AISecOps智能安全運營技術體系框架

張潤滋，劉文懋

1.綠盟科技集團股份有限公司，北京 100089

2.清華大學，自動化系，北京 100084

引 言

隨著數據的積累，算力的提升，人工智能技術的演進，技術平臺的自動化、智能化水平，已經逐漸成為網絡安全攻防雙方角力的重點。學術界和工業界紛紛嘗試基于人工智能技術的安全分析方法，包括深度學習、機器學習、知識圖譜等人工智能技術，已經逐漸應用到惡意軟件檢測、網絡入侵檢測、金融欺詐檢測、用戶行為分析等安全業務和應用中。不過，幾輪炒作和試錯下來，火熱的期盼逐漸歸于平靜，安全技術的發展歸于辛苦的爬坡過程。

面對攻擊面的持續拓展，高級威脅的迭代升級，安全運營（Security Operations，SecOps）能夠面向人、技術、流程的集成與融合，有效提升安全防御資源的全局性、協同性，并已成為安全能力落地，發揮防御體系有效性，支撐實戰對抗的最直接、最關鍵環節之一。

可以預見，隨著安全大數據的采集與智能分析技術的成熟，基于人工智能的安全運營技術方案（AI-driven Security operations, AISecOps）將大幅提升威脅檢測、風險評估、自動化響應等關鍵運營環節的處理效率，大幅減少相關過程對專家經驗的過度依賴，有效降低企業、組織乃至國家級關鍵信息基礎設施、數據資產的整體安全風險。與此同時，智能安全運營技術能力的發展仍然在起步加速階段，在體系架構、評估方法、數據融合、技術方向等多個層面，缺乏系統性的歸納與梳理。本文旨在對AISecOps智能安全運營技術的關鍵概念、成熟度、架構、技術等維度進行一個全面的總結與介紹，期望為讀者帶來全新的技術思考，并促進AISecOps技術生態的構建，助力網絡安全運營產業的技術升級。

圖1 安全運營技術發展趨勢Fig.1 Development trends of security operation technology

1 安全運營發展背景與趨勢

回顧安全產業的發展歷程，從計算機安全，到信息安全，到網絡空間安全，再到數字安全，安全產業概念演進的背后，是網絡信息化引領時代技術發展的核心趨勢。然而，隨著網絡空間攻擊面不斷擴大，惡意攻擊者持續規模化、組織化，在攻擊技術的自動化、智能化、武器化，多種因素的作用下，使得傳統“高筑墻，廣積糧”——在網絡邊界堆砌防護設備的被動防御思路逐漸失效。面對日趨白熱化、持續化的網絡攻防對抗環境，安全防御的思路開始不再局限于構建安全邊界，逐漸形成更為成熟、更為完備的滑動標尺防護視角。邊界防御的左移，是系統化的安全內生機制；右移是情報智能驅動的主動防御。零信任、威脅誘捕、威脅狩獵、安全開發、安全運營等支撐安全內生、主動防御的技術方案成為安全業界的共識。值得注意的是，無論是安全左移追求安全機制內生，還是安全右移促進主動安全防御，安全運營愈發成為安全能力內外兼修的必由之路。

安全運營（Security Operations, SecOps）的關鍵在于，通過流程覆蓋、技術保障及服務化，為企業及組織提供資產和脆弱性識別與管理、威脅事件檢測與響應等安全能力，以充分管控安全風險[1]。

安全運營中的概念核心就是管理風險，而風險的度量是動態的、持續的、相對的。正是由于安全運營風險驅動的特性，對風險的認知的演進，決定了安全運營技術發展的方向。整體來看，安全運營技術和產業經歷了單點攻防、邊界防御、安全運營中心的發展歷程，并最終向運營智能化的方向持續演進。

（1）單點攻防

伴隨著互聯網時代的到來，針對個人電腦的惡意軟件率先爆發。網絡世界的威脅趨勢逐漸呈現在大眾面前。此時惡意軟件正是最大的安全風險，大量的攻防專家開始投入到反病毒軟件的研發當中。安全運營的概念還未成型，專家即服務是典型的安全能力交付方式。

（2）邊界防御

利益驅動之下，攻擊與威脅逐漸組織化、產業化；與此同時，大規模互聯網服務與IT系統軟件的迅速演進，使得軟件漏洞引發的安全脆弱性問題浮出水面。為此，抗DDoS攻擊、入侵檢測系統、遠程漏洞掃描系統應運而生，快速構建起網絡防御邊界。并隨著攻防研究的深入，威脅場景的快速迭代，此時的安全運營從萌芽到成長，滲透測試、風險評估團隊的配套逐漸成型，設備和維護即服務成為主流。

（3）安全運營中心

高級持續性威脅（Advanced Persistent Threat，APT）和相關事件的出現，給邊界化防御的思路帶來巨大的沖擊。此外，多層次的安全政策、規范的制定，逐漸形成體系化的合規性要求。在多種因素的驅動下，常態化、協同化、縱深化和智能化的防御思路成為業界共識。此時，安全運營理念和架構逐漸成型，安全運營中心（Security Operations Center，SOC）遍地開花，以中心化的方式管理威脅、脆弱性、資產等風險相關的流程和數據，并輔以行為分析、蜜網誘捕、威脅狩獵、情報融合等高級安全技術，來提升安全運營的效率。運營即服務，正成為當前網絡空間防護的關鍵趨勢。持續自適應風險與信任評估（Continuous Adaptive Risk and Trust Assessment，CARTA）等面向運營管理的架構與理念，也正是在這個背景下得以普及。

（4）運營智能化

安全運營團隊，是支撐安全運營中心化運作的核心。安全運營的萌芽、發展與成熟，映射出的是背后人與人對抗的認知與技術升級。然而，隨著網絡空間對抗關聯流程鏈路的增長、數據規模爆炸、技術復雜度提升，人力資源與風險識別管控的目標要求之間，逐漸形成巨大的需求剪刀差。此時，提升安全運營技術的自動化、智能化水平，已成為網絡安全風險治理與防控的必備條件。智能賦能運營，是數字化時代運營即服務的基礎保障。

安全運營智能化趨勢已成為必然。流量分析、行為分析、樣本分析、威脅關聯、自動化響應等技術越來越多地采用了機器學習、圖計算、強化學習等算法與模型。

表1概述了國際上智能安全運營相關技術產品。可以看到，相關技術廠商利用智能算法與模型，在威脅檢測、告警分診、事件調查等維度進行了探索與實踐。盡管如此，現階段安全智能的發展水平，仍難以滿足安全運營對威脅發現實時性與準確性、事件自動化溯源、風險決策自動化等多方面的要求。[2]距離可用、成熟的智能安全運營服務，還有很長的路要走。

表1 國際智能安全運營技術產品舉例Table 1 International technical product examples of AI-driven security operations

2 智能安全運營技術的挑戰

網絡空間攻防對抗中的信息不平衡性，使得安全運營團隊需要大規模地采集多維度的數據進行分析。然而，處理海量數據給安全運營團隊帶來了前所未有的挑戰，如數據依賴爆炸、事件告警疲勞、威脅大海撈針等難題。如圖2所示，本文將安全運營中大數據帶來的關鍵技術挑戰，簡要概括如下幾點。

圖2 智能安全運營技術的多個關鍵挑戰Fig.2 Key challenges for AISecOps technologies

（1）異構多源數據欠缺規范約束。數據采集系統所收集的數據完整度，包括基礎的字段完整性，信息流的刻畫完整性，信息歸屬的完整性等等，在大規模數據并發接入和存儲受限的場景中，難以有效地、規范化地保證。與此同時，數據分析中的訓練數據集往往經過多輪次的清洗、過濾和標記。而實際部署環境下，理想的數據分布假設難以適應復雜動態的網絡環境與攻擊技戰術變化。缺乏規范約束一方面造成數據規模的膨脹，另一方面提升了數據統一建模的復雜度。

（2）統計數據匱乏語義內涵。統計驅動的機器學習方法習得的數據模式，不總是能夠匹配安全經驗與直覺，難以對齊安全業務的關注焦點。舉個例子，異常檢測是安全智能技術中的重要組成之一。然而，異常識別的維度可源于多種類型的數據統計維度，例如密度、距離、關聯性等等。這些統計維度的離散點召回方法，如果缺乏可以量化的安全語義與規則，會產生大規模的安全事件誤報。

（3）模型黑盒缺乏可解釋性。相對于傳統規則驅動的檢測方法，決策邊界的動態性給模型驅動的方法更強的數據擬合能力和泛化能力。很多高復雜度、高容量的模型，能夠端到端的給出預測結果。然而，無論預測結果是惡意的流量或樣本，或是高風險的告警，這些黑盒模型都無法同時給出合理的佐證與上下文，這種不可解釋性給安全運營中的威脅調查與驗證帶來了更高的門檻。

（4）采集數據隱私泄露隱憂。數據利用與數據隱私保護之間的對抗與平衡，始終是安全技術升級的驅動力之一。隨著安全防御過程中收集的數據廣泛性和深度的提升，被采集端的數據所有者對采集系統的抵觸心理愈發明顯。數據從明文到加密，甚至拒絕“出境”，這些都限制了數據驅動技術方案的落地。

3 AISecOps智能安全運營技術體系

3.1 AISecOps核心內涵

AISecOps技術是以安全運營目標為導向，以人、流程、技術與數據的融合為基礎，面向預防、檢測、響應、預測、恢復等網絡安全風險管控、攻防對抗的關鍵環節，構建數據驅動的、具有高自動化水平的可信任安全智能技術棧，實現安全智能范疇下的感知、認知、決策、行動能力，輔助甚至代替人在動態環境下完成各類安全運營服務[3]。

圖3 AISecOps核心技術能力拆解Fig.3 Components for AISecOps technologies

相比于安全智能（AI Security, AISec）技術，AISecOps更強調面向安全運營的核心指標與評估方法；相比于智能運維（AI Operations, AIOps）技術[4]，AISecOps更強調攻防對抗的動態性；相比于安全運營（Security Operations, SecOps），AISecOps更強調數據驅動與智能驅動的方法賦能。AISecOps智能安全運營是在核心運營指標的導向下，系統、深入地融合智能化技術方案，以適應安全運營不同階段、不同任務場景的應用需求，以提升運營全流程的自動化水平。

3.2 AISecOps指標體系

針對安全運營技術、流程、人員交互的核心環節，需要自頂向下的構建智能技術賦能安全運營的合理評估體系[3]。如圖4所示，該指標體系是從企業或組織的頂層愿景出發，到安全運營的核心技術指標，再構建數據和分析層次的技術評價指標。相對于傳統智能安全應用中僅僅關注機器學習等技術的細粒度評估方法，從運營的可交互、可量化、可運維等需求出發，該指標層次化體系，能夠更有效地服務于安全運營的核心目標，輔助提升對風險的認知水平，降低運營人員與機器智能之間的交互門檻。

圖4 AISecOps指標體系Fig.4 AISecOps metric framework

3.3 AISecOps數據分類

當前，大規模多維度網絡安全數據的接入，為通過數據分析、發現、處置網絡威脅帶來了全新機會。但考慮到可用的存儲、計算資源有限，對安全數據源的甄選和統一處理就顯得尤為重要。不同于DIKW的數據分層模型[5]和CyGraph的安全/任務知識棧結構[6]，從網絡攻防的對抗本質出發，以給定的網絡空間為戰場，以保護資產（包括實體資產和虛擬資產）并打擊威脅主體為目的，智能化的威脅分析應該收集并構建以下維度的關鍵數據圖。

圖5 AISecOps核心數據圖Fig.5 Core data graphs for AISecOps

（1）環境數據圖。如資產、資產脆弱性、文件信息、用戶信息、IT系統架構信息等。

（2）行為數據圖。如網絡側檢測告警、終端側檢測告警、文件分析日志、應用日志、蜜罐日志、沙箱日志等。

（3）情報數據圖。各類內外部威脅情報。

（4）知識數據圖。各類知識庫（如ATT＆CK[7]、CAPEC[8]、CWE[9]）等。

各類安全關聯數據（包括但不限于以上四個類別）已在很多大數據分析場景中所采用，但仍然沒有成熟、統一的體系描述這些數據的分類和使用模式。將這里列舉的四類數據，從網絡威脅事件分析實踐出發，通過圖結構組織起來，實現每個類別圖內關聯和不同類別圖間關聯，以滿足網絡空間對抗的基本戰術需求，包括對環境的掌握、對威脅主體行動的理解、對外部情報的融合以及儲備基本知識。四圖分立，又通過指定類型的實體進行關聯，以保證不同類型圖數據表達能力的同時，實現全局的連接能力。

3.4 AISecOps技術框架

圖6闡述了AISecOps的技術框架，從左至右分別包含典型智能框架的感知、認知、決策和行動階段[10]。在每個階段中，列舉了關鍵的安全運營技術子任務。

圖6 AISecOps技術框架Fig.6 AISecOps technical framework

整體上，AISecOps技術框架包含兩個大的循環。一個是圖中實線覆蓋的機器自循環，這是AISecOps追求的運營關鍵任務自動化的終極目標。另一個是圖上虛線覆蓋的人-機協同循環，這一部分強調了，在機器自動化的各個階段，需要充分融合人的反饋。高水平運營自動化實現的要義仍然是對“數據-信息-知識”層次化的分析與挖掘，以應對動態不確定性的網絡空間環境與高交互的攻防對抗過程。可以看到，兩大循環服務于前述AISecOps的評估指標。為了構建人-機智能協同的閉環，必然要求機器智能提供的數據結果、運算流程是透明的、可解釋和可運營的，傳統黑盒的深度學習模型在深度交互的架構下將難以為繼。

3.5 AISecOps技術成熟度矩陣

為了有效評估當前智能安全運營技術的整體自動化水平，根據技術框架的層次架構，對應提出了AISecOps技術成熟度矩陣，以有效地在技術的橫縱向對比現有技術的發展層次[3]。

如圖7所示，按照安全運營關鍵任務的自動化程度，參考自動駕駛自動化分級，將AISecOps技術的自動化水平劃分為L0~L5六個層次，對應無自動化到完全自動化。值得注意的是，每個階段技術能力的可用性、魯棒性，依賴于底層多個階段技術能力的成熟度。以安全運營的響應行動為例，依賴對威脅與脆弱性的準確的檢測與識別、攻擊行為上下文的溯源信息構建以及魯棒的風險評估量化。任何一個被依賴環節的失效，將導致響應行為的失效[11]，甚至影響組織中正常業務的開展。

圖7 AISecOps技術成熟度矩陣Fig.7 AISecOps technology maturity matrix

3.6 AISecOps前沿技術分類

AISecOps智能安全運營技術尚處于快速演進的階段，所采用的技術方案迭代非常快。為了充分探究技術的未來發展方向，定位關鍵能力瓶頸，本文總結了面向安全運營自動化、智能化的十六種基礎前沿技術，并形成技術圖譜，以期為網絡安全運營場景構建領域技術“內功心法”圖譜。

技術圖譜在橫向上，按照面向攻擊對抗的識別粒度進行技術領域劃分，粒度自微觀到宏觀，包括指紋與特征、技術與行為、戰術與意圖、戰役與組織、戰役與態勢。在縱向上，按照AISecOps智能化的經典技術階段進行劃分，包括數據層面的融合建模，以及分析層面的風險感知、因果認知、魯棒決策、負責行動五大階段。同時，根據技術的核心數據源不同，通過底色進行區分，涵蓋環境數據、情報數據、知識數據、行為數據以及融合多維的綜合數據。通過總結并歸類十六種關鍵技術，試圖厘清AISecOps的技術分類，以支持技術方案的細粒度抽象與整合，支持安全運營智能技術中臺等基礎平臺能力的構建。以下簡要概述關鍵技術的核心內涵與技術實現和分類。

3.6.1 超融合知識圖譜

超融合知識圖譜的含義是以安全領域知識圖譜為核心，面向網絡環境數據、威脅行為數據、威脅情報數據、安全知識庫等，構建本體化、標準化、全局化的知識結構[12]，支持安全數據的動態查詢與聚合分析，提升安全數據運營分析的整體性。超融合知識圖譜是后續風險感知、因果認知、魯棒決策、可靠行動多層次技術能力實現的核心技術基礎。沒有統一的數據視圖支撐，高復雜度算法的構建將是空中樓閣。

微軟的智能安全圖（Microsoft Intelligent Security Graph）通過云生態和平臺全面融合，鏈接多方多維數據，提供全面的威脅關聯信息，并以云端的分析能力保證實時的威脅檢測。Sqrrl（2018年1月被Amazon收購）提供網絡威脅狩獵平臺，結合UEBA（User and Entity Behavior Analytics）提出了“Behavior Graph”的概念，使用行為評估和關聯數據支撐威脅事件的深入調查。CyGraph是MITRE在圖模型研究方面的原型系統。CyGraph使用了層級的圖結構，包括網絡基礎設施（Network Infrastructure）、安全狀態（Security Posture）、網絡威脅（Cyber Threats）、任務依賴（Mission Dependencies）四個層次的圖數據，用于支持針對關鍵資產保護的攻擊面識別和攻擊態勢理解等任務。IBM提出的威脅情報計算（Threat Intelligence Computing，TIC）的概念，通過構建時序圖結構，實現敏捷的網絡推理和威脅狩獵。

3.6.2 情報要素自動化提取

情報要素自動化提取的含義是通過數據驅動的模式提取方法，從流量、樣本、社交網絡、情報文本等多源數據中，自動化提取威脅情報要素[13]（攻擊者、活動、技戰術、特征、防護策略等），支撐網絡防御的預防、檢測、響應、預測等全周期的信息采集。

情報要素自動化提取是一項面向網絡安全領域知識構建需求的重要任務，自動化的要素提取，關鍵技術目標是場景驅動下的模式識別。在攻擊特征提取場景下，例如根據模擬的、采集的已知惡意樣本、惡意流量，提取惡意特征，經典的處理方法一般可通過傳統的序列相似性、文本相似性、結構相似性等手段，快速定位可疑特征信息。此外，基于可解釋人工智能方法提取模型的知識，已成為知識獲取的重要方法之一，例如通過透明可解釋的決策樹模型、文本主題模型、圖模型、注意力機制等，或黑盒模型疊加后處理（Post-hoc）的解釋手段SHAP、LIME等等，抽取安全檢測分析模型內的攻擊模式與特征，通過聚類與模型推斷算法，能夠有效提取惡意文本中的關鍵詞特征形成檢測規則。在攻擊組織活動、技戰術自動化情報生成的場景下，可通過經典的命名實體識別、關系抽取、知識圖譜關系推理等技術手段，提取、對齊、關聯情報實體要素，實現情報的標準化與可共享性。自動化的提取方案，能夠有效作用在大規模數據空間下，從數據的角度提升威脅特征的區分性、情報實體的全局一致性等。

3.6.3 網絡實體測繪畫像

網絡實體測繪畫像的含義是通過主動指紋探測、被動的信息采集，收集、分析、整合網絡空間資產、身份、數據等各類實體及其特征信息，形成網絡空間的整體畫像和實體局部畫像[14]，支持網絡風險的全面、深度分析與威脅情報生成。

網絡空間實體測繪的關鍵是保證實體實例的覆蓋率以及準確的動態畫像，核心技術主要包含已知類型實體的識別和未知類型實體的分類。已知類型實體的召回，在于通過特征指紋匹配與行為模式匹配，快速召回收錄在冊的實體類型實例；未知類型實體的分類，需要通過無監督或半監督的特征與行為聚類、信息流或結構性關聯分析、統計頻繁項挖掘等方法，識別未知實體數據中的模式信息，尋求與已知類型實體的相似性與關聯性，并向運營人員提供數據特征支撐人工分類分組標記。值得注意的是，網絡實體行為及其所處環境的動態性，決定了實體測繪不是一勞永逸的，而是需要持續迭代演進的。實體探測僅僅是測繪流程的一個步驟，分析、跟蹤、可視化已成為實體畫像的重要組成。例如，實體畫像的準確性決定了基于異常行為分析的UEBA等技術方案的成敗。

3.6.4 攻擊檢測與分類

攻擊檢測與分類的含義是針對各類網絡實體及其行為，通過有監督或半監督學習的方式[15]，實現攻擊行為的識別，并區分攻擊的技戰術類型。

攻擊檢測與分類的關鍵是融合數據特性的算法建模。網絡安全領域的算法建模相對于其他產業有一定的后發優勢，可根據所處理數據的特性，如事件序列數據、時序數據、文本數據、實體關聯圖數據等，借鑒相關領域的成熟分析方法與思路。比較經典的方法，有基于集成模型和動靜態特征集實現的惡意軟件家族分類；基于CNN+LSTM和流量數據包、數據流多層次特征的惡意（加密）流量分類；基于圖表示學習和進程調用關系的無文件APT攻擊檢測等等，不一而足。參考ATT＆CK模型，現階段包括終端、網絡、文件等多源、多維度的二十余類數據的采集，給威脅分析帶來全新的分析機遇。在有效數據標注的基礎上，準確的學習攻擊樣本與正常樣本之間的關鍵模式已不再是難事。

3.6.5 異常行為分析

異常行為分析的含義是構建多層次網絡實體的行為畫像，識別偏離正常行為基線的行為模式[16]，捕獲、召回潛在威脅線索與攻擊行為。

異常行為檢測的關鍵是正常行為模式建模與離群（異常）點檢測算法設計。行為分析的主體是網絡環境下的各類實體，包括系統相關的（進程、網絡、文件等）、應用相關的（API調用、業務數據流等）、用戶相關的（登錄、訪問等）等多維度、多層次可觀測數據源。針對任何一類實體行為數據的建模，可對應一種具體的威脅分析場景。行為畫像建模的關鍵在于通過統計建模、機器學習、策略抽象的方式，識別實體正常行為的關鍵參數與結構。常用的技術包括頻率統計、聚類、編解碼器、時序模型、隱馬爾科夫建模等。在行為畫像模型的基礎上，對動態輸入的未知行為執行離群點檢測。離群點或異常點，指在數據模式中與大多數據點特征偏離較遠的點。離群點的檢測技術實現基于行為畫像模型的構建方式。從數據特征建模的角度來看，主要包括基于距離的方法、基于密度的方法、基于統計閾值的方法、基于信息熵的方法、基于圖的方法等等。不同的場景下，異常行為分析的數據粒度可能不同，整體來看，行為分析具有較強的環境自適應性，并且不依賴特征指紋與惡意樣本，能夠有效召回不同網絡環境、不同攻防周期內的異常行為，是對傳統靜態的、針對已知威脅檢測的有效補充。

3.6.6 團伙行為發現

團伙行為發現的含義是跨時間周期、跨階段提取攻擊、行為事件的行為模式，通過社區挖掘等方法實現攻擊者組織、團伙的定位和劃定，進而實現對相關事件的歸因和追蹤[17]。

攻擊團伙發現的關鍵是基于威脅數據生成關聯圖與圖上社區發現。STIX是MITRE發起的威脅情報交換語言和標準，在STIX 2.0體系的促進下，全球威脅情報的共享、關聯開銷大幅降低。通過情報數據圖的實例化網絡圖構建，攻擊者、IOCs、技戰術、惡意軟件、攻擊戰役及攻擊組織等實體及其行為關聯能夠統一在一張數據圖之中。同時，通過語義規則、統計規則、特征命中等方法，對圖上的實體點和關系邊進行特征抽取，以支撐圖結構關聯之上的細粒度分析。進而，針對情報的數據規模大、點邊特征維度多、置信度差異大等特性，一般采用圖社區發現算法實現自動化的團伙標定。社區發現的常用技術包括基于模塊度優化的方法、基于譜分析的方法、基于信息論的方法、基于標簽傳播的方法及基于深度學習的方法等等。數據驅動的攻擊團伙發現是一種情報或行為數據增強技術，基于動態情報數據的結構關聯性、特征關聯，召回疑似團伙、組織，并刻畫其行為模式，有助于完善攻擊事件的證據鏈，提升情報置信度。

3.6.7 狩獵查詢專用語言

狩獵查詢專用語言的含義是面向安全運營威脅狩獵已知信息的高效檢索需求，基于融合的情報、行為、環境、知識數據基礎，設計滿足實時性、完整性、準確性的數據檢索語言及處理引擎[6]，支撐線索的定位、事件關聯信息的召回、情報與知識的準確定位等任務。

威脅狩獵專用查詢語言的設計的關鍵在于業務驅動的定制語義、語法以及支撐結果查詢的匹配算法。語義、語法的設計的驅動力是威脅狩獵的關鍵場景，需要支撐包括不同數據源（如外部威脅情報、內部關鍵線索等）以及不同模式（精確匹配與模式匹配）的組合查詢問題。DSL（Domain Specific Language）一般是聲明式的獨立抽象層，安全運營場景下最直接的構建基礎是融合的圖框架。基于安全領域知識圖或事件圖譜，結合其本體化設計與層次化實體交互行為，設計針對指定任務的抽象查詢語法。經典的語言設計方案包括基于Cygraph的CyQL（CyGraph Query Language）、IBM的τ-calculus等。在匹配算法方面，一方面可直接將DSL直接編譯為底層數據庫查詢語言，直接調用數據庫內置匹配算法進行數據查詢；另一方面，可通過子圖對齊與相似性匹配、圖神經網絡、表示學習等方法，基于分析算法，從大規模數據中查詢攻擊模式、關聯線索。

3.6.8 攻擊意圖理解

攻擊意圖理解的含義是基于大規模、依賴復雜、跨長時間周期的原始日志、檢測日志等基本數據線索[18]，從能力水平、攻擊階段、攻擊目標等角度，提取、標注、歸納攻擊者的戰術意圖，以明確線索之間的高層次邏輯關聯，跟蹤、預測攻擊者的行為。

攻擊意圖理解的關鍵在于數據的安全語義化。即通過對數據及其特征的模板化、標簽化、體系化歸并，形成預設威脅模型框架下的實例化表達。核心技術實現一方面是數據的歸一化與規范化清洗；另一方面，是語義抽象算法，主要可分為兩類：基于行為模板的和基于統計切分的。基于行為模板的方法，例如HOLMES系統通過預設的數據模式提取策略，將終端側溯源數據圖中的關聯日志實體和關系進行抽取，形成符合ATT＆CK矩陣模型的技戰術高層關聯圖譜。基于統計切分的方法，通過日志實體的邏輯關聯或時序關聯，在圖數據或序列數據上應用社團發現、標簽傳播、主題模型、情感分析等經典技術手段，對圖上或序列數據進行統計切分和聚類，再結合專家經驗的標簽化過程，形成符合威脅語義模型的數據基礎。

3.6.9 攻擊路徑溯源

攻擊路徑溯源的含義是基于關鍵威脅線索，結合動態行為與資產環境，融合終端、網絡、脆弱性、威脅情報等多源歷史日志，回溯、精煉、重構攻擊者的行為數據流[19]，完整呈現、還原日志級別細粒度的攻擊過程及攻擊結果，支持事件調查與取證。

溯源重構的技術基礎，是刻畫、跟蹤行為信息流，以指定的攻擊樹、攻擊圖等形式組織相關日志，形成事件前因后果。從數據的角度來看，可將溯源過程建模為統計相關模型、信息傳播模型、圖關聯模型、因果模型等。統計相關性建模主要通過頻繁項/模式挖掘、注意力機制驅動的序列模型等方式，識別統計層面的實體與行為關聯性，以定位與關鍵線索相關的最可疑證據鏈。信息傳播模型，基于圖數據和標簽傳播，或先驗傳播策略，主動跟蹤關鍵操作、敏感數據的傳播路徑。圖關聯模型，同樣基于圖數據，通過圖神經網絡、可解釋圖模型等模型算法，識別、抽象可疑的實體與子圖結構，以及實體、子圖之間的關鍵行為邊，從而實現全局的攻擊事件高效抽取。因果模型，相對經典統計模型主要考慮數據的相關性，因果建模通過因果推斷框架，如基于約束的貝葉斯網絡、反事實推理等，構建具有相對穩定性結構的數據因果依賴鏈路與圖，以探索所采集各類傳感器數據間的派生模式。整體來看，溯源與重建的關鍵在于數據的確定性關系推理。

3.6.10 威脅情報歸因

威脅情報歸因[20]（Threat Intelligence Attribution）的含義是基于威脅情報中的關鍵要素，例如技戰術模式、攻擊基礎設施、惡意軟件基因、攻擊意圖與目標等，突破攻擊行為偽裝，識別、定位特定的攻擊者、攻擊組織等威脅主體，為事件的取證、溯源、歸因提供基礎，為防御反制措施的實施提供高置信度證據支持。

基于威脅情報實現攻擊行為、事件歸因的關鍵，在于情報的深度關聯與置信度評估。在情報深度關聯方面，最重要的驅動力還是情報的標準化與規范化。這一點上STIX 2.0情報標準、ATT＆CK技戰術矩陣、CAPEC攻擊和脆弱性枚舉庫等開源數據庫、標準的完善，推進了整個網絡空間威脅情報體系水平交互的完備化。此外，情報與本地化分析檢測數據的聯動，是情報細粒度語義富化等垂直交互的重要組成。經典的數據驅動情報關聯方法包括基于草圖提取（Graph Sketches）的情報聚類方法、基于子圖模式搜索的情報行為匹配、基于基因/血緣分析的惡意樣本關聯、基于知識圖譜的語義推理關聯等。情報關聯之外，威脅歸因的關鍵在于提升情報數據的置信度。置信度的評價一般通過基于區塊鏈的情報信譽機制、基于證據關聯命中評級方法、基于情報數據共享多方計算融合等方式實現。整體來看，威脅情報歸因的可用性首先是機制保障驅動的，并通過數據智能支持證據強化。

3.6.11 告警分診與誤報緩解

告警分診（Alert Triage）與誤報緩解[21]的含義是基于告警統計、時序、語義、關聯等維度上下文，對告警進行自動化分類，并評估其威脅等級，向運營者提供基于風險的告警排序列表，降低誤報對事件調查的干擾。

告警分診的關鍵在于充分提取、過濾、組裝、推斷告警關聯的事件上下文，并以可量化、可理解的方式向運營人員提供風險排序值。從上下文自動化構建的角度，可劃分為以下多個維度：

（1）統計上下文，主要是指告警及其關聯實體、行為的統計頻率、共現頻率建模。一個統計建模的經典假設是：從異常檢測和大數定理的角度看，高頻次告警所蘊含的威脅信息較少。

（2）語義上下文，指告警間的觸發時序和組合模式，指示了指定的事件規律或用戶行為模式，通過主題分析、詞嵌入等基于語言模型的建模方法，能夠挖掘潛在的語義關聯，提升告警的關聯分析語義內涵。

（3）信息上下文，指相關網絡實體的信息流傳遞過程。通過系統級的數據、實體及行為標注，結合先驗規則和基于圖的標簽傳播算法，以估計、推斷敏感數據的關鍵傳播路徑。

（4）意圖上下文，指告警涉及技術的高層戰術意圖抽象。通過Kill Chain、ATT＆CK等威脅建模方式，可以把告警直接對應到指定的戰術階段當中。更動態的，可通過抽象的行為模板或統計方法，自動抽取實時數據的抽象意圖。

上下文的提取不限于以上方式，關鍵是從風險驅動的各個維度，包括資產、脆弱性、威脅等，提取告警關聯的“故事細節”。細節的豐富程度，決定了告警分診的置信度參數。

3.6.12 態勢感知與預警

態勢感知與預警的含義是以系統的、整體的、全局的視角，基于網絡運行狀態數據、情報數據等，抽取、聚合、抽象網絡空間關鍵要素，針對環境變化、攻擊意圖、行為趨勢進行理解，持續監測安全狀態，預警可能發生的風險事件，為事件應急處置提供必要的決策依據[22]。

態勢感知技術的關鍵在于態勢要素的提取、融合、消歧，及基于要素數據的關系推理。從威脅情報的角度理解態勢要素，可包含攻擊模式、戰役、防護策略、身份、威脅指標、惡意軟件、脆弱性、工具、攻擊者等風險關聯要素。以網絡中攻擊者的行為模式為例，通過安全日志、威脅情報數據提取行為特征，并基于特征集合和特征關系的相似程度定義攻擊模式，從而將日志數據抽象成攻擊行為事件，實現對海量多源異構日志數據的融合并范式化為以攻擊模式為主的安全事件，為安全事件分析推理奠定數據基礎。在推理方面，可基于融合的知識圖譜結構，結合圖表示學習、社交網絡傳播、團伙聚類、路徑搜索與推理等方法，在本體實例化數據上完成語義對齊與擴充、攻擊鏈推理、攻擊事件聚合溯源等任務，以識別關鍵局部風險與整體風險點。

3.6.13 風險偏好學習

風險偏好學習的含義是打通人機交互的閉環，通過收集反饋信息，學習專家潛在的、運營導向的風險偏好，識別決定資產、威脅、脆弱性、策略等運營要素風險值的關鍵數據特征，實現知識先驗與數據規律的深度融合，提升系統的決策輔助能力。

風險偏好學習的關鍵是面向風險的特征提取與基于用戶反饋的偏好擬合。限于時間開銷，傳統安全運營的驅動力是一些固化的、靜態的、基于經驗的策略集合。例如特定的漏洞等級、威脅等級與類型等等。而數據層次動態的關聯關系、依賴關系，需要通過數據挖掘的方式進行抽取，這些特征通過資產、脆弱性、威脅、防護策略等風險維度進行組織形成風險特征集合，能夠向技術平臺消費者——運營人員提供數據洞見，輔助事件的理解與策略的選擇。進一步，通過構建友好的、可理解的人機交互界面，收集專家在運營流程中的訪問行為、偏好分數、頁面駐留、描述性反饋等關鍵信息，在系統后臺，基于機器學習或強化學習算法，實現對用戶偏好與風險特征集合的數據擬合或自動調整，自適應更新大規模漏洞、資產、線索、事件、策略的動態用戶認知風險，最終向運營專家提供量化風險的排序結果。

3.6.14 攻擊模擬動態規劃

攻擊模擬動態規劃的含義是基于環境信息和攻擊能力圖譜，自適應評估攻擊模擬效果，實時調整下一步攻擊策略、技術實現與路徑選擇，支撐自動化突破與攻擊模擬技術[23]，提升滲透測試、脆弱性評估等主動風險感知運營環節的自動化水平。

攻擊模擬動態規劃的關鍵在于動作、狀態、環境和反饋結果的動態建模，以及基于模型空間的學習過程。在建模方面，核心是規劃關聯元素的量化表達、交互流程、狀態更新函數的設計。在學習方法上，動態規劃、博弈建模、強化學習、遞歸貝葉斯估計等經典動態決策框架和算法能夠捕獲攻擊策略選擇、多元環境信息與指定攻陷目標函數之間的潛在模式，實現長周期、多階段的路徑自動化規劃。

3.6.15 自適應防護策略生成

自適應防護策略生成的含義是針對持續的線索發現、事件重構、情報命中、脆弱性和資產識別的結果，基于指定的風險管控目標，動態地從可行防護策略候選列表中選擇最佳防護手段，并生成具有可執行參數、步驟、任務依賴的防護策略集合[24]，供運營人員判定或交由調度單元直接下發到指定執行單元。

自適應防護策略生成的核心在于博弈驅動的策略效果預估與在線策略要素提取。策略效果預估可類比強化學習中的回報函數設計。策略回報的計算需要考慮具體的運營場景。日志或漏洞分診場景中，漏洞潛在風險、事件規模對人力資源的要求、平均關鍵任務調查處置時間等因素值得關注；攻擊事件響應場景下，對正常業務的誤殺率、攻擊事件的阻斷率、策略執行周期、策略回收周期等因素影響回報的計算結果。核心回報激勵計算之外，環境、行動、策略狀態空間的構建，也是強化學習等馬爾科夫決策框架的重點。防護策略的制定不止于選定特定的策略類型，還需相應的配置策略參數，包括策略自身的閾值、選項、作用域等，以及作用對象的特征、狀態、趨勢等等。這些策略參數一方面需要結合前述學習過程習得統計性、關聯性映射，另一方面需要自適應的數據模式抽取算法，提供在線的、實時的元素特征。

3.6.16 透明可審計響應

透明可審計響應的含義是自動化的事件響應需要保持足夠的透明度，并提供可供審計的接口與響應審計范本，以在保證系統行動自主性的同時，向運營人員提供完整的、細粒度、結構化、可量化的響應流程、關鍵數據及其效果反饋[25]，實現自動化響應技術整體可管控。透明可審計響應能力的實現是橫跨整個智能數據驅動技術棧的，是感知-認知-決策-行動的融合體現。

行動響應透明可審計的關鍵在于關聯技術的透明可解釋性、行動目標一致性判定及結構化響應報告生成。行動響應（告警分診、事件響應、故障恢復）的執行依賴多個前置技術能力，這些技術能力的實現過程中需要兼顧模型、方法的可解釋性，具體可參考前述章節，不在此贅述。策略的部署執行的效果，需要行動單元驅動感知單元、認知單元和決策單元，共同收集并判定，以有效監控、評估與預期目標的偏差量。最后，在行動階段，需要持續匯集決策輸出、響應狀態、環境反饋等維度的響應要素度量值，并通過結構化、指標化形式的響應審計報告。防護策略樹（Attack Countermeasure Trees, ACT）框架通過構建量化的策略決策體系，并以樹形結構組織策略的觸發條件與依賴關系，能夠以精確的、因果導向的方式表達、概述行動流程。除了樹模型之外，基于馬爾科夫框架的、基于因果依賴圖的結構化響應概述方法，都能夠有效融合多維度策略響應元素，形成可解釋、可審計的響應反饋數據結構。

以上技術圖譜中的技術之間有著復雜的依賴關系。整體來看，層次高、位置偏上的技術實現與有效性依賴其下方技術的實現效果。例如，因果認知中的告警分診與誤報緩解技術，依賴于同層次攻擊意圖理解的建模，以及更低層次的技術，包括風險感知與融合建模的多項子技術。值得注意的是，圖8中技術的依賴關系與位置關系不是明確對應的。還是以告警分診與誤報緩解技術為例，其與攻擊路徑溯源技術之間是互相依賴的。溯源技術提供的上下文能支撐更為準確的告警分診；同時有效地剔除誤報、識別高危告警，能夠減輕依賴爆炸、降低溯源的難度，提升攻擊者、攻擊源識別的效率。

圖8 AISecOps前沿技術分類圖譜Fig.8 Classification profile for AISecOps frontier technologies

4 總結與展望

網絡安全技術發展已進入以安全風險全生命周期自適應管控與運營為核心的新階段，面對大規模、多源、高維運營數據的涌入與融合，構建可信任的、可運營的智能安全運營技術體系，支撐網絡安全防御體系邁向高度智能化、自動化，解放安全運營的生產力，已成為新基建數字安全時代的重要技術課題。

本文全面分析了網絡安全運營大數據所面臨的關鍵技術挑戰，提出AISecOps智能安全運營技術體系框架。從安全運營的實踐出發，深度總結AISecOps技術內涵、指標體系、成熟度矩陣、數據分類、技術架構，提出AISecOps智能化技術分類圖譜，系統性總結十六大關鍵基礎性技術，期望技術體系的提出能夠促進AISecOps技術體系的成熟與行業生態的共建，為網絡安全運營技術的發展提供實踐驅動的基礎推動力。

利益沖突聲明

所有作者聲明不存在利益沖突關系。