---
title: 'Panguard Guard'
description: '24/7 AI 驅動即時威脅監控，搭載 DARE pipeline、10 種 monitor、事件關聯、自動回應。'
icon: 'shield'
---

Panguard Guard 是核心的 runtime 防護引擎。它用 10 種 monitor 全天候盯著你的系統，每個安全事件都過一遍 4-agent DARE pipeline（Detect、Analyze、Respond、Report），再根據信心分數自動對威脅採取行動。

## 快速開始

```bash
# 啟動 Guard
panguard guard start

# 看狀態
panguard guard status

# 停掉 Guard
panguard guard stop
```

## 運作模式

Guard 有兩種模式，會自動切換：

### 學習模式（第 1--7 天）

前 7 天，Guard 觀察你的系統建立行為 baseline：

```
Mode:       Learning (Day 3/7)
Monitoring: processes, network, files
Baseline:   42% complete
```

- 不會發警報（避免誤報）
- 記錄正常的 process pattern、網路連線、檔案活動
- 每天透過通知發學習進度

### 防護模式（第 8 天起）

baseline 建好之後，Guard 切到主動防護：

```
Mode:       Protection
Score:      85/100 (Grade: A)
Threats:    0 active
Blocked:    12 IPs today
```

- 偏離 baseline 就觸發警報
- 根據信心門檻自動回應
- 即時通知送到 Telegram、Slack、Email 或 Webhook

## DARE Pipeline

每個安全事件依序走過 4 個 agent：

```
Event ──> Detect ──> Analyze ──> Respond ──> Report
```

| Agent       | 負責什麼                                                        |
| ----------- | --------------------------------------------------------------- |
| **Detect**  | ATR 規則比對、威脅情報查詢、去重、事件關聯                      |
| **Analyze** | 蒐證、加權信心評分、AI 推理、baseline 偏差檢查                  |
| **Respond** | 執行動作（封鎖 IP、砍 process、隔離檔案）、安全檢查、escalation |
| **Report**  | JSONL log + rotation、更新 baseline、匿名化資料送 Threat Cloud  |

<Card
  title="Agent Pipeline 細節"
  icon="arrow-right-arrow-left"
  href="/products/guard/agent-pipeline"
>
  每個 agent 的輸入、輸出和決策邏輯完整拆解。
</Card>

## 偵測分層

Guard 用 3 層 AI 偵測漏斗，兼顧延遲和成本：

| 層級        | 引擎                             | 成本          | 延遲      | 處理量      |
| ----------- | -------------------------------- | ------------- | --------- | ----------- |
| **第 1 層** | ATR 規則、內建 pattern、威脅情報 | $0            | < 1 ms    | 約 90% 事件 |
| **第 2 層** | Ollama（本地 AI）                | $0            | 約 100 ms | 約 7% 事件  |
| **第 3 層** | Claude / OpenAI（雲端 AI）       | 約 $0.01/事件 | 約 1 秒   | 約 3% 事件  |

下層搞不定的才往上層丟。

## 主要規格

| 項目             | 說明                                                    |
| ---------------- | ------------------------------------------------------- |
| **Monitor 類型** | 10 種（4 內建 + 6 進階）                                |
| **ATR 規則**     | 419 條內建偵測規則                                      |
| **威脅情報來源** | 5 個（ThreatFox、URLhaus、Feodo、GreyNoise、AbuseIPDB） |
| **關聯模式**     | 7 種攻擊 pattern，對應 MITRE ATT&CK                     |
| **回應動作**     | IP 封鎖、process 終止、檔案隔離、通知、log              |
| **跨平台**       | macOS (pfctl)、Linux (iptables)、Windows (netsh)        |
| **Log 保留**     | 每檔 50 MB、10 個 rotation、90 天保留                   |

## 狀態看板

```bash
panguard guard status
```

```
Status:     Running
Mode:       Protection
PID:        12345
Uptime:     14d 6h 33m
Score:      85/100 (Grade: A)
Threats:    0 active
Events:     134,567 processed
Rules:      419 ATR
Feeds:      5 active
```

## CLI 選項

```
panguard guard <command> [options]

Commands:
  start              啟動 Guard 引擎
  stop               停止 Guard 引擎
  status             看目前狀態
  install            裝成系統服務
  uninstall          移除系統服務
  config             看目前 config

Options:
  --data-dir <path>  資料目錄（預設：~/.panguard-guard）
```

<CardGroup cols={2}>
  <Card title="Monitor" icon="eye" href="/products/guard/monitors">
    10 種 monitor 類型：內建與進階。
  </Card>
  <Card title="事件關聯" icon="diagram-project" href="/products/guard/event-correlation">
    7 種關聯 pattern 偵測多步驟攻擊。
  </Card>
  <Card title="自動回應" icon="bolt" href="/products/guard/auto-response">
    回應動作、安全規則、escalation 階梯。
  </Card>
  <Card title="Agent Pipeline" icon="arrow-right-arrow-left" href="/products/guard/agent-pipeline">
    4-agent DARE pipeline 完整拆解。
  </Card>
</CardGroup>
