Security Center：安全營運 Agent 詳解

Team Leader

Team Leader基於通義千問（Qwen）系列模型構建，是整個Agent架構的中樞調度節點，承擔以下職責：

• 全域調度：接收並理解使用者輸入意圖或系統觸發事件，進行任務規劃，將複雜安全營運任務拆解為多個子任務。

• 任務拆解：將高層級的安全營運目標分解為具體的、可執行檔子任務，分配給對應的專業Agent團隊。

• 複雜決策：在多個Agent團隊之間進行決策協調，確定任務的執行順序和優先順序。

專業Agent團隊

日誌標準化Agent

日誌標準化Agent利用語義識別技術，自動理解多源異構日誌並產生高品質SPL（Search Processing Language）查詢語句，統一語義、免寫查詢語句，僅需微調，大幅降低使用者學習與使用門檻，加速日誌標準化接入效率。

• 核心能力：

  • 自動理解不同格式的原始日誌結構和欄位含義。

  • 一鍵產生SPL文法，將原始日誌欄位對應為標準化安全資料模型。

  • 支援使用者通過簡單的點選方式微調標準化規則，無需手動編寫複雜的解析語句。

• 使用範例：

  1. 訪問Security Center控制台-Agentic SOC-管理-接入設定，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。

  2. 在接入中心的標準化規則頁簽，修改或建立自訂接入規則時，填寫完日誌樣本後，可喚起安全AI助手擷取最佳化建議。

  

事件調查Agent

事件調查Agent基於ReAct/CoT（Chain of Thought）推理架構。持續感知環境變化，當有新的主機、網路警示關聯到事件時，且事件狀態為“未處理”時，將自主開始事件調查和研判分析工作。將長達數小時甚至數天的繁瑣調查工作壓縮到分鐘級。

• 核心能力：

  • 事件調查Agent提供明確的研判結論：真實攻擊、疑似誤判或資訊不足。

  • 基於Qwen 系列模型構建核心調查能力，支撐事件定性、實體識別、攻擊路徑推理任務，根據事件調查結果綜合分析影響面，還原攻擊路徑和時間軸。

• 使用範例：

  • 可在威脅分析與響應 > 安全事件處置頁面查看，AI研判結果。

    

  • 在事件詳情頁查看事件概述，影響面說明，涉及的攻擊鏈階段，檢測規則和警示來源等，通知提供溯源圖查看完整的攻擊鏈路和時間軸。

    

事件調查報告Agent

• 核心能力：事件調查報告Agent從事件應急響應專家角度，輸出完整的事件調查技術報告，複盤完整安全事件經過，匯總證據資訊和處置過程，提供體系化改進建議。報告內容包括事件定性與摘要、攻擊鏈路和時間軸、影響面評估、根因分析、IOC（攻擊指標）證據指標、體系化加固建議。

• 使用範例：進入目標事件詳情頁，單擊頂部的完整報告，進入報告詳情頁。

  

實體研判Agent

實體研判Agent基於AI Agent綜合研判惡意實體的風險程度，自主推理決策調用哪個劇本或工具進行處置。

• 核心能力：

  • 展示針對實體物件的分析過程，包括基本資料、研判過程、研判結論和處置建議。

  • 支援通過安全AI助手喚起實體分析，對IP、檔案、進程、網域名稱、主機、容器等實體進行研判。

  • 判定為惡意時，自動推薦處置策略並可一鍵執行。

• 使用範例：進入事件詳情頁，在實體頁簽定位至需要處理的實體，單擊AI分析。

  

事件處置Agent

從事件應急響應專家角度，根據事件調查結果，綜合分析影響面，提供階段性、謹慎的處置建議，人工審核後自動執行。

• 核心能力：

  • 智能處置推薦：調取日誌、漏洞、情報、業務上下文，準確校正處置方案。

  • 秒級響應：自動調用工具（劇本、情報、沙箱、OpenAPI等）執行封鎖、隔離、查證等操作。

  • 人工審核機制：關鍵決策節點支援人工確認，兼顧效率與安全。

• 使用範例：

  1. 在安全事件處置首頁，針對目標事件，單擊操作列一鍵處置。

  2. 在Agent 推薦處置策略面板，選中需處置的惡意實體。

     說明

     Agent將自動選擇合適的劇本，並配置好相關的參數，無需人工修改。

     

  3. 人工確認後，單擊確定處置。

威脅檢測Agent

• 核心能力：多個垂域智能體，對海量多源異構資料進行深度語義理解、關聯推演與攻擊溯源，從而實現全天候、自動化且精準識別各類已知與未知安全威脅的綜合性數字安全中樞。

• 使用範例：惡意Web流量回溯Agent根據主機側異常警示，回溯惡意Web流量，關聯主機警示與WAF流日誌，實現從警示到溯源線索、從新警示到跨域關聯事件的完整分析鏈路，並產生對應的安全警示。