盾牌行动
基于Archestra MCP平台构建的自主、多代理安全运营中心（SOC）。ShieldOps通过以下方式对警报进行分类、调查指标、执行遏制行动手册并生成合规报告 真正的MCP工具调用 以及PostgreSQL证据链。
______________________________________________________________________
亮点
- 真正的MCP执行：模拟触发对MCP服务器的实时工具调用（非脚本UI）。
- 5名专业代理：每个阶段的最低权限工具访问（分流→ 调查→ 回应→ 报告→ 监督）。
- 篡改证据链：时间线+每个事件显示的证据哈希。
- 生产风格堆栈：PostgreSQL、普罗米修斯、Grafana和IaC通过Terraform。
- 零成本演示路径：使用模拟数据或使用Docker堆栈。
______________________________________________________________________
快速开始
git clone https://github.com/SaaiAravindhRaja/shieldops.git
cd shieldops
cp .env.example .env
# Start infrastructure
Docker compose up -d
# Start dashboard (standalone or live)
cd dashboard
npm install
npm run dev仪表板： http://localhost:3001\ Archestra用户界面： http://localhost:3000
| 服务 | 端口 | 用途 |
|---|---|---|
| 仪表板 | 3001 | SOC用户界面 |
| Archestra UI | 3000 | MCP编排 |
| Archestra API | 9000 | 代理商管理 |
| PostgreSQL | 5432 | 事件数据库 |
| 普罗米修斯 | 9090 | 指标 |
| Grafana | 3002 | 可观测性 |
______________________________________________________________________
演示：现场模拟
打开 /模拟 每一步都执行一个真正的MCP工具调用，并显示JSON-RPC协议消息。
管道预览：
- 哨兵 隔离警报→
incident-db/create_incident - 夏洛克 调查→
threat-intel/*查找 - 监督者 批准高风险行动
- 应答者 包含→
security-playbook/* - 编年史 报告→ 事件已通过合规检查结束
______________________________________________________________________
建筑
shieldops/
├── dashboard/ # Next.js 16 + Tailwind v4 + Recharts
│ ├── app/ # UI + API routes
│ ├── components/ # Sidebar, command bar
│ └── lib/ # MCP engine, data hooks, utilities
├── mcp-servers/
│ ├── incident-db/ # Incident lifecycle + evidence chain
│ ├── threat-intel/ # AbuseIPDB / VirusTotal / NVD
│ └── security-playbook/ # Containment actions + playbooks
├── terraform/ # Archestra IaC
├── grafana/ # Provisioned dashboards
├── scripts/ # DB init + seed data
└── docker-compose.yml______________________________________________________________________
代理
| 代理 | 阶段 | 模型 | MCP工具 |
|---|---|---|---|
| 哨兵 | 分类 | 双子座2.5闪光 | create_incident, list_incidents, get_incident_stats |
| 夏洛克 | 调查 | 双子座2.5 Pro | check_ip, check_hash, check_domain, check_cve, bulk_check_ips, get_incident, add_evidence, update_incident |
| 响应程序 | 包含 | Gemini 2.5 Flash | block_ip, isolate_pod, isolate_host, revoke_token, quarantine_user, execute_playbook |
| Chronicler | 报告 | 双子座2.5闪光 | get_incident, update_incident, add_evidence, get_incident_stats |
| 监督者 | 编排 | Gemini 2.5 Pro | 所有工具（审批权限） |
______________________________________________________________________
MCP服务器（18个工具）
| 服务器 | 工具 | 传输 | 功能 |
|---|---|---|---|
| 偶发事件数据库 | 6 | stdio | PostgreSQL支持的偶发事件生命周期+证据链 |
| 威胁情报 | 5 | stdio | 滥用IPDB、VirusTotal、NVD集成 |
| 安全剧本 | 7 | stdio | 遏制行动+剧本执行 |
______________________________________________________________________
Webhook摄入
ShieldOps通过以下方式接受警报：
curl -X POST http://localhost:3001/api/webhook/alert \
-H "Content-Type: application/json" \
-d '{"title":"Suspicious login from new country","severity":"P2","type":"unauthorized_access","source":"auth-service"}'还支持Prometheus AlertManager格式。
______________________________________________________________________
备注
- 如果数据库不可用，则可以完全使用模拟数据。
- 对于实时威胁intel查找，请在中提供API密钥
.env. - 用于演示、黑客马拉松和概念验证部署。
______________________________________________________________________
许可证
麻省理工学院