Cygnus-Security/soc-dss-platform

# SOC DSS 平台 **SOC DSS 平台** 是一个面向产品的安全运营中心 (SOC) 环境决策支持系统 (Decision Support System)。它帮助 SOC 分析师关联安全警报、评估事件风险，并从 Wazuh 警报等安全监控数据中获取事件响应建议。 ## 产品范围 本仓库被设计为产品优先的 MVP，而不仅仅是一个实验室脚本。主系统包括： - Spring Boot 后端 API - React TypeScript SOC 仪表板 - PostgreSQL 数据库 - Docker Compose 生产级部署 - Wazuh 警报导入集成 - 警报关联引擎 - 风险评估引擎 - 事件响应建议引擎 - 用于研究结果的 CSV 导出 Wazuh 验证环境保存在 `experiments/` 目录下，仅用于生成逼真的警报以进行评估。 ## 架构 ``` Wazuh / SIEM Alerts ↓ Wazuh Integration Layer ↓ Spring Boot Backend API ↓ DSS Core Engine ├── Alert Normalization ├── Alert Correlation ├── Risk Assessment └── Response Recommendation ↓ PostgreSQL ↓ React SOC Dashboard ``` ## 仓库结构 ``` soc-dss-platform-enterprise/ ├── backend/ # Spring Boot backend and DSS core engine ├── frontend/ # React TypeScript dashboard ├── deploy/production/ # Docker Compose and production deployment files ├── deploy/wazuh-lab/ # Optional Wazuh single-node lab for alert generation ├── integrations/wazuh/ # Wazuh integration guide and sample alert format ├── experiments/ # Optional validation environment using Wazuh ├── docs/ # Architecture, API and research documentation ├── data/sample/ # Sample Wazuh alerts and asset inventory ├── data/results/ # Exported experiment results ├── scripts/ # Helper scripts ├── Makefile └── README.md ``` ## 使用 Docker Compose 快速开始 ``` cd soc-dss-platform-enterprise cp deploy/production/.env.example deploy/production/.env docker compose -f deploy/production/docker-compose.yml up --build -d ``` 打开仪表板： ``` http://localhost:8080 ``` 直接打开后端 API： ``` http://localhost:8080/api/v1/health ``` ## 在本地运行产品以进行开发 ### 后端 ``` cd backend mvn spring-boot:run ``` 后端 API： ``` http://localhost:8081/api/v1 ``` ### 前端 ``` cd frontend npm install npm run dev ``` 前端： ``` http://localhost:5173 ``` ## 演示流程 1. 打开仪表板。 2. 进入 **导入警报 (Import Alerts)**。 3. 上传 `data/sample/wazuh-alerts-sample.json`。 4. 点击 **关联警报 (Correlate Alerts)**。 5. 查看生成的事件、风险评分和建议。 6. 从报告部分或 API 导出事件 CSV。 ## 可选的 Wazuh 实验室 要通过真实的 Wazuh 警报进行验证，请启动 Wazuh 单节点实验室： ``` cp deploy/wazuh-lab/.env.example deploy/wazuh-lab/.env make wazuh-lab-up ``` 从 Wazuh 导出警报并将其导入到 SOC DSS 中： ``` make wazuh-lab-import ``` 详情请参阅 `deploy/wazuh-lab/README.md`。 ## 主要 API 端点 ``` POST /api/v1/import/wazuh-alerts GET /api/v1/alerts GET /api/v1/incidents GET /api/v1/incidents/{id} POST /api/v1/incidents/correlate GET /api/v1/dashboard/summary GET /api/v1/reports/incidents.csv GET /api/v1/health ``` ## 研究贡献 该产品实现了三个可以在研究论文中讨论的 DSS 组件： 1. **警报关联模型** - 将多个低级别的安全警报分组为更高级别的事件。 - 使用目标资产、源 IP、事件类型和关联时间窗口。 2. **风险评估模型** - 根据严重程度、资产关键性、频率、MITRE 上下文、暴露程度和漏洞上下文计算风险评分。 3. **事件响应建议模型** - 推荐诸如监控、升级、IP 封锁、证据收集、隔离或补丁优先级排序等操作。 ## 风险评分模型 ``` Risk Score = 0.30 × Wazuh Severity + 0.20 × Asset Criticality + 0.15 × Alert Frequency + 0.15 × MITRE Technique Weight + 0.10 × Exposure Level + 0.10 × Vulnerability Context ``` 风险等级： ``` 0–39 Low 40–59 Medium 60–79 High 80–100 Critical ``` ## GitHub 主题 推荐主题： ``` soc cybersecurity decision-support-system wazuh siem incident-response alert-correlation risk-assessment spring-boot react postgresql docker ``` ## 许可证 本项目发布用于学术和研究目的。

标签：Wazuh, 决策支持系统, 告警关联, 域名枚举, 安全运营, 库, 应急响应, 扫描框架, 暗色界面, 测试用例, 版权保护, 请求拦截