ET-sec/cyber-squire1
GitHub: ET-sec/cyber-squire1
在 DigitalOcean 上以 20 个容器构建的低成本生产级安全运营平台，集成 SOAR、运行时检测、PAM、Agentic AI 及完整的 NIST 800-53 合规文档。
Stars: 2 | Forks: 0
# CoreDirective 自动化引擎
[](https://et-sec.github.io/portfolio/)
[](LICENSE)
[](https://github.com/ET-sec/cyber-squire1/actions/workflows/codeql.yml)
[](https://github.com/ET-sec/cyber-squire1/actions/workflows/security.yml)
[](https://github.com/ET-sec/cyber-squire1/actions/workflows/grc-validate.yml)
[](https://github.com/ET-sec/cyber-squire1/actions/workflows/dast-zap.yml)
**部署在 DigitalOcean 上的生产级安全平台，包含 20 个容器，符合 NIST 800-53 合规标准，使用 Terraform 进行全量 IaC 管理，结合 NeMo Guardrails 和 Langfuse 可观测性实现 Agentic AI**
由 [Emmanuel Tigoue](https://et-sec.github.io/portfolio/) 构建与运营 | AI 安全工程师 | CISSP, SecurityX, CCNA, Security+ | 经济学学士，Andrew Young 学院
## 项目简介
这是一个运行在单台 DigitalOcean Droplet 上的 20 容器安全运营平台。涵盖 SOAR 编排、运行时威胁检测、特权访问管理、带有 Guardrails 和 LLM 可观测性的 Agentic AI，以及完整的合规文档，所有功能集中在一个每月仅需 48 美元的节点上。
所有配置均通过 Terraform 代码化，由包含 6 项安全扫描的 CI/CD pipeline 提供安全保障，并按照 NIST 800-53 Rev. 5 Moderate 基准编写文档，控制覆盖率达到 86%。
## 架构
```
DigitalOcean Droplet (4 vCPU / 8GB RAM) -- Ubuntu 24.04 $48/mo
│
├── Core Platform
│ ├── PostgreSQL 16 Workflow state + agent state + audit
│ ├── n8n SOAR 16-action orchestration engine
│ └── Cloudflare Tunnel Zero-trust access (no exposed ports)
│
├── Identity & Access
│ ├── HashiCorp Vault Secrets management
│ ├── Keycloak v26 Identity + RBAC
│ ├── Teleport v18 SSH + session recording + JIT access
│ └── Teleport Event Handler Audit event shipping
│
├── Detection & Observability
│ ├── Datadog Agent Metrics, logs, container monitoring
│ ├── Falco (eBPF) Runtime threat detection
│ ├── Falcosidekick Alert routing to Datadog
│ ├── Fluentd Log routing to Datadog
│ └── Langfuse Stack LLM observability (web + worker + redis + clickhouse)
│
└── AI Layer
├── OpenClaw Gateway Claude AI agent proxy
├── Ollama (Qwen 3 8B) Local AI inference
├── Faster-Whisper Voice transcription
├── NeMo Guardrails LLM input/output policy enforcement
└── Squire Custom AI security agent
```
## 核心指标
| 指标 | 数值 |
|--------|-------|
| 运行中的容器 | 20 个 (19 个由 Compose 管理 + 1 个独立运行的 OpenClaw) |
| 映射的 NIST 800-53 控制 | 133 项 |
| 控制覆盖率 | 86% (114/133 已实现或部分实现) |
| 每月基础设施成本 | $48 |
| CI/CD 安全扫描 | 10 项 (Trivy, Semgrep, Gitleaks, Checkov, Snyk OSS, CodeQL, OWASP ZAP DAST, Cosign, SBOM, Container Image Verify) |
| GRC 文档 | 58 份策略、计划、Playbook、威胁模型及 AI 安全工件 |
| GRC 图表 | 16 张 PNG 图片 (网络拓扑、数据流、控制覆盖率、风险热力图、AI Pipeline) |
| OPA 策略规则 | 8 条在每个 PR 上强制执行的 Rego 策略 |
| Terraform 文件 | 20 个用于管理 DigitalOcean + Cloudflare 的 .tf 文件 |
## GRC 合规库
与 NIST SP 800-53 Rev. 5 Moderate 基准、FIPS 199 和 CIS Docker Benchmark 对齐的全面治理、风险与合规文档。
**[浏览完整库](docs/grc/README.md)**
| 类别 | 数量 | 内容 |
|----------|-------|----------|
| 核心计划 | 4 | 系统安全计划 (SSP)、行动计划与里程碑 (POA&M)、风险评估、Squire SSP |
| 策略 | 10 | 事件响应、访问控制、可接受使用、业务连续性、灾难恢复、变更管理、漏洞管理、安全意识、风险管理、AI 治理 |
| IR Playbook | 5 | 容器失陷、凭据泄露、DDoS/服务降级、未授权访问、AI 事件响应 |
| 威胁建模 | 8 | DFD、STRIDE 威胁模型、攻击树 (AI Pipeline)、AI 威胁目录、AI 供应链风险 + 登记表、AI 红队计划、Squire 威胁模型 |
| IAM 文档 | 2 | RBAC 角色映射 (3 层模型)、访问审查流程 (JIT 工作流) |
| 风险登记表 | 1 | CIS Docker Benchmark 发现的问题及补偿性控制 |
| 桌面演练 | 2 | 幻影容器行动、Squire 桌面演练 |
| 执行摘要 | 3 | 架构、合规性、安全态势 |
| AppSec, SDLC, 渗透测试 | 7 | 安全 SDLC、代码审查发现、DAST 方法论、OWASP MCP Top 10 审计、渗透测试自我评估、红队结果、n8n 凭据暴露分析报告 |
| AI 安全工件 | 5 | Squire AI 风险评估、Squire 数据流分类、Squire 模型卡片、Guardrails 配置、ADR-001 Embedding 提供商 |
| 合规交叉对照 | 4 | SOC 2 + ISO 27001、Squire 框架交叉对照、HIPAA 安全规则、HIPAA ePHI 处理 |
| 架构与运维规范 | 6 | Agent 签名、Agent 遥测、AI 审计跟踪规范、Google Cloud IAM 评估、HITL 策略、POA&M MCP 2025 |
| 图表 | 16 | 网络拓扑、数据流、控制覆盖率、风险热力图、AI pipeline 攻击树、NIST 控制映射等 |
所有文档均已进行脱敏处理以便公开托管。个人标识符和内部基础设施细节已替换为通用等效内容。产品名称 (Vault, Keycloak, Teleport, Falco, Datadog, Cloudflare, Trivy) 予以保留，以展示实际的技术栈。
## 基础设施即代码
位于 [`terraform/cd-do-infrastructure/`](terraform/cd-do-infrastructure/) 的 20 个 Terraform 文件，用于管理 DigitalOcean 和 Cloudflare 资源。
- **Providers:** DigitalOcean (计算、网络、存储) + Cloudflare (DNS, tunnel)
- **远程状态:** DigitalOcean Spaces，支持静态加密
- **策略即代码:** 每个 PR 上通过 conftest 强制执行 8 项 OPA/Rego 策略 (4 项拒绝，4 项警告)
- **Pre-commit 钩子:** terraform fmt, validate, tflint, checkov
## CI/CD Pipeline
位于 [`.github/workflows/`](.github/workflows/) 的 13 个工作流文件覆盖了完整的生命周期：
**代码安全:** `security.yml` (Trivy, Semgrep, Gitleaks, Snyk), `codeql.yml` (CodeQL SAST), `dast-zap.yml` (OWASP ZAP DAX 基线)
**基础设施:** `terraform-pr.yml` (fmt, validate, tflint, Checkov, plan, OPA), `image-smoke.yml` (容器构建验证)
**GRC 与合规:** `grc-validate.yml` (清理、链接、OSCAL, STIX, Cosign), `grc-reviewer.yml` (LLM 辅助 GRC 审查)
**Agent 签名:** `agent-signing.yml`, `agent-verify.yml`, `agent-inventory.yml` (针对 agent 卡片的 Sigstore 签名)
**工作流维护:** `auto-label.yml`, `stale.yml`, `pr-agent.yml`
安全至上：Gitleaks 会拦截任何硬编码的密钥。Checkov 在出现安全违规时会执行失败。OPA 拒绝策略属于强制失败。CodeQL 会标记存在漏洞的代码模式。OWASP ZAP 遇到 HIGH 或 CRITICAL 级别的发现时将予以拦截。
## 可观测性与检测
- **Datadog:** 通过 2 个自定义 Dashboard (SOC, Agent 活动) 和 10 个由 Terraform 管理的告警监控器提供全栈可观测性：磁盘使用率、容器宕机、SSH 登录失败、CPU 使用率、内存使用率、Postgres 连接饱和、n8n 容器重启、Langfuse Web 宕机、Langfuse ClickHouse 宕机、Langfuse trace 摄取停滞
- **Falco:** 基于 eBPF 的运行时威胁检测，按容器配置自定义规则 (shell 访问、敏感文件读取、权限提升、网络异常)
- **Falcosidekick:** 将 Falco 警报路由到 Datadog 以实现集中化可视化
- **Teleport:** 带有 JIT 访问权限 (4 小时 TTL) 的 SSH 会话记录，完整的审计追踪
- **审计日志:** 导出到 DigitalOcean Spaces (版本化、哈希链化以保证完整性)
## 仓库结构
```
.
├── README.md
├── docs/
│ ├── grc/ 58 GRC documents + 16 diagrams + 7 generators
│ │ ├── README.md Library index
│ │ ├── SSP_SYSTEM_SECURITY_PLAN.md
│ │ ├── SQUIRE_SSP.md Agentic AI system security plan
│ │ ├── POAM_PLAN_OF_ACTION.md
│ │ ├── RISK_ASSESSMENT.md
│ │ ├── POLICY_*.md 10 security policies (including AI governance)
│ │ ├── PLAYBOOK_*.md 5 incident response playbooks (including AI incident)
│ │ ├── SQUIRE_*.md 5 Squire AI security artifacts (model card, threat model, tabletop)
│ │ ├── FRAMEWORK_CROSSWALK_*.md 4 compliance crosswalks (SOC 2, ISO 27001, HIPAA)
│ │ ├── EXECUTIVE_SUMMARY_*.md 3 executive summaries
│ │ └── diagrams/ 16 PNGs + 7 Python generators
│ ├── GROUND_TRUTH_AUDIT_PROTOCOL.md Repo verification methodology
│ ├── GTA_SKILL_DESIGN_NOTES.md GTA build backlog
│ └── WORKFLOW_GUIDE.md Branch + PR + merge discipline
├── terraform/
│ ├── cd-do-infrastructure/ 20 .tf files + 8 OPA policies
│ ├── cd-aws-automation/ Legacy AWS IaC (retained for reference)
│ └── simple-ec2/ Legacy quick-start (retained for reference)
├── .github/workflows/ 13 CI/CD pipelines
├── .githooks/ Pre-commit AI-tells sweep
└── scripts/ Operational scripts (health, audit, git workflow)
```
## 安全
- Gitleaks 通过 CI/CD pipeline 在每次推送时运行 (检测到即硬性失败)
- `.gitignore` 拦截 `.env`, `.tfstate`, `.pem` 以及所有包含密钥的文件
- Pre-commit 钩子验证暂存文件中不存在密钥
- 当前代码库中没有任何 API 密钥、凭据或密钥
## 联系方式
**作品集:** [et-sec.github.io/portfolio](https://et-sec.github.io/portfolio/)
**LinkedIn:** [linkedin.com/in/emmanuel-tigoue](https://www.linkedin.com/in/emmanuel-tigoue)
**GitHub:** [github.com/ET-sec](https://github.com/ET-sec)
MIT 许可证
标签：AI风险缓解, ECS, SOAR, Terraform, 合规管理, 安全运营平台, 智能体安全, 测试用例, 版权保护, 特权访问管理, 运行时威胁检测