代理管線（DARE）

​

管線流程

SecurityEvent
     |
     v
[DetectAgent] ──> DetectionResult | null
     |
     v
[AnalyzeAgent] ──> ThreatVerdict
     |
     v
[RespondAgent] ──> ResponseResult
     |
     v
[ReportAgent] ──> Updated baseline + anonymized data

​

DetectAgent

​

職責

1. Sigma 規則匹配 — 透過 RuleEngine 對所有載入的規則執行事件匹配
2. 威脅情報查詢 — 檢查來源/目的 IP 是否存在於 5 個情報來源及 Threat Cloud 封鎖清單中（支援 IPv4 和 IPv6）
3. 去重 — 在 60 秒視窗內跳過相同的偵測（去重映射最多 500 個條目）
4. 事件關聯 — 包括傳統的基於 IP 的關聯（5 分鐘內同一來源 IP 的 3+ 事件）和透過 EventCorrelator 的進階模式基礎關聯（7 種攻擊模式）

​

內部狀態

​

AnalyzeAgent

​

證據來源與權重

​

回饋迴圈

• 高誤報率 — 信心值降低最多 30%
• 高真陽性率 — 信心值提高最多 10%

​

矛盾偵測

​

RespondAgent

​

基於信心的動作

​

可用動作

​

ReportAgent

​

職責

1. JSONL 日誌記錄 — 寫入完整的事件記錄，搭配日誌輪替（每個檔案 50 MB、10 個輪替檔案、90 天保留期）
2. 基準線更新 — 在學習模式期間，持續使用觀察到的模式更新行為基準線
3. 匿名化 — IP 位址在上傳至 Threat Cloud 前進行 /16 匿名化（最後兩個八位元組歸零）
4. 摘要產生 — 產生每日（24 小時）和每週（7 天）摘要，包含主要攻擊來源、動作分類和裁決分佈

​

日誌格式

{
  "timestamp": "2025-01-15T14:23:01.000Z",
  "event": { "type": "network", "sourceIp": "203.0.113.50" },
  "verdict": { "conclusion": "malicious", "confidence": 95 },
  "response": { "action": "block_ip", "success": true },
  "baseline": { "deviation": true, "score": 0.85 }
}