🛡️ Simulação Paralela SOC Agentic (ASPS): Centro de Simulação Paralela de Operações de Segurança Autônomas

Redefinindo o Futuro das Operações de Segurança: Simulação Paralela SOC Full-Stack, Colaboração Multi-Agente e Defesa Autônoma Orientada por Dados

🇨🇳 中文文档 (Chinese Version)

Este projeto é uma plataforma de simulação paralela SOC agentic de ponta projetada para explorar o potencial extremo dos Modelos de Ação em Larga Escala (LAM) no campo da cibersegurança. Integrando o Modelo de Raciocínio DeepSeek, a Colaboração Multi-Agente e o padrão MCP (Model Context Protocol), construímos uma equipe SOC virtual full-stack, ponta a ponta e totalmente automatizada.

Aqui, a IA não é mais um simples executor de scripts, mas um analista digital com Cadeia de Pensamento de nível especialista. Desde a Equipe Roxa gerando tráfego de ataque, passando pela Equipe Azul desenvolvendo regras de detecção, até a Equipe de Operações lidando com triagem, perícia e resposta, sete agentes especializados conduzem exercícios autônomos e auto-evolução em um espaço paralelo. Ele pode desvendar as camadas de dados massivos como um especialista humano, construir grafos de ataque dinâmicos e tomar ações decisivas, elevando a eficiência e inteligência das operações de segurança a um novo patamar.

📸 Painel V2.0 (Mais Recente)

📸 Painel V1.0 (Legado)

📺 Demonstração no YouTube (V2.0): https://www.youtube.com/watch?v=XFazCM4x4b4

📺 Demonstração no YouTube (V1.0): https://www.youtube.com/watch?v=_gRINAQaKmo

✨ Destaques Principais

• ♾️ Simulação Paralela SOC Full-Stack

  • Além de um Único Analista: Este projeto simula não apenas um analista de IA, mas um sistema operacional SOC completo.
  • Cobertura do Ciclo de Vida Completo: Desde simulação de ataque da Equipe Vermelha -> geração de dados da Equipe Roxa -> desenvolvimento de regras da Equipe Azul -> detecção pelo mecanismo -> investigação de triagem -> resposta a incidentes -> arquivamento de relatórios.
  • Mapeamento de Arquitetura Real: Replica completamente os componentes centrais de um SOC moderno, incluindo Armazém de Dados de Segurança, Mecanismo de Detecção, orquestração SOAR e Sala de Guerra Visual.

• 🤖 Enxame de Colaboração Multi-Agente

  • Sete Papéis, Uma Equipe: Simula uma estrutura organizacional real de SOC, onde sete agentes colaboram perfeitamente por meio de contexto compartilhado, demonstrando inteligência de enxame superior às unidades individuais:
    • 😈 Equipe Roxa: Gera tráfego de ataque de alta fidelidade e ruído de fundo baseado em cenários (padrão OCSF).
    • 🛠️ Engenharia de Detecção: Analisa dados de telemetria para desenvolver e verificar automaticamente regras de detecção.
    • ⚙️ Mecanismo de Análise: Executa lógica de detecção, varre o armazém de dados e dispara alertas.
    • 🔍 Triagem: Filtra falsos positivos e avalia a credibilidade dos alertas.
    • 🕵️‍♂️ Perícia: Invoca ferramentas para investigação aprofundada e constrói cadeias de ataque.
    • 🛡️ Comandante: Formula estratégias de resposta, executa bloqueios ou solicita aprovação.
    • 📝 Relator: Resume resultados de investigação e gera relatórios de segurança estruturados.

• 📊 Engenharia de Detecção Orientada por Dados

  • Armazém de Dados de Segurança: Armazém de dados leve integrado com suporte ao armazenamento e recuperação de dados no padrão OCSF (Open Cybersecurity Schema Framework).
  • Observação de Telemetria: Fornece tabelas dinâmicas visuais permitindo que analistas observem diretamente logs de telemetria brutos para verificar a qualidade dos dados e assinaturas de ataque.
  • Bancada de Engenharia de Detecção: Um espaço de trabalho dedicado exibindo o processo de transformação de "Dados" para "Regras", alcançando transparência e explicabilidade da lógica de detecção.

🏗️ Arquitetura do Sistema

Este projeto adota um design de arquitetura em camadas, simulando um ambiente de operações de segurança de nível empresarial real:

graph TD
    User[Analista de Segurança] -->|Interagir/Aprovar| UI["Painel Streamlit"]
    UI -->|Requisição HTTP| MCP["Servidor MCP (FastAPI)"]
    UI -->|Monitor de Status| AgentCore["Núcleo do Agente de IA"]
    
    subgraph AgentTeam ["Equipe de Agentes de IA (Cérebro)"]
        AgentCore --> Purple[Agente da Equipe Roxa]
        AgentCore --> Detection[Agente de Engenharia de Detecção]
        AgentCore --> Engine[Agente do Mecanismo de Análise]
        AgentCore --> Triage[Agente de Triagem]
        AgentCore --> Forensic[Agente de Perícia]
        AgentCore --> Commander[Agente Comandante]
        AgentCore --> Reporter[Agente Relator]
    end
    
    subgraph DataLayer ["Camada de Dados (Memória)"]
        Purple -->|Escrever| Warehouse[(Armazém de Dados de Segurança OCSF)]
        Detection -->|Ler| Warehouse
        Engine -->|Escaneamento| Warehouse
    end

    subgraph MCPTools ["Ferramentas MCP (Mãos e Olhos)"]
        MCP --> VT["API VirusTotal"]
        MCP --> Graph[Mecanismo de Grafo de Conhecimento]
        MCP --> Firewall[Simulação de Firewall]
        MCP --> Payload["Analisador de Payload"]
    end
    
    Forensic -->|Chamar Ferramentas| MCP
    Commander -->|Executar Resposta| MCP

1. Painel (Streamlit): app/main.py

   • O centro de comando visual para analistas de segurança.
   • Bancada de Engenharia de Detecção: Exibe processos de geração de dados e desenvolvimento de regras.
   • Visualização do Armazém de Dados de Segurança: Visualização em tempo real dos dados de telemetria OCSF.
   • Sala de Guerra: Exibição em tempo real do processo de investigação do Agente e do grafo de conhecimento.

2. Servidor MCP (FastAPI): mcp_server/main.py

   • Atua como "mãos e pés" do Agente.
   • Fornece APIs padrão para chamadas do Agente.
   • Contém lógica para ferramentas de segurança reais/simuladas.

3. Agente de IA (Python): agent/

   • core.py: O "cérebro" das operações. Define a classe base Agent e os 7 papéis especializados (Roxo, Detecção, Mecanismo, Triagem, Perícia, Comandante, Relator).
   • engine.py: O Mecanismo de Análise responsável por corresponder telemetria OCSF às regras de detecção.
   • ocsf.py: Define os modelos de dados OCSF (Open Cybersecurity Schema Framework).

⚙️ Exemplo de Fluxo de Execução (Simulação Paralela)

O seguinte demonstra como o sistema lida com um exercício completo de simulação paralela:

1. Definição de Cenário: O usuário insere um cenário de ataque (ex: ataque APT Lazarus).
2. Geração de Dados (Passo 1): A Equipe Roxa gera dados de telemetria OCSF contendo ruído de fundo normal e comportamento malicioso, armazenando-os no Armazém de Dados de Segurança.
3. Desenvolvimento de Regras (Passo 2): O Engenheiro de Detecção analisa os dados de telemetria no armazém para escrever automaticamente regras de detecção.
4. Varredura do Mecanismo (Passo 3): O Mecanismo de Análise executa as regras, varre o armazém e dispara alertas.
5. Triagem: O Agente de Triagem analisa a credibilidade do alerta, considera alto risco e encaminha para Perícia.
6. Perícia: O Agente de Perícia
   • Chama check_ip_reputation para confirmar que o IP de origem é malicioso.
   • Chama analyze_payload para identificar o anexo como um downloader malicioso.
   • Chama graph_add_relation para construir o grafo: IP(45.33...) --[Entrega]--> Host(Workstation).
7. Análise de Correlação: Quando um alerta subsequente de "Conexão C2" é recebido, o Agente de Perícia correlaciona automaticamente ao nó existente Host(Workstation), formando uma cadeia de ataque.
8. Resposta (Comandante): O Comandante determina que a ameaça está confirmada e tenta bloquear o IP C2.
9. Aprovação Humana (HITL): Dispara PENDING_APPROVAL, o analista clica em "Aprovar" na interface.

🚀 Início Rápido

1. Preparação do Ambiente

Clone o projeto e instale as dependências:

pip install -r requirements.txt

2. Iniciar Serviços

Você precisa abrir dois terminais para executar os seguintes comandos respectivamente:

Terminal 1: Iniciar Servidor de Ferramentas MCP

python3 -m uvicorn mcp_server.main:app --reload --port 8000

Terminal 2: Iniciar Painel Web

python3 -m streamlit run app/main.py

3. Configuração e Experiência

1. Acessar Interface: Abra seu navegador e visite http://localhost:8501.
2. Configurar Chave de API: Insira sua Chave de API do DeepSeek e Chave de API do VirusTotal (opcional) na barra lateral "Configuração do Sistema". A configuração é válida apenas para a sessão atual; não é necessário modificar arquivos locais.
3. Simulação Paralela:
   • Na área da barra lateral "♾️ Simulação Paralela", insira ou use o cenário de ataque padrão.
   • Clique em "🚀 Iniciar Simulação Completa".
   • O sistema executará automaticamente a geração de dados, desenvolvimento de regras e detecção do mecanismo, prosseguindo para o fluxo de resposta do SOC.
4. Observar e Interagir:
   • Observe a área "Equipe SOC" para ver como engenheiros de IA com diferentes funções trabalham em revezamento.
   • Na área "Armazém de Dados de Segurança", visualize os dados de telemetria OCSF gerados.
   • Na área "Grafo de Conhecimento", visualize a cadeia de ataque construída em tempo real.
   • Quando operações de alto risco são encontradas, aprove ou rejeite na área "Decisão Humana".

📂 Estrutura do Projeto

.
├── app/                # Interface Frontend (Streamlit)
│   └── main.py         # Programa Principal: Layout da Interface, Gerenciamento de Estado, Visualização
├── mcp_server/         # Serviço de Ferramentas (FastAPI)
│   └── main.py         # Fornece APIs para Reputação de IP, Firewall, Gerenciamento de Grafo, etc.
├── agent/              # Lógica Central do Agente
│   ├── core.py         # Define BaseAgent e papéis especializados de Agente
│   ├── engine.py       # Mecanismo de Análise: Responsável pela correspondência de regras e disparo de alertas
│   └── ocsf.py         # Padrão de Dados: Definição do Modelo de Dados de Telemetria OCSF
├── requirements.txt    # Dependências do Projeto
└── README.md           # Documentação do Projeto