洞见RSAC 2024｜AI在自动化攻击模拟与规则检测的前沿探索
内容提要
RSA Conference（RSAC）是全球网络安全领域的重要年度盛事。Stephen Sims和Erik Van Buggenhout提出了“紫队流程自动化”的理念，倡导利用持续集成/持续部署（CI/CD）的实践，以提升检测工程的自动化水平。紫队架构v2.0提出了构建自动化紫队的流程，利用大语言模型（LLM）来生成和部署检测规则，提高威胁检测的效率和准确性。该框架展示了LLM在网络安全领域的潜力，为实现智能化、自动化和高效的安全防御体系提供了创新解决方案。
延伸解读
紫队成熟度模型：从协作到自动化
文章将紫队实践划分为三个层级：初级阶段蓝队参与红队活动并提供反馈；中级阶段采用VECTR、BAS等专业工具进行模拟攻击；高级阶段则结合自动化工具与AI技术，实现持续性的测试与优化。这一分层有助于组织评估自身紫队活动的深度，并规划向更高层级演进。
v1.0架构的瓶颈：规则检测仍依赖人工
紫队架构v1.0依赖SIEM和SOAR等组件，但检测规则存在漏测误测问题。例如，T1003.001攻击技术即使转换为KQL查询重新部署，仍未被检测到。规则的开发与改进需要大量手动工作，自动生成的规则也可能导致高误报率，需人工微调和验证，这限制了检测工程的效率与准确性。
v2.0的核心突破：LLM驱动检测规则自动化
紫队架构v2.0通过集成大语言模型（LLM），实现了从威胁情报分析到检测规则生成与部署的全自动化流程。LLM能够提取MITRE ATT&CK框架中的攻击技术，生成具体检测规则，并自动部署到SIEM系统。以T1003.001为例，ChatGPT可分析检测失败原因，生成新规则并二次验证，从而减少人工依赖并降低误报率。
AI增强检测的潜在方向：RAG与Crew AI
文章指出，检索增强生成（RAG）可让模型学习SIGMA规则并理解Caldera API，从而提升规则生成能力。Crew AI框架则能编排多个AI智能体，分别扮演威胁情报分析师、红队操作员和检测工程师，形成闭环检测流程。这些探索展示了AI在增强检测能力方面的潜力，但实际效果仍需进一步验证。
Q&A
紫队的概念是什么？
紫队是结合红队和蓝队的网络安全实践，通过模拟攻防活动增强组织的网络安全防护能力。
紫队架构v2.0与v1.0有什么区别？
v2.0架构通过集成大语言模型实现自动化流程，减少人工依赖，提高检测效率和准确性，而v1.0则依赖较高的人力资源。
如何利用大语言模型提升网络安全检测能力？
大语言模型可以自动生成和优化检测规则，从威胁情报分析到规则生成实现全自动化，显著提高检测效率。
紫队的三个层级分别是什么？
紫队分为初级阶段（蓝队参与红队活动）、中级阶段（使用专业工具进行模拟攻击）和高级阶段（结合自动化工具和AI技术进行持续测试）。
紫队架构v2.0的核心流程是什么？
v2.0架构的核心流程包括创建Caldera、运行攻击手段、审查检测结果和利用大语言模型进行深入分析。
在紫队架构中，SOAR平台的作用是什么？
SOAR平台负责自动化执行紫队活动，使用预定义剧本响应安全事件，并与BAS工具集成进行模拟攻击。
