安全儀表盤告訴你什么觸發(fā)了警報，但未必告訴你發(fā)生了什么。

這是我做NetGuard Gemma 4本地SOC分析師項目的出發(fā)點。它是一套本地優(yōu)先的網(wǎng)絡(luò)安全演示方案，用Gemma 4當分析師，處理脫敏后的安全遙測數(shù)據(jù)。

傳統(tǒng)安全運營中心（SOC）的工作流里，分析師每天要面對海量孤立警報。這個項目嘗試換個思路：把一段Suricata或Wazuh風(fēng)格的日志塊丟給Gemma 4，讓它把事件串成結(jié)構(gòu)化的 incident 報告。不是每條警報單獨看，而是讓模型讀整個事件窗口，輸出攻擊時間線、受影響資產(chǎn)、建議響應(yīng)步驟，以及置信度評分。

核心目標是給小規(guī)模SOC工作流加一個本地分析層——能讀嘈雜的遙測數(shù)據(jù)，關(guān)聯(lián)相關(guān)事件，生成可用的incident報告，同時不把敏感日志發(fā)到外部托管模型。

本地演示包含什么

樣本日志窗口設(shè)計了一個多階段攻擊模式：外部IP掃描、可疑登錄、橫向移動嘗試、數(shù)據(jù)外聯(lián)。關(guān)鍵不在于Gemma 4總結(jié)單條警報，而在于它被要求把整個序列串起來。

演示視頻是無聲 walkthrough，展示GitHub倉庫、本地NetGuard界面、脫敏樣本日志，以及Gemma 4的結(jié)構(gòu)化incident輸出。

項目最終本地審計結(jié)果：11項全部通過。我還加了防護機制，過大的日志窗口會在進入本地推理前被拒絕。

技術(shù)選型：為什么是Gemma 4 E4B Q8_0

通過Ollama本地運行Gemma 4 E4B Q8_0。選這個型號是因為項目需要本地推理安全日志，不是要一個龐大的托管模型。目標是在本地硬件上保持實用性，同時讓Gemma 4承擔(dān)核心分析任務(wù)。

Gemma 4是這個項目的核心推理引擎，不只是用來寫文案或做通用聊天回復(fù)。

主接口是POST /analyze-logs，向Gemma 4發(fā)送脫敏日志窗口，要求返回嚴格JSON格式的incident報告，包含：攻擊時間線、受影響資產(chǎn)、建議響應(yīng)步驟、置信度評分。

本地優(yōu)先的安全設(shè)計

安全日志可能暴露內(nèi)網(wǎng)IP、用戶名、主機名和網(wǎng)絡(luò)行為。這就是為什么項目圍繞本地推理和脫敏輸入來設(shè)計。

脫敏器保留有用的事件結(jié)構(gòu)，同時替換敏感值。這讓模型能基于真實的遙測數(shù)據(jù)推理，又不會在演示中暴露私有數(shù)據(jù)。

本地優(yōu)先設(shè)計的技術(shù)棧：Ollama運行Gemma 4 E4B Q8_0，自定義日志脫敏器，基于JSON的嚴格輸出模式，本地FastAPI后端，輕量Web界面。

從單條警報到日志窗口解剖

這個項目最強的版本不是單條警報分析。更強的思路是日志窗口解剖——單條警報能告訴你有可疑行為發(fā)生，一系列事件能告訴你整個incident的故事。

Gemma 4的價值就在這里：讀取多條相關(guān)事件，轉(zhuǎn)成分析師風(fēng)格的報告。

下一步計劃

接下來會擴展UI，做成更豐富的NetGuard儀表盤面板，包括：實時日志流可視化，可交互的時間線視圖，與現(xiàn)有SIEM工具的集成點，可配置的檢測規(guī)則界面。

這個項目是給小型SOC工作流裝一個本地分析師大腦。Gemma 4讀取證據(jù)窗口，關(guān)聯(lián)相關(guān)活動，返回防御者真正能用的結(jié)構(gòu)化報告。

GitHub Release地址：https://github.com/cbw29512/GeminiHackathon/releases/tag/demo-v1

主倉庫：https://github.com/cbw29512/GeminiHackathon