文/国泰海通证券股份有限公司 侯亮 刘新亮
证券业安全运营的三大现实瓶颈
在金融全面数智化转型的背景下，证券行业作为金融基础设施核心之一，面临的网络安全威胁正在急剧上升。同时，随着《中华人民共和国网络安全法》《中华人民共和国数据安全法》《证券期货业网络和信息安全管理办法》等法律法规的深入实施，证券行业在安全事件的溯源时效性和证据完整性上面临着日益严格的监管要求。当前，证券行业的网安运营体系在应对高强度对抗和监管压力时，暴露出三大挑战。
一是紧急溯源时难以快速提供完整数据支撑。当前安全数据大都分散在全流量、IDS/IPS、WAF、EDR等多个异构设备中，并且传统安全运营平台只能对告警数据进行简单聚合，难以建立跨设备、跨时序的完整攻击链视图。这种证据链的结构性缺失，直接导致在高危事件发生后，运营体系无法快速、完整地提供符合监管对事件溯源时效性和证据完整性要求的关键报告和全景入侵视图。
二是复杂威胁事件的响应时效居高不下。当开展复杂威胁事件分析时，分析人员主要通过人工进行告警关联、威胁研判和流量回溯。这种高度依赖人工的低效操作，直接导致复杂事件的分析需4-6小时甚至更长时间，使得事件平均响应与处置时间居高不下，给攻击者留下充足的攻击时间窗口。
三是高级威胁发现能力难以规模化应用。内存马、零日漏洞、加密隧道等高级威胁的识别和分析需要深厚的攻防技术积累。然而，信息安全高水平人才短缺且培养周期长，这导致传统的、依赖专家经验的复杂威胁发现能力难以规模化和低成本化。
为有效解决上述挑战，本文提出了基于网络全流量的安全智能体系统。该系统旨在通过智能调度、专业分工与多智能体协作分析的方式，将安全事件分析和溯源实现智能化，极大提升安全事件响应效率，为实现“AI化”安全运营提供坚实基础。
系统架构设计
全流量安全智能体系统采用四层架构，遵循“数据驱动-模型推理-智能体协作-业务闭环”技术路径。
数据接入层负责构建统一的数据接入和整合基座。该层提供对网络流量数据、告警数据、各类安全知识库等多源异构安全数据的统一接入能力，是整个系统的数据基石。
核心调度层是系统的智能中枢，通过大模型推理能力解决过度依赖专家经验的瓶颈。该层支持通义千问、DeepSeek、Kimi等三类大模型，综合运用RAG、DAG等增强技术，并通过基于任务的编排能力为上层数据分析提供最优模型。
数据分析层负责深度研判和攻击路径的自动化重建，以解决事件响应效率低下的问题。该层由5类专业智能体通过发布-订阅模式进行松耦合通信。
AI应用层构建了线索调查溯源、webshell智能分析、安全运营三个AI应用模块，通过“分析-决策-响应”的闭环，提升事件响应效率和处置能力。
核心技术能力
统一数据接入与极速溯源能力：构建安全证据链基石
为彻底解决安全数据碎片化导致的响应效率低下问题，系统将多源数据接入和极速检索作为底层核心能力进行构建。
在数据采集方面，系统采集各网络区域的旁路流量，并通过专用流量探针实现10-100Gbps线速处理，有效避免丢包导致的证据链断裂。此外，系统支持接入来自IDS/IPS、WAF、EDR等多种设备产生的异构告警，这些数据通过ETL流水线进行标准化，进而构建知识图谱以实现资产、漏洞与威胁的语义关联。
在快速检索能力方面，系统采用时序列存储引擎，建立“五元组+时间戳+会话ID”的复合索引。该关键技术能够实现对180天历史流量数据（约PB级原始数据包）秒级检索能力，极大提升了威胁调查效率。同时，系统通过全协议解码技术完整还原应用层载荷，为后续的AI调查引擎提供了完整的上下文关联数据，保证了溯源分析的深度和准确性。
大模型赋能安全推理：从感知到认知的跃迁
预训练的大语言模型具备语义理解和逻辑推理能力，从而使系统实现了从“感知威胁”（识别已知威胁）到“认知威胁”（理解攻击意图、推断未知威胁）的跃迁。
代码分析能力有效对抗Webshell混淆与加密。系统的混淆代码理解能力能有效规避webshell表面混淆，识别出其核心逻辑（如识别动态执行代码eval的本质）。系统的加密算法识别能力能通过理解数学特征（S盒、轮函数、密钥扩展等结构）推断算法类型。系统的解密脚本生成能力采用程序合成技术，能自动定位密钥、提取加密参数，生成解密脚本。
推理决策能力基于RAG和CoT实现类人推理。系统通过因果推理理解攻击逻辑，如“Webshell上传”必然先于“访问”；通过图推理验证事件序列合理性；通过不确定性推理在证据不完整时给出概率性判断。
多智能体协同：任务分解与信息传递
多智能体协作的核心挑战在于任务分解的粒度控制和智能体间的信息共享。系统采用黑板架构实现跨智能体协作：共享工作空间存储中间结果，各智能体订阅感兴趣数据并及时更新，异步推进任务执行。
分析师智能体采用HTN（层次任务网络）将高层目标分解为原子任务；流量分析智能体通过Function Calling动态选择工具组合，获取完整流量并解析；深度研判智能体采用D-S证据理论融合多维证据，计算威胁置信度；路径绘制智能体基于因果推断，利用贝叶斯算法在网络环境中推断最可能攻击路径；安全专家智能体采用模板填充和NLG（自然语言生成）混合策略生成报告，并通过一致性校验避免大模型幻觉。
AI工具函数库：从原子能力到领域智能
AI工具函数库是智能体的“感官系统”，系统内置多类工具函数，负责抽象安全专业领域知识。
Webshell分析工具链：多阶段检测与动态解密。文件上传溯源工具采用双层过滤策略，将TB级流量缩减至MB级，并将上传文件内容输入DeepSeek等模型，检测高危函数的语义调用。加密算法识别与密钥提取工具利用熵值分析、API语义特征匹配、加密算法推断、动静态密钥提取等技术实现对加密算法类型、密钥、加密模式的有效识别，并输出解密脚本代码。访问行为画像工具基于时序分析和行为聚类实现访问者IP列表、访问时序图、异常评分的多维输出。
反序列化检测工具：多语言Gadget链识别。通过递归解码、序列化数据解析、Gadget链匹配、代码执行意图识别等手段实现对各类反序列化攻击载荷代码和目标漏洞的识别输出。
外联扩散分析工具：图关联与威胁传播建模。以IP/域名为点，以通信关系（协议、端口、流量大小、会话数）为边，利用图遍历算法识别横向移动路径。采用SIR流行病学模型预测威胁扩散趋势，为应急响应提供决策依据。
异常行为检测工具：基线建模与偏离检测。对每个URL建立协议头白名单（基于30天历史流量），检测偏离白名单的请求，并结合大模型语义分析判断偏离是否合理。
实践与应用案例
事件描述：在某次内部攻防演练中，安全运营平台接收到多个网络功能区的告警：某Web服务器疑似被植入Webshell、数据库服务器异常外联，并出现SMB横向扫描。
智能体处置流程与效果：
第一步，分析师智能体通过对告警的归纳判断，生成智能体工作任务。
第二步，流量分析智能体通过“五元组+时间戳+会话ID”复合索引快速检索到所有原始流量数据，调用AI分析工具函数自动识别变种Webshell的反序列化特征，并采用程序合成技术，在5分钟内识别变种冰蝎特征并提取RSA公钥和AES会话密钥，生成解密脚本还原多次加密通信的攻击指令。
第三步，路径绘制智能体基于因果推断和贝叶斯算法，在15分钟内自动关联分散事件，识别出完整攻击链：从互联网Web漏洞利用→Webshell植入→内网横向移动（通过SMB协议）→数据库凭证窃取→敏感数据导出→数据外传。
第四步，深度研判智能体评估影响范围，涉及不同网段、服务器和敏感数据。
第五步，安全专家智能体自动生成附带攻击路径图和证据链的分析报告。
应用成效：整个攻击链的自动化分析、溯源和影响评估流程在30分钟内完成，相较于传统人工方式的8-12小时，溯源效率提升了94%，有效满足了安全运营团队对攻击事件溯源时效性的要求。
总结与展望
目前，通过对“全流量安全智能体”的研究和实践，我们实现了从“感知”到“认知”的安全运营能力提升，有效弥补了对专家经验的过度依赖，能将复杂事件分析溯源时间从数小时缩短至分钟级，极大地缩短了攻击窗口期，提高了安全防御的及时性和主动性。
未来，我们将继续深化智能体在安全运营场景下的实战化应用，探索利用具身智能（Embodied AI）提升自动化处置的精准度和覆盖率，以构建更加敏捷、高效、智能化的证券行业网络安全防御体系。
声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
