安全运营中心最常见的困境不是缺少告警，而是告警太多：一条真实攻击线索可能被埋在上千条重复与低价值告警里。本实验室近期的实验方向，是把智能体（Agent）放在告警与分析师之间，承担"预处理与串联"的工作，而非直接下判断。
具体做法上，智能体接收原始告警后，按固定流程调用工具：查询资产台账确认主机归属与重要性、比对历史工单判断是否重复、关联威胁情报与近72小时同源行为，最后输出一份带证据链的研判建议——包括疑似攻击阶段、影响面、建议优先级和仍需人工确认的疑点。所有结论必须附原始日志引用，无法溯源的信息一律标注为"待验证"，不允许补全。
阶段性进展：在某内网测试环境重放约1.2万条历史告警，智能体将同一事件的碎片告警归并为约4300个事件簇，需人工优先处理的条目比例从原先约三成降至约一成；同时暴露出两类问题，一是跨日志源时间戳偏移导致的因果误判，二是权限较新的资产在台账中缺失，导致影响面评估偏低。
下一步计划：将智能体接入只读查询接口并加装操作白名单与全量审计日志，仅保留"建议"权限；同时用历史已确认事件做回溯评估，重点量化漏报率，避免降噪以牺牲检出为代价。
评论