北京
安全团队每天面对的是来自不同系统的多条告警。单独看每一条，可能都显得无害；可一旦把它和其他告警、证据、历史事件连起来，它可能就是一个有意义得多的模式的一部分。SentinelGraph 想解决的正是这个问题：不把告警当成孤立记录，而是把它们表示成相互连接的数据，用关系来支撑调查。
这是一个基于图数据库 FalkorDB 构建的 AI 网络安全调查代理。它的定位不是替代安全分析师，而是把可用证据的全貌摆清楚，让人做出更有依据的判断。演示使用的是合成安全数据，不依赖真实的敏感安全信息。
核心思路：关系本身就是调查的一部分
常规做法是把告警存成一条条数据库记录，再靠单独的查询去发现关系。当调查需要跨多个实体追踪连接时，这种方式会变得吃力。图数据库提供了表示这些关系的自然方式。
在 SentinelGraph 里，FalkorDB 是核心图数据库。调查流程用图关系去探索相连实体、沿证据路径追踪、检索相关的历史上下文。图不是界面上后加的一层可视化，而是调查过程的中心。这样一来，调查可以用关系和路径来解释，而不是只给一个结论、却不展示证据如何支撑它。
调查流程拆开看
整个工作流把图探索、证据、历史上下文和人工复核串在一起：
- 从一组安全告警开始，演示数据为合成数据。
- 用 FalkorDB 在图上做多跳遍历，揭示单独看每条告警时不明显的连接。
- 暴露证据路径，让分析师能检查某个分组背后的连接，而不是依赖一个没有解释的结果。
- 检索历史事件记忆，把当前调查和相关的过往上下文连起来。
- 解释分组与排除：不是每个候选都该被自动归入同一起事件，说明为什么纳入、为什么排除同样重要。
- 在人工复核的前提下推荐响应动作，推荐结果由人批准或拒绝。
技术栈上，FalkorDB 负责存储连接数据并支持图遍历，FastAPI 提供后端 API，Next.js 与 React 构建 Web 应用，TypeScript 和 Tailwind CSS 支撑前端实现与界面样式，React Flow（@xyflow/react）支持调查界面中的图导向可视化。整体链路是：安全告警 → API 与调查逻辑 → FalkorDB 图遍历 → 证据与历史上下文 → 调查结果 → 经人工复核的响应建议。
图遍历不保证结论，只负责把连接摆出来
用图的关键收益在于，关系成为调查本身的一部分。分析师不再只问“这条告警说了什么”，还可以问：这个告警还连着哪些实体？这些告警之间是什么关系？有没有证据路径支撑这个连接？历史事件记忆是否提供了有用上下文？为什么一个候选被纳入、另一个被排除？
需要说清楚的是，图遍历并不会自动保证两条告警属于同一起事件。它的价值在于把值得检查、值得评估的相关连接呈现出来。
安全工具的设计要格外小心，因为响应动作可能带来真实后果。SentinelGraph 在推荐与动作选择之间保留了人工批准环节。这个项目定位为图驱动调查的演示，而不是生产级安全运营平台的替代品。
构建过程中得到的一条经验是：调查代理的质量不止取决于生成一个看似合理的答案。它还需要相关上下文、追踪关系的方式、可检查的证据，以及让人复核其推荐的工作流。在安全调查里，解释某样东西为什么没被纳入，可能和解释它为什么被纳入一样有用。
后续可能的方向包括接入更多安全数据源、扩展基于图的调查模式、改进证据排序与调查解释、在更大更多样的数据集上评估系统、为调查质量增加更强的评估指标，以及提升推荐与批准动作的可审计性。这些是潜在的改进方向，不是对当前实现的声明。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
