1. 从情报到规则一个被忽视的语义鸿沟在网络安全运营中心SOC待过几年的朋友大概都经历过这样的场景威胁情报平台TIP的告警列表里一条高置信度的IOC失陷指标赫然在列比如一个被标记为C2服务器的IP地址。分析师确认后下一步自然是将这个IP加入防火墙的阻断规则。这个流程听起来顺理成章对吧但实际操作起来却常常卡在一个意想不到的地方情报分析师在TIP里点击“生成规则”系统弹出一个满是技术字段的YAML或JSON模板要求填写源IP、目的IP、协议、端口、动作允许/拒绝……而对于一个刚从恶意软件流量分析报告中提取出来的、上下文丰富的威胁情报来说这些冰冷的字段显得如此苍白和割裂。这就是我们今天要深入探讨的核心问题从威胁情报到防火墙规则中间缺失的不仅仅是自动化流程更是一层对“语义关系”的理解。威胁情报的本质是“知识”——它告诉你“谁”威胁行为体、“用什么方式”TTP战术、技术与程序、“攻击了谁”受害者、“造成了什么影响”。而防火墙规则是“指令”——它只关心匹配特定特征的流量并执行放行或丢弃。将富含语义的知识压缩成一条条扁平的、基于五元组的指令这个过程本身就在丢失大量关键信息。最近“AI Agent”这个概念火得不行大家讨论的都是如何让AI自主完成任务。但在安全这个强逻辑、高风险的领域纯AI Agent往往让人心里没底。于是一个更务实的架构思路浮出水面混合AI Agent与专家系统。这个架构不是让AI取代人类而是让AI成为人类的“语义翻译官”和“策略助理”由经过实战检验的专家系统来把关最终决策与执行。它的核心价值正是试图弥合上述的语义鸿沟。本文将结合我过去在自动化响应SOAR平台建设中的踩坑经验拆解如何在这种混合架构中建模并利用语义关系实现从情报到规则的高效、精准、可解释的转化。2. 混合架构的核心让AI与专家系统各司其职在深入语义关系之前我们必须先厘清混合架构中AI Agent与专家系统的角色分工。这不是简单的功能叠加而是一种基于能力互补的协同设计。2.1 AI Agent的角色上下文理解与关系提取传统的自动化脚本或工作流处理的是结构化数据。它们看到IP“192.168.1.100”就只知道这是一个IP地址。但AI Agent特别是基于大语言模型LLM的智能体其优势在于理解非结构化或半结构化的自然语言文本并从中提取实体和关系。设想一份威胁报告写道“攻击者APT32利用带有恶意宏的Excel文档作为初始入侵载体通过向malicious-domain[.]com发起HTTP请求下载第二阶段载荷并最终在内存中执行。”一个设计良好的安全领域AI Agent应该能从中识别出实体攻击者APT32、攻击向量带宏的Excel文档、基础设施malicious-domain[.]com、行为HTTP请求、内存执行。关系APT32使用带宏的Excel文档Excel文档导致向malicious-domain[.]com发起HTTP请求HTTP请求用于下载第二阶段载荷。AI Agent的任务就是将这份报告“翻译”成一张知识图谱Knowledge Graph的片段。这张图谱以实体为节点以语义关系为边。为什么是图谱因为安全运营的本质就是在不断连接线索点。防火墙规则只是针对“基础设施”这个实体节点的处置动作之一。注意这里AI Agent的输出不是最终规则而是增强的、富含语义的上下文信息。它为一个单纯的IP地址malicious-domain[.]com打上了“归属APT32”、“用于下载第二阶段载荷”、“与恶意文档投递相关”等标签。这些标签就是后续决策的关键输入。2.2 专家系统的角色逻辑校验与策略执行专家系统是安全领域的“老将军”它的核心是知识库规则库和推理机。知识库里存放的是安全专家沉淀下来的硬逻辑比如“如果某个域名被超过3个独立信源标记为恶意且其IP地址在近24小时内活跃则置信度为‘高’。”或者“对于置信度为‘高’的C2服务器IP应在边界防火墙和内部核心交换机上同时部署阻断规则规则生效时间设为永久并添加备注说明情报来源。”在混合架构中专家系统接收AI Agent提取的语义化信息实体、关系、置信度。它的工作流程如下逻辑校验利用知识库中的规则对AI Agent的提取结果进行交叉验证。例如检查malicious-domain[.]com这个实体是否已经在内部资产数据库中被标记为某个关键业务系统所用避免误阻断。或者检查“APT32”这个威胁行为体其常用的TTP中是否包含“使用该域名进行C2通信”以增强关联性。策略决策基于校验后的信息决定“做什么”和“怎么做”。决策逻辑可能很复杂这个IP需要阻断吗是仅阻断出向还是入向也需关注除了防火墙是否需要同步到WAF、IDS的规则库规则的生效范围是全球还是仅针对特定业务区域这些决策依赖于专家系统中编码的、经过审慎评估的安全策略。指令生成与安全执行将决策转化为具体的、可执行的指令。例如生成一条针对特定防火墙型号如Palo Alto Networks Panorama或Cisco FMC的API调用命令其中包含完整的规则参数。专家系统确保生成的指令语法正确、符合设备规范并且通过安全的通道如带凭据管理的API网关下发。两者的协作关系可以概括为AI Agent负责“看懂发生了什么”专家系统负责“判断该怎么做并安全地做”。AI扩展了系统的感知和理解边界专家系统则确保了行动的可靠性、合规性与安全性。这种组合既避免了纯AI系统的“黑盒”风险和逻辑幻觉又超越了传统专家系统处理非结构化信息能力的瓶颈。3. 语义关系建模连接情报与行动的桥梁理解了架构分工我们再来聚焦“语义关系”这个核心。如何对安全领域的知识进行建模才能更好地服务于从情报到规则的转化我倾向于使用一种“三层实体-关系”模型。3.1 核心实体类型定义首先我们需要定义在安全知识图谱中关心的几类核心实体实体类型示例说明威胁行为体 (Threat Actor)APT41, FIN7, 某个勒索软件团伙攻击的发起方通常具有意图、能力和目标。攻击向量 (Vector)鱼叉式钓鱼邮件、漏洞利用如Log4Shell、恶意软件攻击者利用的初始入侵手段或路径。基础设施 (Infrastructure)C2服务器IP/域名、钓鱼网站URL、恶意文件哈希攻击者控制或用于攻击的资产。战术、技术与程序 (TTP)T1566.001网络钓鱼鱼叉式钓鱼附件、T1059.001命令与脚本解释器PowerShell攻击者的行为模式通常映射到MITRE ATTCK框架。受影响资产 (Asset)内部Web服务器IP、员工邮箱地址、特定数据库我方受攻击或面临风险的资产。安全事件 (Incident)某次数据泄露事件、某次勒索软件感染事件由一系列活动构成的独立安全事件。处置动作 (Action)防火墙阻断规则、终端隔离、密码重置可采取的具体响应措施。3.2 关键语义关系定义实体之间需要通过有意义的关系连接起来。以下是一些关键的关系它们直接指导了处置动作的生成关系示例主语 - 关系 - 宾语对规则生成的指导意义usesAPT41usesC2域名xyz.tk表明该基础设施是活跃威胁的一部分需高优先级处置。targets钓鱼邮件targets财务部邮箱组帮助定位需要加强防护或进行意识培训的具体资产范围。exploits攻击活动exploits漏洞CVE-2021-44228关联漏洞情报可触发漏洞扫描或补丁部署动作而不仅是网络层封锁。downloads_from恶意软件样本Adownloads_fromIP1.2.3.4明确指示需要阻断的通信流向内到外和具体协议常为HTTP/HTTPS。beacons_to受感染主机beacons_to域名c2.malicious.com指示需要检测和阻断的周期性、低频心跳通信规则可能需考虑时间周期和频率特征。indicatesIP地址出现在僵尸网络列表中indicates恶意性高为实体打上置信度标签影响专家系统决策的权重如直接阻断还是仅观察。mitigated_byC2通信can_be_mitigated_by防火墙阻断规则这是核心的转化关系它将一个威胁场景C2通信直接映射到一个具体的处置动作防火墙规则。3.3 从关系图谱到规则参数一个实例推演让我们通过一个实例看语义关系如何一步步转化为具体的防火墙规则参数。原始情报片段“海莲花APT-C-00组织近期利用伪装成海事相关PDF的恶意文件进行攻击文件会从download.ocean-research[.]com下载后续模块。”AI Agent 提取与增强实体Threat Actor: APT-C-00 (海莲花)Vector: 恶意PDF文件Infrastructure: download.ocean-research[.]comAction: 下载后续模块。关系APT-C-00uses恶意PDF文件恶意PDF文件downloads_fromdownload.ocean-research[.]com。专家系统知识库介入规则1如果某个域名被uses关系关联到已知APT组织则其威胁等级设为“危急”。规则2对于威胁等级为“危急”、且关系为downloads_from的基础设施域名应在所有出口边界防火墙上下发阻断规则。规则3针对下载行为的阻断应主要关注HTTP(S)流量。规则4域名download.ocean-research[.]com需先进行DNS解析获取其当前解析的IP地址可能是多个且可能变化。语义关系驱动的参数填充规则动作 (Action)由mitigated_by关系直接确定为deny拒绝。目的地址 (Destination)由downloads_from关系中的宾语实体download.ocean-research[.]com及其解析出的IP列表决定。服务/端口 (Service/Port)由downloads_from关系隐含的“下载”行为结合专家知识库规则3可确定为service: http和service: https或端口80/443。源地址 (Source)通常设置为any或根据更细粒度的情报如攻击针对特定部门进行限定。这里情报未指明故用any。规则描述/备注 (Description)利用提取的语义关系自动生成如Block APT-C-00 C2 domain download.ocean-research[.]com used for downloading secondary payload as per TI report [报告ID]。这条描述包含了“谁”、“用什么”、“做什么”极大方便了后续审计和规则管理。通过这个流程一条扁平的防火墙规则拒绝 任意 - download.ocean-research[.].com:80/443被赋予了丰富的上下文。运维人员看到的不再是一个孤立的IP而是一个与特定高级威胁关联的、有明确攻击目的的基础设施。这在处理成千上万条规则时对于判断规则的有效性、优先级和生命周期至关重要。4. 架构实现中的关键组件与数据流纸上谈兵终觉浅我们来勾勒一个可落地的混合架构实现方案。这个方案包含几个关键组件数据在它们之间流动最终完成从情报原文到防火墙配置的闭环。4.1 组件拆解与职责情报摄取与预处理模块输入各类威胁情报源开源情报OSINT、商业情报、内部事件日志、沙箱报告等格式包括RSS、STIX/TAXII、PDF、JSON等。职责对非结构化文本如PDF报告进行初步清洗、分段落对结构化数据如STIX进行解析提取原始IOC列表。它为AI Agent提供“食材”。安全领域AI Agent核心基于微调或通过提示工程Prompt Engineering优化的LLM。关键是要注入安全领域知识例如将MITRE ATTCK的TTP列表、常见威胁组织名录、恶意软件家族等信息作为上下文或微调数据。职责接收预处理后的文本执行命名实体识别NER和关系抽取RE。其输出应该是标准化的、结构化的数据建议采用图数据库如Neo4j的节点-关系格式或RDF三元组格式。例如(APT-C-00, uses, Malicious PDF)(Malicious PDF, downloads_from, download.ocean-research[.]com)。知识图谱与上下文存储推荐技术栈图数据库Neo4j, Nebula Graph或支持图查询的关系型数据库。职责持久化存储AI Agent提取的实体和关系形成一个不断增长的安全知识图谱。它不仅是当前决策的依据还能通过历史图谱进行关联分析例如发现同一个IP被多个不同攻击组织使用可能是一个公共的恶意托管服务。专家系统推理引擎核心一套规则引擎如Drools, Jess或直接编码的业务逻辑模块。其知识库需要安全专家与工程师共同维护是机构安全策略的数字化体现。职责接收AI Agent提取的、并已存入知识图谱的“事件片段”。根据知识库中的规则进行推理决策。决策过程包括置信度计算、影响面评估、冲突检测新规则是否会阻断关键业务、动作选择是阻断、告警、还是进一步调查。动作编排与执行器职责将专家系统决策的“动作意图”转化为具体技术设备的API调用。例如生成Palo Alto Networks的XML配置片段、Cisco FMC的REST API调用参数、或Ansible/Terraform的剧本。它需要处理不同设备的差异管理API凭证与连接并确保执行事务性要么全成功要么回滚。反馈与学习回路职责这是系统能否持续优化的关键。收集规则执行后的效果如是否还有流量尝试连接误阻断告警是否增加以及安全分析师的确认或修正反馈。这些反馈数据用于优化专家系统规则调整置信度阈值、修改动作逻辑。评估AI Agent性能标注AI提取错误或遗漏的案例用于后续模型的微调。丰富知识图谱确认的关系得到强化错误的关系被剔除或降权。4.2 端到端数据流示例假设一份新的威胁报告被收录摄取预处理模块解析PDF报告提取出相关文本段落。理解AI Agent分析文本识别出实体{APT32, 恶意LNK文件, 1.2.3.4:8443}和关系{(APT32, uses, 恶意LNK文件), (恶意LNK文件, connects_to, 1.2.3.4:8443)}。存储这些三元组被存入知识图谱并与已有图谱连接例如发现IP1.2.3.4过去曾与另一个恶意软件家族关联。决策推理引擎被触发。规则库中一条规则被匹配“如果某个IP被用于C2通信connects_to关系且关联到APT组织则生成‘阻断’动作建议并建议调查内部是否有主机连接过该IP。”编排动作编排器根据“阻断”建议选择针对公司主要出口防火墙假设是FortiGate的API。它查询知识图谱获取IP1.2.3.4的详细信息并生成对应的CLI命令或REST API调用规则中目的端口设置为8443。执行执行器通过安全通道向防火墙下发规则。反馈一周后系统检索防火墙日志发现无任何流量匹配此规则同时威胁情报显示该IP已失效。分析师通过UI点击“规则失效”此反馈被记录可能用于未来对类似“短期活跃IP”的处置策略调整如改为临时封锁24小时而非永久。5. 实战中的挑战与应对策略理想很丰满但现实总会遇到骨感的问题。在构建此类系统时以下几个挑战尤为突出需要提前谋划应对之策。5.1 挑战一AI Agent的准确性与“幻觉”安全领域容错率极低AI模型提取错误的关系可能导致误阻断影响业务或漏阻断留下风险。应对策略领域微调与提示工程不要使用通用LLM。必须使用安全领域的文本威胁报告、漏洞描述、恶意软件分析博客进行监督微调SFT或精心设计提示词Few-shot Learning让模型学会安全领域的术语和表达模式。例如在提示词中明确列出需要抽取的实体类型和关系类型。多模型投票与置信度评分对于关键情报可以采用多个专用模型一个擅长识别组织一个擅长提取TTP分别处理然后对结果进行投票或融合并为每个提取结果赋予置信度分数。专家系统兜底校验这是混合架构的优势所在。AI的输出必须经过专家系统规则库的校验。例如规则可以设定只有当AI提取的“恶意软件-使用-IP”关系的置信度高于90%且该IP不在内部白名单中时才进入规则生成流程。否则转给人工审核。5.2 挑战二语义关系的标准化与对齐不同情报源、不同AI模型对同一关系的描述可能不同。比如“连接”可能被表述为connects_to、beacons_to、communicates_with。应对策略采用行业标准本体强烈建议以MITRE ATTCK框架和STIX 2.1标准作为核心本体。STIX定义了标准的对象如indicator,malware,attack-pattern和关系如uses,indicates,targets。将内部模型与STIX对齐能极大提升与外部情报的互操作性。建立内部关系映射表定义一套内部标准关系集并建立从各种AI输出或原始情报到这套标准关系的映射规则。这相当于一个“语义标准化层”。5.3 挑战三规则冲突与策略管理自动生成的规则可能与现有策略冲突。例如新规则要阻断的IP恰好是某个关键SaaS服务的IP段。应对策略冲突检测引擎在专家系统内部或单独设置一个冲突检测模块。在生成规则前将拟议的规则与现有防火墙规则库、资产CMDB配置管理数据库、业务白名单进行模拟匹配检查是否存在冲突。策略分层与优先级定义清晰的策略优先级。例如“业务保障白名单”优先级最高“高危威胁即时阻断”次之“中低风险观察规则”最低。当冲突发生时高优先级策略覆盖低优先级。生成“建议”而非直接“执行”对于中置信度的威胁系统可以不直接下发规则而是生成一条带有完整上下文的“规则建议”工单推送给安全分析师审批。分析师在审批界面能看到AI提取的语义关系、专家系统的决策依据、以及冲突检测结果从而做出更明智的判断。5.4 挑战四系统性能与可扩展性知识图谱的查询、复杂规则的推理、尤其是LLM的调用都可能成为性能瓶颈。应对策略异步处理与消息队列将情报处理流程设计为异步管道。情报进入消息队列如Kafka各个组件预处理、AI Agent、推理引擎作为消费者按需拉取处理避免阻塞。图数据库优化对知识图谱中高频查询的关系如uses,targets建立索引优化查询语句。AI模型服务化与缓存将AI Agent封装为高性能的API服务如使用FastAPI并对常见类型的情报报告提取结果进行缓存避免对相似内容重复调用模型。热点规则预编译对于专家系统中那些被频繁触发的核心规则可以将其逻辑预编译成更高效的代码而不是每次都用解释性的规则引擎去匹配。6. 从概念验证到生产部署路线图建议如果你被这个架构吸引想在自己的环境中尝试我建议采用分阶段、渐进式的路线避免一开始就追求大而全。第一阶段聚焦核心手动闭环目标验证“从非结构化报告中提取IOC并生成规则”的核心流程可行性。行动选择一个明确的威胁情报源如某个高质量的安全博客RSS。编写一个简单的脚本可用Python正则表达式或轻量级NLP库从文章中提取IP、域名、哈希。这可以视为一个“简化版AI Agent”。建立一个包含“白名单”、“关键资产”等简单规则的“专家系统”可以就是一个CSV文件加几行判断逻辑。编写脚本将提取的IOC与简单规则比对生成防火墙规则配置片段文本格式。整个过程可以完全不自动化执行而是输出一份报告由人工审核后手动下发。这个阶段的关键是跑通数据流验证准确性。第二阶段引入AI构建图谱目标提升IOC和上下文提取的准确性开始构建知识图谱。行动引入一个开源或商用的安全领域LLM API或微调一个开源模型如Llama 3、Qwen替换第一阶段的简单提取脚本。专注于提取实体威胁组织、恶意软件、TTP和核心关系uses,targets。部署一个图数据库Neo4j社区版很容易上手将AI提取的结果存储进去。开发一个简单的UI用于可视化展示图谱节点和边让分析师能直观看到威胁关联关系。第三阶段强化专家系统实现半自动目标将安全策略编码化实现部分场景的自动决策。行动与安全团队合作将最重要的响应策略例如“所有与勒索软件已知C2通信的IP立即阻断”编写成明确的规则实现到专家系统可以使用开源的规则引擎如Drools。将规则生成与执行流程连接起来但对于高风险的或AI低置信度的处置仍然加入“人工审批”环节。实现基础的反馈机制比如记录每条自动生成规则的“溯源”来自哪份情报、AI提取的哪些关系触发了它。第四阶段全流程自动化与优化目标在可信场景下实现全自动闭环并持续优化系统。行动扩大情报源接入范围。完善冲突检测、策略优先级管理。建立模型性能监控和反馈学习循环定期用分析师标注的数据微调AI模型。将系统与现有的SIEM安全信息与事件管理、SOAR安全编排自动化与响应平台集成。从我个人的实施经验来看最大的障碍往往不是技术而是流程与信任。安全团队需要时间接受和信任自动化决策尤其是涉及自动阻断的场景。因此前期“人在环路”Human-in-the-loop的设计至关重要先让系统成为分析师的“超级助手”用实际效果如提升响应速度、减少重复劳动来证明其价值再逐步扩大自动化范围。这个混合架构的魅力在于它没有追求不切实际的“全自动AI”而是务实结合了AI的感知能力和专家系统的逻辑可靠性最终目标是人机协同将安全人员从繁琐的、重复的“翻译”和“执行”工作中解放出来让他们更专注于更高层次的威胁狩猎和策略制定。