AG公司云
AISecOps白皮书英华解读之手艺系统篇
2021-03-12
“AISecOps手艺是以清静运营目的为导向 ，以人、流程、手艺与数据的融合为基础 ，面向预防、检测、响应、展望、恢复等网络清静危害管控、攻防对抗的要害环节 ，构建数据驱动、具有高自动化水平的可信托清静智能手艺栈 ，可实现清静智能领域下的感知、认知、决议与行动能力 ，辅助甚至取代人在动态情形下完成种种清静运营服务。”
本文为《AISecOps白皮书英华解读之配景内在篇》的姊妹篇 ，基于上述AISecOps的焦点内在 ，将重点从指标系统、数据系统、手艺框架、手艺成熟度、手艺图谱等条理 ，先容AISecOps的手艺系统构建。
AISecOps指标系统
网络清静运营能力的提供以目的为导向 ，从企业、组织、国家的愿景目的出发 ，进而构建清静运营使命级别的运营指标 ，进一步指导构建数据与剖析层面的手艺指标 ，最终形成图1 所示的条理化指标系统 ，以评估手艺实现的有用性。
愿景目的指企业、组织、国家等主体层面的焦点清静、营业、商业目的。例如 ，维护IT基础设施的稳固运行 ，�；そ沟闶葑什� ，维护品牌价值的清静性等。这些愿景目的与主体的生长目的密不可分。
运营指标以愿景目的为基础 ，针对网络清静相关的营业能力制订清静运营焦点指标 ，以评估清静运营能力水平。在运营指标的导向下 ，需要有针对性地对数据融合水平和剖析手艺水平举行评估 ，以增进手艺能力的迭代。
在数据层面 ，需要思量包括笼罩率、规范化、存储时效、多样性、交互性等指标；在剖析层面 ，不但要思量古板机械学习等手艺的评估指标 ，包括展望准确性、召回率、ROC等 ，还重点考察场景笼罩率、TOPN召回率/误报率、整体/单点误报率及模子可诠释性等面向可运营、易运营的剖析指标 ，以合理增进手艺与人、流程的深度融合。
图1 AISecOps指标系统
AISecOps数据系统
目今 ，大规模多维度网络清静大数据的接入 ，为通过数据剖析发明、处置惩罚网络威胁带来了全新时机。但思量到可用的存储、盘算资源有限 ，对清静数据源的甄选和统一处置惩罚就显得尤为主要。从网络攻防的对抗实质出发 ，以给定的网络空间为战场 ，以�；ぷ什òㄊ堤遄什托槟庾什┎⒐セ魍仓魈逦康� ，智能化的威胁剖析应该网络并构建以下维度的要害数据图 ，如图2 所示。
情形数据图。如资产、资产懦弱性、文件信息、用户信息、IT系统架构信息等。
行为数据图。如网络侧检测告警、终端侧检测告警、文件剖析日志、应用日志、蜜罐日志、沙箱日志等。
情报数据图。种种外部威胁情报。
知识数据图。种种知识库（如ATT&CK、CAPEC、CWE）等。
图2 AISecOps数据分类
种种清静关联数据（包括但不限于以上四个种别）已在许多大数据剖析场景中被接纳 ，但仍然没有成熟、统一的系统形貌这些数据的分类和使用模式。故应将这里枚举的四类数据 ，从网络威胁事务剖析实践出发 ，通过图结构组织起来 ，实现每个种别图内关联和差别种别图间关联 ，以知足网络空间对抗的基本战术需求 ，包括对情形的掌握、对威胁主体行动的明确、对外部情报的融合以及储备基本知识。四图分立 ，又通过指定类型的实体举行关联 ，在包管差别类型图数据表达能力的同时 ，实现了全局的毗连能力。
AISecOps手艺框架
图3 叙述了AISecOps的手艺框架 ，针对清静运营手艺中的要害环节 ，参考人工智能的经规范式“感知-认知-决议-行动”和经典作战决议OODA循环模子的“视察-调解-决议-执行”系统 ，举行子使命及其阶段划分 ，每个阶段包括多个差别子使命。
图3 AISecOps手艺框架
整体上 ，AISecOps手艺框架包括两个大的循环。一个是图中实线笼罩的机械自循环 ，这是AISecOps追求的运营要害使命自动化的最终目的。另一个是图上虚线笼罩的人-机协同循环 ，这一部分重点描绘人需要加入到运营自动化的每个要害环节中 ，同时充分获取机械的数据反响。高水平运营自动化实现的要义仍然是对“数据-信息-知识”条理化的剖析与挖掘 ，以应对动态不确定性的网络空间情形与高交互的攻防对抗历程。因此 ，唯有夯实网络空间数据的多层级使命能力基础 ，才华阻止搭建清静使命自动化的“蜃楼海市”。现实上 ，现阶段的威胁识别、溯源、展望等要害手艺能力的智能化水平 ，仍难以有用支持基于SOAR的精准响应。事务误判、毗连误杀、决议黑箱等多种类型的手艺瓶颈 ，使得更高水平的自动化智能化实现在涉及高危害、要害决议的清静场景下难以有用安排。因此在目今阶段下 ，人-机智能的充分融合 ，就显得尤为要害了。
AISecOps手艺成熟度
如图4 所示 ，凭证清静运营要害使命的自动化水平 ，参考自动驾驶自动化分级 ，将AISecOps手艺的自动化水平划分为L0~L5六个条理 ，对应无自动化到完全自动化。
图4 AISecOps手艺框架
通过手艺框架的横向手艺阶段划分 ，明确了清静运营手艺智能化的要害需求与使命；通过基于手艺成熟度的纵向分级 ，能够有用划定现阶段生长条理与未来的生长偏向。以上分类、分级计划 ，形成了AISecOps要害能力成熟度矩阵 ，以期现有的手艺计划能够更快速的找到其在AISecOps手艺领域的定位 ，并与其他手艺能力快速融合互动。
通过AISecOps手艺成熟度矩阵的构建 ，能够让手艺从业者不囿于手艺泡沫造成的疑心。现在来看 ，在清静运营的智能化手艺领域中 ，我们整体上仍处于L1~L2级别的手艺生长阶段 ，多个单点手艺水平已经在更高条理有所突破。同时我们所网络的数据、构建的模子、优化的算法及搭建的系统 ，在特定场景下还未能有用切合清静运营的指标导向性需求 ，更不必说跨场景、自顺应的更高层级运营自动化能力。总之 ，我们从实践的履历出发 ，距离高可用的、高自动化水平的智能清静运营手艺仍有较远旅程。
AISecOps前沿手艺图谱
AISecOps智能清静运营手艺尚处于快速演进的阶段 ，所接纳的手艺计划迭代非�？�。为了充分探讨手艺的未来生长偏向 ，定位要害能力瓶颈 ，白皮书总结了面向清静运营自动化、智能化的十六种基础前沿手艺 ，并形成手艺图谱 ，以期为网络清静运营场景构建领域手艺“内功心法”图谱 ，如图5 所示。
图5 AISecOps前沿手艺图谱
手艺图谱在横向上 ，凭证面向攻击对抗的识别粒度举行手艺领域划分 ，粒度自微观到宏观 ，包括指纹与特征、手艺与行为、战术与意图、战争与组织、战争与态势。在纵向上 ，凭证AISecOps智能化的经典手艺阶段举行划分 ，包括数据层面的融合建模 ，以及剖析层面的危害感知、因果认知、鲁棒决议、认真行动五大阶段。同时 ，凭证手艺的焦点数据源差别 ，通过颜色举行区分 ，涵盖情形数据、情报数据、知识数据、行为数据以及融合多维的综合数据。通过总结并归类十六种要害手艺 ，试图厘清AISecOps的手艺分类 ，以支持手艺计划的细粒度笼统与整合 ，支持清静运营智能手艺中台等基础平台能力的构建。
AISecOps手艺系统的总结 ，为智能清静运营手艺的进一步生长提出了条理的、系统的、前瞻的研究、应用要领论 ，为手艺蹊径的制订指明晰偏向。后续英华解读 ，将带来AISecOps手艺生长趋势 ，敬请期待。
