RabbitEyesec/LogLookup-AI

# LogLookup AI 连接到 SIEM，将告警无损标准化为 OCSF 格式，将其确定性关联为攻击链，让 AI 结合引用的证据对每条链路进行推理，将结果回写至 SIEM —— 并提供一个深度链接的仪表板，以实现 SIEM 无法绘制的攻击链可视化。 `docs/` 目录中的文档是唯一事实来源。 ``` ingest -> normalize (OCSF 2004) -> pre-filter -> entity resolution -> correlate (chains + cluster_id) -> risk scoring (RBA) -> AI triage (RAG ATT&CK + CoT schema + grounding validator) -> report -> Elastic write-back -> Kibana + dashboard ``` ## 架构 ``` SIEM │ ▼ Ingest │ ▼ OCSF Normalization │ ▼ Pre-filter │ ▼ Entity Resolution │ ▼ Attack Chain Correlation │ ▼ Risk Scoring │ ▼ Grounded AI Investigation │ ▼ Decision-ready Report │ ▼ Elastic Write-back │ ▼ Interactive Dashboard ``` ## 状态 | 阶段 | 交付物 | 状态 | |---|---|---| | 0–9 | 确定性引擎：脚手架、OCSF、连接器、摄取、标准化器、预过滤、实体解析、关联分析、RBA | done | | 10 | MITRE ATT&CK 知识库（基于官方 STIX bundle 构建）+ 检索（FAISS vector / lexical BM25） | done | | 11 | AI 提供商层（LiteLLM：本地 Ollama / Anthropic / OpenAI，支持运行时切换） | done | | 12 | AI 推理引擎（通过 instructor 实现的 CoT-first schema，生成后 grounding 验证器） | done | | 13 | 报告生成（每条链路生成可决策的案件，标注 AI 生成章节） | done | | 14 | SIEM 回写（Elastic results index，按 cluster_id 幂等，支持 dashboard_url 深度链接） | done | | 15 | 后端 API（状态、集群、运行时 AI 设置、重新分诊） | done | | 16 | 仪表板后端（2D 时间线 + 3D 图谱数据 endpoint） | done | | 17 | 前端基础设施（SOC IDE 设计系统、应用外壳） | done | | 18 | 调查 UI（告警流、集群详情、设置） | done | | 19 | 攻击链可视化（2D MITRE 时间线 + 3D 力导向图） | done | | 20 | 引导向导（欢迎 → SIEM → AI → 审查），首次运行门控 | done | | 21 | 安全配置：加密的密钥存储（AES-256-GCM）、托管配置，无需用户环境变量 | done | | 22 | 本地 LLM 管理（Ollama 检测/列出/拉取）+ 真实推理提供商验证 | done | | 23 | 隐私强化：在云端调用前进行 tokenize-and-restore 脱敏，ZDR 路由规则 | done | | 24 | Linux 应用程序：`loglookup` CLI、单行安装程序、.desktop + 图标、systemd service（notify + watchdog） | done | ## 快速开始 克隆仓库： ``` git clone https://github.com/RabbitEyesec/LogLookup-AI.git cd LogLookup-AI ``` 创建虚拟环境： ``` python3 -m venv .venv source .venv/bin/activate pip install -e ".[dev]" ``` 运行引擎： ``` python -m engine.server --config config.yaml ``` ## 文档 `docs/` 目录中提供了详细的文档。 - 架构 - 构建计划 - 产品规范 - API 参考 - 部署指南 ## 技术栈 - Python - FastAPI - OCSF - Elasticsearch - LiteLLM - Ollama - OpenAI - Anthropic - FAISS - BM25 - Pydantic ## 仓库结构 ``` engine/ tests/ docs/ deploy/ pyproject.toml config.example.yaml ``` ## 许可证 基于 Apache License 2.0 授权。 Copyright © 2026 Abhinav Kadam (RabbitEyesec)

标签：AI风险缓解, 逆向工具