记录最好的自己
【一个人的SOC】(07) 数据可靠性——源健康/同步死信/对账差异三层聚合
上一篇 (06) 资产对账我们学了 F1.3——它能告诉你"台账和实际数据差在哪"，三类差异清清楚楚列出来。但你跑 F1.3 时一定会撞上一个新问题： ...
【一个人的SOC】(06) 资产对账——影子/离线/不匹配三类差异稽核
上一篇 (05) Nmap 攻击面扫描我们把"三路数据源"拼齐了——Wazuh 看到装了 agent 的主机、TP-Link 看到 DHCP 设备、Nmap 看到影子和暴露面。但拼齐之后的下一步是什么？ ...
【一个人的SOC】(05) Nmap 攻击面扫描——影子资产和暴露面主动发现
上一篇 (04) TP-Link 路由器我们接上了第二路数据源——路由器告诉我所有联网设备。但 04 篇结尾留了一个问题： 路由器能看到"在网"的设备，但 DHCP 过期后没续约的、从来没连过路由器的、挂在 DMZ 自己跑公网 IP 的——这些设备路由器也看不见。 ...
【一个人的SOC】(04) 用一台 TP-Link 路由器做内网资产发现与上网行为审计
上一篇 (03) Wazuh 接入实战我们接进了第一台主机，告警开始流进你的 SOC。但很快你发现一个新问题： “我管的几台服务器全在 Wazuh 里了，可办公室/家里的手机、电脑、IoT 设备——它们没装 agent，SOC 一点都不知道它们的存在。” ...
【一个人的SOC】(03) Wazuh 接入实战——把第一台主机纳管进你的 SOC
上一篇我们把 AI-miniSOC 跑起来了——登录进控制台、看到 11 个菜单、概览仪表盘上数字在动。但说实话，那一刻它还不是一个 SOC——它只是一个"能用的平台"。 ...
【一个人的SOC】(02) 从零部署——一小时跑起来的实战与踩坑
上一篇我们把架构和取舍讲透了：分级存储、拉模型采集、AI 消费点。老李也把那台 2019 年的旧服务器从库房搬了出来，装上了 Linux。 那么这一篇回答动手的人最关心的问题： 从一台裸机到登录进自己的 SOC 控制台，到底要几步、会卡在哪？ ...
【一个人的SOC】(01) 总体架构——8G 内存的小服务器如何装下一个 SOC
上一篇里，老李问出了所有中小企业 IT 人的三个问题：为什么非做不可、路有几条、凭什么一个人做得动。我们得到的答案是：一台 8G 内存的旧服务器 + 开源组件 + AI，就够搭一个真正能用的 SOC。 ...
【一个人的SOC】(00) 中小企业为什么需要自己的安全运营中心
从一个朋友的故事说起 我有一位朋友，姑且叫他老李，在一家一百来人的制造企业做 IT 负责人。 说是"负责人"，其实就是整个 IT 部门的全部人手。他的日常是这样的：早上到公司先处理打印机和 WiFi，然后是业务系统的运维、几十台电脑的桌面支持，中间穿插着采购比价、领导要的各种材料。安全？在他那张永远写不完的清单上，“安全"两个字从来没有具体的位置——不是不重要，而是永远轮不到。 ...
把知识库当系统来工程化：我的 LLM Wiki 实践
把知识库当成一个可校验、能自愈的系统来工程化，而不是又一个"收藏即整理"的笔记 App。这篇不讲工具玄学，只讲我真实仓库里跑通的架构、踩过的坑，以及你可以直接复制的最小落地工件。 ...
从"凌晨在干啥"到"看清一个人"——我给 AI-miniSOC 做了套行为画像
去年 8 月，我为了搞清楚家里小孩半夜抱着平板不睡觉，搭了一套 AI 上网行为分析系统（见《为搞清楚凌晨上网都在干啥，我建了一套AI上网行为分析系统）。那套系统的逻辑很简单：采集路由器日志 → 喂给大模型 → 定时发一封"上网行为分析邮件"。 ...