brunoandClaude
842fa8dbe5
本次提交包含完整的AI SOC（Security Operations Center）分析师平台，支持本地大模型和Claude API集成，实现端到端的安全威胁分析。 ## 🚀 主要功能 ### 后端架构 (FastAPI) - **多源数据接入**: 支持JSON/CSV格式安全告警数据上传 - **智能预处理**: 基于YAML配置的字段映射和实体提取 - **图分析引擎**: NetworkX驱动的攻击链图构建和分析 - **评分系统**: 实体和子图的多维度风险评分算法 - **LLM集成**: 支持多提供商(Claude、OpenAI、本地模型)的智能报告生成 - **API接口**: 完整的RESTful API (Swagger文档: /docs) ### 前端界面 (Vue 3 + TypeScript) - **拖拽上传**: 支持拖拽上传和实时预览 - **管道分析**: 可视化的数据处理管道状态 - **智能报告**: 动态生成的威胁分析报告和可视化 - **响应式设计**: 适配桌面和移动端的现代UI ### LLM智能分析 - **多模型支持**: qwen3(8B/32B)、deepseek-r1(70B)、Claude 4等 - **超时优化**: 分层超时配置(120s-600s)适配不同模型规模 - **内容清理**: 自动过滤模型思考过程，输出专业分析报告 - **中文优化**: 针对中文安全分析场景的prompt工程 ## 🛠️ 技术栈 **后端**: FastAPI + SQLAlchemy + NetworkX + 多LLM提供商 **前端**: Vue 3 + TypeScript + Naive UI + Tailwind CSS + Vite **数据处理**: YAML配置 + JSONPath表达式 **部署**: Docker支持 + 环境变量配置 ## 🐛 修复的关键问题 1. **LLM超时问题**: 实现前后端分层超时配置，支持大模型长时间推理 2. **报告格式化**: 修复Markdown渲染和换行符显示问题 3. **数据映射**: 统一前后端字段命名和数据结构映射 4. **时间格式**: 修复时间戳解析和中文本地化显示 5. **思考标签清理**: 自动过滤qwen模型的<think>标签 ## 📊 测试数据 包含完整的多阶段APT攻击场景测试数据: - 钓鱼邮件 → 恶意软件执行 → C2通信 - 云凭证窃取 → 资源探测 → 横向渗透 - 后门用户创建 → 权限提升 → 容器控制 ## 🔧 开发工具 - **模型切换**: switch_model.py 支持快速切换本地LLM模型 - **超时测试**: test_llm_timeout.py 验证不同模型性能 - **依赖安装**: install_llm_deps.py 自动安装LLM依赖 🤖 Generated with [Claude Code](https://claude.ai/code) Co-Authored-By: Claude <[email protected]>
AI SOC 分析师 - 测试数据
本目录包含用于测试 AI SOC 分析师应用的样本数据文件。
文件说明
sample-alerts.json
完整的 JSON 格式告警数据，包含以下攻击场景：
-
钓鱼邮件恶意软件执行 (
phishing.malware_execution)- 时间: 2025-07-19T10:05:23Z
- 严重程度: 高
- 攻击阶段: 初始访问 → 执行
- 涉及实体: WIN-01-7A3B, [email protected], 103.216.154.99
-
云凭据窃取与外泄 (
credential_access.aksk_exfil)- 时间: 2025-07-19T10:17:58Z
- 严重程度: 高
- 攻击阶段: 凭据访问 → 数据渗出
- 目标: 阿里云 AK/SK 凭据
-
云资源侦察 (
cloud.discovery.describe)- 时间: 2025-07-19T10:22:15Z
- 严重程度: 中
- 攻击阶段: 发现
- 行为: ECS 实例枚举
-
后门用户创建 (
cloud.persistence.backdoor_user)- 时间: 2025-07-19T10:35:47Z
- 严重程度: 高
- 攻击阶段: 持久化
- 创建用户: backdoor_admin
-
Kubernetes 配置下载 (
cloud.privilege_abuse.kubeconfig_download)- 时间: 2025-07-19T10:52:31Z
- 严重程度: 高
- 攻击阶段: 凭据访问 → 横向移动
-
容器命令执行 (
k8s.exec.remote_control)- 时间: 2025-07-19T11:15:00Z
- 严重程度: 严重
- 攻击阶段: 执行
- 目标: 生产环境 Pod
sample-alerts.csv
简化的 CSV 格式告警数据，包含相同的攻击时间线，适用于表格化数据处理。
攻击时间线概览
这组测试数据展现了一个完整的多阶段网络攻击：
10:05 - 钓鱼邮件 → 恶意软件执行 → C2 连接
10:17 - 云凭据窃取 → 数据外泄
10:22 - 云环境侦察 → 资源枚举
10:35 - 后门用户创建 → 持久化访问
10:52 - K8s 配置下载 → 权限提升
11:15 - 容器命令执行 → 生产环境控制
使用方法
在应用中测试
- 启动 AI SOC 分析师应用:
npm run dev - 访问 http://localhost:5173
- 上传
sample-alerts.json或sample-alerts.csv文件 - 查看分析结果和威胁报告
预期结果
- 高风险告警: 5 个
- 中风险告警: 1 个
- 潜在攻击链: 1 个完整的多阶段攻击
- 涉及实体: [email protected], backdoor_admin, WIN-01-7A3B, 103.216.154.99
- 攻击技术: 钓鱼、恶意软件、凭据窃取、横向移动、持久化、容器逃逸
威胁情报标签
应该检测到以下威胁指标：
- APT 攻击模式
- 云环境渗透
- Kubernetes 安全威胁
- 多阶段攻击链
- 内部横向移动