Gen AI 用于网络安全

生成式 AI 在网络安全专业领域中的应用

网络安全专家正越来越多地将生成式 AI 工具融入到他们的操作中。这些工具有助于自动化复杂流程、增强威胁检测能力并改善整体安全态势。AI 驱动的解决方案协助安全专业人员识别漏洞、更迅速地响应事件，并为安全审计和合规性提供详细的见解。

本教程探讨了能够赋能网络安全专家的关键 AI 解决方案，强调了它们的实际益处、用例以及说明性的提示或操作情境。

OpenAI GPT 模型与 LLM：用于安全自动化、威胁情报和报告的 AI

大型语言模型 (Large Language Models, LLM)，如 OpenAI 的 GPT 系列（例如 GPT-4）、Anthropic 的 Claude 和 Google 的 Gemini，可以处理和分析大量的安全相关文本数据，提供增强决策的见解。它们可以自动化生成威胁情报报告、起草事件响应通信、总结安全策略，甚至协助编写安全任务的脚本。

主要优势包括：加速非结构化威胁数据的分析，自动化报告和 Playbook 的起草，以及通过文本描述协助理解复杂的恶意软件行为。

想象一位安全分析师将一个冗长、技术性的 CVE 描述粘贴到 LLM 界面中，并提示它“用 3 个要点总结此 CVE，突出漏洞、其潜在影响和常见的缓解策略”。AI 随后提供简洁的摘要。

LLM 在网络安全中的用例 (Use Cases)

让我们探讨一些 LLM 在网络安全中的用例：

自动化威胁情报总结与分析 (Automated Threat Intelligence Summarization and Analysis)

使用 LLM 总结冗长的威胁情报报告、安全新闻文章或恶意软件分析发现，使安全团队能够快速掌握可行的见解 (actionable insights)。

提示 (Prompt): 总结 CISA 关于针对关键基础设施部门的勒索软件的最新警报的关键发现、受影响软件和建议的 IOC（Indicators of Compromise）。提取其中提到的任何特定 TTP（Tactics, Techniques, and Procedures）。

起草事件响应 Playbook 和通信 (Drafting Incident Response Playbooks and Communications)

生成针对不同攻击向量定制的事件响应 Playbook 草稿，或在安全事件期间为利益相关者起草通信内容，显著减少制定战略性和沟通性响应所需的时间。

提示 (Prompt): 为一个涉及客户数据库未经授权访问的数据泄露场景创建一个事件响应 Playbook 草稿。包含以下阶段：准备、识别、遏制、根除、恢复和经验教训。列出每个阶段的关键行动和负责团队。

Microsoft Copilot for Security & Defender for Cloud：AI 驱动的威胁检测和安全态势管理

Microsoft Defender for Cloud 通过集成 AI 能力，增强了云和混合环境的威胁检测、漏洞管理和安全监控。Microsoft Copilot for Security 进一步扩展了这一点，提供了一个 AI 助手，帮助安全团队使用自然语言查询跨 Microsoft 安全产品（如 Sentinel, Defender）调查事件、搜寻威胁并理解安全态势。

• 使用行为分析和机器学习实时检测并帮助缓解威胁。
• 提供自动化的安全建议，并根据风险优先级排列漏洞。
• 通过智能威胁分析和上下文理解减少误报。
• Copilot for Security 支持使用自然语言查询进行事件调查和威胁搜寻。

想象一个安全运营中心 (SOC) 分析师使用 Microsoft Copilot for Security 输入：“显示过去 24 小时内我们 Azure SQL 数据库所有来自新的地理位置的异常登录尝试，并总结任何相关的警报。” AI 随后查询相关日志并呈现一份摘要报告。

Microsoft Defender for Cloud & Copilot for Security 的用例

一些说明性用例：

实时威胁检测和调查 (Real-Time Threat Detection and Investigation)

AI 检测您的云环境中的异常行为（例如，异常 API 调用、可疑 VM 活动）并触发警报。然后可以使用 Copilot for Security 通过自然语言调查这些警报。

Copilot 提示 (Prompt): 调查与 Azure 存储账户异常数据外泄模式相关的警报 ID [Alert_ID]。涉及的用户或服务主体是谁，访问了哪些数据，以及是否存在其他相关的可疑活动？

基于风险的安全建议和态势加固 (Risk-Based Security Recommendations and Posture Hardening)

AI 驱动的见解为您的云基础设施提供实时的、按风险优先排序的安全建议。Defender for Cloud 识别错误配置和漏洞。

Defender for Cloud 操作 (Action): 审查并实施 Defender for Cloud 的建议，以增强 Azure Kubernetes Service 集群的安全性，例如根据已识别的漏洞和合规性标准，强制执行网络策略或限制容器权限。

Darktrace：AI 驱动的网络检测和自主响应

Darktrace 采用无监督机器学习和 AI 来实时检测、分析和响应网络威胁。通过学习每个用户、设备和网络连接的“正常生命模式”，Darktrace 自主检测微小的异常，并能缓解跨数字基础设施（包括云、电子邮件、IoT 和工业控制系统）的威胁。

• 学习并适应您独特的网络环境，以检测已知和未知（零日）威胁。
• 可以自主响应以实时缓解潜在攻击，减缓或阻止恶意活动。
• 为异常和持续威胁提供详细的行为分析和可视化。

考虑一个网络地图界面，Darktrace 的 AI 在其中突出显示从内部服务器到未知外部 IP 地址的异常数据流，并将其标记为潜在的数据外泄尝试。其自主响应模块可能会暂时阻止该特定连接，以防止进一步的数据丢失，同时提醒安全人员。

Darktrace 的用例

异常检测和内部威胁识别 (Anomaly Detection and Insider Threat Identification)

Darktrace 识别正常行为模式的微小偏差，这可能表明复杂的外部攻击、内部威胁或凭证被盗用。

情景 (Scenario): Darktrace 的 AI 标记了某个员工账户表现出异常行为，例如在非正常时间访问他们通常不交互的敏感文件，或试图向个人云存储进行大量数据传输。这会触发警报以进行调查，可能表明存在内部威胁或账户被盗用。

自主威胁缓解 (Autonomous Threat Mitigation)

Darktrace 的 Antigena AI 可以自主采取有针对性的行动实时中和威胁，例如中断恶意连接、隔离受感染设备或强制执行正常的网络活动模式，为人工团队调查赢得时间。

情景 (Scenario): 当 Darktrace 检测到某个设备开始表现出类似于勒索软件的加密行为（例如，快速写入许多具有新扩展名的文件）时，Antigena 可以自动将该设备从网络中隔离，以防止勒索软件扩散，同时向安全团队发出警报。

CrowdStrike Falcon：AI 驱动的终端检测与响应 (EDR/XDR)

CrowdStrike Falcon 在其云原生平台中广泛利用 AI 和机器学习，提供终端检测与响应 (Endpoint Detection and Response, EDR)、扩展检测与响应 (Extended Detection and Response, XDR)、威胁情报和威胁搜寻能力。它实时分析终端活动，以识别和阻止恶意软件、勒索软件和高级持续威胁 (Advanced Persistent Threats, APT)。

• 使用行为 AI 实时检测和响应终端（笔记本电脑、服务器、容器）上的威胁。
• 利用 AI 和庞大的威胁图谱最大限度地减少误报，加速响应时间。
• 防护包括无文件恶意软件、零日漏洞利用和勒索软件在内的复杂攻击。

设想一个安全控制台，显示 CrowdStrike Falcon 的 AI 如何在终端设备上检测到试图执行无文件攻击的恶意 PowerShell 脚本。它基于其可疑行为（例如，试图将代码注入另一个进程），而非仅仅依赖已知签名，阻止了执行，然后提供了尝试攻击的详细进程树。

CrowdStrike Falcon 的用例

AI 驱动的恶意软件和漏洞利用检测 (AI-Driven Malware and Exploit Detection)

Falcon 的 AI 模型分析终端上进程、文件和应用程序的行为，以检测已知和未知的恶意软件以及漏洞利用技术，而不仅仅依赖于签名。

情景 (Scenario): Falcon 的 AI 引擎在终端上检测到一个 Word 文档试图利用已知漏洞（即使系统已全面打补丁，尝试本身也是一个指标）或启动一个包含混淆恶意代码的 PowerShell 命令。它阻止了恶意活动，并向 SOC 发出警报，提供完整的攻击链可见性。

自动化威胁响应和遏制 (Automated Threat Response and Containment)

基于 AI 分析和预定义策略，Falcon 可以自动化威胁响应，例如隔离受影响的终端、阻止来自终端的恶意网络连接或终止恶意进程。

情景 (Scenario): 一旦检测到与起源于终端的勒索软件攻击一致的指标（例如，快速文件加密，与已知 C2 服务器通信），CrowdStrike Falcon 会自动将终端从网络中隔离，以防止横向移动和共享驱动器上的数据加密，同时安全团队进行调查。

Palo Alto Networks Cortex XSOAR：用于安全编排、自动化和响应 (SOAR) 的 AI

Cortex XSOAR 是一个安全编排、自动化和响应 (Security Orchestration, Automation, and Response, SOAR) 平台，它利用 AI 和机器学习自动化和简化事件响应流程。通过集成不同的安全工具并运行自动化 Playbook，它帮助网络安全团队更快、更一致地响应警报。

• 在事件分级、调查和响应期间，为安全团队自动化重复性任务。
• 集成数百种安全工具，实现集中管理和协调行动。
• 通过执行预定义的、AI 辅助的 Playbook 减少响应时间并提高一致性。

设想一个 SOAR 平台的流程构建器，分析师在那里设计一个针对网络钓鱼邮件警报的 Playbook。当检测到高置信度的网络钓鱼邮件时，该 Playbook 会自动执行以下操作：提取 URL 和附件，在沙箱中引爆它们，对照威胁情报源检查指标，用用户/资产上下文丰富警报，如果恶意，则阻止发件人，隔离邮件，并为安全团队创建工单——所有这些都由 XSOAR 编排。

Cortex XSOAR 的用例

自动化事件分级和丰富 (Automated Incident Triage and Enrichment)

Cortex XSOAR 可以自动分级来自各种安全工具（SIEM、EDR 等）的入站警报，用上下文信息（用户详细信息、资产关键性、威胁情报）丰富它们，并确定事件的严重性，通常使用 AI 对警报进行评分或分类。

Playbook 操作 (Playbook Action): 收到邮件网关发出的网络钓鱼邮件警报后，XSOAR Playbook 自动提取 URL 和附件。它查询威胁情报平台（例如 VirusTotal）以获取信誉信息，在沙箱中引爆附件，并从 Active Directory (AD) 检索用户信息。AI 辅助功能可以帮助确定邮件的语言模式是否可疑。

用于响应的安全自动化 Playbook (Security Automation Playbooks for Response)

自动化常见的安全工作流程，例如隔离受感染系统、在防火墙阻止恶意 IP/域名、通知相关团队以及生成事件报告。

Playbook 操作 (Playbook Action): 如果 EDR 工具在终端上检测到恶意软件并向 XSOAR 发送警报，可以执行一个 Playbook 来：1. 使用 EDR 的 API 隔离终端。2. 在企业防火墙上阻止已识别的任何 C2 域名。3. 在 IT 服务管理系统中创建工单。4. 通过 Slack/电子邮件通知安全团队已采取的操作和发现的摘要。

Splunk Enterprise Security with AI/ML：AI 驱动的安全分析和 SIEM

Splunk 的 AI 和机器学习能力与其安全信息和事件管理 (Security Information and Event Management, SIEM) 解决方案 (Splunk Enterprise Security) 集成，使网络安全专业人员能够分析大量的日志和机器数据，检测模式，并在实时或接近实时的情况下发现隐藏的威胁。这些能力简化了安全监控、威胁搜寻和事件调查。

• 自动化的日志分析和关联加速了跨不同数据源的威胁检测。
• 使用机器学习识别异常模式、内部威胁和高级攻击技术。
• 提供实时威胁情报集成和可定制的警报。

设想一个 Splunk 控制面板，其中一个机器学习模型标记了一个用户账户显示一系列行为，这些行为单独来看是良性的，但结合起来则表明账户已被盗用（例如，从异常位置登录，然后访问该角色通常不使用的敏感系统，接着进行大量数据上传）。此异常被提升为高优先级警报。

Splunk with AI/ML 的用例

自动化威胁搜寻和异常检测 (Automated Threat Hunting and Anomaly Detection)

Splunk 的 ML Toolkit 和像 Splunk UBA (User Behavior Analytics) 这样的应用分析大型数据集，以识别可疑模式、内部威胁或被盗用账户，帮助网络安全团队发现他们可能通过基于规则的检测遗漏的威胁。

Splunk 搜索/ML 作业 (Splunk Search/ML Job): 在 Splunk 中使用机器学习分析 VPN 日志、Active Directory 日志和文件访问日志，以检测异常的用户行为，例如在短时间内从多个地理位置登录，访问异常数量的敏感文件，或在非正常工作时间进行活动。为每个用户生成一个风险评分。

预测性安全见解和风险评分 (Predictive Security Insights and Risk Scoring)

利用 AI 根据历史数据、威胁模式和行为分析预测潜在的安全风险或对用户、资产或事件的风险进行评分，从而帮助优先处理调查和响应工作。

Splunk 搜索/ML 作业 (Splunk Search/ML Job): 在 Splunk 中开发一个模型，以识别防火墙拒绝日志和 IDS/IPS 警报中的模式，这些模式可能表明即将发生的 DDoS 攻击或目标扫描活动。将其与威胁情报源关联，以预测并针对特定的面向外部服务发出风险加高的警报。

结论

网络安全专家正日益利用集成在 Microsoft Copilot for Security、Darktrace、CrowdStrike Falcon、Cortex XSOAR 和 Splunk Enterprise Security 等工具中的复杂 AI 技术，以及像 GPT-4 这样的通用 LLM。这些工具使安全团队能够以以前无法实现的方式自动化分析、加速威胁检测和响应，并主动管理安全态势。通过集成这些 AI 驱动的解决方案，组织可以领先于新出现的威胁，优化安全运营，并增强其抵御网络攻击的整体韧性。