AiSOC

告警融合 + LLM 分诊 + MITRE ATT&CK 溯源，每一步推理都能回放——MIT 协议、可自托管、零密钥可跑

项目速览

项目内容

仓库 beenuar/AiSOC

语言 Python

协议 MIT

星标约 6 千（2026 年 Trending 口径）

部署 Docker Compose 自托管

它想解决什么问题

安全团队最日常的痛不是”没有告警”，而是告警太多。SIEM 一天几千条，真正需要人看的是个位数。商业 SOAR/SOC 平台能做关联分析，但价格与数据落地方式对中小团队都不友好。

AiSOC 想做的是开源版的那一层：把分散告警聚合起来，让 LLM Agent 先做一轮研判和优先级排序，再按 MITRE ATT&CK 框架梳理攻击链路。

1. 告警融合与分诊。 多源告警归一化后交给 Agent 评估优先级，人只看被判定为高风险的少数条目。

2. ATT&CK 对齐。 调查过程贴着攻击框架走，输出的是”疑似哪一类技术、处于哪个阶段”，而不是一段自由发挥的分析文字。

3. 可回放的决策账本。 这是它最有分量的设计——Agent 每一步推理都留痕，事后能复盘”为什么判成误报”。安全场景里，不可解释的自动化等于不可用。

4. 零密钥可跑 + MCP。 自托管不需要外部 API Key 也能启动，并对外提供 MCP 服务端，能接进 Claude、Cursor、Continue 等工作流。

1 2	git clone https://github.com/beenuar/AiSOC.git cd AiSOC && docker compose up

起来之后先灌一批历史告警做验证，别直接接生产数据——分诊规则需要按自家环境调。

亮点是”决策账本”这个概念落到了实现上：安全自动化最怕黑箱，能回放就意味着能审计、能申诉、能持续改进规则。对预算有限的安全团队，这是把 SOAR 能力降到可承受价位的一条路。

局限：告警源适配器数量决定实用度，接不上你家的设备就只是个演示；LLM 分诊会误判，尤其在被刻意混淆的攻击面前，仍需人工兜底；项目早期，规则库与案例积累薄；自托管意味着日志、存储、模型全要自己扛，运维成本别低估。

适合人群：没有预算上商业 SOC 平台的中小安全团队；想先做”告警压缩”再谈自动化的安全工程师；以及自建 SIEM 的 Homelab 玩家。