🔹 چرا ۶۷٪ از هشدارهای SIEM بررسی نمی‌شوند؟
و راه‌حل جدیدی به نام DeeperSplunk چه می‌کند؟
تیم‌های SOC امروز بیش از همیشه با انبوهی از هشدارهای اشتباه (False Positive) روبه‌رو هستند. طبیعی است: وقتی هر هشدار می‌تواند ده‌ها توضیح بی‌خطر داشته باشد، تحلیل‌گر معمولاً اولین توضیح منطقی را انتخاب می‌کند و کار را تمام‌شده می‌داند.
اما مشکل اینجاست: منطقی بودن یعنی قابل‌قبول بودن، نه الزاماً واقعی بودن. مهاجمان حرفه‌ای دقیقاً طراحی می‌کنند تا فعالیتشان بی‌خطر جلوه کند.
🔍راهکار DeeperSplunk چیست؟
راهکار DeeperSplunk یک پروژه متن‌باز است که تلاش می‌کند این مشکل را حل کند. این ابزار یک سرور MCP ارائه می‌دهد که به مدل Claude اجازه می‌دهد تریاژ خصمانه (Adversarial Triage) در برابر Splunk انجام دهد.
به زبان ساده:
برای هر هشدار، عامل هوشمند تلاش می‌کند ثابت کند مهاجم در حال برنده شدن است.
فقط وقتی تبرئه می‌کند که شواهد، فرضیه حمله را فعالانه رد کنند.
🔧 چه چیزی DeeperSplunk را متفاوت می‌کند؟
سه نوآوری کلیدی در طراحی آن وجود دارد:
1) استناد اجباری به شواهد
عامل نمی‌تواند ادعایی مطرح کند که خودش درباره آن جستجو نکرده باشد.
هر نتیجه باید به یک جستجوی واقعی در همان جلسه اشاره کند.
2) ارتقای خودکار بر اساس اعتماد (Confidence‑Based Auto‑Escalation)
اگر مدل برای رأی‌گیری (TP/FP) اعتماد کافی نداشته باشد، نتیجه فوراً به وضعیت
NEEDS_HUMAN_REVIEW
منتقل می‌شود.
هیچ رأیی بر اساس حدس صادر نمی‌شود.
3) حافظه رأی مبتنی بر SQLite
تمام تصمیم‌ها و بازبینی‌های انسانی ذخیره می‌شود تا هشدارهای آینده با موارد مشابه قبلی مقایسه شوند.
🧩 ویژگی‌های فنی و هدف پروژه
- قابل اجرا به‌صورت لوکال
- بر پایه Python 3.10
- دارای مجوز MIT
- طراحی‌شده به‌عنوان یک جایگزین متن‌باز برای ابزارهای تجاری مانند
D3 Morpheus و Cortex XSIAM
لینک پروژه:
https://github.com/iliasarmenakis/DeeperSplunk
و راه‌حل جدیدی به نام DeeperSplunk چه می‌کند؟
تیم‌های SOC امروز بیش از همیشه با انبوهی از هشدارهای اشتباه (False Positive) روبه‌رو هستند. طبیعی است: وقتی هر هشدار می‌تواند ده‌ها توضیح بی‌خطر داشته باشد، تحلیل‌گر معمولاً اولین توضیح منطقی را انتخاب می‌کند و کار را تمام‌شده می‌داند.
اما مشکل اینجاست: منطقی بودن یعنی قابل‌قبول بودن، نه الزاماً واقعی بودن. مهاجمان حرفه‌ای دقیقاً طراحی می‌کنند تا فعالیتشان بی‌خطر جلوه کند.
🔍راهکار DeeperSplunk چیست؟
راهکار DeeperSplunk یک پروژه متن‌باز است که تلاش می‌کند این مشکل را حل کند. این ابزار یک سرور MCP ارائه می‌دهد که به مدل Claude اجازه می‌دهد تریاژ خصمانه (Adversarial Triage) در برابر Splunk انجام دهد.
به زبان ساده:
برای هر هشدار، عامل هوشمند تلاش می‌کند ثابت کند مهاجم در حال برنده شدن است.
فقط وقتی تبرئه می‌کند که شواهد، فرضیه حمله را فعالانه رد کنند.
🔧 چه چیزی DeeperSplunk را متفاوت می‌کند؟
سه نوآوری کلیدی در طراحی آن وجود دارد:
1) استناد اجباری به شواهد
عامل نمی‌تواند ادعایی مطرح کند که خودش درباره آن جستجو نکرده باشد.
هر نتیجه باید به یک جستجوی واقعی در همان جلسه اشاره کند.
2) ارتقای خودکار بر اساس اعتماد (Confidence‑Based Auto‑Escalation)
اگر مدل برای رأی‌گیری (TP/FP) اعتماد کافی نداشته باشد، نتیجه فوراً به وضعیت
NEEDS_HUMAN_REVIEW
منتقل می‌شود.
هیچ رأیی بر اساس حدس صادر نمی‌شود.
3) حافظه رأی مبتنی بر SQLite
تمام تصمیم‌ها و بازبینی‌های انسانی ذخیره می‌شود تا هشدارهای آینده با موارد مشابه قبلی مقایسه شوند.
🧩 ویژگی‌های فنی و هدف پروژه
- قابل اجرا به‌صورت لوکال
- بر پایه Python 3.10
- دارای مجوز MIT
- طراحی‌شده به‌عنوان یک جایگزین متن‌باز برای ابزارهای تجاری مانند
D3 Morpheus و Cortex XSIAM
لینک پروژه:
https://github.com/iliasarmenakis/DeeperSplunk
Comments
Be the first to add a comment
Log in to comment