DeepSeek赋能28圈XDR：从狩猎预言家到战术推演
颁布功夫 2025-02-27“让每一句人机对话都安全可信 ，让每一次智能交互都风险可控——这是属于AI时期的安全承诺。 —— 28圈”
媒介：
据Gartner统计 ，2023年企业安全团队均匀需处置3.2万条/日告警 ，其中72%为噪音数据。面对APT攻击均匀埋伏期长达56天的严格现实 ，传统依赖人为的攻击事务处置模式已显疲态。28圈安星威胁检测智能体接入推理型大模型DeepSeek ，推动XDR系统实现威胁狩猎-攻击链还原-攻击预测三大主题能力的范式跃迁。
在网络安全检测领域 ，对于攻击事务的全性命周期治理一向被视为是一项必要高端安全专家能力实现的工作：安全专家通常在发现攻击线索后先进行攻击链还原 ，再对还原了局的缺失攻击步骤进行威胁狩猎 ，最后还要对攻击者的下一步攻击做出预判 ，预防影响面进一步扩大。这种贯通“事前-事中-过后”的匹敌推演 ，持久以来高度依赖安全专家的经验堆集 ，其过程费时费劲。
面对越来越多的高级持续性威胁（APT）等复杂攻击 ，单纯依附人力的方式已经难以满足现实需要 ，而推理型大模型（如DeepSeek R1）的出现 ，为这项复杂工作的自动化提供了可能。
技术突破：大模型沉构安全推理范式
1.更善于演绎与综合推理
推理型大模型善于解决谜题、数学证明等必要逻辑推理的工作 ，可能通过已知规定或数据模式推导出结论 ，推理型大模型的出现使得大模型从一个更善于作诗的“文科生”变为能处置复杂推算工作的“理科生”。
2.善于对复杂工作进行分步推理
推理型大模型可能将复杂问题分化为多步骤求解 ，逐步解决 ，适合必要系统性分析的场景。
3.更善于复杂决策工作
推理型大模型在衡量多成分、多指标的场景中阐发优异 ，可能仿照人类深度思虑过程。
通过集成DeepSeek R1等推理型大模型 ，XDR实现了从威胁狩猎、攻击链还原到攻击预测的全链路“智能化”升级 ，将安全专家的经验沉淀为可复用的逻辑推理框架 ，显著提升匹敌APT等复杂攻击的效能。
实战进化：从被动响应到预感性防御
1.威胁狩猎能力：分步骤疏导安全人员验证攻击如果
在威胁狩猎环节 ，推理型大模型通过度步演绎与如果验证机造 ，将传统依赖专家经验的非结构化狩猎过程转化为可交互的疏导式流程。例如：
? 如果天生：基于ATT&CK战术库和实时告警 ，模型自动天生可能存在的攻击步骤如果。
? 线索验证：结合XDR聚合的网络、端点、云日志数据 ，模型对如果进行多维度交叉验证。
? 动态建改：当部门如果被证伪时 ，持续动态调整搜索方向 ，循环往复。
2.攻击链还原能力：基于演绎推理去除噪音告警
面对多源告警中存在的碎片化与误报问题 ，推理型大模型通过因果逻辑演算实现XDR攻击链的精准沉构：
? 时序推理：成立ATT&CK技术间的因果依赖模型 ，自动过滤违反扑击逻辑的告警。
? 高低文加强：将孤立告警与MITRE战术标签、缝隙利用前提、主机资产关键性等维度进行逻辑关联 ，天生带相信度评分的攻击链图谱。
? 去除噪音能力：针对攻击者有意插入的滋扰行为 ，通过度析操作序列的统计学异常特点 ，有效剥离噪音数据。
3.攻击预测能力：多蹊径推演防御优先级
在攻击预测阶段 ，推理型大模型仿照攻击者可能的后续蹊径 ，为XDR联动其他防御产品提供凭据：
? 战术推演：基于当前攻击阶段 ，推理型大模型遍历ATT&CK战术库中所有可达蹊径 ，自动天生后续攻击步骤的可能性散布。
? 影响面评估：结合伙产指纹库与业务拓扑图 ，预测分歧攻击蹊径对关键系统的影响领域。
? 动态防御战术调整：借助推理型大模型的战术天生能力 ，XDR可能智能调动防火墙、入侵防御系统（IPS）、自动糊弄防御系统等产品 ，实现动态防御战术的智能化调整。
28圈XDR可自动还原攻击故事线 ，实现齐全蹊径出现、全攻击阶段覆盖、齐全攻击汗青复盘、网端关联分析� ；诠セ魇毙蚬亓� ，还原齐全攻击功夫线 ，攻击起头和实现功夫了如指掌。随着DeepSeek推理型大模型能力的进一步进化 ，28圈XDR通过客户局点实战化部署 ，将逐步实现攻击行为模式自动化推演、动态防御战术自动调整等高阶能力 ，从而构建具备自主攻防推演能力的下一代智能防御系统。
京公网安备11010802024551号