面向效能提升的信息安全智能运营实战

珠海冠宇电池股份有限公司是全球领先的消费类聚合物软包锂离子电池主要供应商之一，深度融入全球高端制造产业链，长期服务于全球知名笔记本电脑、平板电脑、智能手机、智能穿戴、电动工具、无人机等领域客户，并稳步拓展至动力、储能领域。冠宇始终坚持自主研发，持续为全球客户提供安全、可靠、耐用的能源产品与解决方案，致力于成为推动能源进步的重要力量。未来，冠宇将继续以技术创新为基石，驱动能源转型，赋能世界前行。

珠海冠宇的战略定位体现在以下三个层面： 业务发展的“稳定器”与“助推器”。 通过构建主动、精准、快速的安全监测与响应能力，有效降低因网络安全事件导致的业务中断、数据泄露、声誉受损等风险，为集团主营业务的稳定运行提供坚实保障，确保客户信任与市场竞争力。 安全运营模式的“变革者”。 致力于推动集团安全运营模式从传统“人工驱动、被动响应”向“智能驱动、主动防控”的范式革命，从根本上改变安全团队的智能与价值，将信息安全工程师从繁琐的告警筛选中解放出来，使其能聚焦于更具战略价值的威胁狩猎、攻防对抗和体系优化等专业工作；量化MTTD、MTTR、自动化处置率、事件闭环数等核心指标，使安全团队成为用数据证明自身价值的核心部门。 信息安全体系的“智慧大脑”。 本项目信息安全运营中心系统平台，旨在成为信息安全体系的指挥中枢。随着项目的建设推进与落地，实现了全局可视、智能决策、协同指挥、持续进化的体系大脑，为未来的高质量发展构建核心竞争力。

一、技术先进性优势1.1 全域数据融合创新方案采用高性能数据采集器及探针，支持Syslog、Kafka、API等多种协议，实现了集团各厂区网络节点、设备、区域的10+类、日均TB级安全数据的实时采集与融合，构建了覆盖“端-网-云-身份”的全场景数据采集体系，这种全维度数据采集架构打破了传统安全运营的数据孤岛现象，实现了安全数据的全量汇聚与统一纳管，为深度分析提供了坚实的数据基础，技术水平处于行业领先地位。1.2 终端侧I0A泛化行为规则创新在终端侧检测能力上，引入了I0A（入侵行动）泛化行为规则，通过多事件复杂关联规则匹配算法，大幅提升了对已知和未知 APT 的检出率，有效填补了复杂行为关联检测领域的空白，构建了多层次纵深防御检测体系，显著提升了对隐蔽性攻击的识别能力。1.3 平台层Flink CEP引擎应用创新采用Flink CEP作底层数据处理核心，通过结合多种关联规则模板实现复杂的CEP 语义，将终端侧和网络侧收集的数据，与云端威胁情报、资产、时间等因子进行时间线关联和因果推断，最终生成高置信度的关联事件，显著提升了威胁检测的准确性和时效性。1.4 AI多源知识融合引擎创新方案集成了具备强大多源知识吸收与融合能力的AI智能安全引擎，该引擎能够深入理解代码语义、资产拓扑信息、多维度威胁情报以及复杂的安全攻防上下文，显著提升安全分析的准确性和智能化水平。 1.5 可持续演进能力方案具备极强的技术架构先进（基于数据湖理念构建的标准化信息数据中台架构，支持数据的持续积累与分析）、AI引擎可学习（多源知识融合引擎能够持续学习新的威胁模式，不断优化检测能力）、规则模板可扩展（威胁检测规则模板支持灵活扩展和定制，适应不同安全场景）、组件可升级（各模块组件支持独立升级和替换，保持系统的持续演进能力）的可持续演进能力，能够适应企业安全需求的变化和技术的发展。二、实用价值优势2.1 高检出低误报的威胁检测能力方案通过构建“终端-网络-平台”三层联动的智能检测引擎，实现了对各类威胁的精准识别与定位，通过三层联动检测架构，方案实现了威胁检出率95%以上，显著提升了安全运维效率，降低了人工分析成本。2.2 标准化数据中台架构数据中台层通过功能强大的解析算子、逻辑处理算子和标签算子，实现了数据解析、 ETL 的标准化过程：解析算子支持CSV、KY、JSON、grok、正则、XML 等10+种格式的数据解析，覆盖企业数据分析的主流场景；数据过滤支持多字段、多条件组合，形成复杂的过滤条件，满足分析场景的灵活需求；标签算子结合地理位置、资产信息、黑白名单和威胁情报等信息，为不同应用场景提供灵活选择，给原始数据添加对应的业务与安全维度标签；通过标准化处理流程，将数据处理时间从传统方式的数小时缩短至分钟级，显著提高了数据可用性与分析效率。 2.3 集中化告警管理与上下文富化通过构建全局、统一的安全数据湖信息平台（Pulsar消息队列+ClickHouse数据库+分布式 EDS），集中化管理了所有孤立的端网安全事件和威胁告警，实现了上下文信息的深度富化；将安全分析研判效率提升 60%以上，告警定位准确率提高70%，极大提升了后续分析研判的效率和准确性。

1. 1一、技术先进性优势1.1 全域数据融合创新方案采用高性能数据采集器及探针，支持Syslog、Kafka、API等多种协议，实现了集团各厂区网络节点、设备、区域的10+类、日均TB级安全数据的实时采集与融合，构建了覆盖“端-网-云-身份”的全场景数据采集体系，这种全维度数据采集架构打破了传统安全运营的数据孤岛现象，实现了安全数据的全量汇聚与统一纳管，为深度分析提供了坚实的数据基础，技术水平处于行业领先地位
2. 21.2 终端侧I0A泛化行为规则创新在终端侧检测能力上，引入了I0A（入侵行动）泛化行为规则，通过多事件复杂关联规则匹配算法，大幅提升了对已知和未知 APT 的检出率，有效填补了复杂行为关联检测领域的空白，构建了多层次纵深防御检测体系，显著提升了对隐蔽性攻击的识别能力
3. 31.3 平台层Flink CEP引擎应用创新采用Flink CEP作底层数据处理核心，通过结合多种关联规则模板实现复杂的CEP 语义，将终端侧和网络侧收集的数据，与云端威胁情报、资产、时间等因子进行时间线关联和因果推断，最终生成高置信度的关联事件，显著提升了威胁检测的准确性和时效性
4. 41.4 AI多源知识融合引擎创新方案集成了具备强大多源知识吸收与融合能力的AI智能安全引擎，该引擎能够深入理解代码语义、资产拓扑信息、多维度威胁情报以及复杂的安全攻防上下文，显著提升安全分析的准确性和智能化水平
5. 51.5 可持续演进能力方案具备极强的技术架构先进（基于数据湖理念构建的标准化信息数据中台架构，支持数据的持续积累与分析）、AI引擎可学习（多源知识融合引擎能够持续学习新的威胁模式，不断优化检测能力）、规则模板可扩展（威胁检测规则模板支持灵活扩展和定制，适应不同安全场景）、组件可升级（各模块组件支持独立升级和替换，保持系统的持续演进能力）的可持续演进能力，能够适应企业安全需求的变化和技术的发展
6. 6二、实用价值优势2.1 高检出低误报的威胁检测能力方案通过构建“终端-网络-平台”三层联动的智能检测引擎，实现了对各类威胁的精准识别与定位，通过三层联动检测架构，方案实现了威胁检出率95%以上，显著提升了安全运维效率，降低了人工分析成本