nexxucc/autonomous-security-operations-platform

# 自主安全运营平台 面向关键基础设施 SOC（安全运营中心）的行为智能层：它接收安全遥测数据，检测行为异常（UEBA），以**经过校准的**置信度将活动归因至 MITRE ATT&CK 技术，预测可能的后续步骤，检索支持性威胁情报，估算数字孪生网络上的爆炸半径，并以确定且可审计的方式控制自动化响应。 本仓库是**合并后的单一代码库**，统一了之前的两个原型（`YashBhardwaj21/autonomous-security-operations-platform` = ML/数据流水线；`vikramhls/etbackend` = FastAPI 后端）。此次合并同时对 `../sentinelgrid-audit/REPORT.md` 审计报告中的发现进行了修复；关于发现到解决方案的映射，请参见 `MERGE_REPORT.md`，逐阶段记录请参见 `BUILD_LOG.md`。 ## 真实范围（什么是真实的 vs 你必须运行的） - **目前已实现且由数据驱动：** 规范解析器（Sysmon 1/3/7/10/11/12/13 + PowerShell 4103/4104），实体键控会话，归因特征空间，拟合特征清理，嵌套 LOSO 评估测试框架，经过校准的分层归因**脚手架**，**数据衍生的** ATT&CK 转移矩阵（`models/transition_matrix.json`，基于真实的 OTRF 复合场景构建），嵌入检索（默认为离线 TF-IDF），在线 UEBA 引擎，数字孪生 Dijkstra 模拟器，具备响应模式策略的强化版 SOAR 爆炸半径控制门，支持 EPSS 感知的漏洞评分器，基于 JWT 认证的接收器。 - **运行时路径中绝对不会混入合成数据。** 模拟数据仅存在于 `tests/_fixtures` 和 `tests/harness_selftest` 下，并且如果 `src/` 引用了这些数据，`scripts/check_no_dummy_in_src.py` 将导致构建失败。 - **您（操作员）需要运行训练和下载** —— 每个 `.fit()` 都受到受保护的 CLI 标志的控制，并且绝不会由代码助手运行。请参见 `docs/ML_SPECIFICATION.md`。 ## 布局 ``` src/canon canonical event/entity/session schema (single source of truth) src/ingestion parsers (+OTRF/benign loaders); DropStats (no fabricated timestamps) src/sessions entity+logon-keyed session builder src/features extractors, attribution feature pipeline, fitted hygiene, labeling src/evaluation nested-LOSO harness + calibration/ranking metrics src/attribution calibrated hierarchical model (scaffold), SHAP, artifact loader src/prediction data-derived transition matrix + next-step engine src/retrieval embedding retrieval over real threat-intel corpus (non-gating) src/ueba online Welford+IsolationForest anomaly engine (own feature space) src/twin digital-twin Dijkstra simulator (real topology required) src/soar blast-radius gate (response modes) + orchestrator src/vuln EPSS-aware risk scorer src/api FastAPI app, JWT auth, IncidentPipeline (the cross-boundary chain) src/config single settings surface scripts dataset/threat-intel fetchers, transition builder, guarded trainer tests unit / integration (real inputs) ; _fixtures, harness_selftest (dummy) ``` ## 快速开始（开发） ``` python3.12 -m venv .venv && . .venv/bin/activate pip install -r requirements.txt python scripts/check_no_dummy_in_src.py # isolation guard python -m pytest tests -q # 52 tests ``` ## 获取真实数据（操作员步骤） ``` python scripts/fetch_otrf_metadata.py # labels + transitions (KB metadata) python scripts/build_transition_matrix.py # deterministic, safe to run # 将几个 OTRF scenarios 克隆到 data/raw/Security-Datasets/ 以获取真实 events，然后： python scripts/train_attribution.py --train # LOSO eval — YOU inspect results python scripts/fetch_threat_intel.py # ATT&CK STIX + advisory scaffolding export JWT_SECRET=... && uvicorn src.api.app:app # run the API ```

标签：AV绕过, FastAPI, Python, SOAR, UEBA, 威胁情报, 安全规则引擎, 安全运营, 开发者工具, 扫描框架, 无后门, 逆向工具