LogBERT Anomaly Detector

LogBERT — ناهنجاری دنباله لاگ امنیتی — تشخیص ناهنجاری دنباله لاگ endpoint با مدل خودنظارتی، LSTM-AE و خوشه‌بندی UMAP/HDBSCAN.

Interactive Sample Demo

برای مدیر: نتیجه کسب‌وکار

قبل

برچسب‌زنی دستی لاگ گران است؛ زنجیره حمله ظریف در نویز session گم می‌شود.

بعد

آموزش بدون برچسب با Masked LM؛ ۶ مدل رأی می‌دهند؛ timeline تعاملی برای تحلیل‌گر.

  • Session recall ≥ ۰.۷۰
  • PR-AUC ≥ ۰.۷۵
  • ۶ مدل مقایسه
  • < ۲ s pipeline CPU

«حالا session مشکوک را روی timeline می‌بینیم — نه هزاران event جدا.»

— SOC Analyst (ناشناس)

مستندات عمومی

چه می‌کند؟

LogBERT Anomaly Detector یکی از محصولات پورتفولیوی هوش مصنوعی آریا اِی‌آی است که برای تصمیم‌گیری عملیاتی سازمان‌های ایرانی و بین‌المللی طراحی شده. نسخه عمومی روی Hugging Face یک دموی نمونه است؛ نسخه تولید با یکپارچه‌سازی داده، SSO و audit trail استقرار می‌یابد.

مخاطب غیرفنی می‌تواند KPI قبل/بعد، کاربرد صنعت و مسیر پایلوت را ببیند؛ مخاطب فنی pipeline، متریک قابل بازتولید و لینک Space/Model/Dataset را دنبال می‌کند.

درخواست پایلوت از طریق فرم تماس سایت با ذکر علاقه به LogBERT Anomaly Detector ثبت می‌شود تا محدوده داده، قیود و معیار موفقیت مشخص گردد.

چه کسی از آن استفاده می‌کند؟

مدیران عملیات، CISO، برنامه‌ریزان تولید، لجستیک، مالی و تیم‌های مهندسی که باید تصمیم را هم برای هیئت‌مدیره و هم برای اجرای فنی توضیح دهند.

خروجی دمو «نمونه تعاملی» است؛ آپلود زنده فایل سازمانی روی Space عمومی توصیه نمی‌شود.

کاربرد در صنایع

بانک، بیمه و فین‌تک

کاهش ریسک تقلب، فیشینگ و نفوذ در کانال‌های دیجیتال و تسریع triage SOC. شکار تهدید در لاگ Windows/Linux بدون نیاز به labeling گسترده.

نفت، گاز و انرژی

پایش تهدید IT/OT، اولویت‌بندی آسیب‌پذیری و پاسخ حادثه در تأسیسات حیاتی.

مخابرات و مراکز داده

طبقه‌بندی ترافیک، شکار تهدید و کاهش alert fatigue در شبکه بزرگ.

دولت و زیرساخت حیاتی

همبستگی IOC، پوشش MITRE و گزارش‌دهی برای تیم‌های SOC ملی و سازمانی.

بهداشت و درمان

محافظت از داده بیمار، ایمیل و endpoint بدون افشای PII در دمو عمومی.

خرده‌فروشی و تجارت الکترونیک

تشخیص کمپین فیشینگ، بدافزار و سوءاستفاده از وب/اپلیکیشن فروش.

برای مهندس: Pipeline و معماری

Event logs → parse → sessionize → IF/OCSVM/LOF/PCA/LSTM-AE/Transformer MLM → UMAP/HDBSCAN → timeline

logbertanomaly-detectionsiemhdbscanueba

معماری مرجع: Event logs → parse → sessionize → IF/OCSVM/LOF/PCA/LSTM-AE/Transformer MLM → UMAP/HDBSCAN → timeline. اجزا روی CPU قابل اجرا هستند تا دمو و استقرار اولیه بدون GPU اجباری باشد.

خروجی‌ها شامل امتیاز/برنامه، توضیح‌پذیری و ردپای تصمیم برای بازبینی انسانی است. آموزش و ارزیابی از corpus مستند پروژه پیروی می‌کند.

برای تولید: Docker، متغیر محیطی، و اتصال به سامانه موجود (ERP، SIEM، WMS، APS) طبق معماری هر repo انجام می‌شود.

پشته فنی

  • Python
  • scikit-learn
  • LightGBM / PyTorch
  • FastAPI
  • Gradio
  • Docker

متریک‌های قابل بازتولید

بنچمارکجزئیاتنتیجه
Session recallanomalous sessions≥ 0.70
PR-AUCheld-out≥ 0.75
Modelsclassical + deep6
Avg latencyCPU pipeline< 2s

سوالات پرتکرار

LogBERT Anomaly Detector چیست و چه مسئله‌ای را حل می‌کند؟

تشخیص ناهنجاری دنباله لاگ endpoint با مدل خودنظارتی، LSTM-AE و خوشه‌بندی UMAP/HDBSCAN.

آیا می‌توان داده واقعی سازمان را در دمو عمومی وارد کرد؟

خیر. دمو عمومی برای نمونه‌های ازپیش‌محاسبه‌شده یا داده ترکیبی است. داده production باید در استقرار on-prem یا VPC با کنترل دسترسی وارد شود.

آیا این محصول جایگزین سامانه فعلی می‌شود؟

ابزار کمکی دفاعی است و جایگزین SIEM، SOAR، آنتی‌ویروس سازمانی یا تحلیل‌گر انسانی نیست. لاگ، فایل یا کد production را در دمو عمومی آپلود نکنید. Space فعلی نمونه تعاملی است.

متریک‌های صفحه از کجا آمده‌اند؟

از README و eval_results هر پروژه روی Hugging Face / repo داخلی؛ اعداد بنچمارک ترکیبی را با داده سازمان خود در پایلوت بازسنجی کنید.

لینک‌های Hugging Face

مدل مرتبط

logbert-event-embedder

درخواست پایلوت

برای استقرار on-prem، یکپارچه‌سازی با سامانه‌های موجود یا fine-tune روی داده سازمان خود تماس بگیرید.