APSOC · 开源 AI 安全运营基座

把安全能力拆成原子，按需编排复用。 一次采集，多处分析；一个结果，多点执行。

APSOC（AI-Powered Security Operations Center）是一个开源、插件化的 AI 安全运营基座。目标是用一个统一基座纳管 EDR、DLP、NDR、WAF、蜜罐、漏洞、威胁情报与自动响应等安全能力——所有能力以插件形式即插即用，可替换、可扩展、可自研。

软件永远开源免费（Apache-2.0）。

为什么是 APSOC

企业安全建设长期困在「烟囱式堆叠」里：每个产品一套 Agent、一个控制台、一种数据格式，彼此割裂、重复建设。

• 重复采集，资源浪费：EDR、DLP、日志、资产各自部署 Agent，同一份主机数据被采集多遍。
• 数据割裂，难以关联：告警散落在不同平台，攻击跨环节时无法串成完整链路，研判靠人肉。
• 能力封闭，无法扩展：商业产品接口封闭，新威胁只能等厂商升级。

APSOC 的答案是结构性的：不做一个"更好的 SIEM"，而是做一个开放的插件化基座——

原子件	职责	说明
Sensor 采集点	网络探针、终端 Agent、全流量	一次采集，数据可被任意分析能力订阅
Analyzer 分析能力	NDR、DLP、主机安全、漏洞、情报	同一数据多处分析，不再重复采集
Enforcer 执行点	WAF、防火墙、Agent	一个分析结果，可在最恰当的位置多点执行阻断

一切皆可改插件：基座只提供运行时、数据总线与编排能力；具体安全能力由插件承载。厂商可以基于 APSOC 接入自有能力，企业可以自研插件，社区可以共建检测规则。

能力复用：让现有设备组合出新的安全能力

APSOC 的差异化不在"又一个安全平台"，而在能力复用：网络中已有的检测和执行能力，通过统一编排重新组合，解决单个产品解决不了的问题。不新增设备、不重复部署 Agent。

场景：数据外泄的"最后一跳"拦截

传统数据安全平台（DSMP）通常只监控数据库侧：谁查了库、有没有脱敏、有没有违规导出。数据一旦离开数据库，走哪条链路、流向哪个出口，DSMP 看不到——它缺乏整体网络流向监控，也没有网络侧的阻断手段。

而网络里的"眼睛"和"手"其实是现成的：防火墙、WAF、探针本身就在检测流量包，只是它们不知道"这个流量是否违规"——缺少数据策略的上下文。APSOC 把两者接起来：

角色	能力来源	在基座中的职责
策略	DSMP 数据策略	定义允许的规则符、允许流向的出口（Analyzer）
眼睛	网络探针 / 全流量 / WAF	持续监控数据包在网内具体流向（Sensor）
手	防火墙 / WAF	接收基座下发的拦截规则，就地阻断（Enforcer）

违规流量判定与处置全自动闭环：

1. DSMP 策略：只允许携带指定规则符的数据包，且仅允许流向 A 出口
2. 探针 / WAF 上报：B 出口监控到未携带规则符的数据包（或本应流向 A 却出现在 B 的流量）
3. 基座比对策略，判定违规
4. 基座向防火墙 / WAF 下发拦截规则，就地阻断，阻止数据外泄

这正是"一个结果，多点执行"的具象化：DSMP 的分析结果，通过网络侧现成的执行点完成阻断。

当前状态（V0.1 · 基座起步）

模块	状态
身份内核（M1）：登录、TOTP MFA、JWT 双令牌、API Token、用户管理	✅ 已完成
HTTP 服务骨架：统一响应信封、认证中间件、审计日志、优雅关闭	✅ 已完成
数据库迁移机制（自研 Migrator，幂等、事务）	✅ 已完成
插件机制（注册 / 加载 / 运行时启停 / 控制台挂载）	🚧 开发中
示范插件：本地情报 TIP	📋 规划中
示范插件：漏洞情报	📋 规划中
示范插件：POC 库	📋 规划中

V0.1 聚焦一件事：让插件化基座真正成立。三大示范插件将完整走通"插件注册 → 挂载路由 → 落库 → 控制台菜单 → 启停"的全链路，并作为第三方插件开发模板。

技术栈

层	选型
后端	Go 1.25 · chi/v5 · pgx/PostgreSQL · JWT(RS256) · TOTP
前端	Vue 3 · Vite · Pinia · naive-ui
数据库	PostgreSQL 14+
License	Apache-2.0

快速开始

环境要求

• Go 1.25+
• Node.js 20+
• PostgreSQL 14+

1. 启动后端

cd security-base
cp .env.example .env   # 修改 DATABASE_URL 等配置
go run ./cmd/base

首次启动会自动完成：

1. 执行数据库迁移（migrations/*.sql，幂等）
2. 创建默认管理员账号（用户名 admin，密码取 ADMIN_PASSWORD，缺省 Admin@2026，首次登录强制改密）

2. 启动前端

cd security-base/web
npm install
npm run dev

访问 http://localhost:5173，使用默认管理员登录。

3. 常用接口

接口	说明
GET /health	健康检查
GET /version	版本信息
POST /api/v1/auth/login	登录
POST /api/v1/auth/mfa	MFA 验证
GET /api/v1/auth/me	当前用户信息
/api/v1/api-tokens/*	API Token 管理

配置项

全部通过环境变量配置（模板见 security-base/.env.example）：

变量	默认值	说明
BASE_ADDR	:8080	HTTP 监听地址
DATABASE_URL	（必填）	PostgreSQL 连接串
JWT_KEY_PATH	data/jwt	JWT 密钥目录
ACCESS_TOKEN_TTL	15m	访问令牌有效期
REFRESH_TOKEN_TTL	168h	刷新令牌有效期
LOG_LEVEL	info	日志级别
ADMIN_PASSWORD	Admin@2026	初始管理员密码

路线图

阶段	内容
Phase 0 · 现在	最小基座骨架 + 插件 SDK + 三大示范插件（本地情报 / 漏洞情报 / POC 库）
P0 · 6-15 月	稳定基座：统一数据湖、统一控制台、采集驱动；资产、漏扫、全流量、NDR、日志合规插件
P1 · 15-24 月	插件市场 + AI 运营：EDR、DLP、蜜罐、WAF、情报、SOAR、AI 研判副驾
P2 · 24 月+	开放生态：第三方插件生态繁荣（目标 ≥30%），情报订阅与安全服务体系成熟

参与贡献

无论你擅长写代码、挖漏洞、研情报还是布道分享，APSOC 都有你的位置：

• 平台研发：Go 后端、插件运行时、数据总线、Agent、前端可视化
• 检测工程：检测规则、Sigma/YARA、NDR 与 DLP 识别能力
• 情报研究：威胁追踪、漏洞分析、IOC 沉淀、攻击技战法
• 社区布道：文档、教程、翻译、设计、线上线下分享

请阅读 CONTRIBUTING.md（待补充）了解贡献流程。

交流

• GitHub Discussions：https://github.com/kinghtxg/apsoc/discussions
• 项目官网：https://kinghtxg.github.io/apsoc/

License

Apache-2.0