在SOC中集成AI Agent工作流程，端到端自动处理警报

K7DVZi

传统SOC 不能承受之重
在传统的模式下，网络安全分析师团队需要24/7运作，以调查警报、确定其严重性并采取必要行动。
在传统的检测和响应中，检测并不容易实现，而且人工响应无法匹配所需的机器级速度。当检测逻辑在满足特定阈值或行为时，就会触发"警报"。人工分析师需要执行多个决策，以准确响应每个警报。通常，处理一个警报关系到所涉及的用户、相关活动、所涉系统的性质，并对发生的情况进行详细调查。
为了处理一个警报，分析师需要做很多事情，比如查看网络流量中的异常情况、检查多个进程和日志源、检查HTTP头、沙箱分析、解码混淆脚本、扫描和隔离设备、阻止恶意入侵指标、隔离恶意载荷、从用户收件箱中删除恶意邮件、收集工件、重置凭据、撰写报告等，具体取决于情况。
分析师还需要使用多种工具和技术，如安全信息和事件管理(SIEM)、安全编排、自动化和响应(SOAR)、终端检测和响应(EDR)、开源情报(OSINT)等，来完成这些任务。
如有必要，SOC分析师还需要牵涉多个其他团队，如网络情报、威胁搜寻、法律、事件响应和管理、数据保证、网络安全、云安全、身份和访问管理等。此外，分析师还必须留意在警报事件相应时间段内是否存在任何未被检测到的可疑事件。分析师需要在巨大压力下实时执行所有这些任务，以确保不会错过任何真正的事件。是的，这确实是很多工作。
为了避免SOC分析师的倦怠和警报疲劳，需要通过使用 AI Agent自动执行日常任务来转变 SOC 策略。
许多重复性人工任务都可以通过AI Agent和工作流程实现自动化，从而提高分析师的工作效率并缩短响应时间。在许多情况下，只要获得所需权限进行更改，集成的AI Agent就可以端到端处理警报。
了解AI Agent的工作原理
每个行业都在依赖某种形式的自动化来替代简单和机械的人力劳动。人们大量使用机器人流程自动化(RPA)来自动化重复性任务。RPA在使用预定义规则时表现出色，但它无法做出新的决策，无法从反馈中学习，需要持续的人工监督。
由多个此类代理组成的自动化系统缺乏灵活性，而且对这些系统进行更改可能会很麻烦。这些传统的自动化代理没有任何记忆或反馈循环来自行进化，也无法尝试做出类似人类的决策。
大语言模型(LLM)的潜力不仅仅体现在生成出色的内容和程序上。AI Agent和智能AI系统利用生成式AI模型和LLM来自主执行任务代表最终用户。
可以将AI Agent视为高级软件程序，它们不仅可以像传统自动化代理一样自动执行任务，还可以动态调整其行为。与这些代理的交互可以采取用户的自然语言提示(NLP)或来自另一个代理的函数调用的形式。
AI Agent可以根据以反馈形式接收的新训练数据来调整其行为。在由LLM驱动的自主代理系统中，LLM充当代理的"大脑"，并由多个其他工具、行动手册和记忆组件来补充。为了构建更加健壮的代理，我们必须限制其范围，可以在大规模使用一系列AI Agent来实现高度智能自动化，从而逐步发展并复制出类似人类的决策能力，而不是期望单个代理自主工作。
图片
AI Agent以连续的循环方式运作，它们接收输入并对其进行处理以采取必要行动。这个循环是连续的，允许代理根据需要动态改变行为。基于规则的系统、机器学习模型或决策树都可以实现代理的功能。
以下是对AI Agent的简单概述，这些类别可能存在不同的变体和重叠：

• 简单反射代理：根据当前的环境状态采取行动。使用预定义规则响应即时条件。
  
• 基于模型的反射代理：维护环境的内部模型。考虑过去的状态以做出超出即时输入的决策。
  
• 基于目标的代理：具有明确的目标，并根据实现这些目标的进展来评估行动。选择使他们更接近目标的行动。
  
• 基于效用的代理：基于效用函数来优化性能。做出能最大化预期幸福感或满意度的决策。
  
• 学习型代理：通过经验学习来提高性能。随着时间推移适应和完善其行为。
  

AI Agent驱动的半自主网络SOC
为了处理警报，SOC分析师依赖标准操作程序(SOP)或行动手册，以确保在应对潜在威胁时不会遗漏任何内容。SOP和行动手册还确保了不同分析师采取的行动的一致性。
SOP和行动手册是一组可以自动化的重复性任务。静态自动化很难适应动态需求，并且难以修改。AI Agent可以通过适应新信息并相应调整行动来解决这个问题。将这些程序作为对代理的指令可以大幅提高响应速度并减少人为错误。
为了处理警报，SOC 分析师依靠标准作程序 （SOP） 或手册来确保在解决潜在威胁时不会遗漏任何内容。SOP 和手册还确保不同分析师采取的行动之间的一致性。
半自主SOC的架构图
不同AI Agent的描述如下：
数据摄取和丰富代理

• 警报获取器-从各种安全工具(SIEM、EDR、IDS/IPS等)接收警报；
  
• 警报聚合器-关联、去重和优先级排序警报；
  
• 实体提取器-提取关键实体(IP地址、用户账户、终端等)；
  
• 上下文收集器-收集相关上下文信息(用户角色、以前的警报、终端性质、访问级别、成员资格、文件普及率等)；
  
• 丰富代理-使用威胁情报和上下文丰富实体。
  

调查和分析代理

• 调查代理-将警报分配给AI SOC分析师，并尝试根据触发的规则制定上下文。该代理评估来自其他AI Agent的响应；
  
• 证据收集器-收集和保存与该警报相关的证据；
  
• 证据分析器-对文件进行沙箱分析、扫描URL、解码脚本等。
  

决策和响应代理

• 行动确定器-建议采取适当行动(阻止、隔离、隔离)；
  
• 行动排序代理-确定执行行动的最佳顺序；
  
• 记录制作代理-记录事件调查和响应过程；
  
• 决策制定代理-评估整体响应策略；
  
• 响应代理-根据顺序执行自动化行动；
  
• 升级代理-将关键事件升级给人工分析师。
  

控制和协调代理

• 通知代理-通知相关人员关键警报；
  
• 错误报告代理-监控并报告AI Agent和集成中的错误；
  
• 验证代理-监控已执行的行动，确保所需行动已完成。
  

以上只是一个简化的表示。实际实现过程中可能涉及更复杂的交互和其他AI Agent。
发现系统上存在不受欢迎的黑名单软件的示例
假设在名为theonlyhost-win的主机上发现了一个名为ThisIsBad.exe的恶意工具。SIEM根据该可执行文件在设备上枚举用户名的不良声誉触发了警报。在这种情况下，EDR策略设置为仅发出警报，而不阻止或删除。
警报获取代理从SIEM接收警报，实体提取器代理提取关键实体，如用户名theusualsuspect、主机名和文件名。丰富代理使用威胁情报(如通过动态分析获得的声誉和行为信息)丰富文件信息。 
调查代理将警报分配给AI SOC分析师，并与证据收集代理和证据分析代理通信，以保存文件、在沙箱中运行它并获取详细行为。调查代理评估结果，并基于与经过训练以识别文件执行行为中可疑模式的自定义LLM的不断通信和集成，注意到基于枚举设备上登录的用户的可疑行为。
决策和响应代理共同阻止该文件、删除它、在设备上启动实时扫描、记录笔记并向人工分析师推荐政策更改。
下图给出了AI Agent如何协同工作并采取行动的概念。这种表示在实际实现中可能会有所变化，可能涉及AI Agent、LLM、自定义行动手册和所有必需信息源之间的更多通信。
如果下次发现同一文件，AI Agent将学习这种行为并自动执行操作。如果正确实施，AI Agent驱动的半自主SOC系统的这种能力将为组织节省大量时间和资源，并加强安全态势。
AI Agent处理事件的高级视图
将AI Agent驱动的工作流集成到SOC中
上述框架的真正威力在于将AI Agent与SOC工作流的其他领域相结合。在SOC中，除了处理警报之外，一些重要操作，如发送电子邮件、与不同团队提出票证、更新和关闭案例、记录以备将来参考等都是手动完成的。
创建工作流允许AI Agent在一定程度上独立运作并持续改进。处理SOC中的实际场景需要超自动化。在保持一定自主性的同时，保持人工参与以实现高精度也是至关重要的。最新进展允许跨多个平台和产品构建灵活的工作流，并实现本机集成。 
快速生成用于处理自定义场景的复杂工作流的能力将是实现向半自主SOC过渡的关键。随着我们对AI驱动的超自动化的依赖不断增加，我们将充分利用人类专业知识来设计健壮的工作流，以管理重复性任务。
当前面临的挑战

• 模型会限制代理，因此在网络安全环境中对它们进行严格训练和测试至关重要。
  
• AI模型在类似于其训练数据的数据上表现最佳。不熟悉的环境可能会严重影响其有效性。
  
• AI模型和AI Agent本身可能成为攻击目标，从而损害系统的有效性。
  
• AI Agent的可追溯性也是确保SOC查看所有采取行动的关键，以防需要重新审视某一事件。
  
• 必须彻底评估授予访问工具、用户数据、文档、SOP等的风险。
  

除了上述挑战外，组织可能还会面临基于其当前SOC能力成熟度水平和实施新方法所涉及的资源而产生的未知挑战。
我们当前所面临的网络威胁错综复杂，来势汹汹。我们要秉持开放、创新的心态，勇于拥抱新技术，才能掌握主动权。
参考链接：https://dzone.com/articles/integrating-ai-agent-workflows-soc