开源项目推荐：安全人收藏！一个融合 AI、Wazuh、OpenSearch 的轻量级 SOC 平台

原创

xiejava1018
xiejava1018

只会看监控的实习生

2026年10月13日 16:30
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

AI-miniSOC，把 AI 用到安全运营里

做过安全运营的应该都知道，日常工作不只是看告警。资产梳理、日志分析、漏洞跟踪、攻击溯源、安全报告，这些事情都要有人处理。

尤其是中小企业，安全产品买了不少，但数据分散在不同平台，平时查问题要切换好几个系统，整理报告也得花不少时间。

今天分享一个开源项目：AI-miniSOC，尝试把常见的安全运营功能和 AI 分析结合起来，做成一个统一的管理平台。

一、这个项目能做什么？

AI-miniSOC 面向日常安全运营场景，围绕资产、日志、告警、漏洞和 AI 分析等功能展开。它不是单纯的 AI 对话工具，而是希望把一些实际的安全运营工作放到同一个平台里处理。

1. 资产管理与攻击面扫描

资产管理是安全运营的基础。哪些服务器对外开放了端口、有哪些资产没有登记、资产信息有没有变化，都需要持续跟进。

项目提供资产台账、标签分类、端口管理、数据同步和资产稽核等功能，同时集成基于 Nmap 的攻击面扫描采集器，可以用于发现潜在的暴露资产。

对于平时需要维护资产清单、排查公网暴露面的安全人员来说，这部分功能比较实用。

2. 日志分析与告警处理

项目接入了多个常见组件：

• Wazuh：主机安全监控与入侵检测
• Loki：日志收集与查询
• OpenSearch：安全数据存储与检索
• Grafana：监控数据展示
• OpenTelemetry：遥测数据接入

这些组件各有用途，组合起来可以覆盖一部分日常监控和安全分析场景。

项目还涉及告警聚合、告警分级、事件跟踪、处置工单和通知推送等功能。对于告警比较多的环境，可以重点研究它是怎么组织告警数据，以及如何把发现的问题跟进到处置完成。

3. 接入大模型，辅助分析安全问题

AI 是这个项目比较有意思的地方。

项目支持配置多种模型，包括 DeepSeek、Qwen、Kimi、GLM、OpenAI 兼容接口以及 Ollama 等，具体可用模型以项目当前版本为准。

从功能设计来看，AI 主要用在以下场景：

• 自然语言查询资产信息
• 分析资产风险并生成摘要
• 辅助编写安全运营报告
• 分析资产变更可能带来的影响
• 辅助理解安全基线和合规要求
• 通过 AI Chat、Agent 等方式开展交互式分析
• 结合资产画像、行为分析等信息辅助研判

举个例子，平时整理安全运营报告，需要汇总告警、资产和风险数据，再人工整理成文档。如果数据已经接入平台，就可以进一步研究如何利用大模型辅助生成报告，减少重复性的整理工作。

不过，AI 给出的结论不能直接当成最终研判结果。涉及攻击是否成功、资产是否失陷等问题，还是要回到原始日志和实际证据进行确认。

4. 漏洞管理与安全运营

除了资产和日志，项目还涉及漏洞管理、风险评分、UEBA 异常检测、攻击溯源工作台和资产知识图谱等功能。

这些功能可以帮助安全人员从单条告警扩展到关联分析。例如，某台服务器出现异常登录后，可以结合资产信息、相关告警和行为数据继续排查，而不是只看一条告警就结束。

项目还提供 RBAC 权限管理、登录限制和操作审计等功能，方便管理不同角色的访问权限并保留操作记录。

二、技术栈有哪些？

从项目使用的技术来看，前后端分离的结构比较常见，适合开发人员继续阅读和二次开发。

如果想研究源码，可以优先看后端接口、资产数据模型、采集器的数据流转方式，以及 AI 模型是怎么接入现有业务的。

三、怎么部署？

项目提供了环境配置示例、安装脚本和相关文档，具体步骤建议以仓库 README 为准。

大致可以按下面的顺序进行：

1. 克隆项目，检查依赖和环境变量配置。
2. 准备 PostgreSQL 数据库。
3. 按文档启动 FastAPI 后端。
4. 安装前端依赖并启动 Vue 前端。
5. 根据需要配置日志、安全监控及其他采集组件。
6. 配置 AI 模型和对应的 API Key，测试相关功能。

项目介绍提到可以在 8 GB 内存的小型服务器上运行，但如果同时部署多个日志、安全监控和数据分析组件，实际资源消耗还需要结合数据量和部署方式进行测试。

建议先搭建基础环境，把核心功能跑通，再逐步接入其他组件，不必一开始就把所有模块全部部署。

项目地址：https://github.com/xiejava1018/AI-miniSOC

四、适合谁研究？

安全运营人员可以重点看看资产管理、告警处理、风险分析和报告生成。

安全开发人员可以研究 FastAPI 后端、Vue 前端、数据模型和采集器的实现方式。

想研究 AI 安全应用的人，则可以关注大模型如何获取业务数据、如何调用分析能力，以及如何把 AI 结果融入现有的运营流程。

需要注意的是，项目集成了多种组件，不代表部署完成后就能直接达到成熟 SOC 的运营效果。日志接入、规则配置、误报处理和事件闭环，依然需要结合实际环境进行调整。

最后

现在不少安全平台都开始尝试接入大模型，但真正落地，关键还是看能不能解决实际问题。

AI-miniSOC 把资产管理、日志分析、告警处理和 AI 辅助分析放到一个项目中，对于想了解 AI 与安全运营结合方式的朋友，可以下载源码研究一下。

感兴趣的可以去 GitHub 看看，项目代码和具体部署说明都在仓库里。

项目地址：https://github.com/xiejava1018/AI-miniSOC