安全运营 Agent 详解

Team Leader

Team Leader基于通义千问（Qwen）系列模型构建，是整个Agent架构的中枢调度节点，承担以下职责：

• 全局调度：接收并理解用户输入意图或系统触发事件，进行任务规划，将复杂安全运营任务拆解为多个子任务。

• 任务拆解：将高层级的安全运营目标分解为具体的、可执行的子任务，分配给对应的专业Agent团队。

• 复杂决策：在多个Agent团队之间进行决策协调，确定任务的执行顺序和优先级。

专业Agent团队

日志标准化Agent

日志标准化Agent利用语义识别技术，自动理解多源异构日志并生成高质量SPL（Search Processing Language）查询语句，统一语义、免写查询语句，仅需微调，大幅降低用户学习与使用门槛，加速日志标准化接入效率。

• 核心能力：

  • 自动理解不同格式的原始日志结构和字段含义。

  • 一键生成SPL语法，将原始日志字段映射为标准化安全数据模型。

  • 支持用户通过简单的点选方式微调标准化规则，无需手动编写复杂的解析语句。

• 使用样例：

  1. 访问云安全中心控制台-Agentic SOC-管理-接入设置，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。

  2. 在接入设置的标准化规则页签，修改或创建自定义接入规则时，填写完日志样本后，可唤起安全AI助手获取优化建议。

  

事件调查Agent

事件调查Agent基于ReAct/CoT（Chain of Thought）推理框架。持续感知环境变化，当有新的主机、网络告警关联到事件时，且事件状态为“未处理”时，将自主开始事件调查和研判分析工作。将长达数小时甚至数天的繁琐调查工作压缩到分钟级。

• 核心能力：

  • 事件调查Agent提供明确的研判结论：真实攻击、疑似误报或信息不足。

  • 基于Qwen 系列模型构建核心调查能力，支撑事件定性、实体识别、攻击路径推理任务，根据事件调查结果综合分析影响面，还原攻击路径和时间线。

• 使用样例：

  • 可在Agentic SOC > 安全事件页面查看，AI研判结果。

    

  • 在事件详情页查看事件概述，影响面说明，涉及的攻击链阶段，检测规则和告警来源等，通知提供溯源图查看完整的攻击链路和时间线。

    

事件调查报告Agent

• 核心能力：事件调查报告Agent从事件应急响应专家角度，输出完整的事件调查技术报告，复盘完整安全事件经过，汇总证据信息和处置过程，提供体系化改进建议。报告内容包括事件定性与摘要、攻击链路和时间线、影响面评估、根因分析、IOC（攻击指标）证据指标、体系化加固建议。

• 使用样例：进入目标事件详情页，单击顶部的完整报告，进入报告详情页。

  

实体研判Agent

实体研判Agent基于AI Agent综合研判恶意实体的风险程度，自主推理决策调用哪个剧本或工具进行处置。

• 核心能力：

  • 展示针对实体对象的分析过程，包括基本信息、研判过程、研判结论和处置建议。

  • 支持通过安全AI助手唤起实体分析，对IP、文件、进程、域名、主机、容器等实体进行研判。

  • 判定为恶意时，自动推荐处置策略并可一键执行。

• 使用样例：进入事件详情页，在实体页签定位至需要处理的实体，单击AI分析。

  

事件处置Agent

从事件应急响应专家角度，根据事件调查结果，综合分析影响面，提供阶段性、谨慎的处置建议，人工审核后自动执行。

• 核心能力：

  • 智能处置推荐：调取日志、漏洞、情报、业务上下文，准确校验处置方案。

  • 秒级响应：自动调用工具（剧本、情报、沙箱、OpenAPI等）执行封禁、隔离、查证等操作。

  • 人工审核机制：关键决策节点支持人工确认，兼顾效率与安全。

• 使用样例：

  1. 在安全事件首页，针对目标事件，单击操作列推荐处置。

  2. 在Agent 推荐处置策略面板，选中需处置的恶意实体。

     说明

     Agent将自动选择合适的剧本，并配置好相关的参数，无需人工修改。

     

  3. 人工确认后，单击确定处置。

威胁检测Agent

• 核心能力：多个垂域智能体，对海量多源异构数据进行深度语义理解、关联推演与攻击溯源，从而实现全天候、自动化且精准识别各类已知与未知安全威胁的综合性数字安全中枢。

• 使用样例：恶意Web流量回溯Agent根据主机侧异常告警，回溯恶意Web流量，关联主机告警与WAF流日志，实现从告警到溯源线索、从新告警到跨域关联事件的完整分析链路，并生成对应的安全告警。