulation (ASPS): स्वायत्त सुरक्षा संचालन समानांतर सिमुलेशन केंद्र

सुरक्षा संचालन के भविष्य को पुनर्परिभाषित करना: फुल-स्टैक SOC समानांतर सिमुलेशन, बहु-एजेंट सहयोग, और डेटा-संचालित स्वायत्त रक्षा

🇨🇳 चीनी दस्तावेज़ (चीनी संस्करण)

यह प्रोजेक्ट एक अत्याधुनिक Agentic SOC समानांतर सिमुलेशन प्लेटफॉर्म है, जिसे साइबर सुरक्षा के क्षेत्र में लार्ज एक्शन मॉडल (LAM) की चरम क्षमता का पता लगाने के लिए डिज़ाइन किया गया है। DeepSeek रीज़निंग मॉडल, बहु-एजेंट सहयोग, और MCP (मॉडल कॉन्टेक्स्ट प्रोटोकॉल) मानक को एकीकृत करके, हमने एक फुल-स्टैक, एंड-टू-एंड, पूरी तरह से स्वचालित आभासी SOC टीम बनाई है।

यहाँ, AI अब एक साधारण स्क्रिप्ट निष्पादक नहीं, बल्कि विशेषज्ञ-स्तर की चिंतन श्रृंखला (Chain of Thought) वाला एक डिजिटल विश्लेषक है। पर्पल टीम द्वारा आक्रमण ट्रैफ़िक उत्पन्न करने से लेकर, ब्लू टीम द्वारा पहचान नियम विकसित करने, और अंत में ऑपरेशन टीम द्वारा ट्राइएज, फॉरेंसिक और प्रतिक्रिया करने तक, सात विशिष्ट एजेंट एक समानांतर स्थान में स्वायत्त अभ्यास और स्व-विकास करते हैं। यह मानव विशेषज्ञ की तरह विशाल डेटा में परत-दर-परत गहराई से जा सकता है, गतिशील आक्रमण ग्राफ़ बना सकता है, और निर्णायक कार्रवाई कर सकता है, जिससे सुरक्षा संचालन की दक्षता और बुद्धिमत्ता एक नए आयाम पर पहुँच जाती है।

📸 डैशबोर्ड V2.0 (नवीनतम)

📸 डैशबोर्ड V1.0 (पुराना)

📺 YouTube डेमो (V2.0): https://www.youtube.com/watch?v=XFazCM4x4b4

📺 YouTube डेमो (V1.0): https://www.youtube.com/watch?v=_gRINAQaKmo

✨ मुख्य विशेषताएं

• ♾️ फुल-स्टैक SOC समानांतर सिमुलेशन

  • एकल विश्लेषक से परे: यह प्रोजेक्ट केवल एक AI विश्लेषक का अनुकरण नहीं करता, बल्कि एक संपूर्ण SOC संचालन प्रणाली का अनुकरण करता है।
  • पूर्ण जीवनचक्र कवरेज: रेड टीम आक्रमण सिमुलेशन -> पर्पल टीम डेटा जनरेशन -> ब्लू टीम नियम विकास -> इंजन डिटेक्शन -> ट्राइएज जांच -> घटना प्रतिक्रिया -> रिपोर्ट संग्रहण तक।
  • वास्तविक आर्किटेक्चर मैपिंग: आधुनिक SOC के मुख्य घटकों, जिसमें सुरक्षा डेटा वेयरहाउस, डिटेक्शन इंजन, SOAR ऑर्केस्ट्रेशन, और विज़ुअल वॉर रूम शामिल हैं, को पूरी तरह से दोहराता है।

• 🤖 बहु-एजेंट सहयोग झुंड

  • सात भूमिकाएँ, एक टीम: एक वास्तविक SOC संगठनात्मक संरचना का अनुकरण करता है, जहाँ सात एजेंट साझा संदर्भ के माध्यम से सहजता से सहयोग करते हैं, व्यक्तिगत इकाइयों से श्रेष्ठ झुंड बुद्धिमत्ता प्रदर्शित करते हैं:
    • 😈 पर्पल टीम: परिदृश्यों के आधार पर उच्च-निष्ठा आक्रमण ट्रैफ़िक और पृष्ठभूमि शोर उत्पन्न करती है (OCSF मानक)।
    • 🛠️ डिटेक्शन इंजी: टेलीमेट्री डेटा का विश्लेषण करके स्वचालित रूप से पहचान नियम विकसित और सत्यापित करता है।
    • ⚙️ विश्लेषण इंजन: डिटेक्शन लॉजिक चलाता है, डेटा वेयरहाउस को स्कैन करता है, और अलर्ट ट्रिगर करता है।
    • 🔍 ट्राइएज: झूठी सकारात्मकताओं को फ़िल्टर करता है और अलर्ट विश्वसनीयता का आकलन करता है।
    • 🕵️‍♂️ फॉरेंसिक: गहन जांच के लिए उपकरणों को आमंत्रित करता है और आक्रमण श्रृंखला का निर्माण करता है।
    • 🛡️ कमांडर: प्रतिक्रिया रणनीतियाँ तैयार करता है, प्रतिबंध लगाता है, या अनुमोदन का अनुरोध करता है।
    • 📝 रिपोर्टर: जांच परिणामों का सारांश देता है और संरचित सुरक्षा रिपोर्ट तैयार करता है।

• 📊 डेटा-संचालित डिटेक्शन इंजीनियरिंग

  • सुरक्षा डेटा वेयरहाउस: अंतर्निर्मित हल्का डेटा वेयरहाउस जो OCSF (ओपन साइबरसिक्योरिटी स्कीमा फ्रेमवर्क) मानक डेटा के भंडारण और पुनर्प्राप्ति का समर्थन करता है।
  • टेलीमेट्री अवलोकन: विज़ुअल पिवट टेबल प्रदान करता है जो विश्लेषकों को डेटा गुणवत्ता और आक्रमण हस्ताक्षर सत्यापित करने के लिए कच्चे टेलीमेट्री लॉग का सीधे निरीक्षण करने की अनुमति देता है।
  • डिटेक्शन इंजीनियरिंग वर्कबेंच: एक समर्पित कार्यक्षेत्र जो "डेटा" से "नियम" में परिवर्तन प्रक्रिया प्रदर्शित करता है, डिटेक्शन लॉजिक की पारदर्शिता और व्याख्याता सुनिश्चित करता है।

• 🧠 गहन तर्क और संज्ञानात्मक बुद्धिमत्ता

  • DeepSeek मजबूत तर्क इंजन द्वारा संचालित, मानव-सदृश तार्किक विश्लेषण और निर्णय लेने की क्षमता रखता है।

🏗️ सिस्टम आर्किटेक्चर

यह प्रोजेक्ट एक लेयर्ड आर्किटेक्चर डिज़ाइन अपनाता है, जो वास्तविक एंटरप्राइज़-ग्रेड सुरक्षा संचालन वातावरण का अनुकरण करता है:

graph TD
    User[सुरक्षा विश्लेषक] -->|परस्पर क्रिया/अनुमोदन| UI["Streamlit डैशबोर्ड"]
    UI -->|HTTP अनुरोध| MCP["MCP सर्वर (FastAPI)"]
    UI -->|स्थिति निगरानी| AgentCore["AI एजेंट कोर"]
    
    subgraph AgentTeam ["AI एजेंट टीम (मस्तिष्क)"]
        AgentCore --> Purple[पर्पल टीम एजेंट]
        AgentCore --> Detection[डिटेक्शन इंजी एजेंट]
        AgentCore --> Engine[विश्लेषण इंजन एजेंट]
        AgentCore --> Triage[ट्राइएज एजेंट]
        AgentCore --> Forensic[फॉरेंसिक एजेंट]
        AgentCore --> Commander[कमांडर एजेंट]
        AgentCore --> Reporter[रिपोर्टर एजेंट]
    end
    
    subgraph DataLayer ["डेटा परत (स्मृति)"]
        Purple -->|लिखें| Warehouse[(सुरक्षा डेटा वेयरहाउस OCSF)]
        Detection -->|पढ़ें| Warehouse
        Engine -->|स्कैन| Warehouse
    end

    subgraph MCPTools ["MCP उपकरण (हाथ और आँखें)"]
        MCP --> VT["VirusTotal API"]
        MCP --> Graph[ज्ञान ग्राफ़ इंजन]
        MCP --> Firewall[फ़ायरवॉल सिमुलेशन]
        MCP --> Payload["पेलोड विश्लेषक"]
    end
    
    Forensic -->|उपकरण कॉल| MCP
    Commander -->|प्रतिक्रिया निष्पादित| MCP

1. डैशबोर्ड (Streamlit): app/main.py

   • सुरक्षा विश्लेषकों के लिए विज़ुअल कमांड सेंटर।
   • डिटेक्शन इंजीनियरिंग वर्कबेंच: डेटा जनरेशन और नियम विकास प्रक्रियाएँ प्रदर्शित करता है।
   • सुरक्षा डेटा वेयरहाउस दृश्य: OCSF टेलीमेट्री डेटा का रीयल-टाइम दृश्य।
   • वॉर रूम: एजेंट की जांच प्रक्रिया और ज्ञान ग्राफ़ का रीयल-टाइम प्रदर्शन।

2. MCP सर्वर (FastAPI): mcp_server/main.py

   • एजेंट के "हाथ और पैर" के रूप में कार्य करता है।
   • एजेंट कॉल के लिए मानक API प्रदान करता है।
   • वास्तविक/अनुकरणीय सुरक्षा उपकरणों का तर्क शामिल है।

3. AI एजेंट (Python): agent/

   • core.py: संचालन का "मस्तिष्क"। आधार एजेंट वर्ग और 7 विशिष्ट भूमिकाएँ (पर्पल, डिटेक्शन, इंजन, ट्राइएज, फॉरेंसिक, कमांडर, रिपोर्टर) परिभाषित करता है।
   • engine.py: विश्लेषण इंजन जो डिटेक्शन नियमों के विरुद्ध OCSF टेलीमेट्री का मिलान करने के लिए जिम्मेदार है।
   • ocsf.py: OCSF (ओपन साइबरसिक्योरिटी स्कीमा फ्रेमवर्क) डेटा मॉडल परिभाषित करता है।

⚙️ निष्पादन प्रवाह उदाहरण (समानांतर सिमुलेशन)

निम्नलिखित दर्शाता है कि सिस्टम एक पूर्ण समानांतर सिमुलेशन अभ्यास को कैसे संभालता है:

1. परिदृश्य परिभाषा: उपयोगकर्ता एक आक्रमण परिदृश्य दर्ज करता है (जैसे, लाज़ारस APT आक्रमण)।
2. डेटा जनरेशन (चरण 1): पर्पल टीम सामान्य पृष्ठभूमि शोर और दुर्भावनापूर्ण व्यवहार दोनों वाला OCSF टेलीमेट्री डेटा उत्पन्न करती है, और इसे सुरक्षा डेटा वेयरहाउस में संग्रहीत करती है।
3. नियम विकास (चरण 2): डिटेक्शन इंजीनियर वेयरहाउस में टेलीमेट्री डेटा का विश्लेषण करके स्वचालित रूप से पहचान नियम लिखता है।
4. इंजन स्कैन (चरण 3): विश्लेषण इंजन नियम चलाता है, वेयरहाउस को स्कैन करता है, और अलर्ट ट्रिगर करता है।
5. ट्राइएज: ट्राइएज एजेंट अलर्ट विश्वसनीयता का विश्लेषण करता है, इसे उच्च जोखिम मानता है, और फॉरेंसिक को अग्रेषित करता है।
6. फॉरेंसिक: फॉरेंसिक एजेंट
   • स्रोत IP को दुर्भावनापूर्ण सत्यापित करने के लिए check_ip_reputation कॉल करता है।
   • अटैचमेंट को दुर्भावनापूर्ण डाउनलोडर के रूप में पहचानने के लिए analyze_payload कॉल करता है।
   • ग्राफ़ बनाने के लिए graph_add_relation कॉल करता है: IP(45.33...) --[वितरित]--> होस्ट(वर्कस्टेशन)।
7. सहसंबंध विश्लेषण: जब बाद में "C2 कनेक्शन" अलर्ट प्राप्त होता है, तो फॉरेंसिक एजेंट स्वचालित रूप से इसे मौजूदा होस्ट(वर्कस्टेशन) नोड से सहसंबंधित करता है, जिससे एक आक्रमण श्रृंखला बनती है।
8. प्रतिक्रिया (कमांडर): कमांडर निर्धारित करता है कि खतरा पुष्टि हो गया है और C2 IP पर प्रतिबंध लगाने का प्रयास करता है।
9. मानव अनुमोदन (HITL): PENDING_APPROVAL ट्रिगर करता है, विश्लेषक इंटरफ़ेस पर "अनुमोदित करें" पर क्लिक करता है।

🚀 त्वरित आरंभ

1. पर्यावरण तैयारी

प्रोजेक्ट को क्लोन करें और निर्भरताएँ स्थापित करें:

pip install -r requirements.txt

2. सेवाएँ प्रारंभ करें

निम्नलिखित कमांड को क्रमशः चलाने के लिए आपको दो टर्मिनल विंडो खोलनी होंगी:

टर्मिनल 1: MCP उपकरण सर्वर प्रारंभ करें

python3 -m uvicorn mcp_server.main:app --reload --port 8000

टर्मिनल 2: वेब डैशबोर्ड प्रारंभ करें

python3 -m streamlit run app/main.py

3. कॉन्फ़िगरेशन और अनुभव

1. इंटरफ़ेस तक पहुँचें: अपना ब्राउज़र खोलें और http://localhost:8501 पर जाएँ।
2. API कुंजी कॉन्फ़िगर करें: "सिस्टम कॉन्फ़िगरेशन" साइडबार में अपनी DeepSeek API कुंजी और VirusTotal API कुंजी (वैकल्पिक) दर्ज करें। कॉन्फ़िगरेशन केवल वर्तमान सत्र के लिए मान्य है; स्थानीय फ़ाइलों को संशोधित करने की आवश्यकता नहीं है।
3. समानांतर सिमुलेशन:
   • "♾️ समानांतर सिमुलेशन" साइडबार क्षेत्र में, डिफ़ॉल्ट आक्रमण परिदृश्य दर्ज करें या उपयोग करें।
   • "🚀 पूर्ण सिमुलेशन प्रारंभ करें" पर क्लिक करें।
   • सिस्टम स्वचालित रूप से डेटा जनरेशन, नियम विकास, और इंजन डिटेक्शन निष्पादित करेगा, फिर SOC प्रतिक्रिया वर्कफ़्लो पर आगे बढ़ेगा।
4. निरीक्षण और परस्पर क्रिया:
   • "SOC टीम" क्षेत्र देखें कि कैसे विभिन्न भूमिकाओं वाले AI इंजीनियर रिले में काम करते हैं।
   • "सुरक्षा डेटा वेयरहाउस" क्षेत्र में, उत्पन्न OCSF टेलीमेट्री डेटा देखें।
   • "ज्ञान ग्राफ़" क्षेत्र में, रीयल-टाइम में निर्मित आक्रमण श्रृंखला देखें।
   • जब उच्च-जोखिम वाले संचालन का सामना हो, तो "मानव निर्णय" क्षेत्र में उनका अनुमोदन या अस्वीकार करें।

📂 प्रोजेक्ट संरचना

.
├── app/                # फ्रंटएंड इंटरफ़ेस (Streamlit)
│   └── main.py         # मुख्य प्रोग्राम: UI लेआउट, स्थिति प्रबंधन, विज़ुअलाइज़ेशन
├── mcp_server/         # उपकरण सेवा (FastAPI)
│   └── main.py         # IP प्रतिष्ठा, फ़ायरवॉल, ग्राफ़ प्रबंधन, आदि के लिए API प्रदान करता है
├── agent/              # एजेंट कोर लॉजिक
│   ├── core.py         # BaseAgent और विशिष्ट एजेंट भूमिकाएँ परिभाषित करता है
│   ├── engine.py       # विश्लेषण इंजन: नियम मिलान और अलर्ट ट्रिगरिंग के लिए जिम्मेदार
│   └── ocsf.py         # डेटा मानक: OCSF टेलीमेट्री डेटा मॉडल परिभाषा
├── requirements.txt    # प्रोजेक्ट निर्भरताएँ
└── README.md           # प्रोजेक्ट दस्तावेज़ीकरण