360云安全专家（QDSD）：基于RAG提升大模型安全运营效率实践.pptx

基于RAG提升大模型安全运营效率实践

360云安全专家

HuckingGroup

CONTENTS

目录

Part01

如何监控所有的

whoami?

Part02

RAG为什么适合分

析安全日志?

Part03

大模型如何取代我?

360安全应急响应中心

360SecurityResponseCenter

HurkingGroup

01

如何监控所有的whoami?

360安全应急响应中心

360SecurityResponseCenter

HuckingGroup

java-jarmy-appjar

bashinstall.sh

sh-c`whoami.dnslog.cnpython1.py

xxAgent

/usr/lib/systemd/systemd

=....

谁执行了whoami

=whoami

360安全应急响应中心

360SecurityResponseCenter

HurkingGroup

=XXX

丘脑/海马体/联合皮层

记忆检索

联合皮层

特征编码

感觉皮层

感知输入

前额叶

推理决策

新皮层

记忆巩固

我们的大脑是如何分析安全日志的?

360安全应急响应中心

360SecurityResponseCenter

HuckingGruup

记忆检索推理决策记忆巩固

父进程本身被攻击了怎么办?

新增业务了怎么办?

如果有上千万的日志如何处理?

有新的域名怎么办?

只有这一种攻击方式吗?

感知输入特征编码

白名单

java-jarmy-appjar

bashinstall.sh

python1.py

xxAgent

黑名单

sh-c`whoami.dnslog.cn

方案一：黑白名单

36O安全应急响应中心

360SecurityResponseCenter

HuckingGruup

感知输入特征编码

向量化

TF-IDF/Word2Vec

聚类/分类

算法/神经网络

记忆检索推理决策记忆巩固

相同词在不同上下文中始终相同

训练成本高

需要定期重新训练

面对未出现过的样本表现差

不能捕获上下文信息

不同场景不通用

方案二：机器学习

java-jarmy-appjar

36O安全应急响应中心

360SecurityResponseCenter

HuckingGruup

02

RAG为什么适合分

析安全日志?

360安全应急响应中心

360SecurityResponseCenter

HuckingGroup

知识文本

数据预处理

LLM

检索

结果

向量数据库

用户

问题

向量化

嵌入模型

生成

回答

检索

存储

知识

向量化

360安全应急响应中心

360SecurityResponseCenter

RAG原理

HurkingGroup

检索

结果

检索

向量数据库

存储

记忆检索/记忆巩固

RAG为什么适合分析安全日志?

知识文本用户

知识

向量化

数据预处理

36O安全应急响应中心

360SecurityResponseCenter

问题

向量化

嵌入模型

生成

回答

HuckingGroup

推理决策

特征编码

LLM

特性传统方法动态向量模型

向量动态性静态(一词一码)动态(一词多码)

语义丰富度低(词频/共现统计)高(深层语义表征)

计算资源需求低(CPU可处理)高(需GPU加速)

领域迁移能力差(需重建词表)强(微调即可适配)

理想的特征编码-文本嵌入模型

360安全应急响应中心SecurityResponseCenter

HurkingGroup

360

360安全应急响应中心

SecurityResponseCenter

360

北京的天气怎么样≈北京的气候是xxx=北京地气候是xxx

理想的记忆检索

HurkingGroup

检索

结果

检索

向量数据库

存储

记忆检索/记忆巩固

知识文本用户

知识

向量化

数据预处理

还差什么?

36O安全应急响应中心

360SecurityResponseCenter

问题

向量化

嵌入模型

生成

回答

HuckingGroup

推理决策

特征编码

LLM

03

大模型如何取代我?

360安全应急响应中心

360SecurityResponseCenter

Huck