Agentic-soc-platform
FunnyWolf/agentic-soc-platform • Python • Open Source
Agentic SOC Platform là nền tảng SOAR thế hệ mới sử dụng AI Agent để tự động hóa quy trình triage, điều tra và phản ứng với sự cố, giúp giảm tải áp lực cho đội ngũ SOC.
Khuyến Cáo An Toàn: Cần Kiểm Thử Môi Trường Lab
Dự án sử dụng nhiều dependencies từ Python/TypeScript và tích hợp LLM bên thứ ba. Cần rà soát kỹ các thư viện trong requirements.txt và đảm bảo các API Key kết nối LLM được quản lý qua vault an toàn.
Cài đặt nhanh, Docker/Helm sẵn có, tài liệu mẫu đầy đủ
Tiết kiệm RAM/CPU khi quét lớn, tốc độ xử lý song song
Độ chính xác cao, ít false positive, tính năng mở rộng tốt
Bản vá CVE thường xuyên, cộng đồng bảo mật hỗ trợ tích cực
- •Mã nguồn mở minh bạch
- •Cộng đồng kiểm nghiệm rộng rãi
- •Tối ưu hóa hiệu năng tốt
- •Cần kiểm thử trước khi cấp quyền trên hệ thống Production
1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#
Agentic SOC Platform (ASP) hoạt động như một bộ não trung tâm cho SOC, kết nối các nguồn dữ liệu thô (SIEM/Webhook) với các AI Agent thông qua LangGraph. Luồng dữ liệu: [Nguồn Log] -> [ASP Ingestion] -> [AI Triage & Correlation] -> [Actionable Case] -> [AI Investigation/Playbook Execution] -> [Knowledge Base Update].
2. Ma Trận Đánh Giá & Điểm Khác Biệt#
ASP vượt trội so với các SOAR truyền thống nhờ khả năng 'Agentic' (tự suy luận) thay vì chỉ chạy các script cứng nhắc. Trong khi SOAR truyền thống yêu cầu viết playbook chi tiết cho từng bước, ASP cho phép AI tự đưa ra quyết định dựa trên ngữ cảnh (context-aware).
3. Hướng Dẫn Cài Đặt & Cấu Hình Chi Tiết#
- Clone repo:
git clone https://github.com/funnywolf/agentic-soc-platform.git - Cấu hình file
.envvới các API Key cho LLM (OpenAI/Claude) và thông tin kết nối SIEM. - Chạy
docker-compose up -dđể khởi tạo toàn bộ stack. - Truy cập giao diện web tại cổng mặc định để cấu hình các connector.
4. Bảng Tra Cứu Tham Số & Flags Dòng Lệnh#
--config: Chỉ định file cấu hình YAML tùy chỉnh.--debug: Bật chế độ log chi tiết cho các bước suy luận của AI Agent.--env: Thiết lập môi trường triển khai (production/staging).
5. Kịch Bản Thực Chiến#
- Kịch bản 1 (SOC Monitoring): Tự động hóa việc phân loại hàng nghìn cảnh báo từ ELK, chỉ đẩy các cảnh báo có độ tin cậy cao vào dashboard cho analyst.
- Kịch bản 2 (Incident Response): Khi phát hiện một IP độc hại, ASP tự động truy vấn Threat Intel, kiểm tra CMDB để xác định tài sản bị ảnh hưởng và tạo báo cáo tóm tắt cho đội ngũ ứng cứu.
6. Khuyến Nghị Tối Ưu & Phòng Ngừa Rủi Ro#
- Luôn sử dụng 'Human-in-the-loop' cho các hành động phản ứng tự động (ví dụ: cô lập host).
- Định kỳ rà soát các prompt của AI để tránh hiện tượng 'hallucination' (ảo giác).
- Đảm bảo dữ liệu nhạy cảm được mã hóa trước khi gửi tới các LLM bên thứ ba.
Công Cụ Cùng Chuyên Mục blue_team
A list of useful payloads and bypass for Web Application Security and Pentest/CTF
SafeLine là giải pháp WAF mã nguồn mở hiệu năng cao, sử dụng kiến trúc reverse-proxy để bảo vệ ứng dụng web khỏi các cuộc tấn công phổ biến như SQLi, XSS, RCE và bot độc hại.
Wazuh là nền tảng XDR và SIEM mã nguồn mở toàn diện, cung cấp khả năng giám sát endpoint, phát hiện mối đe dọa, tuân thủ bảo mật và phản ứng sự cố tự động cho hạ tầng on-premises, cloud và container.