AISOC by Quantinel Güvenlik operasyonları platformu
AISOC her SIEM/SOAR alarmını araştırır, kanıtları toplar ve her bulgusu kaynak kaydını gösteren gerekçeli bir karar ve rapor üretir. Müdahale adımları etki alanı değerlendirilmiş olarak gelir ve yetkili bir kişinin onayını bekler.
Çalışma ilkesi Yapay zekâ destekli araştırma. İnsan kontrolünde müdahale.
Hareketli çizim: WS-DEMO-014 için sentetik bir alarm normalize edilir; varlık, kullanıcı ve tehdit istihbaratı bağlamıyla zenginleştirilir; dört kanıt kaydına bağlanır; ATT&CK tekniklerine eşlenir ve “İnsan onayı bekleniyor” durumunda duran bir izolasyon önerisine dönüşür. Hiçbir işlem uygulanmaz.
00AISOC neleri kapsar
01Örnek araştırma
Adım adım sentetik bir vaka: AISOC neye bakar, hangi sonuca varır, her sonucu hangi kayıt destekler ve kararı bir insanın vermesi için nerede durur.
Temsili senaryo · sentetik veri Kavramsal ürün önizlemesi — ürün arayüzünün ekran görüntüsü değildir
Tüm adımlar ve vaka görünümleri aşağıda listelenmiştir. JavaScript açıkken vaka adım adım oynatılır.
SIEM alarmı ortak şemaya dönüştürülür. Uç nokta, kullanıcı, süreç, kural ve zaman yapılandırılmış alanlara ayrılır.
Model çağrılmadan önce kural tabanlı kontroller çalışır. İzin listesinde yok, bilinen zararsız bir örüntü değil; alarm araştırmaya alınır.
Varlık, kullanıcı ve tehdit istihbaratı bağlamı paralel toplanır. İç adresler dış kaynaklara hiçbir zaman sorulmaz.
İki hipotez kurulur. Salt okunur sorgular her birinin lehine ve aleyhine kanıt toplar; zaman çizelgesi kayıtlardan yeniden kurulur.
Her bulgu kanıtını gösterir. ATT&CK eşlemeleri sabit katalogda doğrulanır; çıktı müşteriye ulaşmadan kalite denetiminden geçer.
Etki alanı, ayrıcalık ve geri alınabilirlik değerlendirilerek izolasyon önerilir. Öneri şimdi yetkili bir kişiyi bekliyor. Hiçbir işlem uygulanmadı.
| Ref | Kaynak | Kayıt | Neden önemli |
|---|---|---|---|
| A0 | SIEM · kural eşleşmesi | Şüpheli PowerShell çalıştırılması · WS-DEMO-014 · demo.user | Tetikleyici. Ortak şemaya dönüştürüldü. |
| C1 | Varlık envanteri | WS-DEMO-014 · finans iş istasyonu · kritiklik: orta | Olası müdahalenin etkisini belirler. |
| C2 | Dizin hizmeti | demo.user · standart hesap · yönetici yetkisi yok | Yönetici betiği ihtimalini zayıflatır. |
| C3 | Tehdit istihbaratı | update.example.invalid · 203.0.113.45 · bilinen itibar yok | Eşleşme olmaması “temiz” değil “bilinmiyor” olarak kaydedilir. |
| E1 | Uç nokta · süreç oluşturma | WINWORD.EXE → powershell.exe -NoProfile -EncodedCommand […] | Bir Office süreci PowerShell’i kodlanmış komutla başlattı. |
| E2 | PowerShell · betik bloğu kaydı | Çözülen betik https://update.example.invalid/… adresini istiyor | Tanınmayan bir alan adından uzak içerik istendi. |
| E3 | DNS | update.example.invalid → 203.0.113.45 | Betik çalıştıktan hemen sonra çözümlendi. |
| E4 | Güvenlik duvarı | WS-DEMO-014 → 203.0.113.45:443 · 40 sn içinde 3 oturum | Çözümlenen adrese dış bağlantı. |
Kanıt kayıtlarından yeniden kuruldu. Zamanlar sentetiktir.
Muhtemel gerçek pozitif
Yüksek
Bir Office süreci, tanınmayan bir alan adından içerik isteyen kodlanmış bir PowerShell komutu başlattı ve ardından bu adrese dış oturumlar açtı. Akış, ikinci aşamayı indiren zararlı bir belgeyle tutarlı.
demo.user bu sabah dış bir göndericiden fatura belgesi bekliyor muydu?
WS-DEMO-014 ağdan izole edilsin
Uç nokta incelenirken yeni dış oturumların açılmasını durdurur. E4C1
İnsan onayı bekleniyor
Adı belirli yetkili onaylayıcı (nöbetçi L2)
Kontroller yalnızca gösterim amaçlıdır. Bu sayfadan hiçbir işlem uygulanamaz.
Hiçbir işlem uygulanmadı. Karar ve onaylayan kişi karar defterine yazılacak.
Kavramsal ürün önizlemesi — ürün arayüzünün ekran görüntüsü değildir
02Nasıl çalışır
Her alarm aynı işlem hattından geçer. Her aşama bir sonrakine tanımlı bir çıktı devreder; bir sonucun nereden geldiği her zaman görülebilir.
SIEM/SOAR’dan gelen ham alarmlar ortak şemaya çevrilir. Deterministik ön triyaj bilinen örüntüleri model çağırmadan eler.
Çıktı Normalize alarm
Varlık, kullanıcı ve dış tehdit istihbaratı bağlamı paralel toplanır.
Çıktı Bağlam paketi
Hipotezler, salt okunur kanıt sorguları ve zaman çizelgesi; güven skoru ve gerekçeyle sınıflandırma; MITRE ATT&CK eşlemesi.
Çıktı Kanıt referanslı bulgular
Çıktı müşteriye gitmeden ikinci kez denetlenir. Dayanağı gösterilemeyen bulgu rapora girmez.
Çıktı Denetlenmiş karar
Etki alanı ve geri alınabilirliği değerlendirilmiş müdahale adımları, onay kapısı ve saldırı akış şemalı Türkçe ya da İngilizce rapor.
Çıktı Aksiyon planı ve rapor
Ekibiniz vakayla ilgili ek sorularını imzalı ve süreli bir bağlantı üzerinden sorar.
Çıktı Kayıtlı yanıtlar
Her aşamada
Müşteriye özel ve izole. Her vaka buraya yazılır; benzer olay geldiğinde geçmiş bağlam analize girdi olur.
Kanıt sınıflandırma · onay kapısı · karar defteri · kiracı izolasyonu · girdi temizleme · kalite ölçümü.
Endüstriyel ortamlarda operasyonel emniyet etkisini değerlendirir: üretim sürekliliği, fiziksel hasar ve insan güvenliği. Endüstriyel protokol ayrıştırmayı da kapsar.
03Uzmanlık alanları
AISOC her sorunun ihtiyaç duyduğu uzmanı seçer. Tamamı aynı yönetişim katmanı altında çalışır.
Her ifadenin arkasında kaydı bulunan, savunulabilir bir olay anlatımı.
Etkisine göre ölçülmüş müdahale seçenekleri ve yapay zekânın durduğu net bir sınır.
Üzerine aksiyon alınabilen raporlar ve açığı kapatan tespitler.
Kırmızı takım ajanı geliştirme aşamasında. Yol haritası Tespit mühendisliği bölümünde.
04Yönetişim
AISOC hiçbir değiştirici işlemi kendi başına uygulamaz. Ne olduğu, hangi kanıtın desteklediği, hangi kontrolden geçtiği ve kimin onayladığı birbirine bağlı kalır ve geriye dönük olarak yeniden oynatılabilir.
01 Ne oldu
Bir Office sürecinden kodlanmış PowerShell, ardından update.example.invalid adresine dış oturumlar.
02 Hangi kanıt
Süreç oluşturma, betik bloğu, DNS ve bağlantı kayıtları.
E1E2E3E4
03 Hangi kontrol
Politika kontrolü: 1 varlık, ayrıcalıklı hesap yok, geri alınabilir. Onaya sunulabilir.
04 Kim onayladı
Adı belirli, yetkili bir onaylayıcı. Karar ve kimlik kayda geçer.
Bekliyor
Onay zinciri
Politika kontrolü etki alanını, geri alınabilirliği ve ayrıcalığı kapsar.
Her ifade dayandığı kayıtla birlikte verilir. Dayanağı gösterilemeyen bulgu rapora alınmaz.
Her kanıt ait olduğu müşteriyle damgalanır; damgasız kanıt kabul edilmez. İzinler ve veriler kiracı bazında ayrılır.
Bir adım önerilmeden önce etki alanı, ayrıcalık ve geri alınabilirlik değerlendirilir. Kurumun kendi altyapısını engellemek veya ayrıcalıklı hesapta geri alınamaz bir işlem onaya bile götürülmez.
Değiştirici her işlem adı belirli, yetkili bir kişiye sunulur ve onay kayda geçer. Araştırma sorguları salt okunurdur.
Zincirlenmiş karar defteri, bir kararın neden verildiğini anlaşılır bir dille yeniden oynatmanızı sağlar.
Destekleyici güvenceler
Kayıt alanları bir saldırgan tarafından yazılmış olabilir. Modele giden her metin tek bir kapıdan geçer ve temizlenir.
Modelin öne sürdüğü bir adres veya teknik gerçekten gözlenmiş olmalıdır. ATT&CK iddiaları sabit bir katalogda doğrulanır.
05Kurulum
AISOC sizin altyapınıza kurulur. Model katmanı değiştirilebilir: varsayılan olarak yerel bir LLM ya da veri sınıflandırmanızın ve güvenlik politikalarınızın izin verdiği durumlarda bir bulut LLM. Kanıt ve onay kontrolleri her iki durumda da aynı kalır.
Kendi donanımınıza, konteyner olarak. Dış bağlantı olmadan ayağa kalkar.
Mevcut altyapınıza salt okunur bağlanır. Kurulumunuz değişmez.
Ön eleme → araştırma → kanıtlı sınıflandırma → saldırı akış şemalı rapor.
Değiştirici her işlem adı belirli bir kişiye sorulur; onaylayan kayda geçer.
Her vaka müşteriye özel hafızaya yazılır; benzer olayda geçmiş bağlam hazır gelir.
06Tespit mühendisliği
Bir davranışı doğal dille tarif edin; AISOC bir Sigma kuralı taslağı hazırlar ve ortamınızdaki SIEM’lerin sorgularına çevirir. Her taslak bir risk notu taşır ve incelenmek üzere bir mühendise gider.
Bugün kullanılabilir
title: Office application starts encoded PowerShell
status: experimental
description: Draft from case DEMO-0417. Review before use.
logsource:
category: process_creation
product: windows
detection:
parent:
ParentImage|endswith:
- '\WINWORD.EXE'
- '\EXCEL.EXE'
child:
Image|endswith: '\powershell.exe'
CommandLine|contains:
- ' -enc'
- ' -EncodedCommand'
condition: parent and child
falsepositives:
- Office add-ins that start PowerShell
level: highSorgu taslakları SplunkQRadarElasticMicrosoft Sentinel
Risk notu PowerShell başlatan meşru Office eklentileri de eşleşir. Etkinleştirmeden önce istisnaları gözden geçirin.
07Sorular
Hayır. AISOC, SIEM/SOAR’ınızın zaten ürettiği alarmlar üzerinde çalışır. Alarmları ortak şemaya çevirir ve araştırma için mevcut altyapınıza salt okunur bağlanır; kurulumunuz olduğu gibi kalır. Kaynaklar ve bağlantı yöntemleri kapsam belirleme sırasında ortamınıza göre netleştirilir.
Hiçbir değiştirici işlemi kendi başına uygulamaz. AISOC müdahale adımlarını hazırlar — uç noktayı ağdan izole etmek, hesabı devre dışı bırakmak, oturumları sonlandırmak, parolayı sıfırlamak, göstergeyi engellemek veya dosyayı karantinaya almak — etki alanını, ayrıcalığı ve geri alınabilirliği değerlendirir ve her birini adı belirli, yetkili bir kişiye sunar. Onay kayda geçer.
Kurum içi kurulumda gitmez: model dâhil tüm sistem altyapınızın içinde çalışır. Bulut LLM yalnızca veri sınıflandırmanızın ve güvenlik politikalarınızın izin verdiği durumlarda kullanılır; bu durumda modele gönderilen içerik seçtiğiniz sağlayıcı tarafından işlenir. Tehdit istihbaratı sorgularında iç adresler hiçbir zaman dışarı gönderilmez.
Evet. AISOC kendi donanımınıza konteyner olarak kurulur, dış bağlantı gerektirmez ve internete kapalı ortamlarda çalışabilir.
Vaka raporları Türkçe ve İngilizce olarak, anlaşılır bir dille üretilir; her rapor bir saldırı akış şeması içerir. Başka rapor dilleri mevcut kapsamın parçası değildir.
Evet, bir olayın operasyonel emniyet etkisini değerlendiren ayrı bir OT/ICS hattıyla: üretim sürekliliği, fiziksel hasar ve insan güvenliği. Hat endüstriyel protokol ayrıştırmayı da kapsar; OT/ICS emniyet uzmanı bir olayın üretim hattı için ne anlama geldiğini değerlendirir.
Her ifade dayandığı kaydı gösterir; dayanağı olmayan bulgu rapora girmez. Modelin öne sürdüğü adres ve teknikler gerçekten gözlenmiş olmalıdır; ATT&CK iddiaları sabit bir katalogda doğrulanır. Çıktı size ulaşmadan kalite denetiminden geçer ve değiştirici her işlem yine insan onayı gerektirir. Hiçbir yapay zekâ sistemi hatasız değildir; AISOC hataların görünür ve incelenebilir olması için tasarlanmıştır.
08Demo talebi
SOC ortamınızı kısaca anlatın. Size bir araştırmayı ve veri politikalarınıza uyan kurulum seçeneğini adım adım gösterelim.
Demoda neler var