文章总结： Flocks全自动安全运营方案帮助1-2人安全团队接管重复性工作，包括告警自动研判、DLP日志智能审计、零信任问题AI诊断、IOC自动封禁、安全态势报告生成及漏洞扫描闭环。通过六大工作流和可复用Skill组件，显著提升效率，如DLP审计从数小时压缩至分钟级，告警疲劳缓解，威胁情报消化形成闭环。方案强调一次配置长期运行，利用外部表格沉淀数据，支持小团队扩展安全运营边界。 综合评分： 82 文章分类： 安全运营,安全工具,威胁情报,应急响应,解决方案

2人团队，用Flocks全自动安全运营！

解放双手的 解放双手的

微步在线

2026年8月27日 13:55 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

这是Flocks和一家科技制造企业的故事。这家企业的安全团队只有1-2名技术人员，但日常的安全运营重复性工作已全部被Flocks接管：

• 告警自动研判：工作流100%告警覆盖，5分钟一次，目标处置时效＜15分钟，效率提升80%
• DLP外发日志智能审计：499条→149条，噪声降低70.1%，2-3小时→4分钟，提效30-45倍；
• 零信任问题AI诊断：单次排查至少节省5分钟，SOP与案例沉淀为可复用Agent；
• IOC 自动同步封禁：每日自动抓取情报、查重入库，联动防火墙与零信任双通道批量拉黑；
• 安全态势报告每日自动生成，覆盖已接入数据源100%；
• 漏洞扫描录入处置整改自动化+全流程跟踪。

而这个安全团队的工作流、Agents、Tools和Skill，以及构建与安装的使用说明文档、提示词等被我们脱敏并整理成了压缩包，扫描下方二维码，即可有机会获取。

扫码，马上让Flocks给你打工

方案与架构

当安全团队接触到Flocks以后，他们根据自身需求，对Flocks需要实现的能力进行了简单编排，具体架构如下：

在落地时，他们梳理了安全运营中最常用、也最耗时的六大场景，每一个运营场景对应一个工作流，工作流之间共享数据、相互触发。

六大核心工作流

工作流一：DLP员工外发日志智能审计

通过工作流自动完成员工和岗位解析、日志分页拉取、规则过滤、LLM批量研判、完整性校验和Excel报告导出。以往用云枢控制台逐条翻看日志的单次审计通常需要数小时；通过Flocks工作流自动跑完后，噪声被自动过滤，人工只需对可疑结果做最终确认。单次审计从”数小时”压缩到分钟级，噪声被自动过滤。

工作流二：SIP / EDR告警自动研判

传统模式无法覆盖所有事件人工排查；5分钟定时拉取EDR/SIP/NDR事件，自动查询CMDB、定位资产归属、补充情报信息，并由AI判断是否为误报。可确认的误报自动标记忽略，无法判断的事件转人工处置，并附带诊断信息，让1-2人也能覆盖数百条告警。

工作流三：员工零信任问题AI诊断

创建诊断子Agent，该智能体会获取关于CMDB、零信任、网络策略等API和排查SOP的知识。用户输入问题后，Agent自动收集上下文、执行检查步骤、输出原因判断和处理建议。员工无法访问内网资源、无法科学上网或零信任策略异常等高频问题，无需再占用安全/IT人员精力。

工作流四：威胁情报自动获取与封禁

通过silverfox_ioc_sync、silverfox_hrti_ioc_sync、hrti_vuln_sync三个工作流，自动从情报网站、MCP工具和威胁情报源获取IOC，按Domain、IP、Hash分类提取，自动查重并写入飞书多维表格。对确认需要处置的IOC，联动防火墙、零信任等能力执行封禁。同时支持每日监控勒索情报，定时将飞书多维表格中当天的IOC批量拉黑。

工作流五：安全态势分析与报告生成

通过API或浏览器自动化获取安全设备数据，结合多维表格中的处置结果、告警分类和趋势数据，自动生成每日安全态势报告。全人员不再需要每周/月手工整理数据、撰写汇报材料。

工作流六：安全测试辅助与漏洞扫描闭环

创建渗透测试子Agent，该子Agent可应用Xray扫描器能力，辅助安全测试人员开展测试任务。子Agent根据目标资产、测试范围和历史案例生成测试思路，调用Xray执行漏洞扫描，对扫描结果进行初步分类、去重和风险描述标准化，最后自动录入飞书多维表格。

复用组件能力

不同安全场景沉淀为可复用Skill，不同专家能力沉淀为专用Agent。后续新增场景时可以复用现有的数据接入、研判Prompt、处置动作和报告模板，降低扩展成本。

核心Skill矩阵：

• yunshu_dlp_audit（DLP外发日志智能审计）
• sangfor_sip_disposition / yunshu_edr_disposition（NDR/SIP告警研判）
• yunshu-diagnosis（零信任问题智能诊断）
• hrti_vuln_sync（每日威胁情报获取）
• silverfox_hrti_ioc_sync（银狐IOC每日获取）
• ransomware_monitor（勒索情报每日获取）
• security_daily_report（每日安全态势日报）
• xray-scanner-use（长亭Xray漏扫）
• feishu-bitable（飞书多维表格）
• elk_waf_access_log（ELK数据获取）

#

落地效果

这套架构在1-2人团队的真实运营中跑通后，团队观察到的几个关键变化：

单次审计从数小时压缩到分钟级。 DLP外发日志审计原本需要安全人员在云枢控制台逐条翻看、单次审计通常需要数小时；通过yunshu_dlp_audit工作流自动跑通后，LLM批量研判 + Excel报告导出，审计耗时显著缩短。

EDR/SIP告警疲劳显著缓解。 原文场景里EDR近30天190+条事件、SIP每日约10条告警，传统模式1-2人无法覆盖所有事件人工排查；通过5分钟定时拉取 + AI误报识别，大量重复性告警被自动忽略，团队精力聚焦在真正需要人类判断的事件。

威胁情报消化形成闭环。 银狐IOC、勒索情报、漏洞情报三类情报源全部接入工作流，每日自动获取、分类查重、批量封禁，情报消化从”凭感觉”变成”靠系统”。

渗透测试和漏洞扫描不再漏录。 Xray扫描器能力 + 渗透测试子Agent形成”测试执行 → 漏洞发现 → 结果入库 → 整改跟踪”的闭环，解决了过去漏录、重复录入、漏洞描述不统一的问题。

报告生成自动化。 每日安全态势日报、周报、月报由security-report Agent自动生成，管理层汇报不再依赖安全人员手工整理数据。

在安全运营中，Flocks能让每一个重复场景变成”工作流一次配置，长期自动运行”，利用外部第三方在线多维表格沉淀数据结果，后续复盘、汇报、跨部门协作都有了统一的数据源。而可复用Skill，专家Agent的沉淀，能让小团队在新增安全场景时复用现有数据接入、研判Prompt、处置动作、报告模板，从而在不扩编的情况下，持续扩展安全运营的边界。

·END·

#

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：微步在线 解放双手的 解放双手的《2人团队，用Flocks全自动安全运营！》