分散在各系统的痕迹
WAF、负载均衡、Web 服务器、数据库、操作系统中分散的记录，需要汇集起来，作为同一事件的脉络来查看。
01 / THE PROBLEM告警已经到达。
告警已经到达。
但你确认到被害了吗？
仅凭 WAF 中留下的攻击痕迹，无法断定真实的入侵或数据泄露。需要把原始证据串联起来，确认请求到达了哪里、实际执行了什么。
交叉核验耗费的时间
确认告警之后，手工比对原始日志与执行结果的过程中，初期响应被拖慢。
调查与响应的负担
需要一个运维流程，减少反复委托外部专家的调查，让判断与响应能够在内部完成。
02 / WORKFLOW
从 AI 指令书开始调查。
将 GIIP 接入基础设施后，把在安全监控中发现的事件，交给采集代理侧的 AI 继续调查。
确认攻击痕迹。
在安全监控中确认检测事件与判定信息。
点击“复制 AI 指令书”。
复制包含事件情况与调查所需信息的指令书。
交给采集代理侧的 AI。
把复制的指令书交给 AI，它会在代理被授予的权限范围内进行原始日志的调查与交叉核验。
查看报告后决定响应。
检视已确认的事实、推断、需进一步确认的项目与响应方案。变更操作以管理员审批与所授予的执行权限为前提。
03 / CROSS-ANALYSIS
区分攻击尝试与实际被害。
检测概率只是调查的起点。通过比对原始日志、响应大小、状态码与执行痕迹，确认真实的影响。
WAFLBWeb 服务器数据库审计日志Query StoreOS
EVIDENCE FIRST
将检测结果与原始证据比对
在数据库审计日志等来源中确认该请求的执行结果，并根据响应大小与状态码，核验数据访问或泄露的可能性。
调查范围取决于已接入的日志、其保留期限以及代理的访问权限。
Q1
谁发送了什么？
串联时间、IP、请求与检测模式，追踪攻击脉络。
Q2
执行了什么？
确认状态码、响应大小，以及写入、文件、权限操作的痕迹。
Q3
真实影响到哪里？
调查数据访问与导出的痕迹，梳理影响范围与未确认事项。
04 / INTELLIGENCE REPORT
把已确认的事实与推断分开报告。
为便于管理员判断，整理原始证据；尚未核验的内容，作为需进一步调查的项目保留。
VERIFIED FACTS
已确认的事实
- 在原始日志中确认的事件与发生时间
- 执行结果、响应信息与相关证据
- 可由证据确认的系统影响
ASSESSMENT & NEXT ACTION
推断与响应建议
- 攻击的可能性与判断依据
- 未确认事项与需补充的证据
- 阻断、配置变更等需评估的响应方案
这是报告结构的示例，并非展示真实事件调查结果的界面。
05 / CONTROLLED RESPONSE检视报告，
检视报告，
在被许可的范围内执行。
管理员确认报告与响应方案后，指示 AI 执行。响应在 AWS、Azure 等目标环境中被许可的操作与权限范围内进行。
管理员确认与审批
检视调查结果与所建议响应的影响范围，审批必要的操作。
确认代理权限
可执行的操作，取决于能读取日志的范围与能变更基础设施的范围。
阻断与配置变更
按照审批内容，在所授予的权限范围内执行必要的基础设施阻断或配置变更。
复制指令书是调查请求的开始。基础设施的变更，以管理员审批与代理所获得的执行权限为前提。
06 / OPERATIONAL VALUE减少重复调查的负担，
减少重复调查的负担，
专注于判断与响应。
从汇集分散记录，到衔接调查与执行，目标是减少安全运维中的重复性工作。
| 区分 | 手工响应 | GIIP AI 安全运维 |
|---|---|---|
| 调查的开始 | 由负责人准备日志查询与分析步骤 | 用含事件信息的 AI 指令书发起调查 |
| 分析范围 | 逐个系统查询记录并比对 | 对可访问的多类日志进行交叉调查 |
| 判断材料 | 由负责人把收集的证据整理成报告 | 区分已确认事实与推断的报告 |
| 响应执行 | 由负责人在各环境中变更配置 | 审批后在代理权限范围内执行 |
所需时间与成本节省的效果，因接入环境、日志规模与事件复杂度而异。
07 / FAQ
接入前需要确认的内容
接入 GIIP 后，首先能做什么？
所附资料介绍的流程是：接入基础设施后，在安全监控中确认攻击痕迹，并把 AI 指令书交给采集代理侧的 AI 进行调查。实际的调查对象，取决于日志接入与访问权限。
AI 会自动变更基础设施吗？
所介绍的响应流程顺序为：管理员确认并审批报告、向代理委派权限、基础设施阻断及配置变更。可执行的操作，仅限于事先授予的权限范围。
仅凭攻击概率就判定被入侵吗？
以检测结果为基础，确认原始日志与执行结果。是否存在真实被害，在核验证据之后判断，并把已确认的事实与推断分开报告。
夺回安全的主导权。
从发现攻击痕迹的那一刻，到真正的调查与响应。
请查看 GIIP 安全监控的使用流程。
将所提供的《GIIP AI Security Operations》韩文介绍资料重构为网页正文。