Sec-Link/Argus-Agentic-SOC-Platform

Argus – 오픈소스 AI 네이티브 SOC 플랫폼

개요 – Argus는 생성형 AI 어시스턴트를 기존 SOC 워크플로우에 내장한 풀스택 오픈소스 보안 운영 센터(SOC) 시스템입니다. 경보 수집, 티켓팅, 자산 인벤토리, 상관관계 규칙, 대시보드 및 자동화를 통합하며, 쿼리에 답변하고 유사한 사례를 검색하며 JSON-RPC 스타일의 "MCP" 인터페이스를 통해 도구를 호출할 수 있는 AI Assistant를 제공합니다.

중요성 – 현대의 SOC는 쏟아지는 경보로 인해 어려움을 겪고 있습니다. 플랫폼을 AI 네이티브 및 API 우선으로 설계함으로써, Argus는 보안 팀이 다음을 수행할 수 있도록 지원합니다:

• 인시던트에 대한 자연어 질문(예: "동일한 IP와 관련된 다른 경보는 무엇인가?")을 하고 간결하며 문맥을 파악한 답변을 얻습니다.
• UI나 AI 어시스턴트에서 트리거할 수 있는 워크플로우 오케스트레이션을 통해 반복적인 단계를 자동화합니다.
• 핵심 코드를 수정하지 않고도 사용자 정의 탐지 규칙(Sigma), 통합 또는 새로운 AI 기반 도구로 시스템을 확장합니다.

핵심 구성 요소

구성 요소	역할
Frontend (Next.js 15 + React 18 + Ant Design)	경보, 티켓, 대시보드, 워크플로우 빌더 및 채팅형 AI 어시스턴트를 위한 웹 UI.
Backend API (Django 6 + DRF)	인증, 경보, 티켓, CMDB, 워크플로우, 통합 및 AI 어시스턴트를 위한 통합 REST 엔드포인트 (/api/v1/*).
Data layer	PostgreSQL 16이 핵심 객체를 저장하며, Elasticsearch를 선택적 경보 소스로 추가할 수 있습니다.
AI Assistant	티켓 및 CMDB 쿼리, 유사 사례 검색, JSON-RPC "MCP" 레지스트리를 통한 도구 호출이 가능한 대화형 레이어.
Orchestrator / Workflows	감사 로그를 포함한 자동화 체인용 스케줄러 및 실행 엔진.
Correlation engine	즉시 사용 가능한 탐지 규칙(Sigma) 및 버전 관리되는 "Detection-as-Code".

주요 기능

• AI 기반 조사 – 자연어 쿼리, 사례 유사성 검색, 채팅 UI에서의 도구 호출.
• 보안 워크플로우 자동화 – 드래그 앤 드롭 또는 코드 정의 방식의 워크플로우로 티켓 생성, 경보 강화, 사용자 정의 스크립트 실행 가능.
• 경보 및 인시던트 관리 – 수집, 페이지네이션, 활동 기록 및 티켓 협업.
• 위협 인텔리전스 강화 – 내장된 강화 파이프라인 및 외부 피드와의 쉬운 통합.
• 자산 컨텍스트 (CMDB) – 경보 및 티켓에 연결된 자산 인벤토리를 통해 더 심층적인 조사 가능.

아키텍처 개요

1. Frontend는 API 호출을 백엔드로 프록시하며 인증 및 UI 렌더링을 처리합니다.
2. Backend (Django + DRF)는 비즈니스 로직, RBAC 및 AI 어시스턴트 엔드포인트를 구현합니다.
3. Data는 PostgreSQL에 저장되며, Elasticsearch를 사용하여 빠른 경보 검색이 가능합니다.
4. Intelligence layer는 AI 어시스턴트와 도구 레지스트리를 호스팅합니다.
5. Automation layer는 예약된 워크플로우를 실행하고 외부 호출을 오케스트레이션합니다.

시작하기

1. 저장소를 복제하고 env.example을 .env로 복사하여 설정(비밀 키, DB 연결 등)합니다.
2. 로컬에서 빠르게 테스트하려면 docker-compose.dev.yml을 실행하십시오. PostgreSQL, Django API, Next.js UI가 실행됩니다.
3. http://localhost:3000에서 UI에 접속하고 제공된 인증 엔드포인트를 통해 로그인합니다.
4. AI Assistant 탭에서 경보나 자산에 대해 질문하거나 등록된 도구를 호출해 보십시오.
5. 사용자 정의 Django 앱, 새로운 Sigma 탐지 규칙 또는 추가 AI 기반 도구 플러그인을 추가하여 플랫폼을 확장하십시오.

사용 권장 대상

• AI 어시스턴트가 내장된 오픈소스 SOC를 원하는 보안 운영 팀.
• 모듈식 API 우선 백엔드가 필요한 사용자 정의 탐지 또는 대응 도구 개발자.
• 상용 SOC 제품을 자체 호스팅 가능하고 확장 가능한 스택으로 교체하려는 조직.

문서 및 커뮤니티

• 라이브 데모: https://siem.seclink.info
• 전체 문서(설정, 아키텍처, API 참조): https://sec-link.github.io/Argus-Agentic-SOC-Platform/
• 기여는 CONTRIBUTING.md 가이드를 통해 환영합니다.

---

결론 – Argus는 기존의 SOC 도구 상자(경보, 티켓, CMDB, 대시보드)와 대화형 AI 레이어, 그리고 현대적인 컨테이너 기반 아키텍처를 결합하여 보안 팀에게 유연하고 오픈소스인 차세대 인시던트 대응 기반을 제공합니다.