正在加载文章，请稍候…
网络安全中的 AI 如何发现威胁并加快响应
内容提要
从一条可疑登录告警出发，梳理 AI 在身份验证、反钓鱼、漏洞管理和安全运营中的用法，以及生成式 AI 与自动化处置的边界。
凌晨，一个员工账号从陌生设备登录，随后短时间内访问了多个平时很少使用的系统。每条记录单独看都可能合理，放在一起却值得调查。网络安全中的 AI 可以从登录记录、终端活动和网络流量中提取信号，找出这类异常组合，帮助安全团队更快决定先查哪一条告警。
AI 如何从数据中发现可疑行为
安全工具可以用机器学习从历史数据中建立行为基线，例如某个账号常用的设备、访问时段和资源范围。新活动偏离基线时，系统将其标记为调查线索。基于签名的规则擅长识别已知威胁，行为模型则能为缺少已知特征的活动提供线索。两者结合，既能匹配已知攻击，也能把可疑的新行为交给分析员核查。
AI 的收益主要来自处理规模和响应速度。它可以持续筛查大量日志、合并相关线索、辅助告警排序，也可以减轻例行日志分析和漏洞扫描的人工负担。模型效果取决于数据覆盖和质量，业务行为变化后也需要重新评估基线和阈值。
五类常见应用
- 身份验证。分析设备、登录频率和访问习惯等信号，辅助发现暴力破解或凭证填塞。风险升高时，可以要求额外验证。
- 反钓鱼。结合发件域名、邮件措辞、链接和历史沟通模式识别冒充与诱导。比如一封声称来自财务同事的邮件使用近似域名，并要求紧急修改收款账户，多项信号可以共同提高调查优先级。
- 漏洞管理。辅助整理扫描结果并确定排查优先级。若系统行为异常，安全团队也可据此调查是否存在尚未公开的漏洞利用。异常行为本身无法确认零日漏洞，仍需验证。
- 网络防护。分析应用与工作负载之间的流量，识别异常连接，并为访问策略调整提供依据。策略变更前需要结合业务依赖验证影响。
- 行为分析与威胁猎捕。用户与实体行为分析（UEBA）为账号、设备和服务器建立行为画像，帮助分析员追踪异常访问、可能的横向移动等线索。
哪些安全工具会用到 AI
终端检测与响应（EDR）侧重设备上的进程、文件和执行行为。网络检测与响应（NDR）侧重流量和连接模式。下一代防火墙（NGFW）可结合入侵防御和应用控制，在流量经过时执行策略。安全信息和事件管理（SIEM）汇总并关联多个来源的日志与告警。云安全工具则将类似的分析用于云端应用、资源与活动。开头的可疑登录事件就可以由 SIEM 串联身份、终端和网络侧的证据。
生成式 AI 能辅助演练和测试
Fortinet 提到，生成式 AI 可以模拟攻击场景，用于测试防御流程和事件响应预案。安全团队也可以参考历史事件构造可能的攻击路径，或生成合成样本来补充训练数据。例如，可以在隔离环境中生成不同措辞的模拟钓鱼邮件，检查检测系统能否发现同一种欺骗手法的不同变体。合成样本的价值仍需用独立的真实样本验证。
自动化处置需要与风险相匹配
可以先自动执行日志关联、补充告警上下文等影响较小的操作。涉及停用账号、隔离关键主机等可能中断业务的动作时，应结合证据、资产重要性和预先约定的审批策略，再决定是否执行。评估效果时，可以同时观察误报、漏报和从发现到处置的耗时。
攻击者也能用 AI 批量改写钓鱼内容、制作更有说服力的冒充消息，或尝试绕过检测。回到开头的案例，模型发现可疑登录后，可以先自动收集设备和会话记录，再由分析员判断是否需要撤销会话、停用账号或隔离设备。