Security Center:Mendalami: Agen Operasi Keamanan

Team Leader

Team Leader dibangun di atas rangkaian model bahasa besar Qwen dan berfungsi sebagai node penjadwalan pusat untuk seluruh arsitektur Agent dengan tanggung jawab berikut:

• Penjadwalan global: Menerima dan menginterpretasikan maksud input pengguna atau event yang dipicu sistem, lalu merencanakan dan memecah tugas operasi keamanan kompleks menjadi subtugas.

• Dekomposisi tugas: Memecah tujuan operasi keamanan tingkat tinggi menjadi subtugas spesifik yang dapat dieksekusi dan menugaskannya kepada tim Agent khusus yang sesuai.

• Pengambilan keputusan kompleks: Mengoordinasikan keputusan lintas beberapa tim Agent, menentukan urutan eksekusi dan prioritas tugas.

Tim Agent Khusus

Log Standardization Agent

Log Standardization Agent menggunakan pengenalan semantik untuk secara otomatis memahami log dari berbagai sumber data heterogen dan menghasilkan pernyataan kueri SPL (Search Processing Language) berkualitas tinggi. Agent ini menyatukan semantik log, menghilangkan kebutuhan menulis kueri manual, dan hanya memerlukan penyesuaian ringan. Hal ini secara signifikan menurunkan hambatan pembelajaran dan penggunaan serta mempercepat standardisasi dan onboarding log.

• Kemampuan inti:

  • Secara otomatis memahami struktur log mentah dan makna field-nya di berbagai format.

  • Menghasilkan sintaks SPL dengan satu klik—memetakan field log mentah ke model data keamanan terstandarisasi.

  • Mendukung penyesuaian aturan standardisasi secara sederhana melalui antarmuka point-and-click—tanpa perlu menulis pernyataan parsing kompleks secara manual.

• Contoh penggunaan:

  1. Buka Konsol Security Center → Agentic SOC → Management → Access Settings. Di bagian atas panel navigasi kiri, pilih wilayah tempat aset terlindungi Anda berada: Chinese Mainland atau Outside Chinese Mainland.

  2. Di halaman Integration Settings, buka tab Standardized Rule. Saat mengedit atau membuat aturan akses kustom, masukkan Sample Log. Lalu panggil Security AI Assistant untuk mendapatkan saran optimalisasi.

  

Incident Investigation Agent

Incident Investigation Agent menggunakan kerangka penalaran ReAct/CoT (Chain of Thought) dan terus-menerus memantau perubahan lingkungan. Ketika muncul peringatan host atau jaringan baru yang terkait dengan suatu insiden dengan status “Unprocessed”, Agent segera memulai investigasi dan analisis secara otonom. Proses ini memampatkan investigasi panjang yang biasanya memakan waktu berjam-jam atau bahkan berhari-hari menjadi hanya beberapa menit.

• Kemampuan inti:

  • Incident Investigation Agent memberikan kesimpulan analisis yang jelas: serangan terkonfirmasi, suspected false positive, atau insufficient information.

  • Kemampuan investigasi intinya dibangun di atas rangkaian model Qwen dan mendukung klasifikasi insiden, pengenalan entitas bernama, serta inferensi jalur serangan. Berdasarkan hasil investigasi, Agent menganalisis cakupan dampak, merekonstruksi jalur serangan, dan memetakan garis waktu.

• Contoh penggunaan:

  • Lihat hasil analisis AI di halaman Agentic SOC > Security Events.

    

  • Di halaman detail insiden, lihat ringkasan insiden, deskripsi cakupan dampak, tahapan rantai serangan yang terdampak, aturan deteksi, dan sumber peringatan. Klik tautan untuk melihat graf jejak—termasuk rantai serangan lengkap dan garis waktu.

    

Incident Investigation Report Agent

• Kemampuan inti: Dari perspektif ahli tanggapan insiden, Incident Investigation Report Agent menghasilkan laporan insiden teknis lengkap dengan meninjau seluruh insiden keamanan, mengumpulkan bukti dan langkah tanggapan, serta memberikan rekomendasi peningkatan sistematis. Laporan tersebut mencakup klasifikasi dan ringkasan insiden, rantai serangan dan garis waktu, penilaian cakupan dampak, analisis akar penyebab, indikator kompromi (IOCs), dan rekomendasi penguatan sistematis.

• Contoh penggunaan: Buka halaman detail insiden target. Klik Full Report di bagian atas untuk membuka halaman detail laporan.

  

Entity Analysis Agent

Entity Analysis Agent menggunakan AI Agent untuk menilai secara komprehensif tingkat risiko entitas berbahaya dan secara otonom memutuskan playbook atau tool mana yang akan dipanggil untuk tanggapan.

• Kemampuan inti:

  • Menampilkan proses analisis untuk setiap entitas—termasuk informasi dasar, langkah analisis, kesimpulan, dan rekomendasi tanggapan.

  • Mendukung pemanggilan analisis entitas melalui Security AI Assistant—untuk IP, file, proses, nama domain, host, dan kontainer.

  • Saat suatu entitas diklasifikasikan sebagai berbahaya, Agent merekomendasikan aksi tanggapan dan memungkinkan Anda mengeksekusinya dengan satu klik.

• Contoh penggunaan: Buka halaman detail insiden. Di tab Entity, temukan entitas yang akan ditangani. Klik AI Analysis.

  

Incident Response Agent

Dari perspektif ahli tanggapan insiden, Incident Response Agent menganalisis cakupan dampak berdasarkan hasil investigasi dan memberikan rekomendasi tanggapan bertahap yang hati-hati. Rekomendasi ini ditinjau secara manual sebelum dieksekusi secara otomatis.

• Kemampuan inti:

  • Rekomendasi tanggapan cerdas: Menggunakan log, kerentanan, intelijen ancaman, dan konteks bisnis untuk memvalidasi rencana tanggapan secara akurat.

  • Tanggapan tingkat kedua: Secara otomatis memanggil berbagai alat—termasuk playbook, Intelijen ancaman, sandbox, dan OpenAPI—untuk melakukan Blok, isolasi, serta verifikasi.

  • Mekanisme tinjauan manual: Mendukung konfirmasi manusia pada titik keputusan kritis—menyeimbangkan kecepatan dan keamanan.

• Contoh penggunaan:

  1. Di halaman utama Security Events, temukan insiden target. Di kolom Actions, klik Recommended Response.

  2. Di panel Agent Recommended Policy, pilih entitas berbahaya yang akan ditanggapi.

     Catatan

     Agent secara otomatis memilih playbook yang sesuai dan mengonfigurasi parameter terkait—tidak diperlukan pengeditan manual.

     

  3. Setelah konfirmasi manual, klik Resolve.

Threat Detection Agent

• Kemampuan inti: Beberapa Agent spesifik domain melakukan pemahaman semantik mendalam, penalaran korelasi, dan pelacakan sumber serangan pada sumber data heterogen berskala besar. Bersama-sama, mereka membentuk pusat keamanan digital komprehensif yang secara otomatis dan presisi mendeteksi ancaman keamanan yang dikenal maupun tidak dikenal sepanjang waktu.

• Contoh penggunaan: Malicious Web Traffic Traceback Agent menggunakan peringatan abnormal di sisi host untuk melacak trafik web berbahaya. Agent ini mengorelasikan peringatan host dengan flow log WAF—membangun rantai analisis lengkap dari peringatan ke petunjuk pelacakan, dan dari peringatan baru ke event terkait lintas domain—lalu menghasilkan peringatan keamanan yang sesuai.