集める
関連するセキュリティ イベント、ログ、アラート、または構造化データを反復可能なワークフローに取り込んでレビューします。
← プロジェクトに戻る
セキュリティ運用研究
SentinelForge
AIを活用したセキュリティ運用
ローカルで制御される AI が、イベント分類、ログの要約、インシデント対応ワークフロー、および制御された自動化を通じてセキュリティ運用をどのように支援できるかを調査する研究プロジェクト。
セキュリティ作戦ローカルAIログ分析インシデント対応自動化PythonPowerShell調査・研究
プロジェクト概要
調査・研究- 目的
- ログの分析、インシデントの要約、イベントの分類、対応ワークフローの支援によって、ローカル AI がセキュリティ運用をどのようにサポートできるかを調査します。
- 私の役割
- 個人ラボの調査、設計、ドキュメント作成。
- 実装状況
- SentinelForge は、セキュリティ イベントに対するローカル AI 支援の研究方向です。 Python 前処理と PowerShell 自動化は引き続き計画されています。
- 次のマイルストーン
- 精度や時間の節約を報告する前に、合成イベント フィクスチャ、予想されるラベル、評価ルーブリック、測定されたモデルの失敗ケースを公開します。
実装リポジトリ：未公開。
証拠と結果
作品が示すもの
調査・研究SentinelForge は、セキュリティ イベントに対するローカル AI 支援の研究方向です。 Python 前処理と PowerShell 自動化は引き続き計画されています。
ソースイベント
入力を正規化する
地域モデル支援
人間による検証
記録された作業
- このケーススタディでは、イベントの分類、ログの要約、およびインシデントのタイムラインに関する調査質問を定義します。
- 提案されたワークフローではソース データが保存され、人間による検証が必要です。
次に公開する証拠
精度や時間の節約を報告する前に、合成イベント フィクスチャ、予想されるラベル、評価ルーブリック、測定されたモデルの失敗ケースを公開します。
ソース リンクには、別の実装リポジトリではなく、この公開されたケース スタディが含まれています。
概要
私がそれを研究している理由
セキュリティ チームは、大量の反復的な技術情報を扱うことがよくあります。ログ、アラート、イベント タイムライン、インシデント メモ、および調査データは、アナリストの時間を大幅に消費する可能性があります。
SentinelForge は、言語モデルが証拠、セキュリティ ツール、またはアナリストの判断に取って代わることができるかのように装うことなく、AI がこれらのワークフローを支援できる場所を探索するための私の研究環境です。
目標は、何かを運用上のセキュリティ機能として扱う前に、有用なパターンを特定し、制限を理解し、反復可能な小規模なワークフローを構築することです。
ワークフロー
AI が役立つ可能性がある場所
正規化
イベントをより効果的に比較、要約、分析できるように、生の入力をより一貫性のある形式に変換します。
分析する
ローカル AI を使用して、情報源の証拠を置き換えることなく、分類、要約、相関関係、および調査上の質問を支援します。
応答する
構造化された出力を使用して、文書化、タイムライン、封じ込め計画、コミュニケーション、および反復可能な対応ワークフローをサポートします。
研究分野
自動化の前の質問
最初の目標は、AI がどこに有用な支援を追加し、どこにノイズ、不確実性、または不要なリスクを追加するかを理解することです。
現在の状態
SentinelForge は研究およびプロトタイプのプロジェクトです。以下の機能は、本番環境のセキュリティ制御ではなく、テストまたは計画されている領域を表しています。
イベント分類
ローカルでホストされるモデルがセキュリティ イベントをアナリストのレビューに役立つバケットに分類できるかどうかをテストします。
ログの要約
重要なコンテキストや情報源の証拠を失うことなく、長い技術ログを簡潔な要約にまとめられるかどうかを検討します。
インシデント タイムラインのサポート
AI を使用して、一連のイベント、タイムスタンプ、アクション、観察をより読みやすいインシデント タイムラインに整理します。
捜査協力
フォローアップの質問を生成し、欠落しているコンテキストを特定し、アナリストが検証したい領域を提案するのに役立つテスト プロンプト。
Python 処理
モデル分析の前に構造化セキュリティ データを解析、正規化、強化、準備するための小さな Python ユーティリティを構築します。
PowerShell の自動化
反復可能な Windows および Microsoft セキュリティ管理タスクの安全な自動化を検討します。
ガードレール
AI 支援にはまだ証拠が必要
このプロジェクトは、自主的な意思決定ではなく、支援を中心に意図的に設計されています。
人間の検証
モデル出力は、信頼できるセキュリティ証拠ではなく検証を必要とする支援として扱われます。
ソースデータの保存
元のログ、イベント、技術的証拠は引き続き利用できるため、AI が生成した概要を常にソースと照合できます。
ローカル処理
ローカル モデルは、機密のラボ データを外部プロバイダーに自動的に送信せずに実験する方法を提供します。
制御された自動化
自動化されたアクションは、範囲が狭く、理解可能で、元に戻せるものであり、制限のないモデルの意思決定から分離されたものでなければなりません。
「有益な問題は、AI がセキュリティに関する決定を下せるかどうかではありません。証拠と判断をそのままにしながら、AI が反復作業を削減できるかどうかです。」
リサーチクエスチョン
検証したいこと
このプロジェクトは、実験によってローカル AI が実際に役立つという証拠が得られた場合にのみ役立ちます。
01
重要な技術的コンテキストを失わずに要約することでメリットが得られるセキュリティ タスクはどれですか?
02
ローカル モデルは構造化セキュリティ イベントをどの程度確実に分類できますか?
03
AI は反復的なアナリストの作業をどこで軽減しますか?また、どこで不確実性をもたらしますか?
04
結果を再現可能かつレビュー可能にするには、プロンプトと出力をどのように構成する必要がありますか?
05
ホストされたモデル プロバイダーに送信せずにローカルに保持すべきセキュリティ データはどれですか?
インフラ
私のプライベート AI 環境上に構築
SentinelForge は、独立したコンセプトとして構築されるのではなく、意図的に私のプライベート AI インフラストラクチャ プロジェクトに接続されています。
ローカル AI サーバーは、選択されたデータをローカル制御下に保ちながら、セキュリティ ワークフローを実験するために必要なモデル ランタイム、GPU アクセラレーション、Docker 環境、ブラウザベースのアクセス、およびプライベート リモート接続を提供します。
ローカルLLMのアーキテクチャとデプロイを見る →方向
研究から試作へ
次の段階は、広範な実験から、同じ入力に対して繰り返しテストできる小規模なワークフローに移行することです。
次のステップ
01
反復可能なイベント入力形式を定義する
02
テスト用のサンプル セキュリティ データセットを構築する
03
同じプロンプト間でローカル モデルを比較する
04
プロトタイプのログ概要ワークフロー
05
Python 前処理ユーティリティの作成
06
安全な PowerShell 自動化を探る
07
モデルの制限と失敗例を文書化する
さらなるプロジェクト