MCP

AiSOC: guía de inicio de un centro de operaciones de seguridad con IA de código abierto y autoalojado

AiSOC es ideal para equipos de seguridad o personas que quieran autoalojar un centro de operaciones de seguridad con IA y investigar amenazas con agentes de IA auditables; el requisito previo más crítico antes de empezar es que la VM de Docker tenga 8 GB de memoria y 20 GB de disco (además de python3 3.9+ y bash), y la primera ejecución descarga unos 2 GB de modelos en un volumen que solo se elimina con make clean.

Official source · GitHub - beenuar/AiSOC

Install

git clone https://github.com/beenuar/AiSOC && cd AiSOC
make up

Para quién es

  • Equipos de seguridad o investigadores individuales que quieran ejecutar un centro de operaciones de seguridad (SOC) con IA en local o en sus propios servidores: AiSOC es un proyecto de código abierto y autoalojable que puede ingerir datos de telemetría de seguridad, detectar y correlacionar amenazas, investigar mediante agentes de IA con procesos de razonamiento auditables y proponer acciones de respuesta aprobadas por humanos.
  • Usuarios que quieran ponerlo en marcha sin depender de claves de API en la nube: según la documentación oficial, funciona sin clave de API.
  • Usuarios de clientes como Claude, Cursor o Continue que quieran conectarse a él mediante MCP.

Casos en los que no es adecuado:

  • Usuarios sin un entorno Docker que cumpla los requisitos de recursos (ver requisitos más abajo) no podrán completar la instalación.
  • La evidencia no indica si sirve como sustituto de un SOC de nivel de producción ni qué formatos concretos de fuentes de telemetría admite; esto es desconocido y debe verificarse en el repositorio antes de elegirlo.

Primer intento en 3 minutos

La vía principal recomendada es el Quick start oficial: clonar el repositorio y arrancarlo con make.

Requisitos previos:

  • Docker Compose v2, con 8 GB de memoria y 20 GB de espacio en disco disponibles en la VM de Docker.
  • python3 (3.9 o superior) y bash.
  • Si no estás seguro de que tu entorno cumpla los requisitos, ejecuta primero el make doctor oficial, que comprueba todos los requisitos anteriores.

Instalación y arranque (comandos textuales de la documentación oficial):

git clone https://github.com/beenuar/AiSOC && cd AiSOC
make up

En la primera ejecución se descargan unos 2 GB de modelos que se guardan en un volumen que solo se elimina con make clean: es un efecto secundario que conviene conocer antes de arrancar.

Señal de éxito: una vez que los servicios arrancan en local, puedes interactuar con él a través de su interfaz o de su interfaz MCP. La evidencia no incluye los pasos concretos de la interfaz tras la primera ejecución ni la dirección de acceso por defecto; para ese paso, atente a las instrucciones posteriores del README del repositorio.

Primer intento de bajo riesgo: la evidencia no enumera los nombres concretos de las herramientas MCP ni sus propiedades de lectura/escritura, por lo que no es posible señalar una herramienta "de solo lectura" como primera llamada. Antes de confirmar los efectos secundarios de las herramientas, se recomienda explorar primero funciones de solo visualización, como su interfaz y el registro de decisiones (decision ledger), y evitar ejecutar directamente acciones de respuesta.

Casos de uso

Caso 1: comprobar el entorno antes de arrancar. Escenario: no estás seguro de si los recursos de tu VM de Docker son suficientes. Qué hacer: tras clonar el repositorio, ejecuta primero make doctor, que comprueba uno a uno Docker Compose v2, 8 GB de memoria, 20 GB de disco, python3 3.9+ y bash. Resultado esperable: ejecutar make up solo después de que la comprobación pase, evitando que la primera ejecución falle a mitad de camino por falta de recursos.

Caso 2: conectar AiSOC mediante MCP en Claude, Cursor o Continue. Escenario: quieres consultar directamente los resultados de detección o las conclusiones de investigación de AiSOC desde estos clientes. Qué hacer: según la documentación oficial del proyecto, incluye un servidor MCP para Claude, Cursor y Continue; en cuanto a los campos de configuración y el método de conexión en cada cliente, la evidencia no ofrece fragmentos de configuración literales, por lo que debe atenerse a las instrucciones de configuración MCP correspondientes del repositorio. Límite verificable: se puede confirmar que ofrece un servidor MCP y los clientes de destino, pero la lista de herramientas disponibles tras la primera conexión, sus parámetros y formatos de salida son partes que la evidencia no cubre y no deben asumirse.

Límites de uso

  • Naturaleza de lectura/escritura: ingiere datos de telemetría de seguridad y detecta amenazas; los agentes de IA realizan investigaciones y "proponen" respuestas, pero las respuestas las aprueba un humano, es decir, las operaciones de escritura tienen un punto de confirmación. La evidencia no indica qué herramientas MCP son de solo lectura y cuáles desencadenan acciones reales.
  • Datos locales y efectos en disco: la primera ejecución descarga unos 2 GB de modelos en un volumen que solo puede eliminarse con make clean; esto ocupa espacio real en disco, y la propia acción de limpieza también borra el contenido de ese volumen.
  • Requisitos de credenciales: según la documentación oficial, funciona sin clave de API; no se mencionan otros requisitos de credenciales.
  • Limitaciones explícitas: requiere Docker Compose v2 (8 GB de memoria / 20 GB de disco), python3 3.9+ y bash.
  • Sin confirmar: la lista concreta de herramientas MCP, las propiedades de solo lectura de cada herramienta, el puerto de acceso por defecto, los tipos de fuentes de telemetría admitidos y los procesos de actualización y desinstalación no aparecen en la documentación oficial dentro de esta evidencia; antes de usarlo, consulta el README más reciente del repositorio.