【一个人的SOC】(01) 总体架构——8G 内存的小服务器如何装下一个 SOC

原创

xiejava
xiejava

fullbug

2026年10月7日 11:18
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

上一篇里，老李问出了所有中小企业 IT 人的三个问题：为什么非做不可、路有几条、凭什么一个人做得动。我们得到的答案是：一台 8G 内存的旧服务器 + 开源组件 + AI，就够搭一个真正能用的 SOC。

那么这一篇，回答下一个必然的问题：

8G 内存，凭什么装得下一个\"安全运营中心\"？这玩意儿听起来就是一面大屏 + 一屋子服务器的存在啊。

答案是四个字：架构取舍。SOC 不是\"东西越多越强\"，而是\"每个组件刚好够用\"。这篇文章我把 AI-miniSOC 的总体架构完整摊开给你看——不晒技术栈凑数，而是把每个选型决策背后的\"为什么\"讲透。看懂了这些取舍，你以后做任何技术选型都用得上；看完直接照着搭，就是下一篇的事。

一、先看全景：一张图读懂四层结构

老规矩，先上总体架构图，后面逐层拆：

从上到下五段，每层一句话职责：

几个数字你可能没什么概念，我翻译一下：43 个 API 路由模块、52 张数据库表、60+ 业务服务——这是一个正儿八经的平台级系统的体量，不是脚本拼凑的玩具。而这些东西的全部基础设施，跑在一台 8G 内存的机器上。

怎么做到的？下面是本文的主菜：三个关键取舍。

二、取舍一：日志分级存储——为什么是 Loki 而不是 ELK？

这是最省钱的一个决策，先想清楚它。

搭 SOC 的第一反应往往是：上 ELK（Elasticsearch + Logstash + Kibana）——网上的教程全是它，行业里也最出名。但 ELK 有个要命的特点：它索引一切。每一条日志的正文都要建立全文索引，索引本身和原始日志几乎等量，而 Elasticsearch 是 Java 程序，JVM 起步就是 4G 内存——你一台 8G 的机器，装一个 Elasticsearch 就满了，别的什么都不用跑了。

我的做法是把\"日志\"这个笼统的东西拆成三类，区别对待：

这个分法背后的洞察是：出了事要排查的原始日志，热度只有最近几天；而真正需要长期留存的，是已经被提炼过的结构化数据（告警）和业务结论（事件、报告）。 90% 的原始日志 7 天后就没用了——为它们付出全文索引的成本，纯属浪费。

等保要求\"日志留存不少于六个月\"怎么办？留存的是 OpenSearch 里的告警记录和 PostgreSQL 里的处置闭环，它们本来就是日志中真正有取证价值的部分。原始流水日志超期覆盖，是业界通行做法（商业 SOC 的原始日志留存窗口通常也不长）。

类比：Loki 是\"监控录像\"（7 天循环覆盖，出了事调最近的看），OpenSearch + PostgreSQL 是\"案底档案\"（值得记录的永久在册）。派出所不需要保存全城每一天每一秒的录像，但需要每一起案件的卷宗。

三、取舍二：拉模型采集——家庭宽带也能接入的秘密

第二个决策关系到一件很实际的事：你的数据源可能没有公网 IP。

场景很常见：公司拉的是普通宽带（NAT 后面，没有固定公网地址），家里更是如此。如果用传统\"推模型\"思路——服务端主动连到采集器去拉数据——你会发现根本连不进去：NAT 后面的机器对外不可见。要打通就得在路由器上开端口映射或搞内网穿透，家庭宽带办不到，而且在防火墙上开入站端口，本身就是给攻击者开门。

我的解法是把方向反过来——拉模型（Pull-based）：

每个采集器只做三件事，全部是出向连接：

1. 心跳

（每 30 秒）：“我还在线”——服务端据此判断采集器健康状态；
2. 拉任务

（每 10 秒）：“有活给我干吗？”——扫描任务、同步指令都从这来；
3. 推数据

：“干完了，结果给你”——采集到的资产、日志、告警统一上报。

这个设计带来三个红利：

• NAT、防火墙统统不再是障碍

——出向连接在内网环境永远畅通，公司、家里、分公司，什么地方都能接；
* 不新增攻击面

——服务端不开任何入站端口给采集器；
* 天然高可用

——采集器无状态、逻辑简单，断电重启后接着跑，不需要复杂的分布式协调。

另外它还实现了一个进阶设计：控制面/数据面分离。任务下发和结果上报是两条独立通道，所以攻击面扫描器可以部署到任意网段（比如放到 DMZ 去扫公网暴露面），而管理指令依然从统一控制面来。这个设计第 (05) 篇讲 Nmap 扫描器时会展开。

四、取舍三：AI 是\"消费点\"不是\"中枢\"——每个点都有降级路径

第三个决策最重要，也是这个项目名字里带\"AI\"的底气所在。

先泼一盆冷水：市面上大量\"AI + 安全\"产品，思路是把大模型放在系统中枢——告警进来先过模型、决策靠模型、甚至处置动作也模型说了算。听起来很酷，实际用起来有三个致命问题：模型 API 会挂会限流、模型会幻觉（安全场景零容忍）、模型会涨价。中枢一旦是 AI，AI 一抖，整个安全体系瘫痪。

我的做法反过来：确定性主干 + AI 消费点。

主干——资产台账、告警分级、风险评分、资产对账、合规基线——全部是规则和代码算出来的确定性结果，不依赖任何模型。这些是\"账本\"和\"结论\"，一个数字都不能错。

AI——大模型底座（GLM或其他国产大模型） 统一底座之上挂了 9 个消费点（自然语言查资产、风险摘要、AI 安全报告、变更影响分析、对账解读、合规解读、AI Chat、AI Agent）——只做三类事：解读、检索、代笔。它让你的效率翻倍，但系统不指望它才能转。

最关键的是右下角那列：每个消费点都有明确的降级路径。模型挂了/限流了/你不想用了，自然语言查询退化为受限模板查询、AI 报告退化为结构化数据报告、风险摘要退化为固定模板——功能还在，只是少了那段\"聪明话\"。所有降级路径都经过真实演练，不是写在 PPT 上的。

这个话题（什么时候能信 AI、什么时候必须防着它）是整个系列最重要的主题之一，第 (11) 篇《诚实降级》会用一整篇展开。这里你只需要记住结论：

AI 是外挂的大脑，不是中枢神经。安全底座离了 AI 依然完整运转，接上 AI 如虎添翼。

五、账本与实景：资源占用 + 各层真实截图

架构讲完，回到最初的问题——8G 内存到底怎么装下的？空口无凭，直接看生产服务器的实测。free -h 和 docker stats 的输出的资源占用情况：

再逐层看实景，证明架构图不是纸上谈兵——

基础设施层·数据源管理：对接的各类数据源状态一目了然（Loki、OpenSearch、Wazuh），哪个组件掉线、哪条链路断了一屏可见——架构图里基础设施层那五个格子，在这里有了\"体检表\"：

基础设施层·告警底座（OpenSearch）：告警查询直接与 Wazuh 的 OpenSearch 集成打通，作为告警的数据底座——架构图里\"OpenSearch 承接告警存储\"这一格的实景：

前端层·控制台：AI-miniSOC 登录后的功能菜单和界面，11 个顶级菜单把四层架构的能力最终呈现在一个界面里：

后端层·API 网关（FastAPI）：自动生成的接口文档，43 个路由模块全在这份清单里——\"平台级\"的直接证据：

能塞下的秘诀复盘一遍：Loki 管住了日志层的内存欲望（取舍一），组件全是轻量开源软件，AI 调用走外部 API 不占本地算力（取舍三），采集器可以拆到别的机器（取舍二）。如果未来数据量涨了，OpenSearch 和 Wazuh Indexer 可以拆到第二台机器上——架构留了水平扩展的口子，但那是\"以后的事\"，不是\"起步的门槛\"。

顺带交代一件容易忽略的事：这套架构里所有组件都是单一职责、可独立替换的。哪天你觉得 Wazuh 不好用换了别的 HIDS，后端和前端完全不用动——采集器框架隔离了数据源差异。这是\"平台\"和\"脚本集合\"的本质区别。

六、诚实对照：它有什么、没什么

00 篇承诺过\"真实\"，包括不完美的地方。对照中型商业 SOC，这张表你值得拥有：

没写的优势不吹，没做的功能不藏。它的设计目标自始至终是\"一个人的中小环境\"，不是替代商业平台。 如果哪天你的环境大到需要多租户和高可用集群，恭喜——那说明公司长大了，该买商业方案或者招人了。

七、总结：架构的哲学

一篇文章四张图，其实就讲了三句话：

1. 分级存储

——90% 的原始日志只热 7 天，值钱的 10% 才长期保存（Loki + OpenSearch + PostgreSQL 各司其职）；
2. 拉模型采集

——数据源主动出向连接，NAT 和家庭宽带不再是障碍，还不新增攻击面；
3. AI 是消费点

——确定性主干保证安全底座永远可靠，9 个 AI 消费点每个都有降级路径。

而贯穿三者的元原则只有一条：架构是取舍的艺术，不是堆料的艺术。 \"什么都上最好的\"是团队和预算的游戏；\"每个组件刚好够用、每个决策有明确理由\"才是一个人玩得起的 SOC。

对应到你自己的场景：如果公司有 500 台主机、等保三级，按这个架构把 Wazuh 多装几个 agent、磁盘给大点就行；如果你只想监控家里网络，砍掉 OpenSearch 都没问题。架构图是地图，不是牢笼。

写在最后

00 篇结尾说\"下一篇，我们用一小时把它跑起来\"。现在架构你已经看懂了，台词兑现——

下一篇 (02)：从零部署 AI-miniSOC——一小时跑起来的实战与踩坑。我会把部署的每一步、每一个 .env 配置项、每一个我踩过的坑（数据库三个库的纪律、venv 的坑、前端构建的坑）原样奉上。

老李已经把那台 2019 年的旧服务器从库房里搬出来了。你呢？

【系列导航】《一个人的SOC》总目录（持续更新）

【上一篇】(00) 中小企业为什么需要自己的安全运营中心

【项目地址】AI-miniSOC - GitHub · MIT 开源，欢迎 Star ⭐

https://github.com/xiejava1018/AI-miniSOC

【交流】 对架构有疑问、想讨论自己环境的选型，欢迎去仓库提 Issue——你公司的规模适不适合这套架构，评论区/Issue 里聊。

作者博客：http://xiejava.ishareread.com/