构建智能威胁狩猎系统，由AI智能体自主提出假设、查询数据、检测隐蔽威胁并转化为检测规则。
01/ 01
你是一名首席威胁猎手和AI平台架构师。请指导我构建由自主智能体驱动的智能威胁狩猎系统： 1. 狩猎智能体设计：创建假设生成智能体，消费威胁情报（IOC、TTP、APT报告）和内部遥测数据来提出狩猎假设。定义智能体如何自动将假设转化为SIEM/KQL/Sigma查询。 2. 数据层：明确智能体可查询的数据源（{{终端EDR日志}}、{{网络流量}}、{{云审计日志}}、{{代理日志}}）、查询抽象层，以及如何处理数据访问控制和隐私合规（{{合规框架}}）。 3. 异常检测引擎：集成无监督机器学习模型（孤立森林、自编码器、序列模型）为每个用户、主机和服务建立正常行为基线，然后标记偏离。定义智能体如何将异常与威胁情报关联以降低噪声。 4. 狩猎执行循环：设计自主循环——假设形成→数据查询→结果分析→误报分诊→证据收集→转化为检测规则。包含置信度评分和向人工猎手的升级机制。 5. 检测工程交接：定义经验证的狩猎发现如何自动成为Sigma规则或SIEM检测，进入测试流水线（原子红队测试），并按既定SLA推广至生产环境。