洞见RSAC 2024｜大模型驱动的智能安全运营

网络安全运营，已成为安全能力发挥作用的最后一公里，决定了安全产品、安全能力的效果上限。现阶段，基于大规模、多源数据汇聚的集中式SOC运营平台，已成为安全运营团队的基础工具及流程推进工具。尽管大规模安全事件、情报等日志带来威胁分析的全新机遇，但大规模事件、告警分析任务，向运营人员的技能提出更高要求，不只需要较高的安全事件分析能力与攻击技战术研判能力，还需要对客户业务环境、IT系统环境足够熟悉，才能达到较高的研判效率与精度。

在这一背景下，随着安全运营数据的规模不断扩大，运营人员通常面临着较大的压力。通过使用机器学习、深度学习、统计分析等技术识别告警中的误报和攻击行为，不仅能降低企业的运营成本，也有助于运营人员提高效率，更快地发现真正的攻击行为。

安全运营（Security Operations, SecOps）的关键在于，通过流程覆盖、技术保障及服务化，为企业、组织等实体提供脆弱性识别与管理、威胁事件检测与响应等安全能力，以充分管控安全风险。安全运营中的概念核心就是管理风险，而风险的度量是动态的、持续的、相对的。安全运营智能化趋势已成为必然。流量分析、行为分析、样本分析、威胁关联、自动化响应等技术越来越多地采用了机器学习算法、图算法、强化学习算法，尽管如此，现阶段安全智能的发展水平，仍难以满足安全运营对威胁发现实时性与准确性、事件自动化溯源、风险决策自动化等多方面的要求。

针对安全运营技术中的关键环节，参考人工智能的经典范式“感知-认知-决策-行动”和经典作战决策OODA循环模型的“观测-调整-决策-执行”体系，可以进行智能安全运营场景子任务及其阶段划分，每个阶段包括多个不同子任务。下面详细介绍每个阶段及其完成的子任务。

实现数据级别的融合及基本信息标注，包含识别和检测子任务。识别子任务对大规模数据中的实体（资产、特征、脆弱性等）及其行为的归类、去重、规范化等，以促进多源、异构数据的融合。检测子任务区别于识别子任务，从大规模数据池中捕获、标注异常事件、脆弱性、威胁特征等关键的动静态信息，以标记威胁分析、狩猎、风险分析中的关键线索。

实现线索、事件关联上下文信息的召回与构建，包括关联、溯源、预测子任务。关联子任务通过跨多数据类别、跨长时间周期进行多维信息整合，提供充分的信息连接视图。溯源子任务通过回溯及根因分析，查明、识别事件的起源，明确多事件之间的因果及依赖关系。预测子任务基于当前信息上下文，以路径预测、趋势分析等手段，预判可能的攻击行为、高危的脆弱性等，实现在攻击意图识别和防护方法运用上领先攻击者 。

根据预设目标综合评估风险，实现任务策略的生成，包括评估和制定子任务。评估子任务面向核心运营指标，基于行为、环境、知识等关键信息，持续、综合评估网络安全的整体态势与风险等级，支撑在指定运营成本下的最优研判结果的输出。制定子任务根据动态环境与行为，自适应选择并生成有针对性的、风险驱动的行动计划和策略，明确行动的具体步骤。

根据计划、策略与步骤，协同调动各行动单元完成行动目标，包括响应和反馈子任务。响应子任务完成包括策略下发、设备部署、补丁更新、容错修复等平台级、模块级、设备级、指令级等针对不同层级的风险响应动作。反馈子任务持续收集响应动作执行关联的效果集合，生成面向流程、人、技术多运营要素交互的数据汇总，以支撑自动化任务下一循环的开展。

2024 RSA大会上，LogRhythm研究员分享了其研究过程中识别到的典型AI推动安全运营中心SOC自动化的典型场景[2]。主要包括：

• 威胁检测与响应

  主要包括告警分诊、自动化响应、总结模式并分析行为、翻译复杂的语言输入以及分析威胁数据等。

• 事件分析和调查

  主要包括高效地过滤误报以及生成剧本和调查辅助等。

• 例行任务的自动化

  主要包括自动化离线任务并提供分析洞见，以及减轻认知负担。

以上场景基本覆盖安全运营中心人工智能应用的主要阶段和任务。此外，Netskope CSO James Christiansen提出了几个核心应用场景[3]，包括应用发现、分类分级、信任分数评估、实例感知和活动级别的控制、AI/ML驱动的数据泄露检测以及面向监测和报告的分析机制等等。

总之，安全运营中感知、认知、决策、行动中任何阶段的任何一个过程或任务，都需要考虑在大模型技术的加持下，新的自动化与集成方式，以充分提升任务的自动化水平，并降低对专家经验的过度依赖。

从网络空间威胁治理决策的整体架构需求来看，大模型作为交互界面提供人机交互的核心能力，以及通过高容量知识库结合复杂推理能力实现决策大脑的，是大模型在网络空间安全深度融合应用的未来重点方向。

整体上，基于大模型的人机协作框架如图所示，主要包含决策主体、控制器、执行器、动态环境四个核心实体。决策主体是安全运营等任务中对安全任务负责的专家，是网络空间对抗中的核心主体。控制器，基于大模型实现自然语言式的人机交互，对专家意图的理解与识别，完成模型、工具、插件的选择与调度，结合相关执行结果进行整体的逻辑推理，最终结合内置知识实现整体的事件摘要、总结、报告等。执行器，是大模型实现工具学习与工具协同的基础，可基于基础的平台数据、分析、处置等核心接口，形成一组在安全专用能力集合，一般可以通过工具API的方式来集成，例如安全运营场景下的各类分析工具、扫描工具、响应工具等等。动态环境是大模型及工具执行的网络、业务等可交互的所有实体集合，例如安全运营中心及相关平台系统。

2024 RSA大会上，CrowdStrike提出了下一代SIEM的技术框架——AI原生的SOC操作系统，强调了针对人工智能数据的标准化（AI Normalization）和基于人工智能技术的数据增强（AI Data Enrichment）。可以看到，从数据输入到数据生成，围绕大模型等人工智能技术的数据流程将快速形成新的数据飞轮，加速人工智能技术的迭代和验证。

基于上述框架，在具体实现层次，通过检索增强生成（Retrieval Augmented Generation, RAG）提升基础模型的分析精确性、隐私保护性，减轻大模型幻觉，是典型的技术方案之一。

Elastic通过其相关性引擎（Elasticsearch Relevance Engine），面相安全场景的攻击调查分析，提出了告警分析的RAG框架[4]。针对大量待分析研判的告警，通过相似性搜索抽取相关告警，作为上下文提供给大模型进行深入的攻击调查与挖掘。能够实现对从大量告警中抽取并总结事件级别的攻击行为，为多条告警总结事件的攻击链并分析攻击过程[5]。

Elastic从技术角度提出，相对于预训练模型和模型微调技术，RAG技术在部署和集成成本、幻觉问题解决、私有化数据分析等方面具备优势。

更具有普遍性的，LogRhythm研究员提出了集成和应用AI的一个流水线思考范式。包括从SOC流程出发，选择应用实例，评估AI的能力，并进行原型化的自动化部署并完成文档标准化，最终通过指标来持续跟踪评估其有效性。

除了SOC技术应用之外，我们也应该保持对大模型技术风险的关注，保证技术效能发挥的同时，保证其安全性、合规性等关键技术可信属性。RSAC 2024有诸多关于大模型及人工智能安全框架和风险评估的议题。Netskope CEO概括了生成式AI应用的多个维度[3]，包括安全和隐私性、透明和可解释性、偏见与公平性等等。

随着大模型相关技术的快速演进，SOC安全应用的水平将持续提升，传统安全运营技术、流程将被新一代人工智能技术重构。以安全运营的自动化水平提升为目标，从人工智能的技术视角审视未来安全运营技术的重构，已成为大模型时代安全运营技术发展的基础风向标。采用生成式人工智能解决安全运营关键问题的同时，考虑其安全性、隐私防护等关键可信属性，同样是加速人工智能安全运营应用的关键。

参考文献

[1] AISecOps智能安全运营技术白皮书，NSFOCUS 2021

[2] AI Foundations: Mitigate Risks and Boost SOC Efficiency, RSAC 2024

[3] Navigating the AI Frontier: The Role of the CISO in GenAI Governance, RSAC 2024

[4] Next-Gen SIEM: Converging Data, Security, IT, Workflow Automation & AI RSAC 2024

[5] Fight Smarter: Accelerate your SOC with AI discovered attacks, RSAC 2024

https://www.elastic.co/cn/security/ai