企业官网建设流程全解析

告警太多筛不过来？AiSOC 的 Agent-assisted triage 让 AI 先帮你分一遍

【免费下载链接】reinstall一键DD/重装脚本 (One-click reinstall OS on VPS)项目地址: https://gitcode.com/GitHub_Trending/re/reinstall

AiSOC 是一款开源的 AI 安全运营中心（SOC，Security Operations Center，负责盯告警、查事件、做处置的后台系统）。它的 Agent-assisted triage（AI 告警分诊）功能，让 AI 助手先把告警分级、把证据拉齐、把处置建议写出来，事件响应决策自然快起来。

AiSOC AI Copilot 界面：Agent-assisted triage 辅助告警分诊与事件响应

先看一个扎心的场景

周五 23 点，你在看一条"可疑登录"。队列里还堆着四十来条：同一个扫描器刷出来的、早就是误报的、看着像撞库的……

分诊（triage，判断告警值不值得查、先查哪条）慢，慢在哪？不在判断本身，在时间——每条都要点开、翻上下文、查资产、想处置办法。队越长，响应越拖。

AiSOC 的 Agent-assisted triage 就是把"先筛一遍"这件活交给 AI Copilot（AiSOC 里的 AI 助手界面）。你还能直接用自然语言问它："这条告警什么来头？"它当场回。

AI 助手接手后，一条告警会走四步

第 1 步：分级排序，先定"值不值得看"

AI 助手按严重程度、影响范围和潜在风险给告警打分排队：低优先级的压住，高优先级的立刻推到你面前。分级逻辑就建在 detections/ 这套检测规则上。

第 2 步：把证据自动拉齐

不用手动翻日志。AI 助手围绕这条告警自动收集相关数据：日志片段、网络流量、系统配置，帮你圈出根源、影响面和可能的攻击路径。调查工具的实现在 services/investigation/。

第 3 步：对照 MITRE ATT&CK 标注攻击手法

MITRE ATT&CK 是一份公开的攻击行为知识库，把真实攻击用过的技术都编号归档。AI 助手会把检测到的行为自动映射到对应的技术和战术——看懂对方在干什么，就知道该防哪。架构相关文档见 docs/architecture/。

第 4 步：给一张能直接执行的处置清单

分析完，AI 助手直接给建议：怎么遏制（containment）、怎么根除（eradication）、怎么恢复（recovery）。你点确认就能执行，有出入就改一版再跑。

走查一遍：一条撞库告警是怎么被处理的

凌晨 2 点，"多源 IP 登录失败激增"的告警进来。整个过程大概是这样的：

1. AI 先做初步分析，抽出事件类型、受影响资产、时间戳，生成初版报告；
2. 按规则做优先级评估，判定高优先级，直接通知值班人；
3. 启动深度调查，拉出失败登录时间线和来源 IP，画出攻击路径，标上 ATT&CK 里"暴力破解：在线猜测"（T1110）；
4. 处置建议跟上：封来源网段、强制改密、打开 MFA。执行完做复盘，经验沉淀回知识库，下次同类告警判得更准。

和纯人肉分诊比，省在哪

• 更快：筛选、拉证据这些重复活归 AI，你只盯关键决策；
• 更准：结合上下文过滤掉明显误报，推到你面前的都是值得看的；
• 经验可复用：新人的处置思路直接对齐团队知识库，AI 助手像个随叫随到的老师傅；
• 数据不出内网：作为开源 SOC，AiSOC 走 MIT 许可证、支持自托管，告警数据留在自己机器上。

10 分钟跑起来

1. 克隆仓库：

git clone https://gitcode.com/GitHub_Trending/re/reinstall

2. 执行安装脚本 install.sh，按提示完成部署；
3. 到 services/ai/ 配置 AI 助手参数；
4. 启动 AiSOC，打开 AI Copilot 界面，Agent-assisted triage 就可以用了。

告警再多也不怕，先让 AI 筛一遍再说。

【免费下载链接】reinstall一键DD/重装脚本 (One-click reinstall OS on VPS)项目地址: https://gitcode.com/GitHub_Trending/re/reinstall