dsh-ocsf-forwarder: DeepSeek Harness 的 OCSF 1.9.0 會話活動轉發器

前言¶

DeepSeek Harness (DSH) 的核心能力體現在其事件流中，但這些原始數據需要經過標準化才能對接安全運營中心 (SOC)。dsh-ocsf-forwarder 插件的作用是將 DSH 的會話活動數據規範化爲 OCSF 1.9.0 格式，並將其發送至目標接收端。它作爲 read-side SIEM 轉發器，運行在 DSH 代理進程中，負責數據的解析、分類與投遞。

核心功能¶

該插件主要處理 DSH 的會話生命週期與工具調用行爲：

事件訂閱與關聯：訂閱 session/event、session/created 和 session/disposed 事件，並在掛載時掃描現有會話。它能關聯 tool/call 與 tool/result，以及 approval/asked 與 approval/decided，從而計算批准決策延遲，作爲“批准疲勞”的信號。
活動分類與命名：將工具調用分類爲 Process Activity (1007)、File System Activity (1001)、HTTP Activity (4002)、Authorize Session (3003) 和 API Activity (6003)。對於 MCP 調用，它會解析並命名背後的 MCP 服務器。
外部委託與日誌上傳：當工具將任務委託給外部 Harness 時，發出高嚴重級別記錄。同時記錄會話日誌上傳行爲，包括目的地服務和事件計數。
團隊與共享任務：讀取團隊事件（如成員加入、消息喚醒）以及共享任務的寫入範圍。
完整性鏈與重放：將每個記錄與 OCSF record_integrity 配置文件鏈接，支持通過 dsh-ocsf-verify 檢查鏈完整性。支持重放恢復或分叉會話的構造函數種子。
隱私保護：在發送到 SOC 的數據中移除原始值，僅保留鍵值摘要、值分類和長度，避免敏感信息泄露。

安裝與啓用¶

安裝前必須確保配置文件已包含可運行的代理（例如 @deepseek-ai/dsh-headless），否則插件將無法觀察到任何事件。

1、安裝核心依賴和插件：

dsh plugin --profile <name> add @deepseek-ai/dsh-headless@0.1.1-rc.2
dsh plugin --profile <name> add dsh-ocsf-forwarder

2、驗證配置是否掛載成功：

dsh --profile <name> --dump-config

注意事項：
* 必須顯式固定 @deepseek-ai/dsh-headless 版本（例如 0.1.1-rc.2），因爲 latest 標籤仍指向 0.0.1-rc.1。
* 需要的 DSH 版本範圍爲 0.1.0-rc.6 至 0.1.2。

配置與發送¶

插件通過 YAML 配置文件定義輸出路徑、接收端和隱私策略。

1、配置本地 Spool 和發送端（以 Splunk 爲例）：

- id: dsh-ocsf-forwarder
  config:
    spoolPath: /var/log/dsh/ocsf.jsonl      # 絕對路徑，權限建議 0640
    splunk:
      endpoint: https://splunk.example:8088
      token: { source: env, variable: SPLUNK_HEC_TOKEN }
    privacy:
      hmacKey: { source: env, variable: DSH_OCSF_KEY }

2、配置 OTLP/HTTP 收集器：
配置示例與 Splunk 類似，只需將 splunk 段替換爲相應的 OTLP/HTTP 配置項。

完整性與驗證¶

每個記錄都包含 OCSF 1.9.0 的 record_integrity 認證，包含當前記錄和上一條記錄的 SHA-256 指紋。如果中間記錄被篡改或刪除，鏈式驗證將失敗。

1、檢查 Spool 文件完整性：

dsh-ocsf-verify /var/log/dsh/ocsf.jsonl

返回 0 表示完整。
返回 1 表示鏈中斷。
返回 2 表示文件不可讀。

2、使用 SIEM 中的錨點文件進行驗證：

dsh-ocsf-verify --anchor shipped.jsonl /var/log/dsh/ocsf.jsonl

在 Linux 系統上，可以使用 chattr +a 對 Spool 文件進行加固，使其拒絕截斷和重寫，從而防止數據被破壞。

適用場景與注意¶

適用場景：需要將 DSH 會話活動結構化導入 SOC，關注批准疲勞分析、外部委託檢測以及會話日誌審計的組織。
運行邊界：插件以代理進程的 UID 運行，不是遏制邊界。如果代理具有運行 bash 的權限，理論上可以刪除或重寫 Spool 文件，並重新計算哈希鏈。
能力邊界：插件從不寫入會話日誌，也不註冊瀑布流監聽器，因此無法修改工具調用、批准決策或模型請求。它也不提供任何檢測內容、告警或密鑰檢測器。

總結¶

dsh-ocsf-forwarder 提供了一種將 DeepSeek Harness 事件流標準化並安全投遞到 SOC 的機制。通過 OCSF 1.9.0 規範化和完整性鏈驗證，它確保了審計數據的可追溯性與防篡改能力。

目錄頁: dsh-ocsf-forwarder
源碼: GitHub Repository