【一个人的SOC】(11) 诚实降级——当 AI 不可靠时，SOC 的兜底设计
从 01 篇开始，这个系列反复说一句话： AI 是外挂的大脑，不是中枢神经。安全底座离了 AI 依然完整运转，接上 AI 如虎添翼。 这一篇，就是这句话的完整兑现——也是整个系列我最想写的一篇。 ...
网络安全
【一个人的SOC】(10) 自然语言查资产——L1/L2 双层设计与 98% 准确率是怎么来的
上一篇 (09)给你看了 10 个 AI 副手场景的全景。从这一篇开始逐个深潜——先讲用得最勤的那个：asset_query 自然语言查资产。 09 篇里你已经见过它的样子： ...
【一个人的SOC】(09) LLM 怎么当好你的安全运营副手——从查资产到写周报的 10 个 AI 场景
上一篇 (08) 身份可信度评分收掉了资产主题——你的 SOC 到这里已经能"看得见、看得真、不被骗、信得对"。 但看见之后呢？ 00 篇算过那笔账：传统 SOC 需要 5-10 人的团队三班倒，盯屏、分诊、溯源、写报告。一个人的 SOC 凭什么转得动？ 答案从这一篇开始兑现： ...
【一个人的SOC】(08) 身份可信度评分——多源数据不一致时信哪个
上一篇 (07) 数据可靠性我们把"数据流"做了一次体检——看板能告诉你数据从源到台账在哪一层坏了。但还有一个没解决的根本问题： 同一台设备，Wazuh 说"192.168.0.8 / bc:24:11:f0:1d:73 / dev-server"；TP-Link 说"192.168.0.8 / bc:24:11:f0:1d:73 / dev"。 ...
【一个人的SOC】(07) 数据可靠性——源健康/同步死信/对账差异三层聚合
上一篇 (06) 资产对账我们学了 F1.3——它能告诉你"台账和实际数据差在哪"，三类差异清清楚楚列出来。但你跑 F1.3 时一定会撞上一个新问题： ...
【一个人的SOC】(06) 资产对账——影子/离线/不匹配三类差异稽核
上一篇 (05) Nmap 攻击面扫描我们把"三路数据源"拼齐了——Wazuh 看到装了 agent 的主机、TP-Link 看到 DHCP 设备、Nmap 看到影子和暴露面。但拼齐之后的下一步是什么？ ...
【一个人的SOC】(05) Nmap 攻击面扫描——影子资产和暴露面主动发现
上一篇 (04) TP-Link 路由器我们接上了第二路数据源——路由器告诉我所有联网设备。但 04 篇结尾留了一个问题： 路由器能看到"在网"的设备，但 DHCP 过期后没续约的、从来没连过路由器的、挂在 DMZ 自己跑公网 IP 的——这些设备路由器也看不见。 ...
【一个人的SOC】(04) 用一台 TP-Link 路由器做内网资产发现与上网行为审计
上一篇 (03) Wazuh 接入实战我们接进了第一台主机，告警开始流进你的 SOC。但很快你发现一个新问题： “我管的几台服务器全在 Wazuh 里了，可办公室/家里的手机、电脑、IoT 设备——它们没装 agent，SOC 一点都不知道它们的存在。” ...