OneAlert AI Security OS

Открытая автономная киберзащита для промышленных сетей

ИИ-агенты, которые обнаруживают, расследуют, охотятся и реагируют на угрозы в вашей OT/ICS-инфраструктуре — с человеческими шлюзами утверждения и полным журналом аудита.

Демо-настройка · Возможности · Быстрый старт · Архитектура

Попробуйте сейчас

Живое демо: https://onealert-demo.mangoglacier-b3ad215d.southeastasia.azurecontainerapps.io/app/

Предварительно загружено с реалистичным заводом по очистке воды: 11 OT/IT-активов, многоэтапный сценарий атаки (компрометация VPN → боковое перемещение → попытка доступа к ПЛК), сгенерированное ИИ расследование с сопоставлением MITRE ATT&CK и 15+ событий безопасности.

Посмотрите в действии

Панель состояния безопасности с KPI, разбивкой по критичности и тепловой картой рисков

Зачем это нужно

Корпоративные инструменты SOC стоят $300K-$800K в год. Производители малого и среднего бизнеса с ПЛК, SCADA-системами и OT-сетями не могут себе их позволить — но они всё чаще становятся целями. OneAlert предоставляет им синюю команду ИИ, которая:

• Потребляет сетевую телеметрию Suricata/Zeek
• Обнаруживает аномалии с помощью ИИ-агентов (а не только статических правил)
• Коррелирует оповещения в расследования с сопоставлением MITRE ATT&CK
• Генерирует планы реагирования с человеческими шлюзами утверждения
• Охотится за угрозами с помощью естественного языка
• Соблюдает ограничения безопасности OT (никаких автономных действий на ПЛК)

Возможности

Конвейер ИИ-агентов

Шесть специализированных агентов, работающих как команда:

Управляемая автономия

• 5 уровней автономии (L0 «только чтение» до L4 «кризисный режим»)
• Ограничение безопасности OT: активы уровней Purdue 0-3 всегда требуют человеческого одобрения для сдерживания
• Полный реестр агентов: каждое решение ИИ регистрируется с моделью, токенами, обоснованием
• Движок политик: правила утверждения действий по зоне, типу актива и уровню автономии
• Процесс утверждения: утверждайте/отклоняйте планы реагирования через REST API до выполнения
• Исполнитель действий: 12 типов действий (уведомить, заблокировать IP, изолировать хост, поместить VLAN в карантин и т.д.)

Редактирование PII и секретов

• 8 типов шаблонов: email, SSN, кредитные карты, API-ключи, токены Bearer, пароли, закрытые ключи, JWT
• Интегрировано в приём событий: секреты удаляются до сохранения и обработки LLM
• Сохраняет сетевые наблюдаемые объекты: IP-адреса, порты, домены, имена хостов для анализа безопасности

Валидация фиолетовой командой

• Симулированное тестирование ATT&CK: 8 категорий техник с библиотекой атомарных тестов
• Режимы «сухой прогон»/лаборатория/продакшн: продакшн-режим требует явного человеческого одобрения
• Метрики покрытия обнаружения: показатели обнаружения по каждой технике и анализ пробелов
• Отслеживание результатов контролей: какие правила обнаружения сработали, какие пропустили

Семантический поиск и радиус взрыва

• Поиск дел на естественном языке: ранжирование TF-IDF без внешних зависимостей
• Поиск похожих инцидентов: сопоставление по косинусной близости с подсветкой общих техник MITRE
• Граф радиуса взрыва: визуализация связей сущностей (активы, IP-адреса, техники MITRE по делу)

Приём событий безопасности

• Парсер Suricata EVE JSON (оповещения, DNS, HTTP, TLS, потоки)
• Парсер журналов Zeek (conn, dns, http, ssl, files, notice)
• Приёмник webhook для Filebeat/Fluentd в реальном времени
• Загрузка файлов для автономного анализа

Интеграция MITRE ATT&CK

• Матрица Enterprise + ICS (16 тактик, 30+ техник)
• Автоматическое сопоставление сигнатур Suricata с техниками
• Тепловая карта покрытия обнаружения по тактикам
• Браузер техник с возможностью поиска

Лаборатория охоты за угрозами

• Ввод на естественном языке: "Найти боковое перемещение с инженерной рабочей станции в подсеть ПЛК"
• ИИ генерирует SQL-запросы к вашим данным событий
• Автоматически сгенерированные Sigma-правила обнаружения из подтверждённых находок
• Проверка безопасности запросов «только чтение» (блокирует INSERT/UPDATE/DELETE)

Управление уязвимостями OT/ICS

• Многоисточниковая агрегация CVE (NVD, CISA KEV, ICS-CERT, Cisco PSIRT, Microsoft MSRC)
• ИИ-рекомендации по устранению с учётом OT (компенсирующие меры для критических зон)
• Оценка вероятности эксплуатации EPSS
• Анализ SBOM (CycloneDX/SPDX)
• Пассивное обнаружение устройств с классификацией по модели Purdue

Соответствие как код

• IEC 62443-3-3 (10 контролей) + NIST CSF 2.0 (11 контролей)
• Автоматический сбор доказательств из данных платформы
• Непрерывная оценка соответствия

Мультиарендность и биллинг

• Модель организации с ролевым доступом (администратор/аналитик/наблюдатель)
• Биллинг Stripe (Free $0, Starter $499, Pro $1,999, Enterprise $4,999/мес.)
• Интеграции с SIEM (Splunk, Sentinel, ServiceNow, PagerDuty)

Быстрый старт

Демо одной командой

git clone https://github.com/mangod12/OneAlert.git
cd OneAlert
pip install -r requirements.txt
python -m backend.demo

Откройте http://localhost:8000/app/ — демо-данные загружаются автоматически со сценарием атаки.

Docker

docker compose up --build

Локальная разработка

# Бэкенд
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python -m uvicorn backend.main:app --reload

# Фронтенд
cd frontend-v2 && npm install && npm run dev

Переменные окружения

# Required for AI agents
AI_PROVIDER=anthropic          # or openai, ollama, vllm, groq
ANTHROPIC_API_KEY=sk-ant-...   # or AI_API_KEY for OpenAI-compatible

# Optional
AI_TRIAGE_MODEL=claude-sonnet-4-20250514
AI_BASE_URL=http://localhost:11434/v1  # for Ollama/vLLM
SECRET_KEY=your-production-secret
DATABASE_URL=postgresql://user:pass@host/db

Архитектура

                      OneAlert AI Security OS
 ┌─────────────────┬───────────────────┬───────────────────────┐
 │  Sensor Layer   │   Agent Layer     │     Control Plane      │
 │                 │                   │                        │
 │  Suricata EVE   │  Detect Agent     │  Policy Engine         │
 │  Zeek Logs      │  Triage Agent     │  Autonomy Levels       │
 │  Syslog/Auth    │  Hunt Agent       │  Approval Workflow     │
 │  OT Discovery   │  Response Agent   │  Agent Ledger          │
 │  PII Redaction  │  Purple Agent     │  OT Zone Constraints   │
 │                 │  Compliance Agent  │  Action Executor       │
 ├─────────────────┼───────────────────┼───────────────────────┤
 │  Data Layer     │   AI Runtime      │     Frontend           │
 │                 │                   │                        │
 │  PostgreSQL     │  Claude (default) │  Dashboard             │
 │  SQLite (dev)   │  OpenAI-compat    │  Cases & Investigations│
 │  Event Store    │  Ollama/vLLM      │  Events Viewer         │
 │  Agent Ledger   │  Model Routing    │  MITRE ATT&CK Map     │
 │  Semantic Search│                   │  Hunt Lab              │
 │                 │                   │  Response Plans        │
 │                 │                   │  Purple-Team Validation│
 └─────────────────┴───────────────────┴───────────────────────┘

Поток данных

Suricata/Zeek Events ──► Ingest API ──► Event Store
                                            │
                                       Detect Agent (anomaly detection)
                                            │
CVE Alerts (NVD/CISA/ICS-CERT) ──► Triage Agent (correlation + MITRE)
                                            │
                                       Investigation Cases
                                            │
                                       Response Agent (governed plans)
                                            │
                                  Human Approval ──► Execute Actions

Технологический стек

Обзор API

Полная документация API по адресу /docs при локальном запуске.

Структура проекта

backend/
├── services/ai/          # Provider-agnostic LLM runtime
├── services/agents/       # Detect, Triage, Hunt, Response, Purple agents
├── services/mitre/        # MITRE ATT&CK integration
├── services/parsers/      # Suricata + Zeek event parsers
├── models/                # SQLAlchemy models + Pydantic schemas
├── routers/               # FastAPI route handlers
├── services/pii_redactor.py    # PII/secret redaction pipeline
├── services/action_executor.py # Response action execution
├── services/semantic_search.py # TF-IDF search + blast radius
└── services/              # CVE, compliance, billing, notifications

frontend-v2/src/
├── pages/                 # Dashboard, Cases, Events, HuntLab, MitreMap, ResponsePlans, Validation
├── components/            # Charts, layout, shared UI
└── stores/                # Zustand auth state

tests/                     # 309 pytest tests
tests/e2e/                 # Playwright E2E against the deployed app
docs/                      # AI_CONTEXT, ARCHITECTURE, CODEMAP, VISION

Сравнение OneAlert с аналогами

Отличие OneAlert: ИИ-агенты, которые расследуют и реагируют, а не просто собирают журналы. Каждое действие управляется политикой с человеческим одобрением для OT-активов.

Для кого предназначено

Участие в разработке

Приветствуются вклады! Наиболее ценные области для помощи:

• Новые парсеры событий: Windows Event Log, AWS CloudTrail, Azure Activity
• Покрытие MITRE: дополнительные сопоставления техник и правила обнаружения
• Экосистема Sigma: импорт/экспорт правил Sigma, тестирование на данных событий
• UI/UX: виджеты панели мониторинга, визуализация дел, топологический граф
• OT-протоколы: дополнительные парсеры ICS-протоколов (BACnet, HART-IP)

Лицензия

MIT — см. Лицензия.

Создано для команд безопасности, которые не могут позволить себе SOC-платформу за $500K, но всё равно нуждаются в ней.