Fengarde：开源自托管 SIEM，把日志变成带证据的事件，还能顺手起草 NIS2 通报

Fengarde 是一条开源、自托管的安全管线：把 IT、AI 与 OT 的原始日志统一归一化到 OCSF schema，再过 46 条带 MITRE / ATLAS / ICS 标签的检测规则，关联成事件，附上因果图与哈希链证据包，存进 OpenSearch，在本地控制台查看。项目用 Apache-2.0 协议开源，GitHub 仓库里有完整代码与文档，项目页上能先看录制好的真实控制台演示。

亮点在「证据」和「不出网」两处：告警不只是一行提示，而是带证据包的已验证事件，还能生成一份 NIS2 事件通报草稿；AI 分流只在本地跑（接 Ollama），告警数据不经过第三方大模型 API，没接模型时用确定性存根并在控制台标明实际用了哪个引擎。解析器有 19 个，覆盖 SSH、Windows 事件日志、防火墙、Kubernetes、云审计与 OPC UA / Modbus 等 OT 来源。想试的话，make demo 拉起 Docker 栈，一次真实的 SSH 暴力破解大约一分钟内就会变成控制台里的告警。

适合想自己掌控日志、不想把安全数据交给云端 SIEM 的小团队或家庭实验室：先在项目页看演示，确认 46 条规则与控制台视图合用，再决定是否部署。要注意两点部署前提：Docker 需分配至少 4GB 内存，Linux 上 OpenSearch 还要先调高 vm.max_map_count；UDP 5514 的 syslog 接收口未鉴权，只能放在可信网络或 VPN 后面。同样走本地自查路线的，还有站内这篇离线查间谍软件痕迹的工具，一个查入侵痕迹、一个看持续日志，可以对照着用。

来源：Hacker News @supermhel，原文：https://github.com/supermhel/fengarde