1、立项原因：
告警量大、人力不足：日均告警远超人工研判能力，急需 AI 分担一线工作量；
误报率高：大量误报消耗资源，需 AI 初筛 + 人工误报经验回流持续降误判；
处置链路割裂：情报、研判、封禁相互独立，需建设“情报 → AI 研判 → 自动封禁 → 通知”闭环；
经验无法沉淀：专家结论散落各处，需经验库支撑 AI 持续学习复用；
技术条件成熟：国产大模型已具备安全分析落地能力，可显著缩短研判时长、提升响应自动化率。
2.行业场景及业务背景：
本系统面向网络安全运营（SOC）行业场景，属于“AI + 安全”智能分析领域。当前政企单位普遍部署防火墙、WAF、EDR、NDR、蜜罐等多类安全设备，日均产生海量告警，且面临 APT、勒索软件、银狐木马等实战化攻击威胁。行业痛点集中在：告警量远超人工研判能力、误报率高、威胁情报与处置链路割裂、专业安全人员稀缺。天衡 ASP 系统通过大模型智能体实现告警自动研判、威胁情报关联、处置自动化闭环，覆盖“检测—研判—处置—复盘”安全运营全流程。
单位内部已建成多套安全防护体系，但安全设备产生的原始告警噪音大、误报多，真实攻击易被淹没；安全分析依赖少量资深人员逐条研判，7×24 小时响应困难，事件处置时长难以压缩。同时，实战化攻防演练对威胁发现时效和处置自动化提出更高要求，而现有体系存在明显短板：威胁情报与告警平台数据不通，研判结论无法直接驱动防火墙封禁，专家研判经验难以沉淀复用。因此需要建设以 AI 大模型为核心的统一安全分析平台，将智能研判、情报富化、自动封禁、经验反馈学习整合为闭环，全面提升安全运营效率与实战防护能力。
1. 多源告警接入：对接 360 本脑/NDR、山石 WAF、天融信 IPS、绿盟 WAF、奇安信 WAF、微步 SIG 情报、幻阵蜜罐等设备，syslog/API 桥接归一化入库。
2. AI 智能研判：大模型自动研判告警，输出判定、风险等级、置信度与处置建议；支持白名单前置过滤、多平台实时研判、多模型容灾切换。
3. 自动封禁闭环：联动天融信/迪普防火墙与 OneSIG 自动封禁，具备策略分片、跨前缀去重、三层白名单保护，杜绝误封公共 DNS 与业务 IP。
4. 误报经验学习：一键“标记误报”沉淀经验库，AI 研判相似事件自动检索参考，并联动天枢白名单同步。
5. AI 溯源分析：AI 通过 SSH/WinRM 只读排查内网主机，危险命令人工审批，支持被动 IP 溯源与溯源报告生成。
6. Token 窃取检测：提取攻击请求中的凭据并重放验证，确认凭据是否真实泄露。
7. 蜜罐联动处置：幻阵攻击事件自动过滤、查重、封禁，攻击趋势可视化。
8. 处置与态势报告：LLM 生成处置报告，定时“研判+报告+邮件”推送；公文样式日报/周报一键生成并推送飞书。
9. 配套天枢平台：主机巡检取证、IOC 狩猎、检测规则管理与回测、登录时间线、实体画像、内存取证、基线核查、应急响应。
10. 配套天玑平台：AI 渗透测试编排（侦察/枚举/漏洞验证等 Agent）、授权范围管控、高危动作审批、反制溯源。
11. 运营保障：登录鉴权与审计日志、多维度仪表盘、健康看门狗自愈、每日巡检日报、月度全链路演练。
一、具体任务
负责威胁情报接入（sig_bridge 桥接、Redis 情报缓存）、自动封禁引擎（TopApp 对接双防火墙、策略分片、白名单保护）、AI 研判闭环（多模型容灾、误报经验学习）、多源告警接入（WAF/NDR/IPS/蜜罐归一化）、AI 溯源与 Token 重放检测、平台部署运维（Docker、看门狗、飞书通知与日报）。
二、技术栈
Python（Django/FastAPI/Flask）、PostgreSQL、Redis Stack、GLM/MiniMax 大模型、Docker Compose、Nginx、systemd、syslog/HMAC、飞书开放平台、AC 自动机。
三、总体架构
设备层（WAF/NDR/IPS/蜜罐/情报）→ 桥接层（syslog/API → Redis）→ 平台层（天衡 ASP AI 研判 + 天枢巡检狩猎 + 天玑渗透研判）→ 处置层（TopApp → 防火墙/OneSIG）→ 通知报告层 + 运维层（看门狗自愈）。
四、实现亮点与难点
策略分片算法：防火墙配额受限下设计链式填充机制，配额利用率提升 10 倍；
并发去重：in-flight 预占 + 全局缓存，解决并发双包跨前缀重复封禁；
零侵入扩展：override 挂载进官方镜像，删挂载即回滚；
AI 可靠性：JSON 容错解析 + 主备 failover，1 万+ 任务失败率仅 0.17%；
安全护栏：AI 溯源命令黑白名单双控、凭据仅存内存、危险命令人工审批；
性能优化：AC 自动机 + 多级缓存，全网 IOC 狩猎 69 秒降至 0.3 秒。
声明：本文仅代表作者观点，不代表本站立场。如果侵犯到您的合法权益，请联系我们删除侵权资源！如果遇到资源链接失效，请您通过评论或工单的方式通知管理员。未经允许，不得转载，本站所有资源文章禁止商业使用运营!
下载安装【程序员客栈】APP
实时对接需求、及时收发消息、丰富的开放项目需求、随时随地查看项目状态
评论