d3vhex/sentoraUna piattaforma SIEM, EDR e SOAR open-source, self-hosted e basata sull'AI, progettata per le moderne operazioni di sicurezza.
Stack di sicurezza self-hosted per team piccoli/medi che non hanno un
SOC dedicato. Installa un agent su ogni endpoint, puntali al server, e ottieni
log SIEM, integrità dei file, vulnerabilità dei pacchetti, un log explorer
basato su OpenSearch, triage autonomo con AI e un motore di playbook SOAR, tutto
con un solo docker compose up.
La parte "AI" è un modello Ollama in esecuzione locale (predefinito llama3.2:3b).
I log non lasciano mai la macchina; nessuna chiave OpenAI, nessuna chiave Anthropic, nessun
phone-home. Se vuoi un modello più intelligente e hai la RAM, sostituiscilo in .env.
Raccoglie telemetria dagli agent Windows e Linux su un unico canale TCP. Eventi SIEM, alert, FIM, pacchetti, connessioni di rete, porte aperte, attività Docker, frame dello schermo.
Rileva con regole Sigma, sull'endpoint. 43 regole che coprono 47 tecniche
MITRE ATT&CK sono incluse in conf/sigma/builtin/; aggiungi ruleset della community
accanto ad esse. Sigma confronta campi denominati anziché testo, quindi
Image|endswith: '\vssadmin.exe' non può essere aggirato dalla parola "vssadmin"
che compare in un messaggio non correlato — e
CommandLine|utf16le|base64offset|contains legge all'interno di un payload
-EncodedCommand in base64, dove la riga di comando in chiaro mostra solo il
wrapper. Misurato sul corpus di valutazione: 9 attacchi su 10 rilevati da Sigma da solo,
0 falsi positivi su 9 hard negative. Questo livello è deterministico e continua
a funzionare quando il modello non è disponibile.
Correla tra eventi, cosa che nessuna regola per singolo evento può fare. Un singolo logon
fallito è routine; cinque account che falliscono da un'unica origine in quaranta secondi sono un
password spray, e guardare uno qualsiasi di quei cinque eventi non te lo dirà
mai. Copre spray, brute force, un successo che arriva dopo fallimenti
ripetuti, e raffiche di creazione account o installazioni di servizi — su entrambe
le piattaforme, da event ID Windows o da righe auth.log analizzate.
Funziona da due punti di osservazione, perché vedono attacchi diversi. Per host sull'agent, dove un attacco contro una singola macchina è visibile per intero. E tra host nel percorso di ingest, dove uno spray che ha percorso un fallimento alla volta su cinquanta macchine emerge — nessun singolo agent vede più di un evento, e quello è l'attacco più competente, dato che spruzzare in largo e in superficie resta sotto sia le soglie di lockout per account che quelle per host.
Copertura totale con Sigma: 51 tecniche. Ogni finestra scatta una volta invece che una volta per evento, e ogni contatore è limitato — un contatore basato su un nome utente fornito dall'attaccante è una primitiva di esaurimento della memoria, non un rilevamento.
Mappa i rilevamenti su MITRE ATT&CK, direttamente dalle regole stesse. Le regole portano
tags: attack.t1490, quindi non esiste una tabella di mappatura mantenuta a mano che
possa diventare obsoleta. La pagina di copertura separa tre stati che un singolo
"coverage %" nasconderebbe: coperto e visto, coperto e silenzioso, e non coperto
affatto — l'ultimo è l'unico in cui il silenzio della console non significa nulla.
Analizza ogni evento con un LLM locale. Tre worker girano in parallelo:
uno osserva ogni evento in arrivo in tempo reale, uno esegue scansioni approfondite
guidate dall'operatore, e uno decide se intraprendere un'azione difensiva
(BLOCK_IP, ISOLATE_HOST, KILL_PROCESS, ecc.).
Modalità shadow per il worker difensivo. Imposta AI_SHADOW_MODE=1 e
ogni verdetto autonomo viene messo in attesa di approvazione umana nel SOAR Hub
invece di essere eseguito. Utile per mettere a punto il modello su traffico
reale prima di lasciarlo agire in autonomia.
Indicizza tutto in OpenSearch così puoi cercare nella tua flotta con query fuzzy / esatte / starts-with da un unico posto.
Esegue playbook SOAR creati in un piccolo editor visuale con tracciamento dei risultati multi-step per nodo, attivabili manualmente o tramite verdetto AI.
Scansioni di vulnerabilità di tutti i pacchetti installati su ogni agente rispetto a OSV (online o tramite un mirror interno).
Recupera feed di threat-intel da abuse.ch (Feodo, ThreatFox, URLhaus) in una tabella locale di indicatori, con rimozione degli elementi obsoleti e un interruttore per l'air-gap.
Valida le configurazioni degli agenti prima di inviarle. Parsing YAML, forma strutturale e compilazione delle regex — una regex non valida è YAML valido e disabilita silenziosamente la regola che la contiene.
Desktop remoto integrato tramite streaming JPEG su WebSocket, senza bisogno di installare VNC separatamente sull'endpoint.
La barra laterale raggruppa tutto in tre sezioni: telemetria (dashboard, agenti, avvisi, asset, FIM, log, AI), risposta automatizzata (azioni difensive, playbook, regole di automazione) e amministrazione.
Ogni agente registrato ha la propria pagina con dodici schede. La panoramica mostra indicatori delle risorse in tempo reale, i log SIEM più recenti, i metadati dell'agente e un riepilogo delle minacce:
Gli avvisi sono tutto ciò che le regole di correlazione dell'agente hanno già segnalato. Colorati per gravità, filtrabili, ricercabili:
La scheda AI Analysis è il lato rivolto all'operatore dell'LLM locale. Le scansioni manuali e automatiche finiscono entrambe qui. Ogni insight riporta un chip di verdetto, la confidenza, gli indicatori MITRE (quando il modello li restituisce), gli IOC, i passi successivi e un pulsante View Source che apre l'esatta riga di log esaminata dall'AI:
Hardware, software e socket di rete per agente. La scheda Hardware elenca ogni dispositivo PnP, quella Software elenca i pacchetti installati, quella Network elenca ogni socket TCP/UDP con il processo che lo possiede:
