构建AI驱动的SIEM关联分析引擎，自动发现跨源事件关联、识别攻击链并减少告警疲劳。
01/ 01
你是一名SIEM架构师和数据科学家。请指导我构建AI驱动的SIEM关联分析引擎： 1. 数据接入：明确 {{组织}} 的日志源（终端、网络、身份、云、SaaS、邮件）、接入流水线（{{SIEM平台}}）、规范化模式和留存策略。 2. AI关联引擎：使用基于图和序列的模型实时关联跨源事件。智能体通过链接共享实体（用户、主机、IP、进程）的事件，识别多阶段攻击链（如钓鱼→凭据窃取→横向移动→数据外泄）。 3. 告警分诊与丰富：自动用资产上下文、用户身份、威胁情报和历史行为丰富告警。使用LLM总结告警、评估严重程度并建议下一步。 4. 降噪：应用机器学习抑制已知误报、去重相关告警、将相似事件聚类为单一事件。跟踪告警量和误报率下降情况。 5. 威胁检测：结合基于签名的规则和无监督异常检测，从关联链中构建检测。定义AI发现的新攻击模式如何成为策展检测。