AI 安全运营（AI SOC）

安全运营中心的告警里误报占比通常很高，具体比例取决于检测规则与资产规模，需要按自家环境统计。AI 安全运营就是用模型做告警聚类、优先级排序与初步研判，并辅助生成处置动作，目标是让分析师只看真正需要人判断的事件。它不替代检测规则，而是在规则之上加一层整理与解释。

要解决的问题

传统做法靠规则与阈值，规则一多就互相淹没，真实攻击藏在噪声里。模型可以把同一攻击链上的多条告警聚成一个事件，结合资产重要性与威胁情报给出风险分，并自动补充受影响范围，让响应从逐条看告警变成按事件处置。更实际的价值在于减少切换成本：分析师不必在多个控制台之间来回比对时间线。

典型做法与难点

• 告警聚合与去重：需要统一的实体抽取口径（主机、账号、地址、进程），否则同一事件在不同设备上的记录无法归并。
• 行为基线建模：用账号与主机的历史行为建立基线，偏离即异常，难点是业务变更频繁会让基线不断失效。
• 威胁情报关联：把外部情报与内部日志关联，需要解决情报时效、误报率与本地命名不一致的问题。
• 自动响应与护栏：隔离主机、封禁账号等动作风险高，必须设白名单、灰度与一键回滚，否则一次误判可能中断业务。
• 日志完整性与成本：数据源缺失会让研判结论站不住脚，而全量留存又推高存储开销，需要分级保留。

和传统检测方案的区别

• 定位不同：规则引擎负责发现已知特征，模型负责把发现结果整理成可判断的事件。
• 输出不同：规则给命中与否，模型还能给出关联依据与建议动作，供人工复核。
• 失效方式不同：规则失效表现为漏报，模型失效更多表现为误报与解释失真，需要分别监控。
• 上线方式不同：规则可以逐条灰度，模型通常先跑影子模式，用历史事件比对后再进入处置链路。

怎么评估效果

• 按事件统计：以聚合后的事件为单位看处置时长与漏报情况，比单条告警的准确率更接近真实体验。
• 误报工作量：统计分析师仍需人工关闭的告警数量，这才是降噪是否有效的直接证据。
• 影子运行：先让模型只做研判不触发动作，用历史事件比对结论，稳定后再接入处置链路。
• 明确覆盖范围：写清已接入哪些数据源，未接入的部分不能给出确定性结论。
• 定期回溯抽查：复查被降权或自动关闭的告警，检查是否漏掉了真实攻击。

评估时不能只看检出率，还要看误报数量与分析师实际节省的时间；漏报的代价更高，所以通常保留规则兜底，并让模型输出可解释的证据链供人工复核。