Tổng quan nền tảng BlueTeam AI
SOC tự hành · Threat Intel · UEBA · Knowledge Graph
Mọi cảnh báo đều được chấm điểm, điều tra và nối thành câu chuyện.
BlueTeam AI tiếp nhận cảnh báo SIEM và XDR, chấm điểm mỗi case theo chỉ số rủi ro 0–100, chạy các bước kiểm tra bằng chứng, liên kết case liên quan thành chuỗi tấn công và đóng nhiễu đã được chứng minh.
Module làm gì
BlueTeam AI là tuyến đầu của SOC tự hành. SIEM hoặc XDR của bạn đẩy cảnh báo tới một endpoint riêng cho từng tenant, có ký; ApexAI không lưu thông tin đăng nhập SIEM. Cảnh báo được khử trùng lặp và gom nhóm; quy tắc loại trừ được đếm, không bao giờ âm thầm.
Mỗi case có chỉ số rủi ro từ 0 đến 100, kết hợp rủi ro thực thể với mức độ quan trọng của tài sản và được giải thích theo từng yếu tố. Tầng — nhiễu, điều tra, hành động hay nghiêm trọng — được suy ra từ chỉ số và quyết định ai xử lý case.
Với các case cần xử lý, BlueTeam AI kiểm tra danh tính, máy, mạng, dữ liệu và lịch sử, ghi lại những gì đã kiểm tra, và liên kết các case liên quan thành chuỗi tấn công kèm bước ATT&CK có thể tiếp theo.
Năng lực chính
Tiếp nhận có ký theo tenant
Webhook cho Elastic, Splunk, Wazuh và CEF, với token riêng từng tenant, chữ ký HMAC tuỳ chọn có chống phát lại, tính lũy đẳng, gom nhóm và chạy thử.
Nguồn chưa có adapter
Bản ghi từ hệ thống khác — syslog, LEEF, key=value, JSON, dòng log thuần — được giữ lại, ánh xạ sang vai trò ECS bằng ETL chuẩn, và đọc vào SOC khi ánh xạ được kích hoạt.
Chỉ số rủi ro 0–100
Tần suất, độ đa dạng, case đang mở, vị trí trên đồ thị, danh tiếng, độ hiếm và lịch sử báo động giả, kết hợp với mức độ quan trọng của tài sản và giải thích theo từng yếu tố.
Bằng chứng được ghi lại
Kiểm tra danh tính, máy, mạng, dữ liệu và lịch sử, được ghi lại để con người đọc và xác minh AI đã xem gì.
Chuỗi tấn công
Case liên quan được liên kết thành chuỗi trên đồ thị thực thể, kèm các bước ATT&CK có thể tiếp theo.
Đóng nhiễu dưới ngưỡng đã hiệu chỉnh
Tầng 0 chỉ đóng dưới ngưỡng conformal được hiệu chỉnh trên phán quyết của bạn, chỉ với phát hiện con người từng đánh giá là lành tính, có QA lấy mẫu.
Cách hoạt động
01
Tiếp nhận
Cảnh báo tới qua webhook có ký theo từng tenant, được khử trùng lặp và gom nhóm.
02
Chấm điểm
Mỗi case có chỉ số rủi ro; tầng được suy ra từ đó.
03
Điều tra
Các bước kiểm tra bằng chứng được chạy và ghi lại; case liên quan được nối thành chuỗi.
04
Chuyển giao
Case tầng 2 chuyển sang Remediate AI để đề xuất; case tầng 3 mở sự cố cho Coordinator AI.
Cổng phê duyệt của con người
BlueTeam AI không thay đổi hệ thống thật nào. Việc duy nhất nó tự làm là đóng nhiễu đã được chứng minh ở tầng 0, dưới ngưỡng đã hiệu chỉnh. Việc ngăn chặn cho case tầng 2 và 3 được đề xuất qua Remediate AI và cần một người phê duyệt — hai người ở tầng 3.
Giấy phép
- Có trong
- Giấy phép SOC tự hành (BlueTeam AI, Coordinator AI và Remediate AI đi cùng nhau), Platform, Sovereign
- Tính năng giấy phép
- module.blueteam_xdr
BlueTeam AI, Coordinator AI và Remediate AI được cấp phép chung dưới tên SOC tự hành. Mọi giấy phép đều kèm Core.
Xem bảng giá và giấy phépHiện trạng
Đang chạy và đã được kiểm chứng trên các ngày SIEM mô phỏng và sự kiện Core thật. Chưa chạy trên SIEM thật của khách hàng: mỗi nguồn cảnh báo bắt đầu ở chế độ quan sát.
Chạy BlueTeam AI ở chế độ quan sát trên cảnh báo của bạn.
Nó chấm điểm, điều tra và đề xuất. Không có gì t ự đóng hay tự ngăn chặn trong lúc bạn đo lường.