基于大模型智能体的终端系统协同安全持续审计方法、系统与流程

本发明涉及网络安全与人工智能交叉，尤其涉及一种基于大模型智能体的终端系统协同安全持续审计方法、系统。

背景技术：

1、在当前的网络安全防御体系中，主机安全审计（如主机入侵检测系统hids、终端检测与响应edr）与系统日志分析（如安全信息和事件管理siem、安全运营中心soc）构成了两大核心技术支柱。然而，随着网络攻击手段的不断演进和复杂化，现有的安全防御手段面临着一系列日益严峻的技术挑战。

2、一、终端检测依赖人工、规则僵化

3、传统hids/edr主要依赖静态规则和特征码进行威胁检测，对于规避已知特征的未知威胁（如慢速apt攻击、零日漏洞）缺乏有效识别能力。更关键的是，一旦产生告警，仍需安全分析师手动登录主机执行ls、lsof、计算哈希值等取证操作，响应效率低下。传统系统缺乏自主推理能力，面对可疑行为时无法自主决定下一步排查动作，难以应对大规模告警带来的“告警疲劳”。

4、二、系统日志审计缺乏上下文关联与低频攻击识别能力

5、传统日志审计平台依靠正则表达式或频次阈值触发告警。当攻击者采用“慢速爆破”、“多ip轮换撞库”或利用“逻辑越权漏洞”时，单次访问不触发阈值，极易漏报。同时，传统系统将日志视为孤立事件，缺乏对单个ip或用户行为轨迹的持续跟踪，导致大量零散告警无法关联成完整的攻击叙事，进一步加重了告警疲劳。

6、三、终端与系统审计相互割裂，缺乏闭环联动

7、终端安全产品与系统日志审计平台在架构上彼此孤立，数据流通不畅。虽有部分方案尝试对接二者告警数据，但未能形成“系统异常→联动终端深挖”或“终端异动→拉取系统轨迹”的闭环自动化推理链条。

8、近年来，大语言模型（llm）在网络安全领域受到广泛关注，但现有研究多集中于单一场景的智能化改造，尚未提出一种将终端持续审计与系统日志智能分析深度融合、并通过llm智能体实现双向协同联动的系统性解决方案。

9、综上所述，现有安全防御体系在终端自主排查能力、系统上下文关联能力以及终端-系统协同联动能力方面均存在显著缺陷，亟需改进。

技术实现思路

1、本技术旨在至少解决现有技术中存在的技术问题，提供一种基于大模型智能体的终端系统协同安全持续审计方法、系统。

2、第一方面，本发明提供的一种基于大模型智能体的终端系统协同安全持续审计方法，所述方法包括：

3、终端安全持续审计步骤：周期性采集终端主机的当前运行状态数据，通过状态差分过滤将所述当前运行状态数据与历史健康状态基线进行比对；基于react推理框架的大语言模型智能体根据所述异常变化数据生成符合预定schema定义的工具调用指令；经安全沙箱校验后执行所述工具调用指令，获取终端排查证据；基于所述终端排查证据查询外部威胁情报平台，采用综合判定决策矩阵对威胁进行定性；

4、系统日志智能分析步骤：周期轮询获取系统日志并解析为标准化结构体；通过长短期记忆管理维护访问实体的行为轨迹和语义基线；将当前系统日志与历史语义基线联合输入大语言模型进行意图识别，发现异常行为；当识别到可疑线索时，触发大语言模型智能体主动对日志数据库进行多维度溯源查询；

5、双向协同联动步骤：当系统日志智能分析步骤发现异常时，通过协同引擎向终端安全持续审计步骤发送触发指令，进行跨域数据采集；当终端安全持续审计步骤发现异常时，通过协同引擎向系统日志智能分析步骤发送触发指令，进行历史轨迹倒查；整合生成跨系统层级的完整证据链报告。

6、通过采用上述技术方案：

7、终端侧：通过react推理框架赋予llm智能体根据现场发现的蛛丝马迹动态生成排查指令的能力，且通过安全沙箱确保指令安全性，实现了从"仅告警"到"告警+自主研判+安全取证"的决策闭环。同时，状态差分降噪将大模型输入数据量削减95%以上，有效降低了token开销与推理延迟，提升了方案的落地可行性。

8、系统日志侧：通过llm语义理解突破频次阈值的局限，结合长短期记忆管理建立实体行为基线，能够识别非特征码的隐蔽攻击。

9、协同侧：实现"由系统异常联动终端深挖"和"由终端异动拉取系统轨迹"的双向自动化推理链条，打破安全孤岛，生成从应用层入口到终端系统层的完整证据链报告。

10、可选地，所述终端安全持续审计步骤中，所述状态差分过滤具体包括：

11、以实体关键字段组合作为比对元组，将当前运行状态与历史基线进行属性级差分比对；若当前状态中存在比对元组不属于历史基线中的任一比对元组，则判定为新增实体；若比对元组匹配但对应属性发生变动，则判定为篡改实体。

12、通过采用上述技术方案，将异常检测的判定规则明确为"新增实体"与"篡改实体"两种类别，以实体关键字段组合（如进程的`(path, cmdline)`）作为比对元组而非单一标识符。相比传统方案仅依赖进程名或pid进行比对，属性级差分避免了"合法进程重启后pid变化即触发告警"的误报问题，同时能够捕获"同名进程被替换为恶意程序但路径不变"的篡改行为。每次审计周期仅需比对变化差集数据，无需全量重新扫描，显著减少了大模型的输入负载。

13、可选地，所述状态差分过滤还包括双层白名单过滤：

14、第一层为静态管理员白名单，通过路径、通配符和固定sha256签名匹配过滤已知合法实体；

15、第二层为ai动态学习白名单，将连续多个审计周期被判定为无害且无网络外联行为的非预期变更实体，加入设置有生存时间的动态白名单中；

16、若白名单内实体的哈希值发生变化，则强制撤销该实体的白名单过滤；

17、维持灰度事件缓冲区，当主机触发高风险行为时，逆向追溯预设时间内被所述双层白名单过滤的实体数据。

18、通过采用上述技术方案，在差分过滤基础上引入双层白名单机制，解决了传统单一静态白名单的两难困境：若白名单过于宽松则漏报，过于严格则误报过多。第一层静态管理员白名单通过路径、通配符和sha256签名精准匹配已知合法程序，第二层ai动态学习白名单自动识别连续多个周期内均为无害且无网络外联行为的变更，设置ttl后自适应加入白名单，使白名单覆盖率从纯手工维护进化为自学习扩展，大幅降低了人工维护成本。在此基础上，白名单内实体哈希变化时强制撤销过滤防止恶意替换，同时维持灰度事件缓冲区，当主机触发高风险行为时逆向追溯被过滤数据，实现了"降低误报但不损失漏报检测能力"的技术平衡。

19、可选地，所述安全沙箱校验具体包括：

20、将所述工具调用指令转换为参数化数组执行，防止字符串注入攻击；

21、配备命令正则白名单，仅允许符合预设正则模式的命令执行；

22、阻断包含写入、删除或篡改操作的命令，拦截重定向符、管道符及命令连接符。

23、通过采用上述技术方案，传统安全产品之所以无法实现ai自主取证，根本原因在于无法信任ai生成的指令，导致大模型在极端情况下可能产生幻觉，输出rm、kill、chmod等破坏性命令。本方案通过三道防线逐层化解该风险：参数化数组执行防止shell字符串注入攻击；命令正则白名单仅允许符合预设模式的安全命令通过；危险特征阻断直接拦截重定向符、管道符、命令连接符及写入删除类指令。三道防线相互独立，缺一不可，确保即使llm输出异常，指令也无法对目标主机造成破坏。

24、可选地，所述长短期记忆管理具体包括：

25、以客户端ip地址或账户id为键，对每个访问实体的行为轨迹进行持续聚合；

26、将大语言模型对实体历史数据分析生成的语义行为基线文本存入向量数据库，作为长期记忆；

27、将实体最近预设时间内的完整请求链条缓存于键值数据库，作为短期工作上下文。

28、通过采用上述技术方案，将传统日志审计中"孤立事件"处理方式升级为"实体行为建模"。通过向量数据库存储llm生成的语义行为基线文本作为长期记忆，同时通过键值数据库缓存最近预设时间内的完整请求链作为短期工作上下文。长期记忆赋予系统对每个实体的"正常行为画像"，短期记忆提供滑动窗口的实时比对上下文，二者协同使得检测不再依赖固定阈值，而是基于实体自身行为逻辑进行异常判定。

29、可选地，所述意图识别包括：将当前日志切片与该实体的历史语义基线联合输入大语言模型，通过语义理解进行偏离度分析，识别逻辑越权访问、慢速撞库或敏感接口探测行为。

30、通过采用上述技术方案，将当前行为与语义基线联合输入llm进行偏离度分析，能够从语义层面识别该行为偏离了该实体"常规仅查看自身信息"的基线，判定为水平越权尝试。同理，慢速撞库和敏感接口探测，如遍历.git等隐藏路径等低频逻辑攻击均可在触发阈值之前被语义理解捕获。

31、可选地，所述主动对日志数据库进行多维度溯源查询包括：大语言模型智能体自主构建查询条件，向系统日志数据库发起包含目标实体和时间范围的多轮关联聚合查询，还原攻击者的完整行为链条。

32、通过采用上述技术方案，llm智能体在识别到可疑线索后，自主构建包含目标数据表、实体约束条件、时间范围条件和返回数量限制的数据库查询条件，并通过多轮关联聚合将零散的日志记录组装为完整的攻击叙事，实现了从"发现异常"到"还原攻击全貌"的自动化闭环，大幅缩短应急响应时间。

33、可选地，所述双向协同联动步骤中，所述系统日志智能分析步骤发现异常时向终端发送触发指令具体包括：

34、提取异常行为对应的可疑ip地址和端口号；

35、通过协同引擎自动匹配承载对应业务的后端终端主机群；

36、指示终端安全持续审计步骤启动即时特异性采集，重点排查与所述可疑ip建立的网络套接字及关联进程。

37、通过采用上述技术方案，当系统日志侧检测到异常api调用时，协同引擎自动提取可疑ip和端口，匹配承载该业务的后端主机群，打破常规审计周期限制启动即时特异性采集。终端ai携带"该ip存在异常行为"的先验知识，定向排查与该ip建立的网络套接字、web应用进程（如tomcat/node.js）的异常子进程及非正常内核模块加载，实现了对静默内存马和无文件攻击的快速捕获。

38、可选地，所述双向协同联动步骤中，所述终端安全持续审计步骤发现异常时向系统发送触发指令具体包括：

39、提取终端异常进程或文件的创建时间点、哈希指纹和执行命令；

40、通过协同引擎指示系统日志智能分析步骤基于长短期记忆数据库，倒查所述创建时间点前后的全部应用层日志；

41、通过大语言模型关联推导攻击入口链路，还原从应用层到终端系统层的完整攻击路径。

42、通过采用上述技术方案，协同引擎提取异常进程的创建时间点、哈希指纹和执行命令，触发系统日志侧倒查t_alert前后的全部应用层日志，llm关联分析后发现t_alert前3秒来自外部ip的请求访问了`/weblogic/wls-wsat/coordinatorporttype`接口并携带有大量xml数据，从而还原出"weblogic反序列化漏洞利用→下载恶意文件→写入计划任务"的完整攻击链路，生成跨系统层级的完整证据链报告。

43、第二方面，本发明提供一种基于大模型智能体的终端系统协同安全持续审计系统，所述系统包括：

44、终端安全持续审计子系统，用于终端安全持续审计步骤；

45、系统日志智能轮询分析子系统，用于执行系统日志智能分析步骤；

46、大模型安全决策与协同引擎，用于执行承载大语言模型智能体的推理决策，以及执行双向协同联动步骤。

47、通过采用上述技术方案，三大子系统对应方法步骤的三个核心阶段：终端安全持续审计子系统负责终端侧的状态采集、差分过滤、沙箱校验和指令执行闭环；系统日志智能轮询分析子系统负责日志的结构化解析、长短期记忆管理和主动溯源；大模型安全决策与协同引擎作为技术枢纽，承载llm智能体的react推理决策并调度top-down/bottom-up的跨域协同。三个子系统的模块化设计允许独立部署和升级，降低了工程实施复杂度。

48、综上所述，本技术包括以下有益技术效果：

49、终端侧：通过react推理框架赋予llm智能体根据现场发现的蛛丝马迹动态生成排查指令的能力，且通过安全沙箱确保指令安全性，实现了从"仅告警"到"告警+自主研判+安全取证"的决策闭环。同时，状态差分降噪将大模型输入数据量削减95%以上，有效降低了token开销与推理延迟，提升了方案的落地可行性。

50、系统日志侧：通过llm语义理解突破频次阈值的局限，结合长短期记忆管理建立实体行为基线，能够识别非特征码的隐蔽攻击。

51、协同侧：实现"由系统异常联动终端深挖"和"由终端异动拉取系统轨迹"的双向自动化推理链条，打破安全孤岛，生成从应用层入口到终端系统层的完整证据链报告。

52、当系统日志侧检测到异常api调用时，协同引擎自动提取可疑ip和端口，匹配承载该业务的后端主机群，打破常规审计周期限制启动即时特异性采集。终端ai携带"该ip存在异常行为"的先验知识，定向排查与该ip建立的网络套接字、web应用进程（如tomcat/node.js）的异常子进程及非正常内核模块加载，实现了对静默内存马和无文件攻击的快速捕获。