隐藏在可观测性数据中的安全攻击
内容提要
可观测性与安全数据分离导致攻击者利用盲区隐藏威胁，如挖矿程序伪装进程。统一平台可共享数据，降低成本，AI代理能跨域关联分析，并依据内部响应手册提供合规建议，实现高效、可审计的安全响应。
延伸解读
数据孤岛是攻击者的藏身之处
文章指出，可观测性与安全数据分离会让攻击者利用平台间的盲区隐藏威胁。例如，挖矿程序伪装成内核进程，CPU 飙升的告警只被运维看到，而安全团队无从知晓。这种割裂不仅造成可见性缺失，还导致同一份数据被重复存储和处理，增加成本。统一平台能让双方共享数据，使威胁无处遁形。
AI 代理需要可检索的内部文档
通用 AI 模型不了解企业内部的响应流程，如隔离支付主机需双重审批、合规通知时限等。文章建议将内部响应手册存入 Elasticsearch，让 AI 代理通过搜索获取具体步骤，从而生成可执行且可审计的建议。这避免了模型训练带来的版本管理问题，并确保推荐可追溯到具体文档章节。
统一平台的价值在于跨域关联分析
文章强调，真正的“更好协同”不是共享界面，而是让 AI 代理能在同一上下文中查询可观测性和安全数据。例如，将 CPU 指标与进程创建事件关联，可自动识别挖矿行为。这种能力要求数据共置且可联合查询，否则分离的 AI 代理无法有效协作。
Q&A
为什么攻击者能利用可观测性数据与安全数据分离的盲区隐藏威胁？
因为现代攻击常伪装成基础设施噪音，如挖矿程序伪装成内核进程、数据窃取伪装成正常流量。当可观测性和安全数据存储在不同平台时，运维团队看不到安全事件，安全团队看不到性能指标，攻击者就藏在两个平台之间的空隙里，导致威胁无法被发现。
分开运行可观测性和安全平台会带来哪些成本问题？
分开运行会导致同一底层事件被重复采集、存储和处理，例如基础设施日志同时进入SIEM和APM，网络流数据被SOC和SRE重复使用，造成双倍存储和处理成本，且团队只能看到一半数据，增加隐藏威胁的风险。
统一平台如何帮助发现类似挖矿程序伪装进程的攻击？
统一平台将可观测性指标和安全事件放在同一数据存储中，例如Elasticsearch集群，使得CPU高占用进程的指标与安全事件（如进程从/tmp/.x11-unix/.kw8启动）能关联查询，AI代理可以跨域推理，自动将CPU告警转化为安全调查，无需人工切换工具。
可观测性数据中已经包含哪些安全信号？
主机指标包含运行进程列表，APM追踪捕获服务间调用可揭示横向移动，基础设施日志包含DNS查询、网络连接和认证事件，这些都能映射到MITRE ATT&CK技术，但需要正确的索引和关联才能用于安全检测。
AI代理如何利用内部响应手册提供合规建议？
将内部事件响应手册（如IRP-004）存入Elasticsearch，AI代理通过搜索工具检索相关手册，根据手册中的具体步骤（如隔离主机需双重审批、PCI-DSS通知时限等）生成建议，确保建议符合组织政策和合规要求，且可审计。
为什么AI代理的建议需要基于内部手册而不是通用知识？
因为通用模型不了解组织特定的流程，如隔离支付主机需要SOC负责人和支付运营双重审批、PCI-DSS要求4小时内通知合规团队等。基于内部手册的建议可直接执行，避免重新解释带来的风险，且每个建议可追溯到具体文档，便于审计和监管。
统一平台如何实现可审计的安全响应？
统一平台将数据、AI代理和内部手册整合，AI代理的每个建议都基于检索到的具体文档，如IRP-004第3.2节，形成从CPU告警到确认威胁再到创建案例的完整审计轨迹，满足合规要求，监管询问时可提供证据链。
