360云安全专家（QDSD）：基于RAG提升大模型安全运营效率实践.pdf

QDSD

360云安全专家

CONTENTS

目录

Part01Part02Part03

如何监控所有的RAG为什么适合分

whoami?析安全日志?大模型如何取代我？

谁执行了whoami

java-jarmy-app.jar

/usr/lib/systemd/systemdbashinstall.sh

=

=xxxsh-c`whoami`.dnslog.cn

=whoami

python1.py

xxAgent

我们的大脑是如何分析安全日志的？

感觉皮层联合皮层丘脑/海马体/前额叶新皮层

联合皮层

感知输入特征编码记忆检索推理决策记忆巩固

方案一：黑白名单

感知输入特征编码记忆检索推理决策记忆巩固

白名单

java-jarmy-app.jar父进程本身被攻击了怎么办？

bashinstall.sh

python1.py新增业务了怎么办？

xxAgent

如果有上千万的日志如何处理？

黑名单

有新的域名怎么办？

sh-c`whoami`.dnslog.cn

只有这一种攻击方式吗？

方案二：机器学习

感知输入特征编码记忆检索推理决策记忆巩固

相同词在不同上下文中始终相同

向量化

不能捕获上下文信息java-jarmy-app.jar

TF-IDF/Word2Vec

不同场景不通用

训练成本高

聚类/分类

需要定期重新训练

算法/神经网络

面对未出现过的样本表现差

RAG原理