节省分析师时间：用 AI 实现更智能的防御调查

Elastic 中国社区官方博客

已于 2025-06-21 09:20:40 修改

阅读量566

点赞数 15

CC 4.0 BY-SA版权

分类专栏： Security Elastic 文章标签：人工智能 elasticsearch 大数据搜索引擎全文检索 ai 安全威胁分析

于 2025-06-21 09:18:25 首次发布

本文为博主原创文章，未经博主允许不得转载。

本文链接：https://blog.csdn.net/UbuntuTouch/article/details/148804774

Elastic 同时被 2 个专栏收录

1921 篇文章

订阅专栏

Security

47 篇文章

订阅专栏

作者：来自 Elastic Crossley McEwen

如何减少调查疲劳并提升运营效率。

英国（MOD）的安全分析师 —— 以及全球各地的安全分析师 —— 面临着巨大的挑战：他们每天可能收到成千上万条警报，在没有技术干预的情况下，及时区分真实威胁和误报几乎变得不可能。人力成本很高 —— 超过 70% 的 SOC 分析师（各行业）报告出现倦怠，同时 MOD 在过去五年中数据泄露事件增长了 400%。组织通常通过增加更多工具、人员和（不必要的）开支来应对，而没有解决根本的效率问题。

实现 MOD 的 AI 生产力目标

英国《国防人工智能战略（2022）》认识到这一挑战，指出“在数据无处不在的环境中，情报分析师越来越需要自动化汇总和分析大规模数据集。”MOD 也认识到 AI 改善生产力、减轻安全分析师工作负担的潜力，计划建立生产力组合，用以识别和跟踪新兴技术的潜在应用，如 AI：

自动化并加速日常业务和政策工作
提升决策速度
优化物流
增强军事能力的可用性

Elastic 的灵活性和可扩展性使其能够支持 MOD 的战略，不仅仅是增加噪音和复杂度的另一个工具，而是作为一种能力倍增器，改变分析师的工作方式。通过将 AI 直接集成到工作流程中，像 AI Assistant 和 Attack Discovery 这样的工具可以同时处理多条数据流，将数百条警报浓缩为可操作的情报。它能提升一线分析师的能力，将数小时的枯燥调查和重复任务缩短为数分钟的聚焦高价值分析和行动。

立即看到完整全貌

MOD 希望实现日常操作的自动化，同时提升安全运营中的决策速度。实际上，这意味着快速区分真实威胁与消耗分析师宝贵时间的背景噪声。

这可以通过 AI 驱动的系统实现，这些系统将看似无关的警报连接成完整的攻击叙事。通过同时分析数百条警报，并根据资产重要性、风险评分和行为模式进行评估，安全团队能够识别出最需要立即关注的关键攻击。当对手试图在多个系统间建立持久存在时，像 Attack Discovery 这样的工具能够识别出模式，并将其呈现为一个连贯的攻击故事。

自然语言界面辅佐这一能力，使分析师可以无技术障碍地进行更深入调查。分析师能快速提出后续问题，比如“显示过去一周我们网络中所有类似活动”，并获得通常需要复杂查询才能得到的上下文洞察。AI Assistant 就是实现这种更直观调查过程的一种方式。

安全团队能够在几分钟内识别、理解并应对威胁，而非数小时，从而收回多达 74% 的全职员工（FTE）之前用于日常任务的时间——这直接支持了《国防 AI 战略》将速度和效率视为未来冲突决定因素的重点。

简化安全运营

这个统一的数据模型将终端、网络和云的遥测数据汇集到一个可搜索的数据视图中。分析师可以快速从警报切换到详细调查，无需更换操作环境。通过消除对独立工具及其相关授权费用的需求，总体安全工具成本可减少约 25%，同时提升能力并降低复杂度。调查指南和预构建的流程手册规范响应流程，而基于机器学习的检测规则能够识别可能被遗漏的威胁。

在补救方面，安全团队可以同时在分布式终端执行操作 —— 隔离受感染的机器、终止恶意进程或部署补丁，而无需离开平台。这个端到端的工作流自动化将曾经需要数小时、多工具完成的流程变为简化操作。

构建零信任基础

MOD 面临 2026 年实施零信任架构的截止日期——这并非易事。应对这一挑战的实际方法是侧重于数据整合，而不是增加更多安全工具。将身份验证日志、网络流量和应用遥测数据收集到一个地方，实现了跨传统分隔领域的可视化。这对零信任至关重要。当用户访问敏感数据时，系统不仅要验证其身份，还要检查设备健康状况、网络路径，甚至访问的时间和地点。没有统一数据，这些检查变得繁琐甚至不可能，威胁可能因此被漏检或困在孤立系统中。

数据基础使零信任的实施变得切实可行，确保 MOD 达成 2026 年目标。

了解国防领导者如何借助 AI 和统一数据可视化，实现跨领域的安全实时协作。观看我们的系列网络研讨会。

更多资源：

来源：

Tines，“Voice of the SOC Analyst,” 2021。
Intersec，“MOD Fights Back,” 2024。
Ministry of Defence，“Defence Artificial Intelligence Strategy,” 2022。
Civil Service World，“MoD to investigate potential for AI to improve productivity,” 2024。

本文所述的任何功能发布及时间均由 Elastic 全权决定。当前不可用的功能可能无法按时或完全提供。

本文可能使用或提及了由第三方拥有和运营的生成式 AI 工具。Elastic 无法控制这些第三方工具，对其内容、运行或使用不承担任何责任，也不对你使用这些工具可能造成的任何损失或损害负责。使用 AI 工具处理个人、敏感或机密信息时，请务必谨慎。你提交的任何数据可能会用于 AI 训练或其他用途，无法保证信息安全或保密。使用前，请熟悉相关生成式 AI 工具的隐私政策和使用条款。

Elastic、Elasticsearch 及相关标识为 Elasticsearch N.V. 在美国及其他国家的商标或注册商标。所有其他公司和产品名称为其各自所有者的商标、标识或注册商标。

原文：Reducing security analyst fatigue with AI in defence cybersecurity operations | Elastic Blog