记录最好的自己
《一个人的SOC》系列导航
一个 IT 工程师，一台 8G 内存的旧服务器，把一个中小企业的安全运营中心（SOC）真正跑起来——AI 当副手，工程化兜底，一年电费 200 元。全系列 18 篇，全部基于开源项目 AI-miniSOC 的真实实现，每一篇都有源码、真实数据和踩坑记录。 ...
【一个人的SOC】(18) 路线图与共建——从一个人的项目到一群人的 SOC
17 篇讲完成本账本，有读者可能会问：“然后呢？” 系统的下一步是什么？这个项目会一直更新吗？我能参与吗？ 这一篇回答这三个问题——也是全系列的真正出口：前 17 篇讲的是"一个人的 SOC 怎么建"，这一篇讲的是"它如何走向一群人"。 ...
【一个人的SOC】(17) 成本账本——运行一年，这套系统到底花多少钱
这是系列的最后一篇正文，回答一个从 00 篇就该回答、但一直留着的问题： “这玩意儿到底得花多少钱？” 无论你是想自己搭一套的工程师，还是被"降本增效"追着跑的 IT 负责人，这个问题不回答清楚，前面 16 篇都是纸上谈兵。老板不听架构，只听报价。 ...
【一个人的SOC】(16) CI/CD 全链路——1.5 分钟自动部署与失败自动回滚
先说一个很多人的直觉：“我一个人用，CI/CD 是不是过度工程？” 我的答案是：恰恰相反，你比大团队更需要它。 ...
【一个人的SOC】(15) 权限矩阵——admin/operator/viewer/auditor 端点级隔离
场景很常见：老板说"给我开个账号，我想时不时看看告警"。 你的手指悬在键盘上——开，还是不开？ 开 admin？他手一滑能删资产、改配置 不开？每周期截图发他，你成了人肉报表机 答案应该是：开一个 viewer 账号，三秒钟，然后忘掉这件事。 ...
【一个人的SOC】(14) 告警治理——聚合、分级与 13/10/7/4 阈值统一的故事
先看一个数字：1,030,000。 这是 AI-miniSOC 刚跑起来时，OpenSearch 里堆着的原始告警条数。Wazuh 开箱的规则集对着 75 台资产全方位扫描——SSH 爆破、Web 500 错误、端口扫描、系统日志异常……一天下来就是几千条。 ...
【一个人的SOC】(13) AI Agent 与 MCP——让 Claude 直接操作你的 SOC
12 篇讲完"报告自动出、异常主动来"，这一篇把镜头调转 180 度—— 之前的所有篇章里，AI 都是你打开系统时它才工作：你查资产它翻译、你看告警它研判。但真正的安全运营不是你坐在屏幕前的时候才发生的。晚上十一点，你在 Claude 的对话框里敲一句： ...
【一个人的SOC】(12) AI 安全报告与主动推送——五种场景的自动化闭环
00 篇说过一个人的 SOC 最真实的痛： “老板每周要一份安全报告，公司搞安全的就我一个人。” 传统解法是"忍"——周五下午花两小时截图、拼表格、写周报。更糟的不是写报告，是该报告的事没人报告：某台源 3 小时没采上数据、某资产风险分一周涨了 30 分、某系统悄悄过了 EOL——都是事后翻日志才发现的。 ...
【一个人的SOC】(11) 诚实降级——当 AI 不可靠时，SOC 的兜底设计
从 01 篇开始，这个系列反复说一句话： AI 是外挂的大脑，不是中枢神经。安全底座离了 AI 依然完整运转，接上 AI 如虎添翼。 这一篇，就是这句话的完整兑现——也是整个系列我最想写的一篇。 ...
【一个人的SOC】(10) 自然语言查资产——L1/L2 双层设计与 98% 准确率是怎么来的
上一篇 (09)给你看了 10 个 AI 副手场景的全景。从这一篇开始逐个深潜——先讲用得最勤的那个：asset_query 自然语言查资产。 09 篇里你已经见过它的样子： ...