基于AI多智能体编排的自适应网络威胁狩猎方法及系统与流程

本发明涉及人工智能与网络安全，尤其涉及基于ai多智能体编排的自适应网络威胁狩猎方法及系统。

背景技术：

1、现有网络威胁狩猎方法多依赖单一的威胁检测引擎或规则匹配系统，安全运维人员预先定义攻击特征库和告警阈值，对实时流量、日志等数据进行模式比对。这类系统通常采用线性处理流程：数据采集、规则匹配、告警生成、人工研判和响应执行。部分先进方案引入了机器学习模型进行异常检测，但模型训练依赖标注样本，且部署后参数固定，难以动态适应网络环境的演变。

2、常规做法存在两个核心缺陷。其一，威胁狩猎过程缺乏全局异构数据的融合分析与关联重构。安全设备各自产生独立的告警流，缺乏对多源实体的时序对齐与路径映射，导致攻击者利用跳板机或加密隧道的复杂渗透链无法被完整还原，高隐蔽性威胁因孤立检测而大量漏报。其二，响应策略固化且缺乏动态调整能力。预设的阻断或隔离规则仅能应对已知攻击模式，面对零日漏洞或变种恶意软件时，响应动作过度阻断正常业务或失效。更严重的是，多数系统无法实时评估响应动作对业务连续性的影响，一旦误操作导致服务中断，缺乏熔断回退机制，造成严重的业务损失。此外，现有方法缺少持续的自我进化能力，防御系统一旦上线，其检测逻辑与响应策略便停滞不前，无法从每次攻击事件中学习改进。

技术实现思路

1、本发明实施例提供基于ai多智能体编排的自适应网络威胁狩猎方法及系统，能够解决现有技术中的问题。

2、本发明实施例的第一方面，提供基于ai多智能体编排的自适应网络威胁狩猎方法，包括：

3、建立企业网络环境的多维数据汇聚层，对实时接入的多源异构安全数据进行格式归一、实体关联和时序对齐，输出全局上下文向量；

4、以所述全局上下文向量为输入，由推理编排层进行攻击路径重构和意图识别，生成候选狩猎策略集合并按优先级排序，将策略分解为原子任务分发给适配的分析智能体执行；

5、各分析智能体针对分配的任务在对应的数据域内开展异常检测和线索提取，产生带置信标注的研判证据，经融合推理层对所述研判证据进行一致性检验和信任度合成，输出威胁确认结论；

6、基于所述威胁确认结论的置信度等级执行分级响应策略，涵盖网络阻断、终端隔离、告警推送和证据固化在内的自适应防御处置，并实时监控响应动作对业务运行的影响，触发熔断条件时执行快照回退；

7、将完整的状态转移记录存入经验缓冲区，以多维防御效能指标构建复合奖励信号，利用策略网络探索更优防御动作、价值网络估计状态收益、近端策略约束算法同步更新双网络参数，形成持续增强的自进化防御闭环。

8、以所述全局上下文向量为输入，由推理编排层进行攻击路径重构和意图识别，生成候选狩猎策略集合并按优先级排序，包括：

9、将所述全局上下文向量输入攻击链推理引擎，以事件告警为起始锚点逐阶段还原攻击活动，依次重建初始接入阶段的漏洞利用和载荷投递、横向移动阶段的内部探测和凭据窃取、权限提升阶段的提权手段、以及数据外传阶段的隐蔽信道和外联目标，构建以各攻击阶段为节点的有向攻击路径拓扑图；

10、对所述有向攻击路径拓扑图中各阶段节点的战术意图进行语义标注，提取初始接入阶段的核心目标、横向移动阶段的阶段性意图和数据外传阶段的最终攻击目标，串联为攻击意图递进关系链；

11、将标注后的攻击路径拓扑图与威胁知识库中已沉淀的战术技术模式进行多维特征匹配，以所述攻击意图递进关系链为匹配约束，计算各匹配项中攻击阶段序列的相似度并聚合为攻击模式标签；

12、基于所述攻击模式标签对应的历史威胁处置案例中记录的检出成功率和处置步骤数，对候选狩猎策略逐一进行攻击路径覆盖率评分和处置成本评估，按覆盖率与处置成本倒数的加权效用值降序排列各候选狩猎策略。

13、将策略分解为原子任务分发给适配的分析智能体执行，包括：

14、对排序后的候选狩猎策略进行任务依赖分析，识别策略中各任务单元之间存在的各类前置条件约束关系、数据输入输出依赖关系和共享资源的互斥关系，生成以各任务单元为节点、以所述依赖关系为有向边的任务依赖有向图；

15、遍历所述任务依赖有向图，将入度为零的节点标记为可并行执行的原子任务并加入当前执行批次，将存在依赖链的节点按拓扑序排列为串行任务批次，并在相邻串行批次之间标注前置批次完成信号作为批次触发条件；

16、为每个原子任务匹配具备对应数据域分析能力的各智能体类型，建立任务容量映射表以记录各智能体类型当前待执行任务队列长度和可用计算资源余量；

17、将原子任务按智能体负载均衡策略分配到各智能体的任务队列中，在任务执行期间持续监听各智能体之间的共享资源争用事件和研判结论冲突事件，当检测到冲突事件时触发冲突消解仲裁机制，基于冲突任务双方的优先级别和资源占用规模重新调整执行顺序和资源配额。

18、各分析智能体针对分配的任务在对应的数据域内开展异常检测和线索提取，包括：

19、日志分析智能体对终端系统日志和安全日志进行序列化关联审计，从登录时间异常模式、权限变更频率偏离和日志条目断点三个维度扫描异常行为特征；

20、流量检测智能体对网络通信的元数据特征和载荷统计特征建立正常行为基线模型，将实时通信模式与所述正常行为基线模型进行偏离度比较，检测隐蔽命令控制通信和数据外渗行为；

21、终端取证智能体对进程的内存映射区域、系统调用链序列和文件系统变更日志进行深度扫描，提取恶意进程的驻留路径和内存注入特征；

22、威胁情报智能体将日志分析、流量检测和终端取证三类智能体研判记录中的可疑网络指标和文件特征值与威胁情报库中已知恶意指标进行匹配；

23、行为分析智能体对用户登录、权限操作和数据访问行为分别构建用户级与设备级正常行为基线，检测偏离所述设备及正常行为基线的异常活动序列；

24、各分析智能体将检测到的异常特征封装为包含异常类型标签、受影响资产标识和异常特征与已知威胁模式匹配度的数值置信度的结构化研判记录。

25、经融合推理层对多源研判证据进行一致性检验和信任度合成，包括：

26、将各分析智能体输出的结构化研判记录按受影响资产标识和异常类型标签进行多级聚类分组，先按受影响资产标识将研判记录归入对应资产分组，再在各资产分组内按异常类型标签进行二次分组，形成以单一攻击事件为维度的多源证据集合；

27、对同一攻击事件下任意两条来自不同分析智能体的研判记录计算证据间的一致性支持度量值，当所述一致性支持度量值低于预设一致性阈值时将该对研判记录标记为冲突证据，并量化计算该对冲突证据的冲突强度；

28、为每条研判记录分配信任函数基本概率赋值，将同一攻击事件下所有记录的信任分配依次输入融合推理层的正交合成规则进行两两合成，输出该攻击事件的合成置信区间的上界值和下界值，其中所述上界值表征该攻击事件被多源证据支持的最大可能性，所述下界值表征该攻击事件被多源证据支持的必然性程度；

29、将合成置信区间下界值超过预设判决阈值的攻击事件判定为确认威胁，生成包含威胁类型标签、受影响资产范围列表、合成置信区间数值和剩余不确定度的综合威胁确认结论。

30、基于所述威胁确认结论的置信度等级执行分级响应策略，包括：

31、将所述威胁确认结论中的置信度等级通过阈值分档映射至预设的响应级别序列，低于第一预设阈值的低置信度触发增强持续性监控和数据采集频率提升，介于第一预设阈值和第二预设阈值之间的中置信度触发多通道告警推送并转交安全运营人员进行人工审核处置，高于第二预设阈值的高置信度触发全自动防御处置流程；

32、在自动防御处置流程中，按先网络层阻断后终端层隔离再证据层固化的顺序逐级执行防御动作，每级防御动作执行完毕后校验该动作在受防护资产上的实际生效状态；

33、实时监控受防护资产的服务可用率、请求延迟均值和业务吞吐量三项指标的时间序列，计算各指标与历史正常运行基线的实时偏离率，当任一指标的偏离率超出预设业务容忍幅度时判定熔断条件满足；

34、快照回退包括加载响应触发前保存的防御策略快照，按施加防御动作的逆序逐级释放网络阻断规则、解除终端隔离状态和固化已采集的证据记录，直至恢复至快照所记录的攻击前防御态势。

35、利用策略网络探索更优的防御动作、价值网络估计状态收益、近端策略约束算法同步更新双网络参数，包括：

36、将每轮狩猎过程中采集的当前安全态势特征向量、所执行的防御动作编码、动作执行后环境返回的多维防御效能观测向量以及回合终止标志封装为状态转移记录，按采集时间顺序追加存入具有固定容量的循环经验缓冲区；

37、多维防御效能指标由检出率、误报率、平均响应延迟和单位防御动作资源消耗四类维度经加权归一化后构建为标量复合奖励信号；

38、策略网络以当前安全态势特征向量为输入，输出防御动作空间中各备选动作被选中的概率分布，基于所述概率分布采样确定本轮执行的防御动作；

39、价值网络以当前安全态势特征向量为输入，输出当前态势下的期望长期累积奖励的估值；

40、近端策略约束算法从所述循环经验缓冲区中随机采样批量的状态转移记录，利用所述价值网络输出计算各采样动作相对于当前态势基线价值的优势估计量，并通过裁剪新旧策略概率之比将单次更新幅度限制在预设裁剪区间内，同步完成策略网络与价值网络的参数更新工作。

41、本发明实施例的第二方面，提供基于ai多智能体编排的自适应网络威胁狩猎系统，包括：

42、数据汇聚单元，用于建立企业网络环境的多维数据汇聚层，对实时接入的多源异构安全数据进行格式归一、实体关联和时序对齐，输出全局上下文向量；

43、推理编排单元，用于以所述全局上下文向量为输入，由推理编排层进行攻击路径重构和意图识别，生成候选狩猎策略集合并按优先级排序，将策略分解为原子任务分发给适配的分析智能体执行；

44、融合推理单元，用于各分析智能体针对分配的任务在对应的数据域内开展异常检测和线索提取，产生带置信标注的研判证据，经融合推理层对所述研判证据进行一致性检验和信任度合成，输出威胁确认结论；

45、分级响应单元，用于基于所述威胁确认结论的置信度等级执行分级响应策略，涵盖网络阻断、终端隔离、告警推送和证据固化在内的自适应防御处置，并实时监控响应动作对业务运行的影响，触发熔断条件时执行快照回退；

46、强化学习单元，用于将完整的状态转移记录存入经验缓冲区，以多维防御效能指标构建复合奖励信号，利用策略网络探索更优防御动作、价值网络估计状态收益、近端策略约束算法同步更新双网络参数，形成持续增强的自进化防御闭环。

47、本发明实施例的第三方面，提供一种电子设备，包括：

48、处理器；

49、用于存储处理器可执行指令的存储器；

50、其中，所述处理器被配置为调用所述存储器存储的指令，以执行前述所述的方法。

51、本发明实施例的第四方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现前述所述的方法。

52、多维数据汇聚层对多源异构安全数据进行格式归一、实体关联和时序对齐，输出全局上下文向量，解决了数据格式不统一和信息孤岛问题，为威胁检测提供一致数据基础。推理编排层基于全局上下文进行攻击路径重构和意图识别，自动生成按优先级排序的候选狩猎策略并分解为原子任务分发至分析智能体，消除人工分析的滞后性和主观性，缩短威胁发现时间，实现计算资源精准分配与并行处理，提升狩猎效率。

53、各分析智能体在对应数据域内开展异常检测和线索提取，产生带置信标注的研判证据，增强检测针对性和深度。融合推理层对研判证据进行一致性检验和信任度合成，输出威胁确认结论，降低误报和漏报，提升研判准确性。基于置信度等级执行分级响应策略，涵盖网络阻断、终端隔离、告警推送和证据固化等自适应处置，实现威胁响应自动化，减少人工干预。实时监控响应动作对业务影响，触发熔断条件时执行快照回退，避免误操作导致业务中断，增强系统鲁棒性。

54、完整状态转移记录存入经验缓冲区，以多维防御效能指标构建复合奖励信号，利用策略网络和价值网络结合近端策略约束算法同步更新参数，形成持续增强的自进化防御闭环。该机制使系统根据实际防御效果自动优化策略，适应动态变化威胁环境，实现防御能力持续提升。通过自进化积累最佳防御实践，降低运营成本，不断提高威胁狩猎精准度和效率。该方法实现网络威胁狩猎全流程智能化与自适应，为复杂企业网络提供高效可靠防御。