Yamato-Security/suzaku

说明与用途

**项目简介（2‑3 句）**
Suzaku（朱雀）是基于 Sigma 规则的云日志威胁狩猎与快速取证时间线生成工具，使用 Rust 实现高性能查询与可视化。它提供了开箱即用的 AI 能力，帮助安全团队在不从零构建模型堆栈的前提下快速原型化威胁检测与响应流程。

**价值**

• **快速落地 AI 功能**：内置对大语言模型（LLM）的 RAG/Agent 接口，安全分析师可以直接在 Sigma 规则上叠加 AI 解释与建议，省去自行训练模型的时间和成本。
• **统一的取证时间线**：自动将云平台（AWS、GCP、Azure 等）日志聚合、过滤并生成可交互的时间线，提升事故响应效率。
• **开源且语言安全**：Rust 编写，天然防止内存安全漏洞，社区已有 180+ 星，适合作为内部安全工具的基础组件。

**典型接入方式**

1. **准备环境**：克隆仓库后，使用 cargo build --release 编译二进制，或直接拉取提供的 Docker 镜像。
2. **配置 Sigma 规则库**：在 config/sigma/ 目录放置或引用已有的 Sigma YAML，使用 suzaku import 将规则导入本地索引。
3. **接入日志源**：通过官方提供的 suzaku ingest 命令，配置云日志的 S3、GCS、Blob 或实时流（Kinesis、Pub/Sub）入口，实现日志自动拉取并入库。
4. **启用 AI 辅助**：在 config/ai.yaml 中填写 LLM API（OpenAI、Claude、Azure OpenAI 等）凭证，开启 RAG 模式后，查询时可使用 --ai 参数让模型对匹配结果给出解释或建议。
5. **验证 POC**：先在测试账号或仿真日志上跑一次完整的“导入 → 检测 → 生成时间线”链路，确认规则命中率和 AI 输出质量。

**生产可用性评估**

• **成熟度**：Medium。项目活跃（最近更新 2026‑06‑29），Rust 实现提供了性能与安全保证，适合作为内部原型或部门级工具。
• **依赖风险**：主要依赖 Rust 编译链、Docker 运行时以及外部 LLM API。需要评估 LLM 成本、网络连通性以及对云日志存储的访问权限。
• **运维要求**：建议在容器化平台（K8s / ECS）中部署，配合日志保留策略和定期规则审计；监控二进制的资源使用（CPU/内存）以及 LLM 调用速率。
• **上线建议**：先在小范围（单个业务线或测试环境）完成 PoC，验证规则匹配准确性、AI 解释的可用性以及系统的稳定性后，再逐步推广至全组织。

综上，Suzaku 为安全团队提供了“一键式”AI 增强的 Sigma 威胁狩猎与取证能力，适合快速原型和内部流程自动化；在完成依赖审查和小规模验证后，可逐步提升至生产环境使用。

实际用途

Yamato-Security/suzaku helps add AI capability without starting from a blank model stack.

• prototype AI features
• build RAG or agent workflows
• evaluate model tooling

限制与审查说明

Medium: useful for prototypes or internal workflows, with dependency and maintenance checks before production.