深度研究 | 如何逐步实现网络安全运营数智化升级：全景指南与实战案例

在数字化浪潮席卷全球的深度升级实战今天
，随着攻击手段日益复杂化、研究营数攻击面不断扩大
，何逐传统的步实被动防御模式已难以应对层出不穷的安全威胁。企业亟需一场安全运营的现网革命性升级
：从被动响应到主动预测，从人工分析到智能决策
，络安从孤立防御到协同作战。全运全景数智化安全运营中心(ISOC)应运而生
，智化指南它不仅是案例技术的升级，更是深度升级实战理念的香港云服务器革新。通过融合大数据、研究营数人工智能、何逐自动化编排等前沿技术，步实ISOC正在重塑网络安全的现网未来。本文将揭示网络安全运营数智化升级从初始级到自主级的络安蜕变路径 ，分享行业领先企业的实践案例。

能力成熟度模型

ISOC的五级成熟度模型为组织提供了评估组织安全运营能力 、明确未来方向发展的框架。该成熟度模型清晰地展现智能化安全运营的演进路径和每个阶段的云计算核心特征。组织可以根据自身的实际情况，参考该模型 ，制定切实可行的ISOC建设方案 ，逐步提升自身的安全运营能力 。具体特征如下
：

ISOC建设成熟度模型

ISOC建设原则

ISOC的建设是一个持续优化的过程 ，需要根据组织的实际情况和安全需求的变化，不断调整和完善 。模板下载针对各个成熟度级提供的ISOC建设方案。组织应结合自身的实际情况，参考方案并制定切实可行的ISOC建设路线图  ，逐步提升自身的安全运营能力。ISOC的建设应遵循以下关键原则
，以确保项目成功落地
，发挥预期价值，构建主动、智能、自适应的安全防御体系 。服务器租用

图片

建设原则包括 ：

1.战略导向  、风险导向

ISOC建设必须与组织的整体战略、业务目标紧密对齐
，并以业务安全需求为核心驱动力 。同时 ，建设应以风险为导向
，通过全面的风险评估确定建设重点和防御策略 ，确保安全投入聚焦于核心风险 。

2.整体规划，分步实施

ISOC建设需要进行全面的顶层设计，包括总体架构 、技术路线、建设目标、高防服务器实施计划等 。但实施过程应根据组织的实际情况
，分阶段、有重点地逐步推进，可以采用“试点先行、逐步推广”的方式 ，降低风险
，积累经验
。

3.数据驱动，AI赋能

数据是ISOC的基础，AI是核心引擎 。源码库必须重视安全数据的全面采集、治理和利用，构建统一的安全数据湖 。充分利用人工智能技术提升安全运营的智能化水平 。

4.人机协同，持续运营

充分发挥AI的优势和人类的智慧，构建高效的人机协同安全运营模式。明确AI与分析师的角色分工，建立持续运营和优化机制。ISOC不是一次性项目，而是一个需要持续投入和改进的长期过程。

5.安全合规  ，保障可靠

SOC建设必须符合国家相关法律法规和行业标准要求（如等级保护 、数据安全法等） 。采取必要的技术和管理措施保护数据安全和隐私。对AI模型进行充分的测试和验证 ，确保安全 、可靠 、可信 ，并建立完善的审计机制。

6.循序渐进 ，注重实效

ISOC建设应从解决最紧迫的安全问题入手
，选择能够快速产生价值的场景进行试点 ，逐步扩大应用范围 。注重实际效果
，选择适合自身需求的技术和平台，避免盲目追求“高大上”
，并定期对ISOC的建设和运营效果进行评估和优化 。

一、初始级升级到管理级

1.主要目标

建立基本的安全监控和响应能力，初步实现安全事件的集中管理和分析 ，提升对常见安全威胁的检测和响应效率，满足基本的合规性要求
。

2.建设内容

1）组建基础安全团队或引入服务：

配备1-2名专职或兼职安全人员 ，明确其日常安全监控、事件分析和响应职责。进行基础网络安全知识和技能培训。对于资源有限的中小型企业，可以考虑引入MSSP提供安全服务支持。

2）部署SIEM平台并集中日志：选型：根据预算和需求选择合适的SIEM平台（开源或商业） 。重点考察日志收集能力（覆盖防火墙、服务器、核心应用等）、存储 、基础分析和报表功能；部署 ：推荐采用集中式部署；实施
：配置数据源，确保关键日志（防火墙、IDS/IPS  、服务器、核心业务系统日志、杀毒日志等）能够被有效采集、解析和存储。从SIEM平台自带的规则库开始，配置针对常见威胁（如暴力破解
、端口扫描 、已知恶意软件）的检测规则 ，并根据实际情况逐步调优，降低误报 。配置基础的安全报表，用于日常监控和汇报。3） 建立基本安全运营流程：制定清晰 、简单的安全事件分类分级标准（例如按类型、影响、紧急程度分级）；建立基础的事件响应流程（SOP），明确事件上报、初步分析、处置（如隔离、封禁） 、记录和报告的步骤。

3.考核指标

安全团队（或负责人）到位
，完成初步培训；SIEM平台稳定运行，关键日志接入率达到预期；事件响应流程已建立并通过演练；常见威胁的检测率和响应效率相比之前有明显提升 。

三 、实践案例

某公司建设案例

案例概况

某制造公司一直以来面临着“安全无专人”的困境
，网络安全管理较为薄弱 ，缺乏专业的安全团队和明确的安全职责划分。随着业务的发展和数字化转型的推进 ，该公司意识到网络安全的重要性
，决定采取一系列措施提升整体安全运营能力  
。该公司希望通过建立专业的安全团队、部署先进的技术平台、采集关键安全数据以及规范安全运营流程，全面提升网络安全防护能力，确保核心业务系统的安全稳定运行 ，同时有效应对各类安全威胁和事件。

安全建设步骤

该制造公司安全建设包括建立安全团队、部署集中式SIEM平台 、采集安全数据  、建立安全运营管理流程四个主要步骤 。

图片

1）建立具有明确职责的安全团队

该制造公司为了改变“安全无专人”的现状，从现有的IT部门中 ，选拔了一位对网络安全有兴趣的人
 ，具备一定基础的员工成为安全负责人，负责安全工作的整体规划、协调和监督的职责，成为安全建设的“领头羊”。安全负责人与IT部门沟通了安全方面的职责
。例如，服务器管理员则需要负责服务器的安全配置、漏洞修复和补丁管理；网络管理员则需要关注网络设备的安全配置、流量监控和预警检测。通过这种方式 ，将安全责任划分到各个岗位，形成“人人有责”的安全队列。同时引入了外部安全服务 ，主要提供重要安全事件的事件应急响应服务，帮助企业快速处理紧急安全事件 。并制定了安全培训计划。培训内容包括安全基础知识、常见安全威胁 、以及安全事件响应流程等  。

2）部署SIEM平台，集中安全日志

该制造公司由于IT环境相对简单，选择了集中式部署SIEM平台 
，并在数据中心部署了SIEM服务器 。部署后，根据SIEM产品自带的规则库开始配置基本的安全事件检测规则  。例如 ，配置针对暴力破解、端口扫描、恶意软件、异常登录等常见威胁的检测规则。此外 ，还配置了常用的安全报表，如安全事件统计报表、流量分析报表
、安全报表等，以便向领导汇报安全情况。

3） 采集安全数据

SIEM平台需要采集足够的安全数据。对于该制造公司而言 ，采集的关键数据包括：

网络边界数据：防火墙、IDS/IPS
、WAF（Web应用防火墙）等设备的日志和相关信息，可以帮助发现来自外部的网络攻击和入侵意图；核心业务系统数据：ERP 、MES、OA等核心业务系统的日志 ，可以帮助发现针对业务系统的攻击和异常操作；重要服务器数据：域控制器、文件服务器、数据库服务器等重要服务器的日志 ，可以帮助发现针对关键基础设施的攻击和异常行为；终端安全：在员工使用的终端设备上安装杀毒软件 ，并集中收集杀毒日志 。

 4）建立基本安全运营流程 ，规范事件处理

安全负责人牵头建立了一套基本的安全运营流程 ，以规范安全事件的处理，确保安全事件得到及时、有效的响应
。首先
 ，需要对安全事件进行分类分级，根据安全事件的类型（如恶意软件感染、网络入侵、数据泄露 、拒绝服务攻击 、内部威胁等）和影响范围、紧急程度等因素
，将安全事件划分为不同的类别和级别（如高 、中
、低） ，并建立一个明确的安全事件响应流程
，包括事件上报 、分析、执行和报告等阶段。一个简单的流程示例如下：安全分析师（或安全负责人）通过SIEM平台或其他途径获得安全告警 ，安全分析师对另外进行初步分析，确认是否为误报 。如果确认为安全事件，安全分析人员根据事件类型和级别，执行相应的响应操作 ，如隔离受感染的主机、封禁恶意IP地址
、通知相关人员等。事件处理完成后，安全分析师记录事件处理过程和结果 ，并生成报告。

二 、管理级升级到自动化级

1.主要目标

建立完善的安全运营体系，实现安全事件的规范化管理和处置 ，提升安全运营的效率和可靠性 ，并开始应用威胁情报和自动化技术，向主动防御转变。

2.建设内容

1）SIEM平台深化应用 ：关联分析：重点提升SIEM的关联分析能力 。根据业务场景和威胁情报
，编写更复杂的关联规则
，将来自不同安全设备的告警信息进行关联，发现多阶段攻击行为；规则优化 ：持续优化告警规则，降低误报率 ，提高检测准确性；可视化定制：定制安全运营仪表盘 ，展示关键指标（KPI）和安全态势 。2）威胁情报平台(TIP)部署与应用：情报源选择：根据行业特点和威胁态势，选择合适的商业或开源威胁情报源；TIP部署（可选） ：如果情报源较多 ，可部署TIP平台进行统一管理；SIEM集成 ：将威胁情报（IOCs,TTPs）与SIEM集成，用于丰富事件上下文，提升检测准确性。3）流程建立：建立威胁情报的收集 、评估  、处理 、应用和共享流程。4）SOAR平台部署与应用：选型与部署 ：选择合适的SOAR平台，并与SIEM 、EDR等关键平台集成； 剧本开发：从常见的
、重复性高的事件响应场景（如恶意软件感染、钓鱼邮件、暴力破解）入手，开发自动化响应剧本；逐步自动化：先实现部分操作的自动化（如告警富化 、生成工单  、发送通知），再逐步实现更复杂的响应动作（如隔离 、封禁）。关键技术：剧本编排、API集成
、自动化引擎 。5） 安全运营流程完善和优化
：标准化：细化事件分类分级标准 ，完善事件响应流程，并将流程固化到SOAR平台中；协同：建立与IT运维、业务部门的协同流程，例如漏洞修复、配置变更等；评估与优化：定期对安全运营流程进行演练 、评估和优化；团队能力提升：培养安全分析师的关联分析、威胁情报分析、SOAR剧本开发等能力。

3.考核指标

安全团队能够熟练使用SIEM、TIP和SOAR平台；SIEM误报率降低 ，威胁检测准确性提高；威胁情报得到有效利用；部分高频  、重复性事件实现自动化响应，事件响应效率提升；安全运营流程文档化并有效执行；初步建立安全运营考核指标体系 。

4.实践案例

某企业智能化SOAR平台建设案例

 案例概况

某高科技企业随着业务的快速发展和数字化转型的推进，面临着日益复杂的网络安全威胁。传统的安全运营模式已经难以应对当前的挑战，企业面临着日益增多的网络安全事件和有限的安全运营人员 。为了提升事件响应效率，减轻安全团队的工作压力，该公司决定引入智能化的SOAR（安全编排自动化与响应）平台
，以提升整体的安全防护能力和运营效率。

安全建设过程

首先该公司识别了日常安全运营中重复性高 、耗时且易出错的环节作为自动化的重要应用场景
，例如恶意IP的封禁、病毒告警的初步处置 、钓鱼邮件的响应等 。

在此基础上选择并进行SOAR平台的部署
，选择平台时重点关注平台的集成性 ，确保其能够与目标场景需要的安全基础设施（如防火墙、EDR终端安全系统、入侵检测系统、SIEM系统等）以及IT运维系统进行对接 ，利用安全组件提供的开放接口 ，将SOAR平台作为指挥枢纽 ，协调和调度各类安全工具执行自动化动作.

在完成平台的基础部署和集成后，公司针对重要应用场景定义和编排安全剧本 。基于预先制定的安全事件处置预案 ，利用可视化流程编辑器，将人工分析和处置步骤配置为标准化的自动化工作流程。例如 ，针对检测到的恶意IP攻击场景 ，创建恶意IP的封禁剧本
，该剧本能够自动从告警列表中提取恶意IP信息 ，然后联动防火墙下发封堵策略，并记录整个处置过程 。对于挖矿告警剧本，剧本可以自动将相关信息发送至EDR系统进行风险验证，并根据EDR的反馈联动防火墙封禁相关的域名或IP地址。为了应对不同的安全事件类型，持续开发了一系列的自动化剧本，覆盖了如Web攻击 、暴力破解 、病毒木马、非法外联、漏洞利用等常见威胁。

图片

为了保证自动化响应的可靠性 ，在剧本上线前进行了充分的测试，并进行监控和调优 。此外 ，因为意识到自动化并非适用于所有场景
，因此SOAR平台也支持手动触发和人工干预，对于需要人工判定的复杂事件或未知事件
，SOAR平台通过下发工单并提供执行概览，协助人工判断与执行。通过SOAR平台的应用，该公司显著提升了安全事件的响应速度和准确性 
，减轻安全运营人员的工作量  ，最终实现安全事件响应流程的自动化闭环。随着经验的积累，后期准备基于SOAR平台开发更复杂的自动化评估，例如与威胁情报集成形成自动化威胁狩猎剧本、与漏洞管理系统集成形成自动化漏洞处置剧本.

公司建某电商企业的SOAR应用实践
：自动化响应钓鱼攻击设案例

案例概况

某电商企业作为互联网行业的典型代表，面临着日益复杂和频繁的网络安全威胁 ，尤其是钓鱼邮件攻击  。钓鱼邮件攻击不仅可能导致用户数据泄露，还可能引发更严重的安全事件 ，如账户被盗用
、恶意软件传播等，对企业的声誉和业务运营造成严重影响 。为了有效应对这些威胁 ，提升安全运营效率
，降低数据泄露风险
，该电商企业决定引入SOAR平台 ，实现钓鱼邮件攻击事件的自动化响应 。

图片

 在SOAR平台部署和配置过程中 ，该公司的首先将SOAR与已有的安全平台进行了深度集成 。通过API接口，SOAR平台与SIEM平台、EDR平台 、邮件安全网关以及威胁情报平台进行对接
，使SOAR平台能够获取SIEM的信息、EDR的终端数据、邮件网关的邮件检测结果以及TIP的威胁情报，并能够调用这些平台的功能执行响应操作。

完成集成后  ，安全团队针对钓鱼邮件攻击场景创建了一个名为“钓鱼邮件自动响应”的流程。该流程以SIEM检测到的钓鱼邮件相关事件作为触发 ，一旦触发
，就会自动执行一系列预定义的操作。首先 ，SOAR平台会自动从SIEM获取有关事件的详细信息，包括邮件主题、发件人 
、方案、URL链接 、附件信息等。从邮件内容、URL链接、附件中提取出关键词，例如发件人邮箱地址 、URL 、域名等。接着，SOAR平台会自动查询威胁情报平台，判断这些IOC是否与已知的恶意IOC匹配。如果是恶意的 ，那么通过IAM（身份和访问管理）系统接口禁止出访的用户账号，防止攻击者利用被盗取的权限进行非法访问 。最后 ，SOAR平台会自动向安全分析师和出访的员工发送通知，告知事件详情并已采取的措施
。如果安全分析师判断为中风险事件 ，则给用户发送安全提醒。最后，SOAR平台会自动记录所有执行的操作和结果
，并生成事件响应报告，为安全团队的事后分析和审计提供响应。在实施“钓鱼邮件自动响应”后，该公司的钓鱼邮件攻击事件响应效率得到了显著提升，从收到通知到执行完成隔离、阻止等关键任务 。

图片

响应整个过程往往只需要几十甚至几个操作，远快于过去的人工响应操作方式
 。大部分响应操作都由SOAR提供平台自动执行，安全分析师只需进行审核和确认，很大程度上减轻了分析师工作负担
，也有效降低了人犯错误的可能性
，使响应更规范、更可靠，并且有效阻止了钓鱼攻击的进一步泄露，降低了数据泄露和业务中断的风险。

三、自动化级升级为智能辅助级（当前主流）

1.主要目标

建立量化的安全运营体系 ，实现安全运营的精细化管理和持续改进，引入AI技术提升对未知威胁、高级威胁和内部威胁的检测
、分析和响应能力，实现人机协同。

2.建设内容

1）构建安全大数据平台：数据湖/增强型SIEM ：升级或构建能够处理海量 、异构数据的安全数据湖或增强型SIEM平台；数据治理：建立完善的数据治理体系 ，确保数据质量；数据处理能力 ：具备实时流处理和离线批处理能力。2）引入AI安全分析平台：选择采购商业AI安全分析平台 ，或基于开源框架自建。3）模型训练与优化：需要利用企业自身的安全数据对AI模型进行训练和优化。从成熟的AI应用场景（如告警降噪、恶意软件检测）开始试点 ，逐步扩展应用范围。4）部署UEBA平台
：接入足够的数据源（如AD日志、VPN日志、数据库日志、EDR数据等） ，确保基线模型的准确性；将UEBA告警与SIEM、SOAR集成，实现联动响应 。5）深化SOAR应用与智能化：复杂剧本  ：开发更复杂的自动化响应剧本，例如自动化威胁狩猎 、自动化漏洞修复等；AI辅助决策：AI Agent可以根据事件上下文推荐最佳响应剧本或响应措施；自适应响应：AI Agent可以根据响应效果动态调整响应策略。6） 建立量化指标体系与持续改进 ：指标定义与采集：定义关键安全运营指标(KPIs)，如MTTD,MTTR,告警准确率,漏洞修复时间等，并利用平台自动化采集；分析与优化：利用AI技术对指标数据进行分析，识别瓶颈 ，驱动流程和策略的持续改进；绩效关联 ：将量化指标与团队绩效挂钩 ，激励团队提升  。

3.考核指标

安全团队具备较强的安全分析 、事件调查和基础AI应用能力；SOAR平台广泛应用
，大部分安全事件响应流程实现自动化；UEBA平台有效运行，能够检测到内部威胁和未知威胁；量化的安全运营指标体系建立并常态化运行；安全运营效率和效果（如MTTD 、MTTR、准确率）得到显著提升。

4.构建威胁情报平台案例

某能源企业的威胁情报应用实践

案例概况

某能源企业作为关键基础设施行业的代表 ，面临着日益复杂和严峻的网络安全威胁。为了有效应对这些威胁
，提升整体的安全防护能力
，该企业决定在安全运营中引入威胁情报 ，并采取分阶段 、分步骤的方式进行部署和应用
。目标是通过威胁情报的引入和应用，提升威胁检测的准确性和效率 ，减少误报和漏报 ，增强安全运营的主动防御能力，并优化安全策略和监控措施。同时，该企业希望借助威胁情报实现更高效的威胁狩猎，主动发现潜藏在企业网络中的威胁，从而更好地保护企业资产和业务安全
。

某能源企业在部署威胁情报时，他们采取了分阶段、分步骤的方式：

图片

情报源接入 ：该能源企业首先梳理了自身需要的威胁情报类型 ，包括恶意IP地址、恶意域名、恶意文件哈希、漏洞信息
、攻击组织信息（APT）、行业威胁情报等
。然后，他们逐步接入了多个威胁情报源，如购买了某商业威胁情报
、订阅了某开源威胁情报、并加入了能源行业的信息安全共享联盟
，获取行业内的威胁情报，并且将安全团队在日常安全运营和事件响应流程中发现的威胁情报，也记录到威胁情报平台中，平台会自动对来自不同情报源的数据进行清洗、去重、标准化处理，将不同格式的情报数据转换为统一的格式  ，并提取出关键的IOC。

情报分析与评估：该能源企业的安全团队利用威胁情报平台提供的分析工具，对收集到的威胁情报进行分析与评估
。如分析不同情报源之间的关联关系 ，例如，某个恶意IP地址是否与某个已知的攻击组织相关联。分析威胁情报的时间分布和变化趋势，了解当前的威胁 。并根据威胁信息的类型
、来源、可信度等因素，评估其对企业资产的潜在威胁。

情报应用
：该能源企业将威胁情报与SIEM平台、SOAR平台以及防火墙、EDR等安全设备进行了集成。首先 ，威胁情报平台将经过处理和评估的威胁情报（例如恶意IP地址 、恶意域名、恶意文件等）提供给SIEM平台 。SIEM平台利用这些威胁情报
，可以提升威胁检测的准确性和效率
。例如，当SIEM平台检测到某个IP地址与企业内部主机通信时，会自动查询威胁情报 ，判断该IP地址是否为已知的恶意IP地址
 。其次，威胁情报平台为SOAR平台的自动化响应脚本提供威胁情报支持。例如，在处理钓鱼邮件攻击事件时，SOAR平台可以自动查询威胁情报 ，判断邮件中的URL或附件是否为恶意。 

实际效果 ：在威胁情报平台投入使用后
，通过与SIEM集成，威胁情报平台提供的威胁情报帮助SIEM平台更准确地识别出不良流量和不良行为
，减少了误报和漏报 。通过与SOAR集成，威胁情报平台为自动化响应提供了关键的威胁情报，使SOAR平台能够更快、更准确地执行响应操作。通过对威胁情报的分析 ，该能源企业的安全团队能够更早地了解威胁现状，并采取主动的防御措施 ，例如调整安全策略、加强安全监控等 。基于威胁情报中丰富的威胁情报信息，安全分析师可以更有效地进行威胁狩猎
 ，主动发现潜藏在企业网络中的威胁
。

5.构建AI分析平台案例

某银行构建AI分析平台案例

 案例概况

某银行作为一家大型金融机构，随着数字化转型的加速，其业务系统和数据资产面临着日益复杂的网络安全威胁。传统的安全运营中心（SOC）在应对海量告警 、人工分析压力以及新型威胁方面逐渐显得力不从心。为了提升威胁检测和响应的效率与智能化水平 ，该银行决定对其现有的安全运营中心进行升级，构建一个强大的AI分析平台 ，以更好地应对当前的安全挑战。AI分析平台建设目标是实现智能化的告警处理 、威胁情报分析和安全事件响应，从而提升整体的安全运营效率和智能化水平
。

实施过程示意图

首先，针对银行当前安全运营面临海量告警 、人工分析压力大、新型威胁不断涌现等挑战，确定了AI平台的几个关键应用方向 ，包括智能化的告警分诊和研判 ，自动化的威胁情报分析和管理，以及辅助安全事件的智能调查和响应。

在规划和设计时 ，银行考虑到数据安全和合规性要求，以及对性能的较高需求 ，选择了部署本地化的大模型，并关注到AI智能体结合大模型和各种安全工具，实现更智能化的自动化任务执行
，因此计划构建一个混合的AI平台 ，包含通用的大语言模型 ，也包含针对安全领域垂直优化的子模型或基础AI技术架构。功能包括利用知识图谱技术关联不同来源的安全数据 ，展示完整的攻击链路；通过自然语言交互实现智能化搜索
、威胁推演
，以及AI报告生成 、安全策略建议等方面。

由于该银行已构建的数据中台，因此该银行根据具体目标场景 ，着手进行数据平台的数据接入，并采集 、存储和处理来自各种安全设备（防火墙、入侵检测系统 、终端安全产品）和IT系统的日志  、告警和流量数据 ，进行数据标准化和清洗 ，为AI模型提供高质量数据
。

然后 ，该银行与专业的安全厂商合作 ，将大模型和垂直领域基础AI技术对接安全厂商的安全知识库
、威胁情报和恶意样本数据，优先在告警分诊、威胁情报分析和安全报告生成等相对成熟的AI应用场景进行试点测试 。计划收到效果后 ，再逐步开发异常行为分析、威胁狩猎、漏洞优先级排序和辅助事件调查等更复杂的AI应用
。

在AI应用开发过程中，该银行非常重视AI的可解释性和信任度问题
。尝试探索利用更多数据进行训练、提供结果的同时提供思考过程等手段来提高AI决策过程的透明度 ，并进行充分的验证和测试 ，以确保AI分析结果的准确性 。

最后，该银行认为AI虽然能自动化处理大量重复性任务，但最终的决策和复杂事件的处理仍然应该由安全专家进行审核和决策。因此，在自动化处理流程环节增加专家审核和反馈的环节 ，以提升安全运营的准确性和提高学习能力。

通过以上步骤，该银行逐步构建起了一个为其智能化安全运营中心提供强大支持的AI平台 ，实现了更有效地应对日益复杂的网络安全威胁。

四 、智能辅助级升级为自主级（未来主流）

1.主要目标

实现高度智能化、自动化和自适应的安全运营 ，AI成为安全运营的核心引擎，安全系统具备自学习、自演进能力 ，能够自主预测、检测、响应和防御威胁，安全运营成为组织的核心竞争力。

2.建设内容

1） AI技术的全面深度应用 ：将AI技术深度融入安全运营的各个环节，实现全方位的智能化；广泛应用深度学习、可解释AI(XAI)等更前沿的AI技术； 构建更复杂 、更精准的AI模型，例如多模态融合分析模型、自适应安全策略模型等。2） AI Agent的自主化应用 ：AI Agent不仅提供建议，更能自主决策和行动；实现多Agent协同，Agent负责不同任务，共同完成复杂的安全运营目标；AI Agent具备强大的自主学习和进化能力，能够根据环境变化自动调整策略。3）安全运营平台的自适应能力建设
：安全平台能够根据当前的威胁态势、风险评估结果 、业务变化等因素，自动调整安全策略和检测规则；实现预测性安全，能够基于数据和知识预测未来的安全威胁  ，并提前采取预防措施；构建自愈合的安全系统，能够自动发现和修复安全漏洞或配置错误 。4）安全数据湖的智能化应用 ：安全数据湖不仅用于存储数据 ，更成为AI模型训练、知识图谱构建 、威胁狩猎的智能分析平台；利用AI技术对数据湖中的数据进行深度挖掘，发现隐藏的模式和关联。5）人机协同模式的高度进化
：AI系统能够像专家一样思考和行动 ，承担绝大部分安全运营任务；安全分析师的角色转变为战略规划者、创新研究者、复杂决策者和AI监督者；人机交互更加自然流畅，例如通过自然语言进行深度对话和协作。6） 安全知识体系的自主演进 
：构建动态的安全知识图谱和知识库，AI Agent能够自动学习 、更新和应用安全知识。

3.考核指标

安全团队具备强大的AI研发r和创新能力；AI Agent高度自主化运行，能够有效提升安全运营的各个方面；安全运营平台具备强大的自适应能力；安全运营的智能化水平达到业界领先；能够有效防御各种已知和未知的复杂攻击；安全运营能力成为企业的核心竞争力。

4.关注点

随着人工智能技术在安全运营中心（ISOC）的深入应用，安全分析师的角色将逐步从传统的“规则工程师”“告警分析师”转变为“AI训练师”“AI监督员”和“安全策略架构师”
。这不仅需要高效具备传统的安全技能 ，还需要掌握人工智能相关的知识和技能
。企业需要加强对安全分析师的培训 ，帮助他们实现角色转型，才能充分运用人工智能技术，构建更智能的安全运营体系。