内容
<p align="center">
<img src="assets/banner.svg" alt="SOCloom — AI-Native 安全运营平台" width="100%"/>
</p>
<p align="center">
<img src="assets/logo.svg" alt="SOCloom logo" width="80" height="80"/>
</p>
<p align="center">
<img src="https://img.shields.io/badge/Python-3.11+-3776AB?style=flat-square&logo=python&logoColor=white" alt="Python"/>
<img src="https://img.shields.io/badge/FastAPI-009688?style=flat-square&logo=fastapi&logoColor=white" alt="FastAPI"/>
<img src="https://img.shields.io/badge/React-18-61DAFB?style=flat-square&logo=react&logoColor=black" alt="React"/>
<img src="https://img.shields.io/badge/MITRE_ATT%26CK-E8222E?style=flat-square" alt="MITRE"/>
<img src="https://img.shields.io/badge/MCP_Server-8B5CF6?style=flat-square" alt="MCP"/>
<img src="https://img.shields.io/badge/Skills-817-06b6d4?style=flat-square" alt="817 Skills"/>
<img src="https://img.shields.io/badge/License-MIT-10b981?style=flat-square" alt="License"/>
</p>
<h3 align="center">安全运营平台，融合800+安全技能、机器学习检测和MITRE ATT&CK</h3>
<p align="center">
<a href="#快速开始">快速开始</a> •
<a href="docs/ARCHITECTURE.md">架构</a> •
<a href="docs/API.md">API</a> •
<a href="docs/CLI.md">命令行界面</a> •
<a href="docs/MCP.md">MCP</a> •
<a href="docs/DEPLOYMENT.md">部署</a>
</p>
---
## 概述
**SOCloom** 是一个开源的、AI原生的安全运营中心平台。它将三个检测层、一个包含 **817** 个网络安全技能的目录和 **MITRE ATT&CK** 映射到一个分析师工具链中。
大多数AI-SOC工具将日志转储到大型语言模型中。SOCloom **通过真正的网络安全游戏手册路由每个事件** — 威胁狩猎、事件响应、取证、恶意软件分析 — 然后在生成响应之前将该上下文与机器学习分数融合。
<p align="center">
<img src="assets/charts/architecture-flow.svg" alt="SOCloom 管道架构" width="90%"/>
</p>
---
## 为什么选择SOCloom？
| 问题 | SOCloom 解决方案 |
|---------|------------------|
| 警报疲劳 | 机器学习 + 规则融合，带有置信度评分 |
| 浅层AI分诊 | 817技能路由器将真正的游戏手册注入LLM上下文 |
| 没有MITRE上下文 | 自动将每个警报映射到ATT&CK + IR游戏手册 |
| 供应商锁定 | 开源、自行托管、多LLM |
| AI代理差距 | 用于Cursor和Claude Desktop的原生MCP服务器 |
---
## 检测引擎
<p align="center">
<img src="assets/charts/detection-layers.svg" alt="3层检测引擎" width="90%"/>
</p>
| 层 | 技术 | 目的 |
|-------|-----------|---------|
| **机器学习** | 隔离森林（8个特征） | 基线异常检测 |
| **规则** | 5个Sigma风格的规则 | 确定性高保真警报 |
| **AI + 技能** | 多LLM + 817个游戏手册 | 上下文威胁分析 |
---
## 技能目录
<p align="center">
<img src="assets/charts/skills-distribution.svg" alt="安全技能分布" width="90%"/>
</p>
- **817** 个技能索引自 [Anthropic 网络安全技能](https://github.com/mukul975/Anthropic-Cybersecurity-Skills)
- **329** 个SOC相关的技能，涵盖威胁狩猎、事件响应、取证、恶意软件分析
- 语义路由器通过关键词、攻击类型和MITRE技术匹配事件
---
## 仪表盘分析
<p align="center">
<img src="assets/charts/risk-analytics.svg" alt="警报分析仪表盘" width="90%"/>
</p>
实时React仪表盘，显示风险分布、攻击类型分解、置信度趋势和WebSocket实时警报。
---
## 快速开始
### 前提条件
Python 3.11+ · Node.js 20+ (仪表盘) · [Anthropic 网络安全技能](https://github.com/mukul975/Anthropic-Cybersecurity-Skills) (可选)
### 安装和运行
```bash
git clone https://github.com/xAmirHamza77/SOCLOOM.git
cd SOCLOOM
cp .env.example .env
python3.12 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
# API 服务器
PYTHONPATH=backend uvicorn aegis.main:app --reload --port 8000
# 仪表盘（新终端）
cd frontend && npm install && npm run dev
# 演示流量（新终端）
python scripts/traffic_simulator.py
```
| 服务 | URL |
|---------|-----|
| 仪表盘 | http://localhost:5173 |
| API 文档 | http://localhost:8000/docs |
| 健康检查 | http://localhost:8000/api/v1/health |
---
## 命令行界面
```bash
export PYTHONPATH=backend
python -m aegis.cli.main analyze --src 203.0.113.55 --dst 10.0.0.5 -p UDP -s 7000 -d 30
python -m aegis.cli.main hunt "dns tunneling exfiltration"
python -m aegis.cli.main intel "203.0.113.55,evil-domain.com"
python -m aegis.cli.main incident "Ransomware Alert" --desc "Encrypted files on FS-01"
python -m aegis.cli.main skills --stats
```
---
## MCP 服务器
```bash
pip install mcp
PYTHONPATH=backend python mcp-server/server.py
```
将SOCloom暴露给Cursor、Claude Desktop和AI代理。参见 [docs/MCP.md](docs/MCP.md)。
---
## Docker
```bash
docker compose up --build
```
---
## 项目结构
```
socloom/
├── assets/ # Logo, banner, charts (SVG)
├── backend/aegis/ # Core engine
├── frontend/ # React dashboard
├── mcp-server/ # MCP for AI agents
├── scripts/ # Traffic simulator
└── docs/ # Full documentation
```
---
## 配置
| 变量 | 描述 | 默认值 |
|----------|-------------|---------|
| `AEGIS_SKILLS_PATH` | Anthropic 技能仓库路径 | 内置备用方案 |
| `OPENAI_API_KEY` | OpenAI 密钥 | — |
| `ANTHROPIC_API_KEY` | Anthropic 密钥 | — |
| `AEGIS_LLM_PROVIDER` | `openai` / `anthropic` / `ollama` | `openai` |
| `ABUSEIPDB_API_KEY` | IP 声誉 | — |
无需API密钥即可完全离线运行。
---
## 路线图
- [x] 机器学习 + 规则 + 技能编排的AI
- [x] 817技能编目路由器
- [x] MITRE ATT&CK 映射
- [x] MCP 服务器 + 命令行界面 + 仪表盘
- [ ] Sigma YAML 导入
- [ ] STIX/TAXII 源
- [ ] JWT 认证 + RBAC
- [ ] SOAR 集成
---
## 致谢
- [Ai-socAnalyst](https://github.com/kartavya0203/Ai-socAnalyst) — 机器学习管道和仪表盘
- [Anthropic 网络安全技能](https://github.com/mukul975/Anthropic-Cybersecurity-Skills) — 817个网络安全工作流程
## 许可证
MIT — 参见 [LICENSE](LICENSE)
<p align="center">
<sub>如果SOCloom帮助了您的团队，请在GitHub上给它一个⭐</sub>
</p>
