關於 Tracecat
What Is Tracecat
Tracecat 是一套資安自動化平台，處理的正是從告警跳出到有人結案之間那段堆積如山的工作。它把三件事收在同一個地方：重複性回應步驟用的工作流編輯器、追蹤事件的案件系統，以及能自行呼叫資安工具的 AI 代理。
理由很直白。多數團隊不缺告警，缺的是人手。分析師整天在幾個主控台之間複製指標、開工單，同一段 Slack 訊息寫到第五次。Tracecat 把這些步驟變成工作流或代理執行，並且留下完整紀錄。
它最早以開源 SOAR 專案起步，處理的是商業工具按人頭收費的資安編排工作，至今仍採 AGPL-3.0 授權，企業版另外販售。GitHub 上約有 3,900 顆星，幾乎每週都有程式碼更新。後端是 Python，前端是 Next.js，長時間執行的工作交給 Temporal。
Getting Started
- 先決定部署方式：註冊 Tracecat Cloud，或用 Docker Compose、Kubernetes 的 Helm chart、AWS Fargate 自行架設。
- 接上你已經在用的工具憑證，例如 EDR、工單系統或威脅情報來源。OAuth 整合與 API 金鑰兩種都支援。
- 在視覺化編輯器裡建立工作流，再掛上觸發條件。Webhook、排程與案件事件都能啟動執行。
- 需要判斷力時加入 AI 代理。給它提示詞、工具或 MCP 伺服器，敏感動作再加上核准關卡。
- 開一個案件，讓工作流或代理把發現寫進時間軸，確認結果後再結案。
產品資訊
快速了解 Tracecat 的定價、支援平台與效能。
適合對象
這項工具最適合的使用者、任務與情境。
使用者
- 沒有 SOAR 預算的小型資安團隊：開源版可免費自架，工作流、案件與代理一應俱全，三個人也能拿到自動化，不必簽下六位數合約。
- 被重複分流工作淹沒的 SOC 分析師：情資補充、指標查詢與開單都交給工作流，判斷留給人做。
- 偏好寫程式的偵測工程師：工作流可直接跑 Python，自訂腳本從 Git 儲存庫同步，付費方案還能讓整個工作區納入版本控制。
- 處理資安周邊事務的平台或 IT 維運團隊：同一套工作流自動化也能用在員工離職流程、權限審查與釣魚通報收件。
任務
- 告警情資補充與分流：從 SIEM 告警抓出 IP 或雜湊值，比對 VirusTotal 與內部資料表，再依嚴重度把案件分派出去。
- 處理釣魚通報：收取被通報的郵件，取出標頭與附件，執行信譽檢查，最後回覆判定結果。
- 身分相關事件回應：停用遭入侵的帳號、撤銷工作階段，並把每個動作寫進案件時間軸，供事後檢討。
- 定期合規檢查：排程執行工作流，查詢雲端組態資料，把發現建成有負責人與期限的任務。
情境
- 一人輪值夜班與週末：有核准關卡的代理先處理低嚴重度告警，值班的人只看需要決定的部分。
- 資料不能外流的受規範環境：離線部署讓日誌、案件與憑證都留在內網，SSO 與稽核紀錄照常可用。
- 正準備離開按人頭計價 SOAR 的團隊：所有方案都不限使用者，當團隊成長快過預算時，算法就完全不同了。
主要功能
建構在 Temporal 上的視覺化工作流
工作流以相連動作構成的圖形呈現，實際執行交給 Temporal，重試、逾時與長時間步驟都不會遺失狀態。你可以依條件分支、對指標清單跑迴圈，遇到需要真正程式碼的環節就切進 Python。Webhook 是 HTTP 進入點，任何能送出請求的工具都能啟動一次執行。
具備工具、技能與子代理的 AI 代理
每個代理預設集打包了提示詞、模型、工具組與選用技能，每個版本都能發布並固定使用。代理可以呼叫原生整合、遠端 MCP 伺服器，或透過 npx、uvx 執行本機指令。子代理負責拆解工作，核准關卡則把風險較高的工具呼叫擋住，直到有人在代理收件匣、Slack 或 Teams 按下同意。
附代理副駕的案件管理
案件裡放的是告警、證據、時間軸與參與處理的人。自訂欄位與下拉選單可對應自家的嚴重度分級，任務有負責人與期限，子案件則串起相關事件。代理副駕會摘要事情經過並草擬判定，下一個班別接手時不必從零開始猜。
現成整合與託管 MCP 伺服器
平台內建超過 100 個資安工具連接器，另有 50 個以上由 Tracecat 託管的 MCP 伺服器，涵蓋端點、身分、雲端與威脅情報等常見類別。內建的 MCP 用戶端也能用 HTTP 或 OAuth 接上任何遠端伺服器；Tracecat 自己同樣對外提供 MCP 工具，你可以在 Claude Code 或 Copilot 裡請它列出未結案的重大案件，得到的是真實答案。
工作區資料表與自訂註冊表
資料表把結構化資料放在工作區裡：資產與帳號的實體表、記錄你對這些實體了解多少的觀測表，或單純一份核可網域清單。自訂註冊表會從你的 Git 儲存庫同步 Python 腳本，私有邏輯留在版本控制裡，照樣在 Tracecat 內執行。
權限控制、稽核紀錄與離線部署
角色權限、自訂角色與群組、服務帳號與 API 金鑰決定誰能做什麼，SAML 或 OIDC 單一登入包含在產品內，不用另外加購。組織稽核紀錄可匯出到 SIEM，這在 SOC 2 查核時很實際。面對敏感網路，平台可完全離線執行，不需要對外連線。
優缺點
優點
- 免費自架版就不限使用者、工作流與案件，在這個完成度上相當少見。
- 工作流、案件與代理共用同一套資料模型，代理的發現直接落在人類會看的案件時間軸上。
- 執行建立在 Temporal 上，worker 中途重啟也不會讓工作流從頭再來。
- SSO、稽核紀錄與角色權限都在基本產品裡，沒有另外的合規加購層。
- 離線與 Kubernetes 部署能滿足 SaaS 服務不到的國防與受規範客戶。
缺點
- Team 方案每年五萬美元起跳，從免費自架跳到託管雲端的落差對小團隊很吃力。
- 自架代表升級、Postgres、物件儲存與 Temporal 都歸你管，沒有平台工程師的團隊會感受到實際負擔。
- 代理功能預設你已經知道該開放哪些工具、好的判定長什麼樣。提示詞寫得含糊，得到的是一本正經的胡說。
- 文件在若干地方落後於發布節奏，最快的答案往往來自 Discord，而不是官方文件站。
常見問題
自架的開源版免費，採 AGPL-3.0 授權，工作流、代理、案件與使用者都不限數量，附一個工作區，沒有支援 SLA。託管的 Team 方案每年五萬美元，含每月 15 萬次執行；Enterprise 則依個案報價。
相關內容
探索與 Tracecat 相關的工具、技能與文章。
Tracecat 替代方案
Base Code
Base44 (Wix) · 程式設計 · 生產力Base Code 是 Base44 推出的共享雲端開發環境。團隊在對話中描述對既有 GitHub 儲存庫的修改，看著預覽確認結果，再以 Pull Request 交回工程團隊。
Knocket
Knocket (Tencent RTC team) · 生產力 · 商業 · 聊天機器人Knocket 是免費的線上客服與聯絡頁面工具，訪客可從網站、App 或一條分享連結傳訊息，你在 Telegram 或單一收件匣就能回覆。
FloorGen
Vinit Kumar (FloorGen) · 生產力 · 中國 AIFloorGen 是瀏覽器上的平面圖製作工具，能把一句描述或一張草圖變成可編輯的 2D 平面圖與 3D 導覽。可匯出 PDF、DXF 或影片，不註冊也能開始畫。