OneAlert AI Security OS

Difesa informatica autonoma open-source per reti industriali

Agenti AI che rilevano, indagano, cacciano e rispondono alle minacce sulla tua infrastruttura OT/ICS — con porte di approvazione umane e audit trail completi.

Demo Setup · Funzionalità · Avvio rapido · Architettura

Provatelo Ora

Demo live: https://onealert-demo.mangoglacier-b3ad215d.southeastasia.azurecontainerapps.io/app/

Precaricata con un impianto di trattamento acque realistico: 11 asset OT/IT, uno scenario di attacco multi-fase (compromissione VPN → movimento laterale → tentativo di accesso PLC), caso investigativo generato dall'AI con mappatura MITRE ATT&CK e oltre 15 eventi di sicurezza.

Vedilo in Azione

Dashboard del posture di sicurezza con KPI, ripartizione per gravità e mappa di calore dei rischi

Perché Esiste

Gli strumenti SOC aziendali costano $300K-$800K/anno. I produttori PMI con PLC, sistemi SCADA e reti OT non possono permetterseli — ma sono sempre più presi di mira. OneAlert fornisce loro un blue team AI che:

• Ingestisce la telemetria di rete Suricata/Zeek
• Rileva anomalie con agenti AI (non solo regole statiche)
• Correla gli avvisi in casi investigativi con mappatura MITRE ATT&CK
• Genera piani di risposta con porte di approvazione umane
• Caccia alle minacce usando il linguaggio naturale
• Impone vincoli di sicurezza OT (nessuna azione autonoma sui PLC)

Funzionalità

Pipeline Agenti AI

Sei agenti specializzati che lavorano in squadra:

Autonomia Governata

• 5 livelli di autonomia (L0 sola lettura a L4 modalità crisi)
• Vincolo di sicurezza OT: gli asset Purdue Livello 0-3 richiedono sempre approvazione umana per il contenimento
• Registro completo degli agenti: ogni decisione AI registrata con modello, token, ragionamento
• Motore delle policy: regole di approvazione delle azioni per zona, tipo di asset e livello di autonomia
• Flusso di approvazione: approva/rifiuta piani di risposta tramite API REST prima dell'esecuzione
• Esecutore di azioni: 12 tipi di azione (notifica, blocca IP, isola host, metti in quarantena VLAN, ecc.)

Redazione di PII e Segreti

• 8 tipi di pattern: email, SSN, carte di credito, chiavi API, bearer token, password, chiavi private, JWT
• Integrato nell'ingestion degli eventi: i segreti vengono rimossi prima dell'archiviazione e dell'elaborazione LLM
• Preserva gli osservabili di rete: IP, porte, domini, hostname vengono mantenuti per l'analisi di sicurezza

Validazione Purple-Team

• Test ATT&CK simulati: 8 categorie di tecniche con libreria di test atomici
• Modalità dry-run/lab/produzione: la modalità produzione richiede approvazione umana esplicita
• Metriche di copertura del rilevamento: tassi di rilevamento per tecnica e analisi delle lacune
• Tracciamento dei risultati dei controlli: quali regole di rilevamento hanno attivato, quali hanno mancato

Ricerca Semantica e Raggio d'Esplosione

• Ricerca casi in linguaggio naturale: ranking TF-IDF senza dipendenze esterne
• Recupero incidenti simili: matching per similarità del coseno con evidenziazione delle tecniche MITRE condivise
• Grafo del raggio d'esplosione: visualizzazione delle relazioni tra entità (asset, IP, tecniche MITRE per caso)

Ingestione Eventi di Sicurezza

• Parser Suricata EVE JSON (avvisi, DNS, HTTP, TLS, flussi)
• Parser Zeek log (conn, dns, http, ssl, files, notice)
• Ricevitore webhook per l'ingestion in tempo reale da Filebeat/Fluentd
• Caricamento file per analisi offline

Integrazione MITRE ATT&CK

• Matrice Enterprise + ICS (16 tattiche, 30+ tecniche)
• Mappatura automatica dalle firme Suricata alle tecniche
• Mappa di calore della copertura del rilevamento per tattica
• Browser di tecniche ricercabile

Laboratorio di Caccia alle Minacce

• Input in linguaggio naturale: "Cerca movimento laterale dalla workstation di ingegneria alla sottorete PLC"
• L'AI genera query SQL contro i tuoi dati di evento
• Regole Sigma generate automaticamente dai risultati confermati
• Validazione di sicurezza delle query in sola lettura (blocca INSERT/UPDATE/DELETE)

Gestione Vulnerabilità OT/ICS

• Aggregazione CVE multi-fonte (NVD, CISA KEV, ICS-CERT, Cisco PSIRT, Microsoft MSRC)
• Remediation AI consapevole dell'OT (controlli compensativi per zone critiche)
• Punteggio di probabilità di exploit EPSS
• Analisi SBOM (CycloneDX/SPDX)
• Scoperta passiva dei dispositivi con classificazione modello Purdue

Compliance-as-Code

• IEC 62443-3-3 (10 controlli) + NIST CSF 2.0 (11 controlli)
• Raccolta automatica delle prove dai dati della piattaforma
• Punteggio di conformità continuo

Multi-Tenancy e Fatturazione

• Modello organizzativo con accesso basato sui ruoli (admin/analyst/viewer)
• Fatturazione Stripe (Free, Starter $499, Pro $1,999, Enterprise $4,999/mese)
• Integrazioni SIEM (Splunk, Sentinel, ServiceNow, PagerDuty)

Avvio Rapido

Demo con un comando

git clone https://github.com/mangod12/OneAlert.git
cd OneAlert
pip install -r requirements.txt
python -m backend.demo

Apri http://localhost:8000/app/ — i dati demo si caricano automaticamente con lo scenario di attacco.

Docker

docker compose up --build

Sviluppo Locale

# Backend
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python -m uvicorn backend.main:app --reload

# Frontend
cd frontend-v2 && npm install && npm run dev

Variabili d'Ambiente

# Richieste per gli agenti AI
AI_PROVIDER=anthropic          # o openai, ollama, vllm, groq
ANTHROPIC_API_KEY=sk-ant-...   # o AI_API_KEY per compatibile OpenAI

# Opzionali
AI_TRIAGE_MODEL=claude-sonnet-4-20250514
AI_BASE_URL=http://localhost:11434/v1  # per Ollama/vLLM
SECRET_KEY=your-production-secret
DATABASE_URL=postgresql://user:pass@host/db

Architettura

                      OneAlert AI Security OS
 ┌─────────────────┬───────────────────┬───────────────────────┐
 │  Sensor Layer   │   Agent Layer     │     Control Plane      │
 │                 │                   │                        │
 │  Suricata EVE   │  Detect Agent     │  Policy Engine         │
 │  Zeek Logs      │  Triage Agent     │  Autonomy Levels       │
 │  Syslog/Auth    │  Hunt Agent       │  Approval Workflow     │
 │  OT Discovery   │  Response Agent   │  Agent Ledger          │
 │  PII Redaction  │  Purple Agent     │  OT Zone Constraints   │
 │                 │  Compliance Agent  │  Action Executor       │
 ├─────────────────┼───────────────────┼───────────────────────┤
 │  Data Layer     │   AI Runtime      │     Frontend           │
 │                 │                   │                        │
 │  PostgreSQL     │  Claude (default) │  Dashboard             │
 │  SQLite (dev)   │  OpenAI-compat    │  Cases & Investigations│
 │  Event Store    │  Ollama/vLLM      │  Events Viewer         │
 │  Agent Ledger   │  Model Routing    │  MITRE ATT&CK Map     │
 │  Semantic Search│                   │  Hunt Lab              │
 │                 │                   │  Response Plans        │
 │                 │                   │  Purple-Team Validation│
 └─────────────────┴───────────────────┴───────────────────────┘

Flusso dei Dati

Suricata/Zeek Events ──► Ingest API ──► Event Store
                                            │
                                       Detect Agent (anomaly detection)
                                            │
CVE Alerts (NVD/CISA/ICS-CERT) ──► Triage Agent (correlation + MITRE)
                                            │
                                       Investigation Cases
                                            │
                                       Response Agent (governed plans)
                                            │
                                  Human Approval ──► Execute Actions

Stack Tecnologico

Panoramica API

Documentazione API completa su /docs quando eseguito in locale.

Struttura del Progetto

backend/
├── services/ai/          # Provider-agnostic LLM runtime
├── services/agents/       # Detect, Triage, Hunt, Response, Purple agents
├── services/mitre/        # MITRE ATT&CK integration
├── services/parsers/      # Suricata + Zeek event parsers
├── models/                # SQLAlchemy models + Pydantic schemas
├── routers/               # FastAPI route handlers
├── services/pii_redactor.py    # PII/secret redaction pipeline
├── services/action_executor.py # Response action execution
├── services/semantic_search.py # TF-IDF search + blast radius
└── services/              # CVE, compliance, billing, notifications

frontend-v2/src/
├── pages/                 # Dashboard, Cases, Events, HuntLab, MitreMap, ResponsePlans, Validation
├── components/            # Charts, layout, shared UI
└── stores/                # Zustand auth state

tests/                     # 309 pytest tests
tests/e2e/                 # Playwright E2E against the deployed app
docs/                      # AI_CONTEXT, ARCHITECTURE, CODEMAP, VISION

Confronto con OneAlert

Differenziatore di OneAlert: Agenti AI che indagano e rispondono, non solo raccolgono log. Ogni azione governata da policy con approvazione umana per gli asset OT.

Progettato Per

Contribuire

I contributi sono benvenuti! Aree in cui l'aiuto è più prezioso:

• Nuovi parser di eventi: Windows Event Log, AWS CloudTrail, Azure Activity
• Copertura MITRE: Più mappature delle tecniche e regole di rilevamento
• Ecosistema Sigma: Import/esportazione regole Sigma, test contro dati di evento
• UI/UX: Widget della dashboard, visualizzazione dei casi, grafo di topologia
• Protocolli OT: Parser aggiuntivi per protocolli ICS (BACnet, HART-IP)

Licenza

MIT — vedi License.

Costruito per i team di sicurezza che non possono permettersi una piattaforma SOC da $500K ma ne hanno comunque bisogno.