学而思(xiejava的blog)

中小企业开源安全运营中心（AI-miniSOC）全系列 18 篇导航：愿景架构 → 从零部署 → 采集与资产 → AI 副手五部曲 → 工程化三件套 → 成本账本。每篇附一句话简介，含急用型与深度型两种阅读顺序。

系列番外收官：Phase 1-4 全部交付的复盘地图（18 篇文章 ↔ 仓库真实模块一一对应）、Phase 5 五个功能为什么集体'待启动'（不是没能力做，是没有真实需求逼着做）、从读者到共建者的三种姿势（用起来/反馈坑/提 PR），以及一个人 + AI 协作维护开源项目的真实工作流（CLAUDE.md 公开）。'Phase 5 全是为别人做的功能——没有真实用户提需求前做它们，是负资产。'

'这玩意儿得花多少钱？'——系列收官账本，算的是真账：硬件（一台 8G 旧机器，0 元新增）、AI（Coding Plan Pro 538 元/月 = 6456 元/年，一笔覆盖写代码与 SOC 运行时；标准 API 口径下 glm-4-flash 输入输出免费）、电费（约 200 元/年）、时间（真正的大头，稳定期每周 1-2 小时）。对比三条路：全托管 SaaS 3-15 万/年、商业 SIEM 自建 20 万+、本方案约 6700 元/年。结论：省下的不是钱是量级，而时间成本。

改完代码 push 一下，1.5 分钟后线上就是新的——坏了自动回滚到上一个版本。一个人的 SOC 最该工程化：你是开发者也是运维，没有同事 review 你的部署，没有第二个人半夜帮你回滚。self-hosted runner 解决内网部署、systemd 代替 nohup、全局 trap 自动回滚、前端原子替换零中断、sudoers 最小权限。

老板要账号？给 auditor 查账、给运维开 operator、给 Agent 发 viewer Key——四个角色开箱即用，权限精确到按钮。双层控制（界面隐藏 + API 强制）、三道拦截（登录/授权/兜底）、写侧默认拒绝（漏配即拒绝不即放行）、CI 门禁防烂回去、角色变更对在线用户即时生效。'给老板开账号这件事，从此只需要一个词：viewer'。

从 103 万条原始告警到每天 ≤20 个可处理簇：告警指纹聚合（rule+agent+srcip）× 13/10/7/4 阈值统一（此前 4 套阈值打架、4921 条告警受影响）× AI 簇级研判 × 噪声抑制 × SLA 分级。'告警治理的本质不是让告警变多或变少，是让每一条都值得被看'——附真实数据验证。

讲完"报告自动出、异常主动来"，这一篇把镜头调转 180 度——之前的所有篇章里，AI 都是：你查资产它翻译、你看告警它研判。但真正的安全运营不是你坐在屏幕前的时候才发生的。晚上十一点，你在 Claude 的对话框里敲一句：“帮我看下今天的高危告警，重点看那台 k3s 集群。Claude 很聪明，但它够不着你的 SOC——它看不到你的资产库、查不了你的告警、更不知道哪台机器在 k3s 集群里。传统解法是你打开 VPN → 登系统 → 人肉复制粘贴。

老板要的报告自动出、异常主动找人：四种报告触发（含事件驱动）、AI 只被允许写三段、data_coverage 数据完整性硬门槛；主动推送七个场景巡检 30 分钟一轮、同类去重防刷屏、规则外置 admin 可调。附五个真实踩坑（去重键设计/异步线程告警/冷启动误报）。

系列灵魂篇：每个 AI 消费点的降级路径——AI 挂了功能还在、降级必须可见、数字与叙事分离。三层诚实防线（架构/数据/呈现）+ 降级演练 + 对抗样本 5/5 全拒。'不出假数据'不是道德承诺，是架构性质。

AI 副手第二篇：把'查资产'变成'问一句话'背后的工程设计——L1 单表/L2 模板双层路由、LLM 只选模板绝不写 SQL、51 条评测集回归（含 5 条 Prompt 注入对抗样本 5/5 全拒）。98% 准确率不是一次测出来的，是每次改动后回归出来的。

AI 副手系列开篇：LLM 在 AI-miniSOC 里替你干 10 件事——查资产、写周报、判风险、读对账、看行为……一个人的 SOC 从这里开始'一个人干一个团队的活'。模型随便换（GLM/DeepSeek/Ollama 界面配置 60 秒生效），但副手干的活一件不少。

资产主题收官：当 Wazuh/TP-Link/Nmap 三路数据描述同一台设备但说法不一致时，AI-miniSOC 怎么判断信谁？5 因子加权 + 缺失重归一化 + 强物理因子冲突仲裁 —— 不是看谁吵得响，是看谁在更多维度上能佐证同一个身份。

06 篇讲了'台账 vs 实际数据'差在哪；本篇回答'为什么差那么多'——从源头（采集器健康）到管道（同步死信）到结果（对账差异）的三层健康聚合。看板能让你 30 秒定位问题是源头挂了、数据进不去、还是数据对了但台账没更新。

资产主题开篇：台账 vs 三路实际数据（Wazuh/TP-Link/Nmap） → 三类差异 → 处置状态机。资产对账（内部代号 F1.3）是把'看见世界'升级为'治理世界'的关键一环。

零 agent 接入系列的第三路：Wazuh 看到装了 agent 的主机、TP-Link 看到 DHCP 设备——Nmap 主动 ping 看不见的设备、扫公网暴露面。本篇讲控制面+数据面分离的拉模型架构、扫描器注册流程、任务下发链路。

零成本起步：把家里的路由器/办公室小网络也纳管进 SOC——内网设备自动发现（IP/MAC/主机名）、每台设备在干什么、6 类异常场景（凌晨活跃/隧道域名/影子设备等）。单台 TP-Link 就能让你的 SOC 多出一双眼睛。

从一台裸机到 SOC 收到它的第一条告警：装 agent、跑通 wazuh-collector、Webhook 实时同步的取舍、踩过的 3 个真坑（API Key 不匹配/脚本权限错/${VAR} 密码解析）

架构看懂了，这次动手：面向使用者的五步部署路线——一个数据库、两组必填配置、几个必卡的坑，45 分钟从裸机到登录进自己的 SOC 控制台。

架构是取舍的艺术：AI-miniSOC 为什么选 Loki 而不是 ELK、为什么采集器是拉模型、为什么 AI 是消费点而不是中枢——把每个选型决策背后的「为什么」讲透，并给出 8G 机器的实测资源账。

写给所有一个人扛着公司安全的人：为什么中小企业也需要 SOC、三条路怎么选、以及 AI 如何让一个人 + 一台 8G 内存旧服务器跑起一个真正能用的安全运营中心。《一个人的SOC》系列开篇。

本文介绍我在自研 AI-miniSOC 中落地的行为画像模块：以设备/IP 为主体跑两条数据管道——上网行为管道与身份关系管道，每日快照入库，经 API/MCP 支撑 L1 群体概览与 L2 单 IP 四 Tab 详情，把原始日志变成节律、兴趣、人设标签、机器流量识别与异常信号。文中复盘四个坑：时段聚合错位、机器心跳被当人、DHCP 换 IP 主体分裂、宕机"静默的 0"假绿，并守住合规红线，最终看清全网与个体行为习惯，并把异常接入事件处置闭环。

Splunk 用不起、Wazuh 不够用、告警没人看——用五个月在一台 8GB 内存服务器上造 AI-miniSOC：拉模型采集器穿 NAT、LLM 受限执行不生成 SQL、诚实降级，把 100 万条告警变成"今日必处理"。

作为一个混迹安全圈多年的博主，我用过不少工具：Nmap 跑端口、Metasploit 打漏洞、Burp Suite 抓包... 但说真的，命令行敲久了真的会腻。直到我给 Kali Linux 装上了一个 AI 大脑——OpenClaw。今天不聊理论，直接上硬菜：Kali + OpenClaw 能碰撞出什么火花？

资产是安全防守的基石。如果你不知道自己有什么，就不可能保护好它们。在网络安全攻防实战中，企业对自己资产的了解程度往往远低于攻击者。攻击者只需要找到一个入口点，而防守者需要保护所有可能的入口，资产画像就是解决这个问题的核心方法论。

本文介绍了一个基于Claude Code AI开发的自动化运维健康检查系统，包含基础健康检查、深度安全审计和Docker容器监控三大模块。系统采用轻量级Bash脚本实现，支持双格式输出（Markdown和JSON），具有模块化设计、广泛兼容性等特点。核心功能包括系统负载检测、内存使用监控、磁盘空间检查等，通过统一的状态指示（✅/⚠️/❌）直观展示检查结果。该系统无需额外依赖，适合日常巡检、安全审计和容器监控场景，显著提升了运维效率。

phpIPAM（PHP IP Address Manager）是一个开源的网络 IP 地址管理工具，其目标是提供轻松，现代和有用的IP地址管理。它是基于php的应用程序，带有MySQL数据库后端，使用jQuery库，ajax和HTML5 / CSS3功能。主要用于企业级 IP 地址空间的规划、管理和跟踪。

SQL 注入是一种攻击，在这种攻击中，威胁行为者将恶意代码插入传输到数据库服务器的字符串中进行解析和执行。成功的 SQL 注入攻击可以未经授权访问数据库中包含的机密信息。我们可以使用 Wazuh 从 Web 服务器日志中检测 SQL 注入攻击，这些日志包含 select、union 和其他常见 SQL 注入模式等模式。本文通过POC来验证wazuh检测SQL注入攻击。

Wazuh命令监控功能在端点上运行命令并监控命令的输出。通过监控命令来检测是否有非法可疑进程。本文通过POC展示Wazuh如何通过配置来实现对非法可疑进行的检测及时预警威胁攻击行为。

Wazuh可以与基于网络的入侵检测系统（NIDS）集成，通过监控和分析网络流量来增强威胁检测。Suricata 是一个开源的高性能网络安全监控工具，由开放信息安全基金会（OISF）开发维护。它被广泛用于实时网络流量分析、威胁检测和防护。Suricata 是现代网络安全架构中的重要组件，特别适合需要高性能实时流量分析的场景，是构建深度防御体系的关键工具。

暴力破解是网络安全领域一种常见且顽固的威胁，像Linux端点的SSH这样的服务通常容易受到暴力破解攻击，攻击者利用它来非法访问端点和服务。有效应对暴力破解需要“侦测”和“防护”双管齐下。Wazuh通过关联多个认证失败事件来识别暴力破解攻击并可以配置主动响应以阻止攻击者的IP地址。本文通过POC来验证wazuh对暴力破解的检测与响应能力

Wazuh开源安全平台的FIM功能验证 本文通过POC环境验证了Wazuh平台的文件完整性监控(FIM)功能。实验在Windows 11和Ubuntu主机上部署Wazuh-agent，分别监控桌面目录和/root目录的文件变更。测试内容包括文件创建、修改、删除等操作，验证结果显示Wazuh能准确捕获并告警文件系统变更事件，包括变更详情、操作用户等信息。实验证实Wazuh的FIM模块可有效监控多平台环境中的文件完整性，满足安全审计需求。

本文基于已安装的Wazuh安全管理平台，通过POC验证其对恶意IP的拦截功能。实验环境中，Wazuh-server（192.168.0.40）监控并管理两台分别部署Nginx和Apache2的服务器（192.168.0.41/43），通过配置代理监控访问日志，并将Kali主机（192.168.0.65）加入IP黑名单。当Kali尝试访问Web服务时，Wazuh触发主动响应机制，自动阻断连接60秒，并在仪表板生成可视化告警。测试结果表明，Wazuh能有效识别并拦截黑名单IP的访问请求，实现安全防护功能。

Wazuh是一个功能强大的开源安全平台，它集成了安全信息与事件管理（SIEM）和扩展检测与响应（XDR）的能力，旨在为本地、虚拟化、容器化及云环境中的工作负载提供统一的威胁预防、检测和响应解决方案。特别适合那些希望构建统一、高效且成本可控的安全运营体系的企业或技术团队。本文介绍wazuh的功能和安装配置，后续将通过一系列POC来验证wazuh的能力。

摘要：本文介绍了一套基于AI的上网行为分析系统，用于监控孩子深夜使用平板的情况。系统通过Alloy采集路由器日志，用Loki存储数据，并利用n8n构建AI分析流程调用Gemini大模型分析上网行为。系统每2小时自动生成包含异常行为（特别是凌晨0-5点活动）的分析报告，并通过邮件发送给家长。该系统在保护孩子隐私（不强制检查设备）的同时，实现了对异常上网行为的智能化监控。文章详细介绍了日志采集、AI分析工作流配置及报告生成的全过程，为家长提供了一种平衡监管与尊重的技术解决方案。

本文介绍了基于TP-Link路由器的用户行为审计实践方案。首先通过配置路由器的网站访问控制和应用控制功能，实现对用户上网行为的记录。然后部署TP-Link安全审计系统，设置日志上报功能，将路由器日志导入审计平台进行分析。最后结合AI技术（如Coze空间和WPS AI）对导出的日志数据进行深度分析，生成详细的审计报告，实现异常行为检测和用户行为基线分析。该方案为家庭网络环境提供了一套完整的行为审计解决方案，兼顾了基础管控和智能分析能力。

暴露面是攻击面的子集‌，两者区别在于：暴露面聚焦“对外可见性”，攻击面覆盖“可利用性”；前者是静态防御的基础，后者需动态应对综合风险‌。缩小暴露面可降低被攻击概率，而减少攻击面则能全面降低风险。

攻击面管理（Attack Surface Management，ASM）是一种新兴的网络安全策略和实践，旨在通过持续发现、分析、监控和评估组织内外部的所有资产，识别并管理潜在的安全风险。其核心是从攻击者的视角出发，主动识别企业网络资产的攻击面及脆弱性，包括已知和未知的资产、漏洞、配置缺陷以及泄露信息等。

网络安全挂图作战的概念源于传统军事作战中的“挂图作战”，即通过地图来指挥和协调作战行动。在网络空间安全领域，这一概念被引入并发展为一种新的网络安全管理和防御策略。其灵感来自于地理学中的“人地”关系理论，通过将网络空间的要素与地理空间相结合，构建网络空间地图。在2020年7月，网络安全专家郭启全等在《中国科学院院刊》上发表了《发展网络空间可视化技术支撑网络安全综合防控体系建设》研究文章，论述了网络空间“挂图作战”的基本理念和发展愿景。

目前，国际主流的网络安全架构模型主要有：● 信息技术咨询公司Gartner的ASA（Adaptive Security Architecture自适应安全架构）● 美国政府资助的非营利研究机构MITRE的ATT&CK（Adversarial Tactics Techniques & Common Knowledge 对抗战术技术和常识）● 信息技术咨询公司Gartner的CSMA（Cybersecurity Mesh Architecture网络安全网格架构）

软件定义安全（Software Defined Security，SDSec）是一种从软件定义网络（SDN）引申而来的概念，其核心原理是将网络安全设备与其接入模式、部署方式、实现功能进行解耦。这种解耦使得底层的网络安全设备可以抽象为安全资源池中的资源，而顶层则通过软件编程的方式进行智能化、自动化的业务编排和管理，以完成相应的安全功能，实现灵活的安全防护 。