AiSOC: 오픈소스 자체 호스팅 AI 보안 관제 센터 및 트리아지 도구

AiSOC은 보안 관제 센터(SOC)와 경보 트리아지 작업을 자체 서버에서 운영할 수 있는 오픈소스 프로젝트입니다. 외부 API 키 없이 사내 환경에 직접 배포해 보안 텔레메트리를 수집하고 경보를 분석할 수 있습니다.

이미지 출처: https://github.com/beenuar/AiSOC

AiSOC은 수집된 원시 보안 이벤트를 정규화하고 룰셋 기반 탐지와 거대언어모델(LLM) 에이전트 조사를 단계별로 결합한 구조로 설계되었습니다. 모든 에이전트 프롬프트와 도구 호출 내역을 기록하여 보안 분석가가 사후에 AI 트리아지 조사 과정을 감사하고 재생할 수 있도록 지원합니다.

규칙 기반 탐지와 감사 가능한 AI 에이전트 조사 원장

AiSOC은 다양한 보안 장비에서 유입되는 로그를 공통 규격으로 정규화한 뒤 액티비티 프로젝션을 부여합니다. 전체 7,015개 규칙 라이브러리 중 실행 가능한 2,530개 탐지 규칙과 76개의 슬라이딩 윈도우 규칙을 적용하고, 관련 경보를 사건으로 그룹화합니다.

• 조사 원장(Investigation Ledger): AI 에이전트가 경보를 조사할 때 생성한 프롬프트, 도구 호출, 추론 근거를 단계별로 기록해 사후 재생 및 감사가 가능합니다.
• 사람 승인 기반 대응(Human-in-the-Loop): 경보로 시작된 플레이북은 실행 전에 조치를 미리 보여주며, 실제 대응 조치는 사람의 명시적 승인을 거쳐야 합니다.
• 위협 인텔리전스 재스캔: 새로운 위협 정보가 유입되면 이미 수집해 보관 중인 과거 텔레메트리 데이터를 다시 대조합니다.

87개 커넥터 연동과 개발 환경용 MCP 서버 지원

엔터프라이즈 환경과의 연동성을 위해 AiSOC은 주요 보안 및 클라우드 솔루션을 위한 87개의 클릭 연동 데이터 커넥터를 기본 탑재하고 있습니다.

Splunk, CrowdStrike, Okta, AWS, Microsoft Sentinel, Elastic 등 주요 인프라의 로그 수집을 지원하며, 클라우드 환경에서는 SQS 알림 기반 AWS CloudTrail S3 수집, GCP Pub/Sub, Azure Event Hubs 및 Syslog/CEF 수신기를 통해 백프레셔 제어가 적용된 파이프라인을 운영합니다. 마이그레이션 도구인 aisoc-migrate는 기존 Splunk SPL, Sentinel KQL, Elastic EQL 룰 변환을 지원하며 변환 불가 구문은 근사치 처리 대신 명시적으로 거부합니다.

또한 Claude, Cursor, Continue와 연동할 수 있는 MCP(Model Context Protocol) 서버를 번들로 제공합니다.

시스템 요구 사양 및 실행 방법

AiSOC은 MIT 라이선스로 배포되며 별도의 API 키 없이 로컬 환경에서 구동할 수 있습니다.

실행 환경은 Docker Compose v2 기반으로 Docker VM 내 최소 8GB 메모리와 20GB 이상의 디스크 여유 공간, Python 3.9 이상 및 Bash 환경이 요구됩니다. 최초 구동 시 약 2GB 크기의 로컬 분석 모델을 컨테이너 볼륨으로 자동 다운로드합니다.

• 도커 전체 스택 실행:

git clone https://github.com/beenuar/AiSOC && cd AiSOC
make up

• 경량 데모(도커 미사용):

pip install aisoc-sandbox && aisoc-sandbox demo

make up 실행 시 15개의 보안 시크릿을 .env에 생성하고, 로컬에서 생성되어 한 번만 표시되고 저장되지 않는 관리자 암호를 출력합니다. 로컬 포트 충돌 시에는 사용 가능한 포트를 자동 탐색해 웹 콘솔을 구동합니다. 파이프라인 정상 동작 여부는 수집부터 저장까지 10단계를 검증하는 make smoke 명령어로 확인할 수 있습니다.

출처

• GitHub: beenuar/AiSOC Repository
• X (@doodi_dev): AiSOC 프로젝트 소개 포스트