九游老哥云
AISecOps白皮书英华解读之手艺系统篇
2021-03-12
“AISecOps手艺是以清静运营目的为导向，以人、流程、手艺与数据的融合为基础，面向预防、检测、响应、展望、恢复等网络清静危害管控、攻防对抗的要害环节，构建数据驱动、具有高自动化水平的可信托清静智能手艺栈，可实现清静智能领域下的感知、认知、决议与行动能力，辅助甚至取代人在动态情形下完成种种清静运营服务 。”
本文为《AISecOps白皮书英华解读之配景内在篇》的姊妹篇，基于上述AISecOps的焦点内在，将重点从指标系统、数据系统、手艺框架、手艺成熟度、手艺图谱等条理，先容AISecOps的手艺系统构建 。
AISecOps指标系统
网络清静运营能力的提供以目的为导向，从企业、组织、国家的愿景目的出发，进而构建清静运营使命级别的运营指标，进一步指导构建数据与剖析层面的手艺指标，最终形成图1 所示的条理化指标系统，以评估手艺实现的有用性 。
愿景目的指企业、组织、国家等主体层面的焦点清静、营业、商业目的 。例如，维护IT基础设施的稳固运行，�；そ沟闶葑什�，维护品牌价值的清静性等 。这些愿景目的与主体的生长目的密不可分 。
运营指标以愿景目的为基础，针对网络清静相关的营业能力制订清静运营焦点指标，以评估清静运营能力水平 。在运营指标的导向下，需要有针对性地对数据融合水平和剖析手艺水平举行评估，以增进手艺能力的迭代 。
在数据层面，需要思量包括笼罩率、规范化、存储时效、多样性、交互性等指标；在剖析层面，不但要思量古板机械学习等手艺的评估指标，包括展望准确性、召回率、ROC等，还重点考察场景笼罩率、TOPN召回率/误报率、整体/单点误报率及模子可诠释性等面向可运营、易运营的剖析指标，以合理增进手艺与人、流程的深度融合 。
图1 AISecOps指标系统
AISecOps数据系统
目今，大规模多维度网络清静大数据的接入，为通过数据剖析发明、处置惩罚网络威胁带来了全新时机 。但思量到可用的存储、盘算资源有限，对清静数据源的甄选和统一处置惩罚就显得尤为主要 。从网络攻防的对抗实质出发，以给定的网络空间为战场，以�；ぷ什òㄊ堤遄什托槟庾什┎⒐セ魍仓魈逦康�，智能化的威胁剖析应该网络并构建以下维度的要害数据图，如图2 所示 。
情形数据图 。如资产、资产懦弱性、文件信息、用户信息、IT系统架构信息等 。
行为数据图 。如网络侧检测告警、终端侧检测告警、文件剖析日志、应用日志、蜜罐日志、沙箱日志等 。
情报数据图 。种种外部威胁情报 。
知识数据图 。种种知识库（如ATT&CK、CAPEC、CWE）等 。
图2 AISecOps数据分类
种种清静关联数据（包括但不限于以上四个种别）已在许多大数据剖析场景中被接纳，但仍然没有成熟、统一的系统形貌这些数据的分类和使用模式 。故应将这里枚举的四类数据，从网络威胁事务剖析实践出发，通过图结构组织起来，实现每个种别图内关联和差别种别图间关联，以知足网络空间对抗的基本战术需求，包括对情形的掌握、对威胁主体行动的明确、对外部情报的融合以及储备基本知识 。四图分立，又通过指定类型的实体举行关联，在包管差别类型图数据表达能力的同时，实现了全局的毗连能力 。
AISecOps手艺框架
图3 叙述了AISecOps的手艺框架，针对清静运营手艺中的要害环节，参考人工智能的经规范式“感知-认知-决议-行动”和经典作战决议OODA循环模子的“视察-调解-决议-执行”系统，举行子使命及其阶段划分，每个阶段包括多个差别子使命 。
图3 AISecOps手艺框架
整体上，AISecOps手艺框架包括两个大的循环 。一个是图中实线笼罩的机械自循环，这是AISecOps追求的运营要害使命自动化的最终目的 。另一个是图上虚线笼罩的人-机协同循环，这一部分重点描绘人需要加入到运营自动化的每个要害环节中，同时充分获取机械的数据反响 。高水平运营自动化实现的要义仍然是对“数据-信息-知识”条理化的剖析与挖掘，以应对动态不确定性的网络空间情形与高交互的攻防对抗历程 。因此，唯有夯实网络空间数据的多层级使命能力基础，才华阻止搭建清静使命自动化的“蜃楼海市” 。现实上，现阶段的威胁识别、溯源、展望等要害手艺能力的智能化水平，仍难以有用支持基于SOAR的精准响应 。事务误判、毗连误杀、决议黑箱等多种类型的手艺瓶颈，使得更高水平的自动化智能化实现在涉及高危害、要害决议的清静场景下难以有用安排 。因此在目今阶段下，人-机智能的充分融合，就显得尤为要害了 。
AISecOps手艺成熟度
如图4 所示，凭证清静运营要害使命的自动化水平，参考自动驾驶自动化分级，将AISecOps手艺的自动化水平划分为L0~L5六个条理，对应无自动化到完全自动化 。
图4 AISecOps手艺框架
通过手艺框架的横向手艺阶段划分，明确了清静运营手艺智能化的要害需求与使命；通过基于手艺成熟度的纵向分级，能够有用划定现阶段生长条理与未来的生长偏向 。以上分类、分级计划，形成了AISecOps要害能力成熟度矩阵，以期现有的手艺计划能够更快速的找到其在AISecOps手艺领域的定位，并与其他手艺能力快速融合互动 。
通过AISecOps手艺成熟度矩阵的构建，能够让手艺从业者不囿于手艺泡沫造成的疑心 。现在来看，在清静运营的智能化手艺领域中，我们整体上仍处于L1~L2级别的手艺生长阶段，多个单点手艺水平已经在更高条理有所突破 。同时我们所网络的数据、构建的模子、优化的算法及搭建的系统，在特定场景下还未能有用切合清静运营的指标导向性需求，更不必说跨场景、自顺应的更高层级运营自动化能力 。总之，我们从实践的履历出发，距离高可用的、高自动化水平的智能清静运营手艺仍有较远旅程 。
AISecOps前沿手艺图谱
AISecOps智能清静运营手艺尚处于快速演进的阶段，所接纳的手艺计划迭代非�？� 。为了充分探讨手艺的未来生长偏向，定位要害能力瓶颈，白皮书总结了面向清静运营自动化、智能化的十六种基础前沿手艺，并形成手艺图谱，以期为网络清静运营场景构建领域手艺“内功心法”图谱，如图5 所示 。
图5 AISecOps前沿手艺图谱
手艺图谱在横向上，凭证面向攻击对抗的识别粒度举行手艺领域划分，粒度自微观到宏观，包括指纹与特征、手艺与行为、战术与意图、战争与组织、战争与态势 。在纵向上，凭证AISecOps智能化的经典手艺阶段举行划分，包括数据层面的融合建模，以及剖析层面的危害感知、因果认知、鲁棒决议、认真行动五大阶段 。同时，凭证手艺的焦点数据源差别，通过颜色举行区分，涵盖情形数据、情报数据、知识数据、行为数据以及融合多维的综合数据 。通过总结并归类十六种要害手艺，试图厘清AISecOps的手艺分类，以支持手艺计划的细粒度笼统与整合，支持清静运营智能手艺中台等基础平台能力的构建 。
AISecOps手艺系统的总结，为智能清静运营手艺的进一步生长提出了条理的、系统的、前瞻的研究、应用要领论，为手艺蹊径的制订指明晰偏向 。后续英华解读，将带来AISecOps手艺生长趋势，敬请期待 。
