เปิดรับ Founding Partner: แพลตฟอร์ม SOC โอเพนซอร์สบน Wazuh, DFIR-IRIS และ Shuffle

องค์กรขนาดกลางส่วนใหญ่เจอปัญหาเดียวกัน ไฟร์วอลล์ ไฮเปอร์ไวเซอร์ และโดเมนคอนโทรลเลอร์สร้างล็อกจำนวนมาก แต่ไม่มีใครมีเวลาอ่านทั้งหมด ส่วน SIEM เชิงพาณิชย์ที่คิดราคาตามจำนวนแจ้งเตือนหรือปริมาณข้อมูล ก็รู้สึกเหมือนจ่ายค่าผ่านทางเพื่อดูข้อมูลของตัวเอง

simpliSOC คือคำตอบของเรา เป็นแพลตฟอร์มปฏิบัติการด้านความมั่นคงปลอดภัยแบบโอเพนซอร์สที่รันบนโครงสร้างพื้นฐานของคุณเอง ใช้งานจริงแล้ว และตอนนี้เรากำลังเปิด โปรแกรม Founding Partner สำหรับองค์กรกลุ่มแรกที่ต้องการนำไปใช้

บทความนี้บอกว่าคุณจะได้อะไร อะไรที่ยังไม่รวม และเข้าร่วมอย่างไร

เหมาะกับใคร

• ทีมที่ใช้ FortiGate, VMware ESXi และ Windows Active Directory และต้องการ detection ที่เข้าใจแหล่งล็อกเหล่านี้อยู่แล้ว
• องค์กรที่ต้องการให้ข้อมูลล็อกอยู่ในโครงสร้างพื้นฐานของตนเอง แบบ on-premise หรือ private cloud ซึ่งเป็นประเด็นที่ฝ่ายกฎหมายและฝ่ายตรวจสอบมักถามเมื่อพูดถึง PDPA และ พ.ร.บ.ไซเบอร์ (ควรปรึกษาที่ปรึกษากฎหมายของคุณว่าเข้าข่ายหรือไม่)
• องค์กรที่รัน Wazuh อยู่แล้ว มีการแจ้งเตือน แต่ยังไม่มีขั้นตอนจัดการเคส ไม่มี deduplication และไม่มีการเฝ้าสุขภาพของ pipeline
• ทีม IT และความปลอดภัยขนาด 1 ถึง 5 คน ที่ต้องการกระบวนการแบบ SOC โดยไม่ต้องซื้อแพลตฟอร์มที่ออกแบบมาสำหรับนักวิเคราะห์ 50 คน
• ผู้รับเหมาระบบและ MSP ที่ต้องการสแตกที่ตรวจสอบและปรับแต่งได้ เพื่อส่งมอบให้ลูกค้าโดยไม่มีค่าลิขสิทธิ์ตามจำนวนแจ้งเตือน

สิ่งที่ใช้งานจริงแล้ว

ทุกข้อด้านล่างทำงานอยู่ใน production ไม่ใช่แค่สไลด์

Pipeline ตั้งแต่ต้นจนจบ

1. รับข้อมูล (Ingest) Syslog ผ่าน UDP จากไฟร์วอลล์ FortiGate, VMware ESXi, เครื่อง Windows ที่ติดตั้ง Sysmon และ Windows AD domain controller
2. ตรวจจับ (Detect) Wazuh 4.x ถอดรหัสและเชื่อมโยงเหตุการณ์กับกฎที่เราเขียนเองมากกว่า 50 ข้อ และรายการ IOC ของ IP โดเมน และแฮช ที่อัปเดตจาก threat feed สด (Feodo Tracker, URLhaus, ThreatFox) โดยไม่ต้องรีสตาร์ต
3. ส่งต่อ (Route) SOC Integrator เป็นบริการ FastAPI ที่เราพัฒนาเองและเป็นส่วนประกอบเดียวที่เป็นกรรมสิทธิ์ ดึงข้อมูลจาก Wazuh indexer ตัดการแจ้งเตือนซ้ำ ใช้รายการยกเว้น แปลงระดับความรุนแรง และสร้างการแจ้งเตือนใน DFIR-IRIS แบบ idempotent
4. ตอบสนอง (Respond) นักวิเคราะห์ทำงานกับเคสที่มีโครงสร้างใน DFIR-IRIS และ Shuffle playbook (ไม่บังคับ) ช่วยเสริมข้อมูล เช่น VirusTotal ส่งการแจ้งเตือน และหากคุณเลือกเปิด ก็ช่วยกักกันภัยคุกคามได้

flowchart TD
    A["Syslog sources - FortiGate, ESXi, Windows and Sysmon, AD"] --> B["Wazuh - decode and correlate"]
    T["Threat feeds - Feodo, URLhaus, ThreatFox"] --> B
    B --> C["SOC Integrator - dedup, exceptions, severity mapping"]
    C --> D["DFIR-IRIS - alerts and cases"]
    D --> E["Shuffle playbooks - optional"]
    E --> F["Slack, LINE, PagerDuty, email"]

ขอบเขต detection การจับคู่ IOC และ threat intel, ไฟร์วอลล์และ IPS ของ FortiGate, VPN ของ FortiGate (IPsec และ SSL), Windows AD และการยืนยันตัวตน, VMware ESXi, การเฝ้าล็อกและ Sysmon และกฎ correlation หลายขั้นตอน

ฟีเจอร์ด้านปฏิบัติการ ช่วงพักการแจ้งเตือนซ้ำรายกฎ รายการยกเว้นผ่าน REST API เกณฑ์ความรุนแรงขั้นต่ำที่ตั้งค่าได้ การเฝ้าระวังล็อกขาดหาย และคอนโซลที่แสดงสถานะบริการและสุขภาพของ pipeline เอกสาร API ใช้ Swagger UI

AI ช่วยคัดกรอง (ไม่บังคับ) LLM ที่รันในเครื่อง ผ่าน endpoint ที่เข้ากันได้กับ OpenAI เช่น Ollama, llama.cpp, vLLM หรือ LocalAI เพิ่มคำอธิบายภาษาที่เข้าใจง่ายและการประเมินว่าเป็น true หรือ false positive ให้การแจ้งเตือนที่เข้าเงื่อนไข ทำหน้าที่เป็นข้อแนะนำเท่านั้น ไม่ปิด รวม หรือซ่อนการแจ้งเตือนเอง

การติดตั้ง on-premise หรือ private cloud ด้วย Docker Compose และสคริปต์เดียวสำหรับติดตั้งทั้งสแตก ไม่มีค่าใช้จ่ายตามจำนวนแจ้งเตือน และไม่ผูกติดกับผู้ให้บริการรายเดียว

สิ่งที่ยังไม่รวม เพื่อให้คุณวางแผนได้

• ขอบเขตครอบคลุมเฉพาะแหล่งล็อกที่ระบุข้างต้น แหล่งอื่น เช่น ไฟร์วอลล์ยี่ห้ออื่น เซิร์ฟเวอร์ Linux ล็อกของ SaaS หรือเครือข่าย OT ต้องเขียน decoder และกฎเพิ่ม เราประเมินงานนี้ร่วมกับคุณ ไม่สันนิษฐานว่าใช้ได้ทันที
• นี่คือแพลตฟอร์ม ไม่ใช่ทีมนักวิเคราะห์ที่ให้บริการแทน เราไม่ได้ให้คำมั่นเรื่องการเฝ้าระวังโดยนักวิเคราะห์ตลอด 24 ชั่วโมง ใครเป็นผู้ดูแลระบบในแต่ละวันจะตกลงกันในขั้นตอนประเมินขอบเขต
• ไม่ได้อ้างการรับรองด้านการปฏิบัติตามกฎระเบียบ แพลตฟอร์มเก็บข้อมูลไว้ในโครงสร้างพื้นฐานของคุณและมีบันทึกเคสและการแจ้งเตือนให้ตรวจสอบย้อนหลัง แต่การพิจารณาว่าเพียงพอต่อกรอบใดกรอบหนึ่งเป็นหน้าที่ของผู้ตรวจสอบของคุณ
• ไม่มีสภาพแวดล้อมเดโมสาธารณะ วิธีประเมินคือการประเมินความครอบคลุมกับแหล่งล็อกจริงของคุณ ตามด้านล่าง
• ระบบอัตโนมัติและการกักกันของ Shuffle เป็นตัวเลือก และปิดอยู่จนกว่าคุณจะเปิดใช้

Founding Partner ได้อะไร

• การประเมินแหล่งล็อกและความครอบคลุม คุณบอกว่าใช้ระบบอะไร เราบอกว่า detection ใดใช้ได้ทันทีและใดต้องพัฒนาเพิ่ม
• ใบเสนอราคาพร้อมขอบเขตงาน แยกฟีเจอร์ที่ใช้งานได้แล้วออกจากรายการ roadmap ชัดเจน
• ลำดับความสำคัญในการเริ่มใช้งาน สำหรับการติดตั้งครั้งแรก
• ช่องทางตรงถึงวิศวกรผู้สร้างระบบ ตามเวลากรุงเทพฯ ผ่าน LINE, WhatsApp, โทรศัพท์ หรืออีเมล
• มีส่วนกำหนด roadmap สิ่งที่เราพัฒนาต่อจะอิงจากทีมกลุ่มแรกที่ใช้งานจริง

เงื่อนไขทางการค้าสำหรับ Founding Partner ตกลงกันในใบเสนอราคา เราไม่ได้ประกาศส่วนลดตายตัว และตัวแพลตฟอร์มเองไม่มีค่าใช้จ่ายตามจำนวนแจ้งเตือน

วิธีเข้าร่วม

1. อ่านก่อน หน้า simpliSOC (ภาษาอังกฤษ) อธิบายสแตกและสถาปัตยกรรม
2. บอกเราว่าคุณใช้อะไรอยู่ ยี่ห้อไฟร์วอลล์และไฮเปอร์ไวเซอร์ ใช้ Windows AD หรือไม่ และจำนวนเครื่องโดยประมาณ
3. รับการประเมินความครอบคลุมและใบเสนอราคา แล้วค่อยตัดสินใจ

อีเมลถึงเราเพื่อสมัคร Founding Partner

สะดวกแชท? LINE: iiitum1984 WhatsApp: +66 83 001 0222 หรือโทร +66 97 496 6397

คำถามที่พบบ่อย

simpliSOC เป็นโอเพนซอร์สจริงหรือ?
สแตกสร้างจากส่วนประกอบโอเพนซอร์ส ได้แก่ Wazuh, DFIR-IRIS และ Shuffle ส่วน SOC Integrator ที่เชื่อมต่อทั้งหมดเป็นบริการ FastAPI ที่เราพัฒนาเอง และเป็นส่วนประกอบเดียวที่เป็นกรรมสิทธิ์

ต้องใช้ Shuffle ไหม?
ไม่จำเป็น Shuffle ซึ่งเป็นชั้น SOAR เป็นตัวเลือก เส้นทางหลักจาก Wazuh ผ่าน integrator ไปยัง DFIR-IRIS ทำงานได้โดยไม่ต้องมี

AI ปิดการแจ้งเตือนให้เลยไหม?
ไม่ LLM ที่รันในเครื่องเป็นตัวเลือก ทำหน้าที่เพิ่มคำอธิบายและการประเมิน true หรือ false positive เท่านั้น คนเป็นผู้ตัดสิน

ใช้งานได้โดยไม่ส่งล็อกขึ้นคลาวด์ไหม?
ได้ ออกแบบมาสำหรับ on-premise หรือ private cloud และข้อมูลอยู่ในโครงสร้างพื้นฐานของคุณ

แจ้งเตือนผ่านช่องทางไหนได้บ้าง?
Slack, LINE, PagerDuty และอีเมล ผ่านการเชื่อมต่อ รวมถึง REST API

มีส่วนลด Founding Partner แบบตายตัวไหม?
เราไม่ได้ประกาศ เงื่อนไขประเมินเป็นรายพาร์ตเนอร์ในใบเสนอราคา

ช่วยเฝ้าระวังให้ตลอด 24 ชั่วโมงได้ไหม?
บทความนี้ไม่ได้ให้คำมั่นเรื่องนั้น หากต้องการรูปแบบการดูแลเกินกว่าตัวแพลตฟอร์ม โปรดแจ้งตั้งแต่การคุยครั้งแรก เราจะประเมินขอบเขตอย่างตรงไปตรงมา