Sec-Link/Argus-Agentic-SOC-Platform

Argus – オープンソースのAIネイティブSOCプラットフォーム

概要 – Argusは、生成AIアシスタントを従来のSOCワークフローに組み込んだ、フルスタックのオープンソースセキュリティオペレーションセンター（SOC）システムです。アラート取り込み、チケット管理、資産インベントリ、相関ルール、ダッシュボード、自動化を統合し、クエリへの回答、類似ケースの検索、JSON-RPCスタイルの「MCP」インターフェースを介したツール呼び出しが可能な AI Assistant を提供します。

重要性 – 現代のSOCは膨大なアラートに埋もれています。プラットフォームを AIネイティブ かつ APIファースト にすることで、Argusはセキュリティチームに以下の利点をもたらします：

• インシデントに関する自然言語での質問（例：「同じIPに関連する他のアラートは？」）を行い、簡潔で文脈を理解した回答を得る。
• UIやAIアシスタントからトリガー可能なワークフローオーケストレーションにより、反復的な手順を自動化する。
• コアコードに触れることなく、カスタム検出ルール（Sigma）、統合、または新しいAI駆動ツールでシステムを拡張する。

主要コンポーネント

コンポーネント	役割
Frontend (Next.js 15 + React 18 + Ant Design)	アラート、チケット、ダッシュボード、ワークフロービルダー、チャット型AIアシスタントのためのWeb UI。
Backend API (Django 6 + DRF)	認証、アラート、チケット、CMDB、ワークフロー、統合、AIアシスタントのための統合RESTエンドポイント (/api/v1/*)。
Data layer	PostgreSQL 16がコアオブジェクトを保存。Elasticsearchはオプションのアラートソースとして追加可能。
AI Assistant	チケットやCMDBのクエリ、類似ケースの検索、JSON-RPC「MCP」レジストリを介した登録済みツールの呼び出しが可能な会話レイヤー。
Orchestrator / Workflows	自動化チェーンのためのスケジューラおよび実行エンジン（監査ログ付き）。
Correlation engine	すぐに使える検出ルール（Sigma）とバージョン管理された「Detection-as-Code」。

主な機能

• AI駆動の調査 – 自然言語クエリ、ケース類似性検索、チャットUIからのツール呼び出し。
• セキュリティワークフローの自動化 – ドラッグ＆ドロップまたはコード定義によるワークフロー。チケット作成、アラートのエンリッチメント、カスタムスクリプトの実行が可能。
• アラートおよびインシデント管理 – 取り込み、ページネーション、アクティビティ履歴、チケットでのコラボレーション。
• 脅威インテリジェンスのエンリッチメント – 組み込みのエンリッチメントパイプラインと外部フィードの容易な統合。
• 資産コンテキスト (CMDB) – アラートやチケットにリンクされた資産インベントリにより、より詳細な調査が可能。

アーキテクチャの概要

1. Frontend はAPI呼び出しをバックエンドにプロキシし、認証とUIレンダリングを処理します。
2. Backend (Django + DRF) はビジネスロジック、RBAC、AIアシスタントのエンドポイントを実装します。
3. Data はPostgreSQLに保存されます。Elasticsearchは高速なアラート検索に使用できます。
4. Intelligence layer はAIアシスタントとそのツールレジストリをホストします。
5. Automation layer はスケジュールされたワークフローを実行し、外部呼び出しをオーケストレートします。

はじめに

1. リポジトリをクローンし、env.example を .env にコピーして設定（シークレット、DB接続など）を行います。
2. ローカルでのクイックテストには docker-compose.dev.yml を実行します。これによりPostgreSQL、Django API、Next.js UIが起動します。
3. http://localhost:3000 でUIにアクセスし、提供された認証エンドポイント経由でログインします。
4. AI Assistant タブでアラートや資産に関する質問をしたり、登録済みツールを呼び出したりします。
5. カスタムDjangoアプリ、新しいSigma検出ルール、または追加のAI駆動ツールプラグインを追加してプラットフォームを拡張します。

対象ユーザー

• AIアシスタントを内蔵したオープンソースSOCを求めるセキュリティ運用チーム。
• モジュール式でAPIファーストなバックエンドを必要とする、カスタム検出・応答ツール開発者。
• 商用SOC製品を、自己ホスト型で拡張可能なスタックに置き換えたい組織。

ドキュメントとコミュニティ

• ライブデモ: https://siem.seclink.info
• 完全なドキュメント（セットアップ、アーキテクチャ、APIリファレンス）: https://sec-link.github.io/Argus-Agentic-SOC-Platform/
• 貢献は CONTRIBUTING.md ガイドを通じて歓迎します。

---

結論 – Argusは、従来のSOCツールボックス（アラート、チケット、CMDB、ダッシュボード）と会話型AIレイヤー、そして最新のコンテナ対応アーキテクチャを組み合わせ、セキュリティチームに柔軟でオープンソースの次世代インシデント対応基盤を提供します。