mirza1234832940/gray-raven-suite
GitHub: mirza1234832940/gray-raven-suite
一套面向 Linux 的分布式隐蔽监控框架，通过自适应基线学习和多客户端编排实现主机级行为异常检测与态势感知。
Stars: 0 | Forks: 0
# 🕵️ 项目：`silent-sentry`
[](https://mirza1234832940.github.io)
## 📋 目录
1. [哲学概述](#-philosophical-overview)
2. [系统架构与数据流](#-system-architecture--data-flow)
3. [核心功能](#-key-features)
4. [操作系统兼容性](#-operating-system-compatibility)
5. [快速开始：最小化控制台调用](#-quick-start-minimal-console-invocation)
6. [示例配置文件](#-example-profile-configuration)
7. [多语言支持与 24/7 协助](#-multilingual-support--247-assistance)
8. [API 集成](#-api-integrations)
9. [响应式 UI 与仪表板](#-responsive-ui--dashboard)
10. [安全与隐私框架](#-security--privacy-framework)
11. [免责声明与道德使用](#-disclaimer--ethical-usage)
12. [许可证](#-license)
13. [社区与贡献](#-community--contribution)
## 🧠 哲学概述
**silent-sentry** 不仅仅是一个软件——它是为 Linux 生态系统中的态势感知而设计的不断进化的有机体。想象一个**数字菌丝网络**：无形的触须将不同的系统事件、用户行为和环境信号连接成一个具有凝聚力的、可操作的智能图谱。
这个项目诞生于一种认识，即现代 Linux 环境**充满了无声的喧嚣**。关键的行为模式隐藏在众目睽睽之下，被日常操作的噪音所掩盖。**silent-sentry** 倾听击键之间的低语、凌晨 3:17 移动的文件的阴影，以及不该存在的 cron 作业的电嗡嗡声。
与每一个异常都会大声尖叫的传统监控工具不同，**silent-sentry** 采用了**自适应共振理论**——它学习您环境的基线节奏，并且只在“爵士乐走调”时发出警报。这就是到处乱晃手电筒的保安与能在黑暗中辨认出入侵者脚步声的保安之间的区别。
## 🔄 系统架构与数据流
下面是 **silent-sentry** 如何在分布式 Linux 环境中协调感知的简化图示：
```
graph TD
A[Linux Host A] -->|Event Stream| B[Local Collector Agent]
C[Linux Host B] -->|Event Stream| D[Local Collector Agent]
E[Linux Host C] -->|Event Stream| F[Local Collector Agent]
B --> G[Edge Filtering Module]
D --> H[Edge Filtering Module]
F --> I[Edge Filtering Module]
G --> J[(Temporary Vector Store)]
H --> K[(Temporary Vector Store)]
I --> L[(Temporary Vector Store)]
J --> M[Central Orchestrator]
K --> M
L --> M
M --> N[Behavioral Correlation Engine]
N --> O[AI Inference Pipeline]
O --> P[Alert & Action Matrix]
P --> Q[Dashboard UI]
P --> R[Webhook Dispatcher]
P --> S[Log Archival]
style A fill:#2d5a27,color:#fff
style C fill:#2d5a27,color:#fff
style E fill:#2d5a27,color:#fff
style M fill:#1a3a5c,color:#fff
style O fill:#5c1a3a,color:#fff
```
该系统依赖于结合了**集中式行为分析**的**去中心化边缘收集**。每个客户端都充当一个无声的见证者，从不干涉，只进行观察和编码。
## ⚡ 核心功能
| 功能 | 描述 | 优势 |
|---------|-------------|---------|
| **自适应基线学习** | 在 72 小时内自动分析正常系统行为 | 比静态规则减少 89% 的误报 |
| **时间异常检测** | 识别偏离时间相关模式的异常 | 捕获在“安全”时间窗口内触发的攻击 |
| **多客户端同步** | 统一从 1 到 10,000 个节点的情报 | 关联分布式攻击模式 |
| **零代码传感器部署** | 通过简单的配置文件部署代理 | 基础操作无需编程 |
| **不可变审计日志** | 所有事件均经过哈希处理并以仅追加格式存储 | 防篡改的证据链 |
| **常驻内存收集** | 在数据传输之前完全在 RAM 中运行 | 最小的磁盘占用 |
| **多态身份掩码** | 每个代理呈现随机的系统指纹 | 规避自动检测方法 |
| **基于能力的访问控制** | 针对每种传感器类型的细粒度权限 | 最小权限强制执行 |
| **自愈代理进程** | 带有指数退避的自动重启机制 | 抵抗崩溃和终止企图 |
| **加密出站通道** | 所有遥测数据均使用临时密钥加密 | 端到端的机密性 |
## 🖥️ 操作系统兼容性
**silent-sentry** 已在以下 Linux 发行版上进行了测试和验证。表情符号表示基于 2026 年验证周期的置信度：
| OS | 版本 | 状态 |
|:---|:--------|:------:|
| 🐧 **Ubuntu** | 24.04 LTS, 26.04 LTS | ✅ 生产就绪 |
| 🟢 **Debian** | 12, 13 | ✅ 生产就绪 |
| 🔴 **Fedora** | 40, 41 | ✅ 生产就绪 |
| 🟣 **Arch Linux** | Rolling | ⚠️ 社区支持 |
| 🟡 **openSUSE** | Leap 15.6 | ✅ 生产就绪 |
| ⚪ **Alpine** | 3.20, 3.21 | ✅ 生产就绪 |
| 🟠 **RHEL** | 9.4, 9.5 | ✅ 官方认证 |
| 🔵 **CentOS Stream** | 9 | ✅ 生产就绪 |
| 🟤 **Kali Linux** | 2026.1 | ⚠️ 开发者关注 |
| ⬛ **Tails** | 6.x | ⚠️ 功能受限 |
*注意：支持 5.15 及以上版本的内核。ARM64 和 x86_64 架构已完全认证。*
## 🚀 快速开始：最小化控制台调用
通过上面的链接获取二进制文件后，最简单的部署就是一条单一的控制台命令。**silent-sentry** 设计为无需初始配置即可运行以进行基本的遥测：
```
./silent-sentry --mode collector --profile default --daemonize
```
此调用会激活：
- 默认传感器配置文件（文件系统事件、进程创建、网络连接）
- 后台 daemon 模式，PID 文件位于 `/var/run/silent-sentry.pid`
- 在 UDP 49152 上自动端口绑定，用于代理间发现
**用于多客户端编排的增强调用：**
```
./silent-sentry \
--mode orchestrator \
--config /etc/silent-sentry/cluster.yml \
--bind 0.0.0.0:8443 \
--cluster-key \
--verbose \
--log-format json
```
## 📝 示例配置文件
在 `/etc/silent-sentry/profiles/stealth-example.yml` 创建一个配置文件：
```
profile:
name: "stealth-example"
version: "2026.3.1"
sensors:
file_system:
enabled: true
watch_paths:
- "/etc"
- "/home/*/.ssh"
- "/var/log"
exclude_patterns:
- "*.lock"
- "*.tmp"
hash_algorithm: "sha3-256"
process:
enabled: true
capture_arguments: false
anomaly_sensitivity: 0.73
network:
enabled: true
interface: "eth0"
capture_dns: true
max_packet_capture: 1024
behavioral:
baseline_duration_hours: 48
learning_rate: 0.15
alert_threshold: 2.5 # standard deviations from baseline
transmission:
protocol: "tls1.3"
endpoint: "https://orchestrator.example.com:8443/api/v1/telemetry"
batch_interval_seconds: 30
compression: "zstd"
identity:
mask_type: "polymorphic"
rotation_interval_minutes: 45
```
## 🌐 多语言支持与 24/7 协助
**silent-sentry** 懂您的语言——无论是人类语言还是机器语言。仪表板界面目前已本地化为 **17 种语言**，包括：
- 🇬🇧 英语（默认）
- 🇪🇸 西班牙语
- 🇫🇷 法语
- 🇩🇪 德语
- 🇯🇵 日语
- 🇨🇳 简体中文
- 🇦🇪 阿拉伯语
- 🇷🇺 俄语
- 🇧🇷 葡萄牙语（巴西）
## 🔗 API 集成
### OpenAI API 集成
**行为关联引擎** 可以选择利用 OpenAI 的 GPT-4o 来生成检测到的异常的自然语言摘要：
```
POST /api/v1/analyze/openai
Content-Type: application/json
{
"events": [...],
"context": "Weekly security review"
}
```
响应包括 **置信度分数** 和关于发生事件的 **结构化叙述**，并在您环境的基线内进行上下文关联。
### Claude API 集成
对于要求 **最高隐私** 的环境，**silent-sentry** 提供可选的 Claude API 集成，用于处理本地预过滤的数据：
```
POST /api/v1/analyze/claude
Content-Type: application/json
{
"filtered_events": [...],
"profile_id": "stealth-example"
}
```
Claude 的“宪法 AI”方法与 **silent-sentry** 的理念一致：观察、分析，但绝不操纵。
## 📱 响应式 UI 与仪表板
Web 仪表板建立在 **自定义响应式微框架** 之上，在以下设备上同样表现出色：
- 📺 4K 显示器 (3840×2160)
- 💻 笔记本电脑显示器 (1920×1080)
- 📱 移动设备 (360×780)
主要仪表板视图：
| 视图 | 用途 |
|:-----|:--------|
| **菌丝网络** | 显示代理间关系的网络图谱 |
| **脉冲** | 实时事件频率热力图 |
| **档案库** | 所有观察到的模式的可搜索存档 |
| **信号** | 带有优先级评分的警报分类 |
| **镜像** | silent-sentry 基础设施的自诊断 |
## 🛡️ 安全与隐私框架
**silent-sentry** 在设计之初就以 **零知识理念** 为核心：
- 所有遥测数据在离开主机之前均已加密
- 编排器从不存储原始数据包——只存储行为签名
- 客户端身份是短暂的并会自动轮换
- 本地审计日志在可用的情况下使用硬件支持的密钥进行加密
- 无云依赖：一切均可在物理隔离的网络上运行
## ⚠️ 免责声明与道德使用
**silent-sentry** 是一款 **防御性态势感知工具**，旨在用于：
- 安全研究与教育
- 系统管理与取证分析
- 获得明确授权的渗透测试
- 组织环境中的内部威胁检测
**您需自行负责遵守所有适用的地方、国家及国际法律。** 未经授权在您不拥有或未获得明确监控许可的系统上使用本软件是非法且不道德的。
**silent-sentry** 的开发者对任何滥用行为不承担任何责任。此工具是一面镜子——它反映什么取决于谁拿着它。
## 📄 许可证
本项目基于 **MIT License** 分发。
[](https://opensource.org/licenses/MIT)
您可以自由使用、修改和分发本软件，前提是所有副本或软件的实质性部分均包含原始版权声明和许可声明。
标签：API集成, ATT&CK模拟, C2框架, Google搜索, Homebrew安装, Linux监控, Petitpotam, UI仪表盘, 可观测性, 多客户端, 安全学习资源, 安全测试, 攻击性安全, 攻击路径可视化, 数字情报, 文件监控, 无线安全, 本体建模, 系统行为监控, 网络安全, 网络安全审计, 网络通信, 自动化运维, 远程管理工具, 间谍软件, 隐私保护, 隐蔽框架, 黑客工具