AI 安全运营：用 LLM 增强 SOC

告警接入
  → LLM告警分类（真实威胁/误报/低危/需关注）
  → 上下文丰富化（关联用户/资产/历史事件/威胁情报）
  → 优先级评估（CVSS+业务影响+资产价值）
  → 自动处置建议
  → 分派给合适层级分析师

class AlertTriageAgent:
    def __init__(self):
        self.llm = LLMRouter()  # 路由到不同模型
        self.threat_intel = ThreatIntelAPI()
        self.asset_db = AssetDatabase()
        self.case_db = CaseDatabase()  # 历史案例
        
    async def triage(self, alert):
        # 1. 收集上下文
        context = await self.gather_context(alert)
        
        # 2. LLM分诊分析
        prompt = self.build_triage_prompt(alert, context)
        analysis = await self.llm.analyze(prompt)
        
        # 3. 结构化输出
        return {
            'classification': analysis.classification,  # true_positive/false_positive
            'confidence': analysis.confidence,          # 0-1
            'priority': analysis.priority,              # P1-P4
            'severity': analysis.severity,              # critical/high/medium/low
            'reasoning': analysis.reasoning,            # 推理过程
            'recommended_actions': analysis.actions,    # 建议动作
            'similar_cases': context.similar_cases,     # 相似历史事件
            'ioc': analysis.ioc,                        # 指标类信息
        }
    
    async def gather_context(self, alert):
        return Context(
            asset_info=self.asset_db.lookup(alert.target),
            threat_intel=self.threat_intel.query(alert.indicators),
            similar_cases=self.case_db.search(alert, top_k=5),
            user_history=self.get_user_activity(alert.user),
            network_context=self.get_network_topology(alert.source)
        )

# LLM生成威胁狩猎假设
hunting_hypotheses = llm.generate("""
基于以下信息生成5个威胁狩猎假设：
1. 最近一周发现的异常：C2通信疑似流量增加15%
2. 新型威胁情报：APT-29使用新型PowerShell后门
3. 资产变化：新增了3台对外暴露的Windows服务器

每个假设需包含：
- 假设描述
- 需要检查的数据源
- 预期的IoC模式
- 验证查询语句（Splunk SPL / KQL）
""")

假设1: "攻击者可能通过PowerShell下载执行恶意脚本"
查询: EventLog:Microsoft-Windows-PowerShell/Operational
      | where EventID == 4104
      | where ScriptBlockText matches "(DownloadString|Invoke-Expression|iex)"
结果: 发现2台服务器存在匹配，进一步分析...
结论: 确认1台为管理员合法操作，1台为未授权脚本执行

# 勒索软件响应剧本
playbook:
  name: ransomware_response
  trigger:
    condition: "alert.type == 'ransomware' and alert.confidence > 0.85"
  steps:
    - name: 隔离受感染主机
      action: network_isolate
      target: alert.affected_hosts
      timeout: 30s
      
    - name: 阻断C2通信
      action: firewall_block
      target: alert.c2_indicators
      timeout: 30s
      
    - name: 收集取证信息
      action: collect_forensics
      target: alert.affected_hosts
      artifacts: [memory_dump, disk_image, event_logs]
      
    - name: LLM分析影响范围
      action: llm_analyze
      input: [forensics_data, asset_topology, user_activity]
      output: impact_assessment
      
    - name: 启动恢复流程
      action: restore_from_backup
      target: alert.affected_hosts
      verification: integrity_check
      
    - name: 生成事件报告
      action: llm_generate_report
      template: incident_report

分析师: "最近的CVE-2026-XXXX影响哪些我们的资产？"
  → RAG检索: 资产清单 + 漏洞数据库 + 网络拓扑
  → LLM分析: 匹配受影响资产 + 评估风险 + 推荐修复方案
  → 输出: "受影响资产3台，均在生产环境。建议优先修复Server-A..."