Sec-Link/Argus-Agentic-SOC-Platform

Argus – 开源 AI 原生 SOC 平台

它是什么 – Argus 是一个全端、开源的安全运营中心 (SOC) 系统，将生成式 AI 助手嵌入到传统的 SOC 工作流程中。它整合了警报摄取、工单系统、资产清单、关联规则、仪表板和自动化，同时提供一个 AI Assistant，可以回答查询、检索相似案例，并透过 JSON-RPC 风格的“MCP”接口调用工具。

为什么它很重要 – 现代 SOC 正淹没在警报中。透过使平台具备 AI 原生 和 API 优先 的特性，Argus 让安全团队能够：

• 针对事件提出自然语言问题（例如：“还有哪些警报涉及相同的 IP？”）并获得简洁、具备上下文的答案。
• 使用可从 UI 或 AI 助手触发的工作流程编排来自动化重复性步骤。
• 在不更动核心代码的情况下，使用自定义检测规则 (Sigma)、整合或新的 AI 驱动工具来扩展系统。

核心组件

组件	角色
Frontend (Next.js 15 + React 18 + Ant Design)	用于警报、工单、仪表板、工作流程构建器和聊天式 AI 助手的 Web UI。
Backend API (Django 6 + DRF)	用于身份验证、警报、工单、CMDB、工作流程、整合和 AI 助手的统一 REST 端点 (/api/v1/*)。
Data layer	PostgreSQL 16 存储核心对象；Elasticsearch 可作为可选的警报来源添加。
AI Assistant	对话层，可以查询工单、CMDB、检索相似案例，并透过 JSON-RPC“MCP”注册表调用已注册的工具。
Orchestrator / Workflows	自动化链的调度程序和执行引擎，包含审计日志。
Correlation engine	开箱即用的检测规则 (Sigma) 和版本化的“检测即代码”。

关键功能

• AI 驱动的调查 – 自然语言查询、案例相似度搜索，以及从聊天 UI 调用工具。
• 安全工作流程自动化 – 可拖放或透过代码定义的工作流程，能够创建工单、丰富警报信息或执行自定义脚本。
• 警报与事件管理 – 摄取、分页、活动历史记录以及工单协作。
• 威胁情报丰富化 – 内建丰富化管道并易于整合外部来源。
• 资产上下文 (CMDB) – 链接到警报和工单的资产清单，以进行更深入的调查。

架构概览

1. Frontend 将 API 调用代理到后端，处理身份验证和 UI 渲染。
2. Backend (Django + DRF) 实现业务逻辑、RBAC 和 AI 助手端点。
3. Data 存储在 PostgreSQL 中；Elasticsearch 可用于快速警报搜索。
4. Intelligence layer 托管 AI 助手及其工具注册表。
5. Automation layer 执行排程工作流程并编排外部调用。

入门指南

1. 克隆仓库并将 env.example 复制到 .env（设置密钥、数据库连接等）。
2. 若要进行快速本地测试，请执行 docker-compose.dev.yml – 它会启动 PostgreSQL、Django API 和 Next.js UI。
3. 访问 http://localhost:3000 的 UI 并透过提供的身份验证端点登录。
4. 探索 AI Assistant 标签以询问有关警报或资产的问题，或调用已注册的工具。
5. 透过新增自定义 Django 应用、新的 Sigma 检测规则或额外的 AI 驱动工具插件来扩展平台。

适用对象

• 希望拥有内建 AI 协助功能的开源 SOC 的安全运营团队。
• 需要模块化、API 优先后端的自定义检测或响应工具开发人员。
• 寻求以自托管、可扩展的技术栈取代商业 SOC 产品的组织。

文档与社区

• 在线演示: https://siem.seclink.info
• 完整文档（设置、架构、API 参考）: https://sec-link.github.io/Argus-Agentic-SOC-Platform/
• 欢迎透过 CONTRIBUTING.md 指南进行贡献。

---

总结 – Argus 将传统的 SOC 工具箱（警报、工单、CMDB、仪表板）与对话式 AI 层以及现代化的容器化架构相结合，为安全团队提供了一个灵活、开源的下一代事件响应基础。