7月3日，2024全球數字經濟大會在京舉行，在成果展上，奇安信對外發布AI+SOC智能安全運營方案。該方案通過QAX-GPT機器人和NGSOC產品的深度融合，結合“人工智能模型”和“安全專家經驗模型”，可以實現智能分診、智能研判、智能調查、智能響應等四大功能，旨在解決安全運營工作中海量告警處理難、設備數據聯動難、事件響應閉環難等三類難題，驅動安全運營從“密集型”向“智慧型”升級,并實現十倍、百倍、千倍級的效率躍升。

3000多家安全運營中心調查：三大難題成為困擾

“根據奇安信NGSOC在國內建立的3000多家安全運營中心的實際運營情況和客戶反饋來看，主要存在三大困擾，分別是‘追求不漏、反成高漏’，‘數據孤立、關聯不上’，‘響應滯后、無法閉環’。”奇安信集團NGSOC產品總監黃巍表示，當前企業在體系化安全運營建設中，除了告警疲勞、效率瓶頸和專家短缺等現狀之外，還有數據整合難，設備聯動難，事件閉環難等多重難題。

首先是追求不漏，反成高漏。隨著政企機構網絡安全建設的逐漸成熟，其部署各類安全設備為了避免業務系統遭受網絡攻擊，告警和日志從追求“零誤報”變成追求“零漏報”，從而產生了海量告警。但由于安全人力不足，無法對海量告警進行全量研判，導致“追求不漏反倒成了高漏”。

其次是設備孤立，關聯不上。調查顯示，當前許多政企機構部署的安全產品是“大雜燴”，產品、技術、運營標準均不一致，信息質量參差不齊，不同廠商、不同品牌、不同設備讀不懂彼此數據，這樣就造成數據關聯不上、設備彼此孤立、體系化聯動形同虛設。即便是部署了AI，也無法讀懂“多國語言”，全局研判和協同聯動更是無從談起。

第三是響應滯后，無法閉環。目前很多央企和金融客戶盡管數字化和網絡安全建設成熟度較高，但事件響應效率還遠跟不上實際需求。事件調查、響應處置、影響面和風險評估等環節的人工處理耗費了大量時間，并且嚴重依賴專家經驗。比如遏制威脅方面，人工至少需要10分鐘以上;普通事件調查需要30分鐘到2小時，評估事件影響面和潛在風險，需要一人一天，復雜攻擊事件的調查取證過程長達1周甚至更久。這顯然無法滿足AI時代的分秒級攻防響應需求。

四大核心功能，助力運營效率最高千倍級躍升

為解決以上難題，奇安信發布的“AI+SOC智能運營方案”，它以NGSOC+QAX-GPT的深度集成方案為基礎,推出智能分診、智能研判、智能調查、智能響應等四大核心功能，將AI與自動化的設計理念，貫穿威脅檢測、調查與響應(TDIR)的全流程，實現安全運營工作十倍、百倍、千倍的效率躍升。

首先，智能分診功能支持前置過濾，可準確識別1%高價值威脅，節省100倍分析時間，還能解決不同設備、不同數據格式的標準化難題。

黃巍舉了一個形象的例子，智能分診就像醫院的分診臺和掛號系統，根據病人狀況的輕重緩急，或去急診室、或去發熱門診、或去消化門診，甚至可以回家觀察無必要打針吃藥，這樣才能避免資源浪費。如果沒有這樣的分診系統，醫院將會亂套，醫生也一定會忙不過來。

智能分診可準確識別1%的高價值告警，消除90%以上告警噪聲，幫助分析師快速聚焦有效威脅，節省100倍的分析時間。同時，智能分診作為AI研判的前置過濾子系統，篩掉明顯誤報、無效告警，大大減少了AI大模型的算力浪費，將優先的算力資源用于高價值威脅的精準定位上，真正實現“無效告警不阻塞，關鍵告警不漏報”。

同時，智能分診集成在NGSOC當中，可以廣泛匯聚來自不同廠商、不同檢測設備，如IPS、WAF、EDR、NDR、VPN的告警數據，依據國家標準進行了標準化、歸一化、去廠商化，將“各國方言”都變成“普通話”，為AI研判或者人讀數據奠定基礎。

其次，智能研判實現效率比人類提升60倍，誤報率不到人類的一半，漏報率降至0.5%。

AI+SOC整合的智能研判功能，通過NGSOC與QAX-GPT機器人雙向的API集成，7×24不間斷發送經過分診后的高價值告警，進行實時研判，給出準確的定性結論和報告，安全機器人研判能力接近“中級安全專家”水平，每天可研判35000條以上的告警，研判數量是人類分析師的300倍，單一威脅告警的平均處理時間減少98%，研判漏報率僅為0.5%，研判誤報率不到人類分析師的一半，綜合研判效率是人類的60倍。

再次，智能調查依托自然語言對話和自動化處理，縮短近千倍調查時長。

AI+SOC推動安全運營從“密集型”向“智慧型”升級。NGSOC匯集了終端、流量檢測、服務器、應用、VPN、身份訪問、AD域的各類日志和告警，以及資產、網段、漏洞和部門組織的全量信息，有了足夠的信息輸入和高質量、標準化的數據，AI可以在NGSOC上依據不同的場景，自動收集和聚合上下文相關告警和日志，找到威脅發生的前因后果、梳理出來龍去脈、并繪制出攻擊鏈路圖，讓更多的普通分析師找得到、看得懂。對于復雜問題，AI+SOC可以將整個調查和影響面評估的過程從過去的一天乃至一周時間，縮短至分鐘級，效率實現千倍躍升。

最后，智能響應支持上千種響應指令下發，將處理時間從天級縮短至秒級，閉環效率躍升近千倍

AI+SOC不僅可以實現全自動化的響應流程，還能夠對接防火墻、WAF、EDR、NDR、威脅情報、工單系統、即時通訊等190余種外部系統或APP，完成上千種響應指令的下發，實現安全運營高效閉環，處理時間可能從過去的一天，縮短到分鐘級甚至秒級，實現響應閉環效率千倍提升。

總體來看，奇安信發布的由QAX-GPT和NGSOC構成的“奇安信AI+SOC 智能安全運營方案”實現了告警的智能分診與研判、事件的智能調查與響應，可實現安全運營十倍、百倍、千倍的效率躍升，為廣大政企機構筑牢AI時代的安全底座。(張揚)

(新媒體責編：caizhuo)