AI for Security 之安全分析：网络流量分析

原创

ITPAPA
ITPAPA

ITPAPA

2026年8月15日 21:11
江苏

在小说阅读器读本章

去阅读

从数据包到攻击意图：AI 如何结合 NDR、SIEM 与网络遥测识别 C2、横向移动与数据外传｜AI 技术

1. 知识原理：网络流量能看到什么

网络安全分析通常使用两类数据：一类是流量元数据，如源/目的 IP、端口、协议、时间、字节数和方向；另一类是内容数据，如 PCAP、DNS 查询、HTTP 头或可见负载。MITRE ATT&CK 将 Network Traffic Flow 定义为会话级汇总数据，将 Network Traffic Content 定义为包含协议头与载荷的内容数据。即使 TLS 加密了内容，连接频率、SNI/证书、JA3/JA4 类指纹、DNS、流量体量和时间特征仍能提供重要线索。

•  C2：周期性 Beacon、稀有域名、异常 TLS 指纹、长连接或非常规端口。

•  横向移动：SMB/RDP/WinRM/SSH 等东西向连接突然增加，与资产角色不匹配。

•  DNS 隧道：高熵子域、超长查询、异常 TXT/NULL 使用、请求量和唯一子域数异常。

•  数据外传：出站字节量、目的地稀有度、时间段和协议使用偏离基线。

•  加密流量分析必须关注隐私与合规，不能把“无法解密”误判为“无法检测”。

图 1｜AI 网络流量分析总体架构

2. AI 与现有 NDR / SIEM / 防火墙如何结合

最有效的架构不是让大模型直接吞 PCAP，而是由网络探针、NDR、Zeek/Suricata、DNS、Proxy、Firewall 等先提取会话和协议特征，SIEM 完成统一存储与关联，机器学习负责异常检测，AI 再负责解释复杂模式、生成搜索和组织证据。处置仍通过防火墙、EDR、DNS 防护或 SOAR 执行。

图 2｜从网络遥测到响应的 AI 分析链路

2.1 AI 技术机制深拆：大模型不应直接吞全量 PCAP

网络分析的高效路径是“探针解析 + 特征计算 + 模型检测 + LLM 解释”。Zeek/Suricata/NDR 先把 PCAP 转换为 Flow、DNS、HTTP、TLS、文件事务等结构化遥测；特征层计算会话时长、包数、上下行字节比、间隔方差、周期性、域名长度/熵、目的地流行度、证书/TLS 指纹、SNI/ALPN 等。LLM 只消费聚合后的关键证据与少量协议片段，避免成本和隐私失控。

未知威胁检测常采用无监督/半监督模型：Isolation Forest、聚类、Autoencoder 用于识别异常连接；时序模型和频谱/自相关特征可识别 Beacon 周期性；图算法把主机、域名、IP、证书和账号建成关系图，发现稀有基础设施、共享证书或异常东西向边；对于 DNS 隧道，可组合字符熵、子域长度、唯一子域比例、QPS、TXT 使用和响应大小，而不能只靠一个“高熵”特征。

加密流量下仍可分析元数据与握手信息：连接方向、包长序列、TLS 版本、SNI（若可见）、证书、JA4/类似指纹、目的 ASN/地域、域名/基础设施信誉等，再与终端进程和身份上下文关联。LLM/RAG 的作用是把这些多源证据解释成“疑似 C2/横向/外传”的假设，并调用 SIEM/NDR/EDR 继续验证；真正的阻断由策略引擎和 SOAR 执行。

图 2A｜AI 技术栈与生产级证据融合机制

下面的矩阵用于区分“可确定性计算的安全事实”与“适合 AI 推理/解释的部分”，避免把所有能力都归因于大模型。

2.2 工程化关键点：可见性、基线与跨域关联

•  先做网络可见性矩阵：北南向、东西向、云 VPC、远程办公、SaaS 各自能看到哪些 Flow/DNS/TLS/PCAP；看不到的数据必须标记为 Visibility Gap。

•  模型基线需按服务器角色、业务协议和时间窗口建立。备份、漏洞扫描、CDN、软件更新都可能呈现高连接量或周期流量，必须结合资产和变更上下文。

•  高置信判断应跨域：网络异常 + 终端进程 + 身份事件 + 情报命中比单一 NDR 分数更可靠；自动阻断前需评估业务影响并提供回滚。

3. 实例场景与公开实践

教学化场景中，一台内部服务器首次连接罕见外部域名，之后每五分钟产生短 TLS 会话；其指纹与服务器正常业务不符，并在稍后向多台内部主机发起 SMB 连接。AI 不应只凭“周期性”宣判 C2，而应把稀有度、周期、资产角色、目的情报和横向行为组合为证据，给出“疑似 C2 + 横向移动”的可解释判断。

在示例中，五分钟周期本身只构成异常特征；真正提升置信度的是“罕见外域 + 服务器角色不匹配 + 稳定周期 + 可疑 TLS/基础设施上下文 + 随后的 SMB 东西向扩散”。Agent 可以继续查询对应时段的 EDR 进程树和 DNS 历史，验证外连是否由合法代理或业务程序产生。

图 3｜网络行为关联实例（教学化示例）

公开案例方面，Google Threat Intelligence 在 BRICKSTORM 间谍活动研究中发布了可用于 Google SecOps 的网络检测逻辑，并提供 Mandiant Front-Line Threats 规则包。这类实践说明 AI/情报驱动的网络分析需要与规则检测、长期遥测和事件调查结合，而非单靠模型分类。Google SecOps 官方也将其定义为对安全与网络遥测进行规范化、索引、关联和分析的平台。

4. 落地注意事项

•  先明确北向/南向/东西向可见性盲区；没有覆盖的数据无法靠 AI“推理出来”。

•  高带宽环境优先保留流量元数据和关键 PCAP，而非无限期全量抓包。

•  网络异常必须结合资产角色、业务时段和变更窗口，避免把备份、扫描、CDN 当攻击。

•  自动阻断应以高置信度复合证据为前提，并保留回滚和白名单机制。