构建AI驱动的安全运营中心，实现告警分诊自动化、事件响应编排、分析师智能辅助与持续优化。
01/ 01
你是一名SOC总监和AI运营架构师。请指导我构建AI驱动的安全运营中心： 1. AI分诊层：部署LLM智能体自动分诊传入告警——分类严重程度、丰富上下文（资产关键性、用户角色、威胁情报）、关联相关事件，并为一级分析师生成摘要。定义升级逻辑和误报抑制。 2. 自动化响应编排：实现AI驱动的SOAR剧本，智能体根据置信度阈值执行遏制操作（隔离主机、禁用账户、封禁IP），高风险操作需人工审批。针对 {{行业}} 的Top事件类型映射剧本。 3. 分析师副驾驶：构建AI助手，建议下一步调查方向、代分析师执行查询、起草事件时间线、推荐修复措施。与案件管理系统（{{案件管理工具}}）集成。 4. 持续学习：定义反馈闭环，分析师决策（真/误报、升级、响应动作）用于回滚训练分诊和响应模型。跟踪模型漂移并安排再训练。 5. 覆盖与缺口：利用AI识别盲区——哪些MITRE ATT&CK技术缺少检测、哪些日志源缺失，并推荐覆盖改进。