AI Security Suite
包含网络与主机入侵检测、恶意软件扫描器、监控界面与报告的实时防御引擎。
了解更多 →基于 AI 的网络攻击防御
先检测，安全地响应，并为每一次动作留下证据。
AegisMind 构建基于 AI 的网络与主机入侵检测、不执行文件的恶意软件扫描器，以及实时主动防御。先记录，只在双重安全闸门之后才动手，并留下可发现篡改的审计记录。
- 新成立的安全专业公司
- AI 零信任自动防黑客入侵
- MSP:MySQL · MariaDB · InfluxDB
$ python main.py defend list-blocks
종류 대상 집행 남은시간 사유
block_ip 203.0.113.50 가상 3599s portscan (위험점수 75, 근거 {'distinct_ports': 20, 'win …
block_ip 203.0.113.60 가상 3599s syn_flood (위험점수 90, 근거 {'syn_count': 200, 'window …
block_ip 203.0.113.77 가상 3599s ssh_bruteforce (위험점수 120, 근거 {'failures': 5, 'use …方案一览
从检测到响应的一套工具
NIDS — 网络入侵检测
读取 pcap 文件或实时网卡，生成双向流，并由 4 个模型（Isolation Forest、Random Forest、LightGBM、Autoencoder）投票打分。
了解更多 →HIDS — 主机日志异常检测
将 auth.log / syslog 转为 26 个特征，用 Isolation Forest 找出异常行 —— 暴力破解、异常的 root 登录、新出现的 sudo 消息。
了解更多 →恶意软件扫描器
静态 PE 分析（55 个特征，XGBoost + SHAP）、YARA 规则、可选的沙箱报告分析、VirusTotal 哈希查询。只读文件，绝不执行。
了解更多 →实时主动防御
5 种输入源 → 检测器 → 风险分策略 → 安全闸门 → 6 种响应：封禁 IP、限速、文件隔离、终止进程、锁定账号、告警。
了解更多 →监控界面
无外部依赖的本地网页仪表盘（127.0.0.1、令牌、CSRF 防护、离线 SVG 图表），查看事件、封禁、隔离文件和动作。
了解更多 →报告
生成日报、周报和自定义期间报告，格式为自包含 HTML、JSON、CSV 和（可选）DOCX。
了解更多 →实时防御
从信号到动作的 6 个步骤
每个动作都经过同一条流水线，在默认配置下会停在第 4 步。
- 01
输入
数据包、pcap 回放、/proc/net/tcp、auth.log、监视文件夹。
- 02
检测
端口扫描、SYN / UDP 洪泛、SSH 暴力破解、账号枚举、恶意文件。
- 03
策略
风险分带衰减累积 · 30 告警，70 封禁 · 允许列表与并发封禁上限。
- 04
安全闸门
默认 dry-run。要执行，必须同时有 --enforce 和 enforcement.allow: true。
- 05
响应
带 TTL 的封禁、限速、隔离（只移动，不删除）、告警。
- 06
记录
SHA-256 哈希链审计日志、事件、告警和报告，统一存放在一个 logs 文件夹。
默认安全
自动封禁有风险 —— 所以我们先造了刹车
误封可能挡住真实用户或管理员。产品默认启用以下保护。
先 dry-run
不加选项运行时，引擎只记录要做的事，完全不改变系统。
双重闸门
真正执行需要命令行的 --enforce 和配置中的 enforcement.allow: true 两者同时具备。
受保护对象
私有网段、本机地址、网关、DNS 以及正在连接的 SSH 管理员，绝不会被封禁。
TTL · 上限 · 回滚
封禁会过期（默认 1 小时，再犯翻倍，最长 24 小时），有上限（默认 200），一条命令即可还原。
演示
运行效果 —— 真实捕获的输出
合成攻击集（端口扫描、SYN 洪泛、SSH 暴力破解、EICAR 测试文件）只生成为文件，然后以 dry-run 模式回放给引擎。不会向网络发送任何数据。
1 · 回放合成攻击（dry-run）
$ python main.py defend run --pcap …/attack.pcap --authlog …/auth.log \
--watch …/watch --from-start --scan-existing --no-ml --duration 3
[defend] 모드: DRY-RUN (요청 --enforce=False, 설정 enforcement.allow=False, 백엔드: dry-run)
{
"mode": "dry-run",
"counters": {
"packets": 1920, "lines": 14, "files": 1,
"events": 6, "dropped": 0,
"results": { "executed": 6, "dry_run": 4 }
},
"events_by_kind": {
"malware_malicious": 1, "portscan": 1, "syn_flood": 1,
"syn_flood_target": 1, "user_enum": 1, "ssh_bruteforce": 1
},
"active_blocks": 3
}检测到 6 个事件；计划中的 4 项封禁/隔离因为是 dry-run，并未执行。
2 · 查看（虚拟）封禁列表
$ python main.py defend list-blocks
종류 대상 집행 남은시간 사유
block_ip 203.0.113.50 가상 3599s portscan (위험점수 75, 근거 {'distinct_ports': 20, 'win …
block_ip 203.0.113.60 가상 3599s syn_flood (위험점수 90, 근거 {'syn_count': 200, 'window …
block_ip 203.0.113.77 가상 3599s ssh_bruteforce (위험점수 120, 근거 {'failures': 5, 'use …每一项都显示风险分和依据。“虚拟”表示只做了记录，没有执行。
3 · 验证审计链
$ python main.py defend verify-audit
OK audit.jsonl records=4 OK
# audit.jsonl 2번째 줄을 일부러 수정한 사본에서 (on a deliberately edited copy, line 2 modified):
FAIL audit.jsonl records=1 2번째 줄 해시 불일치(내용 변조 의심) [exit code: 1]哪怕只改动审计日志中的一行也会被发现，并以退出码 1 报告。
来源：AI Security Suite 用户手册 v1.1，第 17~18 章。控制台消息保持捕获时的原样（韩语）；随环境变化的路径前缀以“…”缩略。
数字一览
在有文档记录的实验室环境中已验证的内容
- 16 / 16自检项目通过defend self-test、合成攻击、虚拟防火墙 —— 不触碰系统防火墙
- 90自动化测试没有 nft/iptables 时为 87 通过 + 3 跳过；在隔离命名空间中使用真实 nft/iptables 时 90 项全部通过
- 5 + 6输入源 + 响应类型pcap/嗅探、/proc/net/tcp、auth.log、文件监视 · 封禁、限速、隔离、终止、锁定、告警
- 4集成的 NIDS 模型Isolation Forest、Random Forest、LightGBM、Autoencoder
这是产品文档中基于合成/公开基准数据的实验室结果，不是生产性能或客户成果。包含较低数值在内的完整表格见技术页面。