《一个人的SOC》系列导航

一个 IT 工程师，一台 8G 内存的旧服务器，把一个中小企业的安全运营中心（SOC）真正跑起来——AI 当副手，工程化兜底，一年电费 200 元。全系列 18 篇，全部基于开源项目 AI-miniSOC 的真实实现，每一篇都有源码、真实数据和踩坑记录。

🏃 急用型阅读顺序（只想赶紧跑起来）

00 为什么需要 → 02 从零部署 → 03 Wazuh 接入 → 17 成本账本（四篇即可完成"搭起来 + 算清账"）

按篇目顺序通读。每篇都是上一层的地基：架构 → 部署 → 采集 → 资产 → AI → 工程化 → 账本。

#	篇目	一句话
00	中小企业为什么需要自己的安全运营中心	三个理由：资产不清、告警不看、合规要查——以及为什么全托管 SaaS 不是唯一解
01	总体架构——8G 内存的小服务器如何装下一个 SOC	分层架构 + 数据流 + 硬件约束：8G 是设计出来的，不是将就出来的

#	篇目	一句话
02	从零部署——一小时跑起来的实战与踩坑	手把手部署全栈 + 第一次真实踩坑记录
03	Wazuh 接入实战——把第一台主机纳管进你的 SOC	第一条告警进来的那一刻，SOC 才算活了
04	用一台 TP-Link 路由器做内网资产发现与上网行为审计	100 元的路由器也能当采集器：谁在网、在访问什么
05	Nmap 攻击面扫描——影子资产和暴露面主动发现	你不知道的资产才是风险：主动扫描把影子资产揪出来
06	资产对账——影子/离线/不匹配三类差异稽核	台账 vs 实际 vs Agent，三方对账找出"账实不符"
07	数据可靠性——源健康/同步死信/对账差异三层聚合	数据源挂了你怎么知道？三层健康聚合 + 不允许静默无差异
08	身份可信度评分——多源数据不一致时信哪个	三个来源说三种 OS 版本，信哪个？多因子融合评分

#	篇目	一句话
09	LLM 怎么当好你的安全运营副手——10 个 AI 消费场景	统一底座 + 10 个消费点全景：AI 是外挂的大脑，不是中枢神经
10	自然语言查资产——L1/L2 双层设计与 98% 准确率	LLM 只选模板填参数绝不生成 SQL；51 条评测集含 5 条注入样本全拒
11	诚实降级——当 AI 不可靠时，SOC 的兜底设计	AI 挂了功能还在、降级必须可见、数字与叙事分离——“不出假数据"是架构性质
12	AI 安全报告与主动推送——五种场景的自动化闭环	老板要的报告自动出，异常主动找人；AI 只被允许写三段
13	AI Agent 与 MCP——让 Claude 直接操作你的 SOC	60 个手写 MCP 工具 + sk-key 免密签发 JWT——给 Agent 最小职权，而不是最大能力

#	篇目	一句话
14	告警治理——聚合、分级与 13/10/7/4 阈值统一的故事	103 万条 → 每天 ≤20 个簇；阈值口径和货币一样只能有一个央行
15	权限矩阵——admin/operator/viewer/auditor 端点级隔离	双层控制 + 三道拦截 + 写侧默认拒绝——鉴权是框架默认行为，不是自觉动作
16	CI/CD 全链路——1.5 分钟自动部署与失败自动回滚	push 一下线上就是新的，坏了自动回滚；一个人的 SOC 最该工程化

#	篇目	一句话
17	成本账本——运行一年，这套系统到底花多少钱	总账约 6,700 元/年（AI 套餐 6,456 元写代码本来就要花），SOC 真实增量 = 电费 200 元 + 每周 2 小时
18	路线图与共建——从一个人的项目到一群人的 SOC	Phase 5 为什么还没做 + 从读者到共建者的三种姿势

💡 导航页持续更新：每发一篇会同步更新；18 篇的篇目映射与 AI-miniSOC 仓库路线图保持对应——文章讲的，就是仓库里真实跑着的。