Repolode
提交项目
beenuar

beenuar/AiSOC

可自托管的开源 AI 安全运营中心，融合告警、用 LLM 智能体分诊，并保留可审计的决策记录。

可替代:Splunk SOARMicrosoft Sentinel

在 GitHub 查看官网
Star
3,220
Fork
343
未关闭 Issue
6
最近提交
前天

这是什么？

AiSOC 是一个可自托管的安全运营中心，接收安全工具的日志与事件，进行标准化处理，运行检测规则，将相关告警聚合为事件，并由 AI 智能体进行调查。智能体的每一次提示词与工具调用都会记录在调查账本中，整个调查过程可导出为带签名的证据包。

系统覆盖接入、检测、关联、告警和分诊等环节。内置 Splunk、Sentinel、Elastic、CrowdStrike、Okta 等厂商的连接器，其他来源可通过通用映射接入。CISA KEV 威胁情报可对已采集的历史事件进行回溯比对。由告警触发的 playbook 默认以预览方式运行，任何对外部厂商的操作都需要人工审批。

默认部署通过 Ollama 在本地运行模型，无需 API Key，使用 make up 即可启动。项目还提供面向 Claude、Cursor 和 Continue 的 MCP 服务。

核心功能

  • 01对接入的遥测数据进行标准化，并运行大量检测规则
  • 02将相关告警关联为事件以便调查
  • 03AI 智能体分诊，所有提示词与工具调用记入账本
  • 04提供 Splunk、Sentinel、Elastic、CrowdStrike、Okta 等连接器
  • 05可将调查结果导出为带签名的证据包
  • 06默认使用本地模型运行，无需 API Key

适用场景

  • 在自有基础设施上为小型安全团队进行告警分诊
  • 审计 AI 智能体对某条告警得出结论的过程
  • 用新的威胁情报回溯比对历史安全日志
  • 将现有 Splunk、KQL 或 EQL 检测规则迁移到新的流水线

快速上手

  1. 1

    克隆仓库

    git clone https://github.com/beenuar/AiSOC && cd AiSOC
  2. 2

    用 make 启动服务

    make up
  3. 3

    运行冒烟测试验证安装

    make smoke
  4. 4

    使用 make up 输出的地址登录

使用前须知

  • 需要 Docker Compose v2，Docker 虚拟机至少 8 GB 内存和 20 GB 可用磁盘，首次运行会下载约 2 GB 模型。
  • 内置本地模型并非前沿模型，分诊输出有时不可靠。
  • 部分检测规则目前无法触发，README 称规则可执行性仍在验证中。

收录于专题

开源 AI Agent 框架与应用自托管应用

标签

#security-operations#incident-response#ai-security#llm-agents#threat-detection#siem#mitre-attack#self-hosted#agentic-ai#alert-triage

常见问题

AiSOC 是什么？
可自托管的开源 AI 安全运营中心，融合告警、用 LLM 智能体分诊，并保留可审计的决策记录。 AiSOC 是一个可自托管的安全运营中心，接收安全工具的日志与事件，进行标准化处理，运行检测规则，将相关告警聚合为事件，并由 AI 智能体进行调查。智能体的每一次提示词与工具调用都会记录在调查账本中，整个调查过程可导出为带签名的证据包。
AiSOC 可以免费使用吗？用的什么许可证？
AiSOC 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。
AiSOC 还在维护吗？
活跃维护中。AiSOC 最近一次提交是在 2026年10月22日。
AiSOC 适合用来做什么？
在自有基础设施上为小型安全团队进行告警分诊 审计 AI 智能体对某条告警得出结论的过程 用新的威胁情报回溯比对历史安全日志 将现有 Splunk、KQL 或 EQL 检测规则迁移到新的流水线
AiSOC 怎么安装和运行？
克隆仓库: git clone https://github.com/beenuar/AiSOC && cd AiSOC 用 make 启动服务: make up 运行冒烟测试验证安装: make smoke 使用 make up 输出的地址登录
在哪里获取 AiSOC？
源代码和安装说明在 GitHub 上：https://github.com/beenuar/AiSOC

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目