基于RAG提升大模型安全运营效率实践.pptxVIP

QDSD

360云安全专家

目 录

CONTENTS

Part01

如何监控所有的

whoami?

Part02

RAG为什么适合分析安全日志?

大模型如何取代我？

Part03

谁执行了whoami

/usr/lib/systemd/systemd

=......

=xxx

=whoami

java-jarmy-app.jar

bashinstall.sh

sh-c`whoami`.dnslog.cnpython1.py

xxAgent

......

我们的大脑是如何分析安全日志的？

感觉皮层

联合皮层

丘脑/海马体/联合皮层

前额叶

新皮层

感知输入

特征编码

记忆检索

推理决策

记忆巩固

方案一：黑白名单

白名单java-jarmy-app.jarbashinstall.shpython1.pyxxAgent

黑名单

sh-c`whoami`.dnslog.cn

父进程本身被攻击了怎么办？

新增业务了怎么办？

如果有上千万的日志如何处理？

有新的域名怎么办？

只有这一种攻击方式吗？

感知输入

特征编码

记忆检索

推理决策

记忆巩固

方案二：机器学习

向量化

TF-IDF/Word2Vec

聚类/分类算法/神经网络

相同词在不同上下文中始终相同

不能捕获上下文信息不同场景不通用

训练成本高

需要定