AiSOC: guia de introdução ao SOC de segurança com IA open source e auto-hospedado

Para quem é

• Equipes de segurança ou pesquisadores individuais que queiram executar um centro de operações de segurança (SOC) com IA localmente ou em servidores próprios: o AiSOC é um projeto open source e auto-hospedado, capaz de ingerir dados de telemetria de segurança, detectar e correlacionar ameaças, realizar investigações com agentes de IA que possuem processos de raciocínio auditáveis e propor ações de resposta aprovadas por humanos.
• Usuários que querem algo que funcione sem depender de chaves de API na nuvem: a documentação oficial afirma que ele roda sem nenhuma API key.
• Usuários de clientes como Claude, Cursor ou Continue que desejam integrá-lo via MCP.

Casos em que não é indicado:

• Usuários sem um ambiente Docker que atenda aos requisitos de recursos (ver pré-requisitos abaixo) não conseguirão concluir a instalação.
• As evidências não esclarecem se ele serve como substituto de SOC de nível de produção nem quais formatos específicos de fontes de telemetria são suportados; isso permanece desconhecido e deve ser verificado no repositório antes da escolha.

Primeira tentativa em 3 minutos

O caminho principal recomendado é o Quick start oficial: clonar o repositório e iniciar com make.

Pré-requisitos:

• Docker Compose v2, com 8 GB de memória e 20 GB de espaço em disco disponíveis na VM do Docker.
• python3 (3.9 ou superior) e bash.
• Se houver dúvida sobre o ambiente, execute primeiro o make doctor fornecido oficialmente; ele verifica todos os requisitos acima.

Instalação e inicialização (comandos conforme a documentação oficial):

git clone https://github.com/beenuar/AiSOC && cd AiSOC
make up

Na primeira execução, cerca de 2 GB de modelos são baixados para um volume que só é removido com make clean — um efeito colateral que você deve saber antes de iniciar.

Sinal de sucesso: depois que os serviços iniciam localmente, você pode interagir com ele pela interface ou pela interface MCP. As evidências não trazem os passos concretos da interface após a primeira execução nem o endereço de acesso padrão; essa etapa deve seguir as instruções subsequentes do README do repositório.

Primeira tentativa de baixo risco: como as evidências não listam os nomes específicos das ferramentas MCP nem seus atributos de leitura/escrita, não é possível indicar uma "ferramenta somente leitura" como primeira chamada. Antes de confirmar os efeitos colaterais das ferramentas, recomenda-se explorar primeiro recursos de exibição, como a interface e o registro de decisões (decision ledger), evitando executar diretamente ações de resposta.

Casos de uso

Caso 1: verificar o ambiente antes de iniciar. Cenário: você não tem certeza se os recursos da sua VM do Docker são suficientes. Procedimento: após clonar o repositório, execute make doctor; ele verifica item por item o Docker Compose v2, os 8 GB de memória, os 20 GB de disco, o python3 3.9+ e o bash. Resultado esperado: com a verificação aprovada, execute make up, evitando que a primeira execução falhe no meio por falta de recursos.

Caso 2: integrar o AiSOC via MCP no Claude, Cursor ou Continue. Cenário: você quer consultar diretamente os resultados de detecção ou as conclusões de investigação do AiSOC nesses clientes. Procedimento: a documentação oficial do projeto indica que ele inclui um MCP server para Claude, Cursor e Continue; quanto aos campos de configuração e ao método de conexão em cada cliente, as evidências não trazem trechos de configuração literais, devendo-se seguir as instruções de configuração MCP correspondentes no repositório. Limite do que se pode confirmar: é possível confirmar que ele oferece um MCP server e os clientes-alvo, mas a lista de ferramentas disponíveis após a primeira conexão, seus parâmetros e formatos de saída não são cobertos pelas evidências e não devem ser presumidos.

Limites de uso

• Natureza de leitura/escrita: ele ingere dados de telemetria de segurança e detecta ameaças; os agentes de IA realizam investigações e "propõem" respostas, mas as respostas são aprovadas por humanos — ou seja, há um ponto de confirmação para operações de escrita. As evidências não indicam quais ferramentas MCP são somente leitura e quais disparam ações reais.
• Dados locais e efeitos no disco: a primeira execução baixa cerca de 2 GB de modelos para um volume que só pode ser removido com make clean; isso ocupa espaço real em disco, e a própria limpeza também apaga o conteúdo desse volume.
• Requisitos de credenciais: a documentação oficial afirma que roda sem API key e não menciona outros requisitos de credenciais.
• Limitações explícitas: exige Docker Compose v2 (8 GB de memória / 20 GB de disco), python3 3.9+ e bash.
• Ainda não confirmado: a lista específica de ferramentas MCP, os atributos de somente leitura de cada ferramenta, a porta de acesso padrão, os tipos de fontes de telemetria suportados e os fluxos de atualização e desinstalação não foram fornecidos pela página oficial nas evidências desta análise; consulte o README mais recente do repositório antes de usar.