🛡️ girenit-NanoSOC-8B — Türkçe SOC Tehdit Tespit Modeli
Güvenlik loglarını okuyup saldırıyı tespit eden, MITRE ATT&CK tekniğine eşleyen ve Türkçe SOC-analisti çıktısı üreten kompakt (8B) savunma modeli. Tek GPU'da, on-prem, air-gapped çalışır — log verisi ortamdan çıkmaz (KVKK uyumlu).
Varsayılan (main) = v20, ürün sürümü. Aşağıdaki tabloyla ihtiyacına göre başka bir çalışma noktası da seçebilirsin (
revision="v17"vb.).
📊 Performans — v20 (dondurulmuş 1000-olay HIKARI holdout)
| Metrik | Skor |
|---|---|
| 🎯 Recall (saldırı yakalama) | %91,5 |
| 🧭 MITRE ATT&CK (tam eşleşme) | %91,0 |
| 📈 F1 | %76,4 |
| 🚨 Yanlış-alarm (FP) | %12,0 |
| 🧱 Specificity | %88,0 |
| ✅ JSON geçerlilik | %100 |
Bağımsız, dondurulmuş holdout üzerinde; eğitim verisiyle örtüşme sızıntı-denetiminden geçirildi (benchmarks/leakage-audit.json).
🎛️ Çalışma noktaları — ihtiyacına göre seç
| Sürüm | Recall | FP | F1 | MITRE | Ne zaman |
|---|---|---|---|---|---|
| v20 (varsayılan) | %91,5 | %12,0 | %76,4 | %91,0 | Saldırı kaçırmama önceliği |
v15 (revision="v15")* |
%87,5 | %10,3 | %76,6 | %89,2 | En dengeli / en yüksek F1 |
v17 (revision="v17") |
%66,0 | %4,0 | %72,5 | %96,0 | Düşük-alarm / yüksek hacimli SOC |
v12 (revision="v12") |
%57,5 | %2,75 | %68,3 | %89,3 | Alarm bütçesi çok dar |
*v15 önceki varsayılandı; F1'i v20'ye çok yakın, FP'si biraz düşük. v20 saldırı yakalama (recall) ve MITRE'de öne geçtiği için ürün varsayılanı oldu.
🔍 Ne yapar / yapmaz
- ✅ Tespit + MITRE eşleme + Türkçe SOC özeti (yapılandırılmış JSON çıktı)
- ✅ Windows/Linux/ağ logları, çok-kaynaklı olaylar
- ⚠️ Attribution (aktör atfı) çözülmedi: uzun loglarda tam-eşleşme %0; model yanlış atfetmek yerine çekimser kalır (%91,7 abstain). Atıf için insan analistine bırakın — dürüstçe böyle belgeliyoruz.
- ⚠️ FP ~%12: yüksek hacimli SOC'ta düşük-alarm için
v17'yi tercih edin.
🚀 Kullanım
from transformers import AutoModelForCausalLM, AutoTokenizer
from peft import PeftModel
base="fdtn-ai/Foundation-Sec-1.1-8B-Instruct"
tok=AutoTokenizer.from_pretrained("girenit/girenit-NanoSOC-8B") # main = v20
model=AutoModelForCausalLM.from_pretrained(base, device_map="auto", torch_dtype="bfloat16")
model=PeftModel.from_pretrained(model, "girenit/girenit-NanoSOC-8B") # revision="v17" ile düşük-FP
# chat_template.jinja tokenizer'a gömülüdür; log'u user mesajı olarak verin.
⚠️ Sorumlu kullanım
Yalnızca savunma, tespit ve yetkili güvenlik operasyonları içindir. Saldırı üretimi/kötüye kullanım için değildir.
📚 Sürüm ailesi & kanıt
10 sürümün tam benchmark'ları repoda: benchmarks/ (v10–v20, sızıntı-denetimi, NIDS bağımsız testler, base-vs-nanosoc karşılaştırmaları).