Security Center:Agen operasi keamanan

Team leader

Team Leader dibangun di atas rangkaian model Qwen dan berfungsi sebagai simpul koordinasi pusat untuk seluruh arsitektur Agent. Tanggung jawabnya meliputi:

• Penjadwalan global: Menerima dan memahami input pengguna atau event yang dipicu sistem untuk merencanakan tugas serta memecah tugas operasi keamanan kompleks menjadi subtugas.

• Dekomposisi tugas: Memecah tujuan operasi keamanan tingkat tinggi menjadi subtugas spesifik yang dapat dieksekusi dan menugaskannya kepada tim Agent khusus yang sesuai.

• Pengambilan keputusan kompleks: Mengoordinasikan keputusan di antara beberapa tim Agent, menentukan urutan eksekusi dan prioritas tugas.

Tim agent khusus

Log standardization agent

Log Standardization Agent menggunakan teknologi pengenalan semantik untuk secara otomatis memahami log heterogen dari berbagai sumber dan menghasilkan kueri Search Processing Language (SPL) berkualitas tinggi. Agent ini menyatukan semantik dan menghilangkan kebutuhan menulis kueri secara manual. Agent ini hanya memerlukan fine-tuning ringan dan secara signifikan menurunkan kurva pembelajaran untuk standarisasi log.

• Kemampuan inti:

  • Secara otomatis memahami struktur dan makna field log mentah dalam berbagai format.

  • Menghasilkan sintaks SPL dengan satu klik untuk memetakan field log mentah ke model data keamanan terstandarisasi.

  • Memungkinkan Anda melakukan fine-tuning aturan standarisasi dengan tindakan point-and-click sederhana, sehingga tidak perlu menulis pernyataan parsing kompleks secara manual.

• Contoh penggunaan:

  1. Buka Konsol Security Center > Agentic SOC > Management > Access Settings. Di pojok kiri atas, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

  2. Pada halaman Integration Settings, pada tab Standardized Rule, ubah atau buat aturan akses kustom. Setelah Anda memasukkan Sample Log, Anda dapat memanggil Security AI Assistant untuk mendapatkan saran optimasi.

  

Incident investigation agent

Incident Investigation Agent dibangun di atas kerangka penalaran ReAct/Chain of Thought (CoT). Agent ini terus-menerus memahami perubahan lingkungan. Ketika peringatan host atau jaringan baru dikaitkan dengan suatu insiden dan status insiden tersebut adalah "Unprocessed", Agent secara otonom memulai investigasi dan analisis, sehingga memadatkan pekerjaan investigasi yang sebelumnya memakan waktu berjam-jam atau berhari-hari menjadi hitungan menit.

• Kemampuan inti:

  • Incident Investigation Agent memberikan kesimpulan yang jelas: Confirmed Attack, Suspected False Positive, atau Insufficient Information.

  • Kemampuan investigasi intinya dibangun di atas rangkaian model Qwen, mendukung klasifikasi insiden, pengenalan entitas, dan inferensi jalur serangan. Berdasarkan hasil investigasi, Agent menganalisis cakupan dampak dan merekonstruksi rantai serta garis waktu serangan.

• Contoh penggunaan:

  • Halaman Agentic SOC > Security Incidents menampilkan hasil analisis AI.

    

  • Pada halaman detail insiden, lihat ringkasan insiden, cakupan dampak, tahapan rantai serangan yang terlibat, aturan deteksi, dan sumber peringatan. Gunakan graf ketertelusuran untuk melihat rantai serangan dan garis waktu lengkap.

    

  • Pada halaman detail insiden, Agent Chain-of-Thought menampilkan informasi seperti konteks latar belakang, langkah-langkah penalaran, dan ringkasan kesimpulan untuk membantu Anda memahami proses investigasi dan penalaran Agent.

    

Incident investigation report agent

• Incident Investigation Report Agent menghasilkan laporan investigasi teknis lengkap yang meninjau insiden keamanan, mengonsolidasikan bukti dan tindakan tanggapan, serta memberikan rekomendasi peningkatan sistematis. Laporan tersebut mencakup klasifikasi dan ringkasan insiden, rantai serangan dan garis waktu, penilaian dampak, analisis akar masalah, indikator kompromi (IOCs), serta rekomendasi penguatan sistematis.

• Contoh penggunaan: Buka halaman detail insiden target dan klik Full Report di bagian atas untuk melihat halaman detail laporan.

  

Entity analysis agent

Entity Analysis Agent menggunakan AI untuk menilai tingkat risiko entitas berbahaya dan secara otonom menalar keputusan playbook atau tool yang akan digunakan untuk tanggapan.

• Kemampuan inti:

  • Menampilkan proses analisis suatu entitas, termasuk informasi dasar, proses analisis, kesimpulan, dan tindakan yang direkomendasikan.

  • Mendukung pemanggilan analisis entitas melalui Security AI Assistant untuk menganalisis entitas seperti IP, file, proses, nama domain, host, dan kontainer.

  • Jika Agent menentukan suatu entitas berbahaya, Agent secara otomatis merekomendasikan kebijakan tanggapan untuk eksekusi satu klik.

• Contoh penggunaan: Pada halaman detail insiden, buka tab Entity, temukan entitas yang ingin ditangani, lalu klik AI Analysis.

  

Incident response agent

Agent ini menganalisis cakupan dampak berdasarkan hasil investigasi dan memberikan rekomendasi tanggapan bertahap yang hati-hati, yang dieksekusi secara otomatis setelah tinjauan manual.

• Kemampuan inti:

  • Rekomendasi tanggapan cerdas: Mengambil log, data kerentanan, intelijen ancaman, dan konteks bisnis untuk memvalidasi rencana tanggapan secara akurat.

  • Tanggapan dalam hitungan detik: Secara otomatis memanggil tool (playbook, intelijen ancaman, sandbox, OpenAPI, dll.) untuk menjalankan operasi seperti pemblokiran, isolasi, dan verifikasi.

  • Mekanisme tinjauan manual: Mendukung konfirmasi manual pada titik keputusan kritis untuk menyeimbangkan efisiensi dan keamanan.

• Contoh penggunaan:

  1. Pada halaman Security Incidents, temukan insiden target. Pada kolom Actions, klik Recommended Response.

  2. Pada panel Agent Recommended Policy, pilih entitas berbahaya yang ingin ditangani.

     Catatan

     Agent secara otomatis memilih playbook yang sesuai dan mengonfigurasi parameter terkait. Tidak diperlukan modifikasi manual.

     

  3. Setelah konfirmasi manual, klik Resolve.

Threat detection agent

• Kemampuan inti: Beberapa agent cerdas berbasis domain melakukan pemahaman semantik mendalam, korelasi, dan pelacakan sumber serangan pada dataset heterogen berskala besar, sehingga menciptakan pusat keamanan digital komprehensif yang secara otomatis dan akurat mengidentifikasi ancaman keamanan yang dikenal maupun tidak dikenal sepanjang waktu.

• Contoh penggunaan: Malicious Web Traffic Traceback Agent melacak trafik web berbahaya berdasarkan peringatan anomali di sisi host. Agent ini mengorelasikan peringatan host dengan log aliran WAF untuk membangun rantai analisis lengkap dari peringatan ke petunjuk pelacakan sumber serangan, serta dari peringatan baru ke insiden terkorelasi lintas domain, lalu menghasilkan peringatan keamanan yang sesuai.