生成式AI在安全工作中的应用案例 — 从SOC分析到云安全

生成式AI将取代安全专业人员的说法近乎夸大。然而，它无疑是一个工具，能够减少安全工作中占据相当大比例的阅读、总结、比较、起草和重复查询等任务。

安全团队每天面临的数据是庞大的。

数百个安全警报
冗长复杂的日志
混淆的脚本
新披露的漏洞和威胁情报
云和Kubernetes配置文件
安全策略、检查结果和事件报告

问题不在于信息不足，而在于信息过多，导致难以及时找到关键信号。生成式AI在将这些信息转化为易于人类判断的形式方面特别有用。

本文将不侧重于产品介绍，而是以实际安全工作为基础，探讨生成式AI的应用场景。每个案例都将阐明可以委托给AI的任务、预期结果以及人类需要验证的内容。

生成式AI将安全警报和云信息整理成分析师判断依据的场景

生成式AI在安全工作中的擅长之处

生成式AI的优势并非在于自动发现所有攻击。它在于整理不同形式的信息，并为人类做出后续判断提供必要的上下文。

任务类型	生成式AI擅长之处	人类必须做的事情
总结	将冗长的警报和日志整理成事件时间线	确认与原始证据一致
转换	将自然语言转换为KQL、SPL、SQL、Sigma草案	验证查询范围、字段和性能
分类	建议可疑钓鱼邮件或漏洞的优先级	判断误报/漏报和业务影响
解释	解释混淆代码、攻击技术和安全配置	在沙盒和实际环境中验证
起草	编写事件报告、检测规则和响应程序	批准、责任判断和最终执行
比较	分析策略、配置和版本之间的差异	核对最新的官方文档和操作条件

核心在于将生成式AI定位为分析辅助工具，而非最终裁决者。

案例 1: 总结安全警报和事件时间线

SOC分析师在调查单个事件时，需要穿梭于端点、电子邮件、账户、防火墙和云日志之间。同一事件中，多个产品也可能生成不同的警报。

生成式AI可以将以下数据整理成一个时间顺序：

首次检测时间
相关用户和设备
可疑IP、域名、文件哈希
执行的进程和命令
初始入侵、权限提升、横向移动等攻击阶段
未分析的证据和需要额外确认的项目

例如，您可以这样请求：

아래 경보와 로그를 시간 순서로 정리해줘.

1. 확인된 사실과 추정을 분리한다.
2. 사용자, 호스트, IP, 프로세스 관계를 표로 만든다.
3. MITRE ATT&CK 전술과 기법은 근거가 있는 경우에만 연결한다.
4. 누락된 조사 항목을 질문 형태로 제시한다.
5. 격리나 차단 작업은 실행하지 말고 제안만 한다.

微软官方的Security Copilot案例也展示了总结包含多个警报的事件、解释攻击阶段并提供响应指南的流程。

然而，AI生成的时间线并非原始事件。最终报告中必须包含SIEM事件ID、时间戳、查询和原始证据。

案例 2: 警报优先级分类和误报分析

以相同的顺序处理所有警报可能会导致重要事件被延误。生成式AI可以帮助建议包含组织上下文的优先级，而不仅仅是警报本身的严重性。

例如，您可以同时输入以下信息：

警报类型和检测规则
受攻击资产的重要性
是否暴露在互联网上
用户权限和职责
是否存在已知漏洞
最近的变更操作
同一实体的历史警报

结果最好采用以下形式，而不是简单地分为危险或安全：

判断项目	输出示例
暂定优先级	紧急、高、中、低
判断依据	已确认的日志和资产重要性
不确定性	缺失数据和相互矛盾的信号
额外查询	所需的SIEM·EDR查询
建议措施	分析、隔离审查、用户确认

不应仅仅因为AI将其归类为低风险就自动关闭警报。特别是对于管理员账户、域控制器、CI/CD凭证和外部暴露系统，需要单独的保守策略。

案例 3: 威胁情报总结和IOC增强

当新的攻击活动或CVE被披露时，安全专业人员必须阅读各种报告并判断其与自身环境的相关性。

向生成式AI提供官方建议和可靠的威胁情报，可以快速执行以下任务：

总结攻击者的目标和主要TTP
从IOC中提取IP、域名、URL、哈希
关联MITRE ATT&CK技术
整理受影响的产品和版本
生成与我们资产清单交叉比对的问题
起草检测和缓解措施

첨부한 공식 권고문에서 확인된 사실만 사용해 다음을 작성해줘.

- 영향받는 제품과 버전
- 악용 전제조건
- 침해지표 목록
- MITRE ATT&CK 연결과 근거 문장
- 우리 환경에서 확인할 자산·로그·쿼리
- 패치 전 임시 완화책

문서에 없는 내용은 추측하지 말고 '확인 필요'로 표시해줘.

这里重要的是溯源。不要只保存AI的总结，还必须同时保留原文URL、发布日期、CVE编号和引用的依据。

案例 4: 使用自然语言创建威胁狩猎查询草案

SIEM功能强大，但不同产品的查询语言各异。要同时熟练掌握Microsoft Sentinel的KQL、Splunk的SPL、通用SQL和EDR特有的语法是困难的。

生成式AI在将自然语言需求转换为查询草案和解释现有查询方面非常有用。

Microsoft Defender Advanced Hunting용 KQL 초안을 작성해줘.

목표: 최근 24시간 동안 Office 프로세스가 PowerShell을 실행한 사례 탐지
필수 출력: 시간, 장비명, 사용자, 부모 프로세스, 명령줄, SHA256
제외: 승인된 자동화 계정 sec-automation
주의: 실제 테이블과 필드가 없으면 임의로 만들지 말고 확인이 필요한 필드로 표시

AI生成的查询不应立即注册为操作检测规则。

确认模式和字段名称。
在短时间内使用有限数据运行。
将结果样本与原始事件进行比较。
检查查询成本和执行时间。
审查误报排除条件是否不会成为攻击者的绕过路径。

一个好的使用方式不是完全委托查询生成，而是让分析师能够快速获得可验证的初稿。

案例 5: 分析可疑脚本和命令行

PowerShell、Bash、JavaScript和宏既可用于攻击，也可用于正常自动化。生成式AI有助于分解冗长的命令行，解释每个选项的含义，并识别混淆层。

可能的操作包括：

识别Base64和URL编码
解释PowerShell执行参数
总结文件下载和执行流程
提取网络连接目标
识别持久性机制候选
建议要调查的文件、注册表和进程

然而，不应允许AI直接执行待分析的代码。解密的脚本必须在隔离的沙盒中进行静态和动态分析，即使AI声称安全的的代码也不应被信任。

此外，不应将实际的恶意代码样本、包含客户信息的日志或内部路径直接上传到公共AI服务。必须在组织批准的安全边界内使用，或移除敏感信息。

案例 6: 起草检测规则和Sigma规则

在识别新的攻击技术后，必须将其转换为可检测的条件。生成式AI可以将分析语句转换为Sigma规则的初稿。

다음 행위를 탐지하는 Sigma 규칙 초안을 작성해줘.

- Windows에서 rundll32.exe가 원격 URL을 인수로 사용
- 부모 프로세스와 전체 CommandLine 포함
- ATT&CK 매핑에는 근거를 주석으로 남김
- 정상 관리 도구와 충돌할 수 있는 오탐 사례 제시
- 운영 적용 전 필요한 로그 소스와 감사 정책 명시

需要审查的项目很明确：

所需的日志是否实际被收集？
字段名是否与目标SIEM转换器匹配？
是否处理大小写和路径变体？
是否不依赖于攻击者可以轻易绕过的单个字符串？
是否不与正常的软件部署冲突？

AI可以减少规则编写时间，但检测质量取决于测试数据和持续调优。

案例 7: 漏洞优先级和补丁影响分析

在漏洞管理中，仅仅处理CVSS评分高的项目是不够的。实际风险取决于资产的暴露程度和重要性、可利用性以及补偿性控制措施。

生成式AI可以将以下资料整理成一个判断表：

CVE描述和CVSS向量
是否包含在CISA KEV中
供应商建议和补丁版本
互联网暴露资产
已安装产品和实际版本
攻击前提条件和所需权限
WAF、网络隔离等补充控制措施

问题	生成式AI应用结果
我们的环境是否受影响？	按资产和版本划分的确认列表
现在是否可被利用？	前提条件和暴露路径总结
首先要打补丁的目标是？	包含依据的优先级建议
如果打补丁困难？	基于官方文档的临时缓解措施整理
应该监控什么？	相关日志和检测思路

补丁命令或配置更改必须遵循供应商官方文档和变更管理程序。这是因为AI可能会生成不存在的补丁版本或选项。

案例 8: 云和Kubernetes配置审查

IAM策略、Terraform、Kubernetes YAML和网络策略都是基于文本的，因此生成式AI可以相对较好地处理它们。

例如，您可以要求它查找以下问题：

过度的IAM通配符权限
公共存储和互联网暴露
安全组中广泛的入站规则
容器的特权运行
使用hostNetwork、hostPID、hostPath
缺失securityContext
Secret明文硬编码
Kubernetes RBAC中过度的权限
缺少NetworkPolicy

이 Kubernetes 매니페스트를 보안 관점에서 검토해줘.

각 항목을 위험도, 근거가 되는 YAML 경로, 공격 시나리오,
최소 변경 수정안으로 정리한다.
Pod Security Standards와 Kubernetes 공식 문서를 우선 기준으로 사용한다.
애플리케이션 동작을 알 수 없는 항목은 단정하지 말고 질문으로 남긴다.

不应立即kubectl apply或将AI生成的修改反映到Terraform中。它们必须通过模式验证、策略引擎、测试环境和代码审查。

案例 9: 辅助钓鱼邮件调查

钓鱼报告邮件通常有许多需要反复检查的项目。

显示名称和实际发件人地址
Reply-To不匹配
SPF、DKIM、DMARC结果
URL和重定向链
附件格式和哈希
用户是否点击了链接
后续登录和会话活动
同一发件人在组织内的收件人

生成式AI可以总结邮件头和安全产品结果，并建议进一步的调查顺序。微软也将用户报告邮件分类并提供分析依据的钓鱼邮件分诊案例，作为官方安全AI应用领域提出。

然而，邮件正文可能包含个人信息和公司机密。在将原文传输到外部模型之前，请确认其是否为经批准的服务，如有必要，应对地址、正文和附件进行去标识化处理。

案例 10: 编写事件响应程序和报告

事件发生时，必须在分析的同时进行记录。然而，在紧急情况下保持报告质量并非易事。

生成式AI可以根据已确认的证据起草以下文档：

事件概述
按时间顺序的时间线
受影响的资产和账户
已确认的入侵范围
已执行的隔离、阻止和恢复措施
剩余风险和额外任务
高管摘要
再发预防任务

一个好的输入方式不是直接抛出分析师的笔记，而是区分事实、推测、决策和执行结果。

아래 사고 기록으로 보고서 초안을 작성해줘.

- 확인된 사실과 분석가의 추정을 분리한다.
- 시간은 모두 KST와 UTC를 병기한다.
- 수행하지 않은 조치를 수행했다고 쓰지 않는다.
- 근거 이벤트 ID가 없는 결론은 '검증 필요'로 표시한다.
- 기술팀용 상세본과 경영진용 5문장 요약을 각각 만든다.

法律申报、客户通知和对外发布措辞不应在未经法律、隐私和管理负责人审查的情况下使用AI结果。

案例 11: 整理安全策略和审计证据

安全专业人员不仅在技术分析上，还在策略和审计响应上花费大量时间。生成式AI可以辅助以下任务：

比较多个策略文档的重复和冲突
将控制项与实际证据进行映射
起草访谈问题和检查表
将技术配置转换为非技术人员可理解的语句
整理不足之处和所需证据清单

例如，在将ISMS、ISO 27001或内部控制标准与云配置关联时，AI可以创建映射草案。但是，AI不应最终判断认证是否符合或进行法律解释。

自动化水平安全地分为三个阶段

引入生成式AI时，最好从风险较低的任务开始，而不是一开始就创建自动响应代理。

阶段	AI权限	适合的任务
第一阶段：阅读·总结	数据查询和草案生成	警报总结、报告、查询解释
第二阶段：建议	生成调查查询和行动方案	狩猎查询、检测规则、工单创建
第三阶段：有限执行	在狭窄范围内调用经批准的工具	账户锁定请求、设备隔离工作流

初期阶段，在第一阶段衡量质量和风险。第二阶段在人工批准后执行，第三阶段仅在具备严格权限限制、审计日志和中断装置的情况下应用。

特别是，以下任务应基本要求人工批准：

账户禁用和权限撤销
端点隔离
防火墙阻止
Kubernetes资源删除
云IAM更改
通知外部机构或客户

安全团队不应输入生成式AI的数据

在考虑引入效果之前，必须首先确定数据边界。

数据	基本处理原则
密码·API密钥·令牌	禁止输入，立即屏蔽
客户个人信息	在经批准的环境中最小化处理
内部源代码	确认合同·保留·学习策略后使用
恶意代码原件	仅在隔离分析环境中处理
事件日志	审查账户·IP·主机名等去标识化
未公开漏洞	禁止输入公共服务，访问控制

NIST的生成式AI风险管理指南将数据隐私、信息完整性、信息安全、人与AI的角色配置以及第三方生成式AI事件响应作为主要风险领域。

组织至少应能回答以下问题：

输入数据是否用于模型训练？
提示和响应会保留多久？
数据在哪个地区处理？
管理员和供应商能否查看对话？
是否具备删除和审计日志功能？
连接的插件和代理拥有哪些权限？

验证生成式AI回答的清单

在安全工作中，似是而非的错误答案是最危险的。

是否没有生成原始日志中不存在的事件？
是否没有提出不存在的CVE、补丁版本和命令？
IOC和攻击技术是否有来源？
是否区分了事实和推测？
时间戳和事件顺序是否正确？
查询是否在实际模式下执行？
建议的措施是否不会导致业务中断？
在删除、隔离、阻止之前是否获得人工批准？
AI的输入、输出和执行记录是否保留在审计日志中？

MITRE ATLAS系统地阐述了提示、搜索上下文、工具连接和控制策略如何成为生成式AI和代理系统的攻击面。当安全团队利用AI进行防御时，也必须同时设计AI系统自身的安全性。

如何从小规模试点开始

对于第一个项目，适合选择可回溯的任务，例如起草事件报告或总结警报，而不是自动阻止。

选择一个耗时且重复的任务。
确定可输入的数据等级。
准备20-50个有正确答案的过往案例。
衡量准确性、遗漏、幻觉和工作时间减少量。
定义人工审查的批准点。
可审计地记录提示和结果。
通过质量标准后，扩展到下一个任务。

评估指标也应比简单的满意度更具体。

分析时间减少率
关键证据遗漏率
错误IOC·CVE生成率
查询执行成功率
分析师修改语句的比例
误报·漏报变化
高风险操作的人工批准遵守率

结论：生成式AI减少决策准备时间而非取代决策

在安全工作中，生成式AI发挥最大作用的领域是重复性信息整理和初稿撰写。

将警报转化为事件流程、从威胁报告中提取IOC、将自然语言转换为狩猎查询、查找云配置中的潜在风险以及构建事件报告等任务，都非常适合生成式AI。

相反，关于攻击与否的最终判断、系统隔离、账户封锁、补丁应用和法律判断，仍然需要负责任的人工审查。

良好的引入原则很简单：

AI整理证据并提出选项。人类验证原始信息并做出负责任的决定。

将生成式AI作为安全团队的自动裁决者来启动会增加风险。如果将其作为辅助工具，帮助分析师更快、更一致地做出判断，则更容易衡量和控制其效果。