在網絡安全威脅情報（CTI）的背景下，面臨著信息過載、動態性、復雜性、數據質量、數據結構、專業領域的實體關系識別和語境理解、跨語言支持等多方面的挑戰，亟待尋找新的解決方案。LLM（大語言模型）作為人工智能（AI）革新的核心，正在徹底改變我們對威脅情報的理解和應對方式。
AI能夠以前所未有的速度和規模處理數據，并從中識別出潛在的威脅，從而大大提高了威脅情報的效率和準確性。LLM（大語言模型）通過其獨有的理解與思考能力，自動化聯動各安全專項小模型，生成全面和可預測性威脅情報，以改善企業安全決策能力。
AI+威脅情報生命周期
威脅情報生命周期是迭代式的持續流程，威脅情報團隊使用該流程生產并持續改進威脅情報。整體步驟可以分為目標規劃、數據收集、預處理、綜合分析、情報應用、反饋與改進。
VenusEye威脅情報中心綜合運用沙箱集群、同源性分析、知識圖譜、人工智能等先進技術，生產和提供高質量的威脅情報信息?；谕{情報生命周期的迭代進化，探索基于大小模型協同的AI+體系如何應用于增強威脅情報生產識別、分析判定和推理應用。
威脅情報智能生產識別
在威脅情報生命周期的目標規劃階段，安全分析師與業務相關方共同設定情報需求，AI可以協助任務的快速拆解和分發，加快在規劃階段的響應力。假設業務相關方需要收集針對我國的APT攻擊組織信息，分析其相關的TTPs，結合IoC進行閉環響應。這個過程通常由具備一定經驗的威脅情報分析人員結合組織架構，對任務進行拆解，形成任務鏈和人員分工，此過程可引入Multi-Agent框架，包含多個相互作用的情報分析智能體，協作執行復雜的語言處理任務，提高處理速度。
在威脅情報生命周期的數據收集階段，AI能夠自動化和加速數據收集過程。掃描來自多源異構的大量數據，包括開源情報、暗網論壇、專業博客、社交媒體網站和專業分析報告等。通過AI識別特定關鍵字和特征矩陣，確定數據是否符合規格要求，降低無用數據的干擾。情報生產的目標是確定特定對象的數據處理，而非簡單地提取通用數據。因此，替代人工審核結合AI對數據內容的鑒別會更高效。
在威脅情報生命周期的預處理階段，對收集階段的數據進行梳理，以提供初步有效信息，如攻擊對象、妥協指標 (IoC)、家族標簽等。自然語言處理( NLP ) 能夠處理人類語言，從非結構化文本源（異構體的論壇、報告）中提取有意義的威脅情報信息，構建初步的圖譜信息?；诖笳Z言模型的特性，能夠在少量樣本訓練的情況下識別威脅情報相關對象。結合OCR識別、中心文本識別等AI算法快速從報告、論壇中識別和生成威脅情報結構化數據，形成機讀情報。
威脅情報智能分析判定
在威脅情報生命周期的綜合分析階段，機器學習算法能夠檢測并清除重復或冗余條目，為情報分析過程提供更豐富的路徑，支持最終情報數據的多維度標簽、威脅度和置信度等。
? 基于AI的惡意軟件情報分類分析
利用機器學習模型識別惡意軟件的原理是基于惡意軟件和良性軟件的靜態特征（如代碼結構、API調用模式）和動態行為（如運行時系統變更、網絡活動），構建并訓練機器學習模型，以識別和分類未知軟件的惡意性和分類歸屬問題。
? 基于AI的釣魚分析與情報標注
通過機器學習和自然語言處理技術，對電子郵件內容進行分析，識別和分類釣魚郵件。通過提取郵件文本的特征并訓練分類模型，可以識別郵件中常見的釣魚特征和欺騙性語言，包括檢測誘餌鏈接、惡意附件和欺詐性言論等內容。分析后對郵件進行情報標注，包括發件人、目標受害者和使用的攻擊技術等信息。同時可進行釣魚網站的識別，通過收集釣魚網站和正常網站的樣本，提取URL特征、頁面內容、網絡行為等關鍵信息，訓練分類模型以識別和區分釣魚網站，進而對新的可疑網站進行預測和分類。
? 基于AI的威脅情報決策分析
通過收集和分析各種網絡安全數據，利用有監督學習算法對潛在的威脅進行評估和預測。當發現潛在威脅時，自動生成相應的威脅情報報告。決策者可以根據報告制定針對性的防御策略，提高網絡安全防御的主動性和準確性。
? 基于AI的威脅情報失效判斷
基于情報自生產流程，對數據進行反向追溯，并基于威脅情報研究人員的相關判斷邏輯與特征數據，結合預先標注的數據進行AI模型訓練，針對IP、域名等數據對當前標簽是否存在失效狀態進行判斷，提高威脅情報的時效性與準確性。
威脅情報智能推理應用
在威脅情報生命周期的情報應用和反饋改進階段，主要關注向情報使用者推送情報并解決使用者對情報的疑問和召回問題。其中面對威脅情報分析師通常提供的專業技術細節，如IoC、惡意軟件、對手戰術、技術和流程（TTP）、MITRE ATT&CK框架等，使用者往往難以理解。AI可以根據用戶需求結合數據和能力，推理出符合用戶需求的內容，并利用生成式、調用式等多種模式，幫助威脅情報團隊創建適合不同技術和業務背景的報告和情報集合。同時，結合相應的技術框架，為用戶提供更完善的應對策略。
? 個性化情報生成
AI可以根據用戶的業務領域、技術知識水平及特定興趣定制情報報告。通過分析用戶過去的行為和偏好，AI能生成更加貼近用戶實際需求的情報內容，確保每份報告都具有高度的相關性和實用性。
? 多模式情報呈現
利用自然語言處理（NLP）和機器學習技術，AI能夠將技術性的IoC、TTP等信息轉換成圖表、流程圖、故事板等形式，甚至是交互式報告，使非技術背景的決策者也能迅速把握要點，促進跨部門間的溝通和協作。
? 動態威脅建模與模擬
結合MITRE ATT&CK框架等標準，AI能夠幫助構建動態的攻擊場景模型，模擬對手可能的攻擊路徑和策略。這種模擬不僅有助于直觀展示威脅態勢，還能夠依據最新的情報自動調整，確保防御策略的時效性和有效性。
? 自適應學習與優化
通過持續收集用戶反饋，AI系統能夠自我學習和優化，不斷調整其分析模型和報告生成策略，以更好地匹配用戶需求。這種反饋循環機制有助于不斷提升報告的質量、相關性和及時性。
? 自動化情報整合與關聯分析
AI能夠自動整合不同來源的威脅情報，利用高級分析算法發現數據之間的隱藏關聯，揭示潛在的威脅模式，從而提供更全面的視角和深入的洞察。AI通過增強威脅情報的可解釋性、個性化和操作性，有效地橋接了技術專家與業務決策者之間的鴻溝，使企業能夠更快地識別威脅、做出決策并采取行動，從而提高整體的安全防護水平。
? IP/域名實時調度研判
AI可以根據用戶查詢的IP或域名信息，自動基于信息的完備度進行數據補全，并協調相關程序。它還可以調度研判模型，從IP資產情報、開源情報和攻擊情報等多個維度進行多維度分析，為用戶提供實時判斷，增強IP或域名情報的實時性和智能化。
快速鏈接
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
