生成式AI在网络安全里的应用成为业界共识。根据IDC数据，业界普遍认为在IT领域，生成式AI对网络安全、IT运维等领域影响最大。尤其是大模型和安全知识库的结合，对耗时耗人的安全运维将产生巨大变革。AI对网络安全攻防两端均带来影响，一方面降低了攻击者成本，一方面也提供了安全检测和运维的有利工具。从安全厂商角度来看，当前AI主要带来三大类产品：安全检测产品（EDR、防火墙等）、自动化智能运维（Copilot、XDR、SOC等）、使用大模型的数据安全产品（DLP等）。
　　海外巨头厂商持续投入AI+安全，大模型将大幅提升运维能力。微软、谷歌这类大模型厂商，也均推出安全领域里的AI大模型产品，进一步验证大模型在安全领域的应用价值。以Palo Alto Networks、Crowdstrike等厂商为代表，海外龙头安全厂商一直保持高强度AI投入，即使在早期的检测类模型应用背景，Crowdstrike也凭借AI技术颠覆了端点安全的市场格局。当前各大厂商的AI创新均以安全运维为核心，如Palo Alto的XSIAM是面向AI重构的SOC平台；Crowdstrike也推出了Charlotte AI运维助手。Cloudflare推出了保护用户使用大模型的数据安全产品Cloudflare One for AI；同时基于其向边缘云的持续拓展，也在致力成为边缘端AI推理的工作负责。
　　国内安全厂商积极探索大模型应用，已形成初步案例。奇安信推出了Q-GPT和大模型卫士，形成客户签约；深信服快速迭代，推出了安全GPT2.0，已有50多家客户试用；安恒信息推出了恒脑·安全垂域大模型，已经过大运会、亚运会检验；绿盟科技推出风云卫安全大模型，进一步提升智慧安全3.0能力；启明星辰、天融信等厂商也推出相关产品。与海外方向一致，国内厂商也致力提升安全运维能力。
　　投资建议：看好AI提升网络安全产业价值，维持“超配”评级。AI在安全运维里为甲乙双方节省的时间和人员成本是显而易见的，且拓展了传统安全的能力边界，不管是利用AI检测未知威胁，还是处理海量事件，均是AI带来的崭新价值，因此我们持续看好网络安全产业，维持“超配”评级。重点关注在AI大模型积极投入的厂商，奇安信、深信服、安恒信息、绿盟科技、启明星辰、天融信等。
　　风险提示：宏观经济下行风险；行业竞争加剧风险；AI大模型和算力等产业发展不及预期；AI相关政策推进不及预期。

研究报告全文：证券研究报告2023年09月27日信息安全深度剖析6海外巨头引领安全大模型安全产业是AI价值洼地行业研究深度报告投资评级超配维持评级证券分析师熊莉xiongli1guosencomcn证券投资咨询执业资格证书编码S0980519030002证券分析师库宏垚kuhongyaoguosencomcn证券投资咨询执业资格证书编码S0980520010001请务必阅读正文之后的免责声明及其项下所有内容报告摘要生成式AI在网络安全里的应用成为业界共识根据IDC数据业界普遍认为在IT领域生成式AI对网络安全IT运维等领域影响最大尤其是大模型和安全知识库的结合对耗时耗人的安全运维将产生巨大变革AI对网络安全攻防两端均带来影响一方面降低了攻击者成本一方面也提供了安全检测和运维的有利工具从安全厂商角度来看当前AI主要带来三大类产品安全检测产品EDR防火墙等自动化智能运维CopilotXDRSOC等使用大模型的数据安全产品DLP等海外巨头厂商持续投入AI安全大模型将大幅提升运维能力微软谷歌这类大模型厂商也均推出安全领域里的AI大模型产品进一步验证大模型在安全领域的应用价值以PaloAltoNetworksCrowdstrike等厂商为代表海外龙头安全厂商一直保持高强度AI投入即使在早期的检测类模型应用背景Crowdstrike也凭借AI技术颠覆了端点安全的市场格局当前各大厂商的AI创新均以安全运维为核心如PaloAlto的XSIAM是面向AI重构的SOC平台Crowdstrike也推出了CharlotteAI运维助手Cloudflare推出了保护用户使用大模型的数据安全产品CloudflareOneforAI同时基于其向边缘云的持续拓展也在致力成为边缘端AI推理的工作负责国内安全厂商积极探索大模型应用已形成初步案例奇安信推出了Q-GPT和大模型卫士形成客户签约深信服快速迭代推出了安全GPT20已有50多家客户试用安恒信息推出了恒脑安全垂域大模型已经过大运会亚运会检验绿盟科技推出风云卫安全大模型进一步提升智慧安全30能力启明星辰天融信等厂商也推出相关产品与海外方向一致国内厂商也致力提升安全运维能力投资建议看好AI提升网络安全产业价值维持超配评级AI在安全运维里为甲乙双方节省的时间和人员成本是显而易见的且拓展了传统安全的能力边界不管是利用AI检测未知威胁还是处理海量事件均是AI带来的崭新价值因此我们持续看好网络安全产业维持超配评级重点关注在AI大模型积极投入的厂商奇安信深信服安恒信息绿盟科技启明星辰天融信等风险提示宏观经济下行风险行业竞争加剧风险AI大模型和算力等产业发展不及预期AI相关政策推进不及预期请务必阅读正文之后的免责声明及其项下所有内容目录01网络安全是大模型极佳落地场景02海外龙头安全厂商AI应用成熟大模型大幅提升安全运维能力03国内安全厂商积极探索大模型应用已形成初步案例04投资建议看好AI提升网络安全产业价值维持超配评级请务必阅读正文之后的免责声明及其项下所有内容网络安全是AI大模型在IT领域的最具期待的应用场景网络安全是IT领域生成式AI应用的共识根据IDC关于GenAI对哪些IT技术带来颠覆影响的最新数据研究世界范围来看均认为生成式AI对网络安全和合规的影响最大还包括IT和云的运维硬件和软件支持领域整体上均可涵盖在IT和安全运维方向通过AI和自动化技术实现安全运维在本轮大模型热潮之前也是产业持续探索的方向多个安全领域均需要AI和自动化加成根据IDC关于组织中哪些安全流程和功能需要更高级别的自动化的最新数据研究安全监管数据安全和隐私管理防火墙管理事件检测和响应等环节均是业内关注的应用重点业内对AI技术的应用已有积极探索如早期的下一代防火墙上AIops的引入以及当前安全领域XDR等产品的发展方向AI影响网络安全攻防两端市场空间广阔Gartner曾警告称到2025年利用生成式人工智能的攻击将迫使具有安全意识的组织降低检测可疑活动的阈值产生更多错误警报从而需要更多而不是更少人工响应根据PrecedenceResearch数据2022年全球基于AI的网络安全市场规模为174亿美元预计2032年将达10278亿美元2022-2032年复合年均增长率约1943GenAI对哪些IT技术带来颠覆影响组织中哪些安全流程和功能需要更高级别的自动化资料来源IDC2023国信证券经济研究所整理资料来源IDC2023国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容AI带来网络安全的思考攻守两方均迎来升级AI大模型和应用本身的安全问题和任何新的IT应用一样如智能汽车物联网带来的新安全问题AI大模型本身也会存在漏洞数据泄露等问题常规的IT网络安全建设也是必不可少的这部分和所有IT系统一样模型厂商需要加强自身的安全建设AI大模型应用双方的数据安全模型方训练数据必须脱敏合规与人类道德对齐等这里需要传统数据安全的建设用户方也要建设合规使用场景如不能投喂敏感数据三星集团就曾因向ChatGPT提问中包含敏感信息导致公司数据泄露这部分更多也是传统安全建设而且更依赖模型方如训练数据的广义安全用户方自身的管理和合规如DLP和访问控制等措施AI诈骗等安全问题需要严格的内容审核机制监管和模型方主要负责例如对于AI生成内容可以通过水印等方式标注通过反生成式AI技术来鉴别是否由AI生成的产品基于AI生成内容可能引发的问题需要全社会多方角色共同治理AI降低了网络攻击成本网络犯罪将增加其一ChatGPT可以让一些几乎没有编程经验人编写可用于间谍勒索软件恶意垃圾邮件的软件根据网络安全公司Darktrace公布的数据攻击者使用ChatGPT造成社会工程攻击量增加了135其二AI大模型被黑客训练后的黑化如黑客组织训练的WormGPT集中在恶意软件相关的数据上训练专为恶意活动而设计输出没有道德限制可以被要求执行各种恶意任务收费标准是每月60欧元网络安全属于一种社会工程学当攻击成本下降后也必然推动防守方安全建设的投资加大AI也加强了传统防护技术大模型提供了新的运维范式AI技术引入网络安全已经应用多年多为小模型在检测类应用中的场景在检测网络威胁上AI比传统特征库匹配技术更进一步能在特征被提取入库之前发现病毒或者威胁存在在运维方面大数据和AI分析帮助企业实现安全运维自动化对于网络安全行业AI技术的引入是提升自身能力的新方法已有像Crowdstrike以AI技术颠覆传统终端安全市场当前AI大模型已经引发了安全界广泛投入AI运维成为未来新范式请务必阅读正文之后的免责声明及其项下所有内容安全厂商能提供三类基于AI应用的能力检测模型类产品提升安全检测能力在传统病毒引擎基础上AI基于机器学习行为分析结合海量威胁情报后能实现未知威胁的检测大幅提升了传统产品的检测能力主要应用在EDR防火墙APT等产品大模型出现后未来AI检测能力将进一步提升运维模型类产品目标实现自动化智能运维传统AI技术一直在安全运维里持续投入比如XDR希望实现自动化检测和响应大语言模型结合安全知识库首先可以形成Copilot助手类产品提供中级安全分析师的能力减轻告警疲劳大模型也能和XDRSOC等结合形成自动化日志告警事件的处理能力大幅提升运维效率安全厂商提供用户在使用大模型过程中的数据安全能力用户在大模型使用中存在敏感数据泄露等风险安全厂商可以提供传统安全技术来进行规避如DLP访问控制等安全厂商能提供的三类AI安全能力资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容网络安全技术中AI能力的应用检测和响应是核心早期AI应用已有探索网络安全技术逻辑网络安全本质是发现问题和响应问题包括解决最好是在问题出现之前予以解决发现问题传统技术是病毒库特征库威胁库匹配基于已知信息利用AI技术可以提升检测能力在大量数据训练后可以识别出未被标记的特征实现未知威胁的检测这部分能力主要是依赖传统AI小模型如监督学习等当前已在各类安全产品中有成熟应用如端点安全沙箱各类安全厂商均有布局解决问题传统发现问题后只能告警日志部分攻击也可以直接进行阻断但依然有大量的人力工作即处理大量各种不够准确的告警和复杂的日志各种网络管理的规范和运维依靠人力判断网络运行的潜在安全问题因此业界一直在探索SOAR安全编排自动化和响应SIEM安全信息和事件管理SOC安全运营中心等产品和方案并不断加入AI技术以实现自动化安全大模型与知识库结合是应用落地趋势安全知识库具备极佳场景大模型在医疗法律等领域的应用已经初见成效其行业特别是有大量的文本知识积累具备较强的专业壁垒依赖从业人员的经验等大模型的能力能极大提升知识使用的效率同样地大模型也能在安全运营领域充分发挥作用例如大量的日志告警事件情报等信息数据均是标准化的类安全语言也是行业持续积累的知识库各云网端不同设备和软硬件产生的数据亟待进行上下文分析并对企业整体网络运营产生推理作用大幅减少甲乙双方安全运维人力所以安全运维是非常适合大模型落地的AI赋能场景微软推出安全copilot谷歌推出Sec-PaLM安全大模型均是目标在解决问题方面实现自动化智能化减少运维压力AI算法在网络安全中的应用机器学习类型训练目的网络安全应用以标记数据训练目标教它在遇到新数据时在良性和恶意样本上训练模型以教会它们预测新监督学习执行任务样本是否是恶意的以无标记数据训练目标寻找数据中的结构用于发现大型数据池中的新攻击模式或对手行为无监督学习关系和模式例如异常检测反复试验来学习目标在最大化累积奖励对于识别解决问题的创造性和创新方法特别可应用于网络物理系统自主入侵检测和分布式拒强化学习有用绝服务DDOS攻击的解决方案资料来源Crowdstrike国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容目录01网络安全是大模型极佳落地场景02海外龙头安全厂商AI应用成熟大模型大幅提升安全运维能力03国内安全厂商积极探索大模型应用已形成初步案例04投资建议看好AI提升网络安全产业价值维持超配评级请务必阅读正文之后的免责声明及其项下所有内容谷歌安全大模型Sec-PaLM2集AI安全能力大成谷歌PalM2模型也推出安全垂直应用模型Sec-PaLM2在2023年RSA大会上谷歌推出了GoogleCloudSecurityAIWorkbench这是由Sec-PaLM提供支持的可扩展平台Sec-PaLM是谷歌PaLM模型的一个分支针对安全用例和数据对其进行微调如关于漏洞恶意软件威胁指标和攻击者档案的一线情报其中谷歌在22年9月收购威胁情报厂商Mandiant提供了大量数据埃森哲成为第一个合作伙伴Sec-PaLM2安全模型集各类AI安全应用于一身Sec-PaLM解决三大安全挑战威胁过载繁琐的工具和人才缺口1威胁过载利用AI及时检测威胁并做出响应避免威胁感受后蔓延2繁琐的工具生成式AI减少组织的安全工具和控制手段如AssuredOSS利用AI更好的集成漏洞管理方案soc实时在线检测组织的恶意脚本并警报Sec-PaLM快速查找威胁情报并采取行动最终减轻组织的安全工作量3人才缺口Sec-PaLM让安全更易于理解提升安全民主化让初级安全分析师能力快速提升如ChronicleAI类似于Crowdstrike的CharlotteAI用对话交互实现对安全的运维AI安全指挥中心将复杂攻击转化成人类可读的显性解释给出相应措施谷歌安全AIWorkbench资料来源GoogleCloud国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容微软SecurityCopilot辅助而非取代安全分析师微软推出基于AI的安全分析工具SecurityCopilot提供类ChatGPT的助理功能微软一直是网络安全领域收入最高的厂商22年安全业务创历史新高超过200亿美元同比增长33增速超过集团旗下其他主流产品本次推出的SecurityCopilot是基于GPT-4和微软自身安全相关模型的融合是本轮AI大模型驱动的安全产品代表在微软强大的安全业务基础上安全大模型融入了其强大的威胁情报能力每日65万亿个安全信号微软SentinelDefenderIntune多个安全工具的数据和功能SecurityCopilot运行在Azure云上可以提供企业级的安全和隐私体验SecurityCopilot以辅助安全分析师为核心SecurityCopilot像聊天机器人一样提供对话框辅助安全分析师的运维工作可以在几分钟内评估风险敞口SecurityCopilot具备生成式AI带来的多个优势1更好交互其如同随时接受问题的助手用户可以直接询问企业的安全风险攻击事件等2总结问题快速响应其通过总结理解威胁情报快速梳理出攻击事件和信息优先处理重要事件并推荐最佳行动方案3修复常见攻击SecurityCopilot与Sentinel和Defender等微软安全产品集成能够自动阻断一些常见攻击修复错误安全配置其能展示安全威胁路径目标也是帮助甲方运维解决安全人才缺口问题并不能完全取代安全分析师SecurityCopilot在交互和应用上比ChatGPT具备更多尝试SecurityCopilot产品更类似于安全运维版的ChatGPT且具备共享属性包括相当多的便捷工具其具备一个供同事合作和分享信息的便签板功能可以用安全同事们就能在同一背景下开展威胁分析和调查还具备一个提示簿是一组步骤或自动化操作可以将操作绑定到提示中SecurityCopilot目前为预览版尚未正式发布微软SecurityCopilotSecurityCopilot工作界面资料来源微软国信证券经济研究所整理资料来源微软国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetwors防火墙龙头云转型成功AI贯穿安全能力始终PaloAlto认为自己最有能力利用AI提供安全成果用户对本轮安全领域AI应用兴趣提升PaloAlto认为AI价值的充分发挥在安全方面需要大量全面且实时的数据并具备足够的技术准备阻止威胁发生公司每天有数PB的事件会话文件数据在其云网端节点上流经PaloAlto认为本轮AIGC在安全中的应用逻辑有三第一进一步推动此前已经应用的AI能力提升底层检测和防护能力第二提升产品交互能力即利用已收集的大型网络安全数据提供更直观更自然的语言驱动体验第三企业员工自身在AI应用中提升流程和运营效率伴随着ChatGPT的成功越来越多的用户开始咨询在安全产品中能否部署AI而此前用户对AI并不关心PaloAlto也计划在未来数月内将生成式AI融入解决方案中PaloAlto是网络安全企业云和AI转型的典范AI能力始终是产品重心之一公司是下一代防火墙的开创者和领导者将基于硬件为主的传统安全带到新的高度同时公司也是云安全AI应用等创新技术的引领者顺应IT架构云化无边界化零信任化安全运营智能化等多方向发展持续取得突破公司始终坚持AI在安全领域里创新应用从早期利用AI在检测端运维端的尝试到进一步以AI驱动的新一代SOC平台生成式AI方面也积极跟进Copilot产品公司各方面转型顺利23财年SASECortex订单量均超过10亿美金Prisma也超过了5亿美金下一代安全NGSARR增长了56公司23财年首次实现表观盈利24财年收入指引达到815-82亿美金增长18-19超出华尔街预期未来三年预期收入和订单增长复合增速在17-19之间26年硬件占比将下降至10PaloAlto在安全产品中的AI应用公司近年来业绩表现亿美元领域AI应用产品AI价值体现8080本地无法判断的文件上传云端通过机器学习在沙箱中识别恶意689370云沙箱WildFire程序70检测端60防火墙内联深度学习检测可防止零日攻击超越了基于传统签605502下一代防火墙名的检测5050AIOPS基于防火墙通过机器学习检测防火墙设备健康状态减少设备中端时间等425640运维端AIOPS基于SASE通过AI自动化实现网络连接的复杂操作降低网络运营复杂性4034083029早期基于精准式AI的人工智能持续安全平台包括XDR3020Cortex自动化安全平XSOARXPANSE三大产品结合AI技术面向检测响应运1020144检测与台维推动SOC的AI转型0614824响应端10539485-10XSIAM扩展安全智面向AI视角重建了SOC平台集成了Crotex核心功能实现了智0-20能和自动化管理能数据自动化运维主动安全能力是AI安全运营最突出代表2019FY2020FY2021FY2022FY2023FY生成式NetworkSecurity将精准AI和生成式AI进行结合共同消除安全的复杂性通过自营收non-gaap收入yoy利润yoyAICopilot然语言对话得到安全状况和相应策略资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetwors传统AI在安全中的应用云沙箱通过AI对恶意程序进行分析判断PaloAlto在2016年首次将机器学习功能作为WildFire产品的一部分引入WildFire是威胁情报云或者是云上的沙箱对于如防火墙等本地设备无法判断的文件上传到WildFire在虚拟环境中观察采用了机器学习技术识别快速变化的恶意程序在对样本打上恶意标签后可以迅速推送给所有订阅WildFire的用户即实现众包智能在最新的AdvancedWildFire中其也内联了机器学习引擎可防止常见文件类型中的恶意内容无需进行云分析PaloAlto将深度学习引入防火墙能够检测未知威胁2020年推出了业界首款由机器学习驱动的下一代防火墙其中内联深度学习检测可防止零日攻击超越了基于传统签名的检测深度学习技术可实现快速分类在下载时检测文件并在感染前阻止他们该技术可以分析实时流量包括可移植可执行文件网络钓鱼无文件攻击等且无需对大多数恶意程序进行云端或者离线分析AI能帮助防火墙将识别和阻止未知威胁的时间减少到几乎为零而之前必须手动添加签名来实现防护AIOPS提升防火墙智能化水平和网络运维PaloAlto防火墙具备AIOPS功能通过机器学习提升设备整体的安全状况即减少新设备采购预测防火墙中断时间最多提前77天对于错误配置软硬件故障等给出修复建议即减少停机时间主动分析和修复策略AIOPS可以快速部署且与ServiceNow集成以直观的仪表盘实现高可见性AIOPS是安全运营的必然发展方向AIOPS对防火墙设备健康程度的管理AIOPS对防火墙产品各功能启用的管理资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetworsCortex是前期AI融入安全的代表致力于AI驱动安全公司Cortex是业界首个开放集成的人工智能持续安全平台探索智能化安全运维公司推出Cortex旨在充分发挥AI优势简化安全运维和管理工作Cortex部署于全球性可扩展公有云平台能提高海量数据分析速度Cortex数据湖可安全存储客户私有数据并分析以AI技术发现威胁并快速编排响应策略CortexXDR于19年3月推出业内首次将检测调查响应与网络端点及云数据实现了原生集成目前Cortex平台包含XDRXSOARXPANSEXSIAM的基本模块均结合AI技术面向检测响应运维推动SOC的AI转型截止4月底的12个月Cortex实现了10亿美元的预订19年为15亿美元XSIAM是Cortex最新推出的产品全面推动人工智能驱动的安全转型PaloAlto将AIOPS添加至SASE业务中已于23年5月上线SASE是当前公司持续成长引擎在最新功能中添加了AIOPS以自动化网络连接的复杂操作公司定义为业界首个针对SASE的用于IT运营的原生集成人工智能SASE汇集了SDN零信任安全软件定义的安全Web网关等多种组件AIOPS降低IT和网络运营的复杂性减少网络管理成本人工智能持续安全平台CortexCortex四大模块功能Cortex四大核心产品主要功能AI应用XDR扩展检测和响应不只是传统的端点数据收集也扩展至网使用行为分析发现隐藏的威胁络云第三方数据基于所有数据进行例如内部滥用凭据攻击恶意检测和响应软件和数据外泄XSOAR安全编排自帮助任何人安全区域实现安全自动化流通过机器学习平台可根据过去动化和响应程XSOAR也集成了威胁情况解决事的事件和分析师的行为为安全件速度提高90处理事件减少75分析师决策提供指导为所有安全用例实现安全运营转型XPANSE攻击面管理以攻击者角度从外向内查看企业所拥有的使用监督式机器学习模型不断绘资产以及可能存在暴露风险的资产让制客户的攻击面并确定修复工用户能及时发现评估和减轻网络攻击面作的优先级在不增加人力的情风险这比用户自己手动盘点的资产多况减少威胁检测和响应时间35XSIAM扩展安全智能和更自主智能的SOC平台将大量基础架构设计之初即以AI驱动目标使整自动化管理产生的数据威胁情报和外部攻击面数据个SOC达到一个更加智能的程度转化为智能数据为高级机器学习模型提除了日志和告警还有更多细粒供动力实现全面有效的自动检测和威胁度数据来驱动AI实现交叉关联响应分析自动化响应操作资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetworsXSIAM用AI颠覆安全运营SOCXSIAM是当前PaloAlto在本轮AI浪潮的重点产品XSIAM汇集了Cortex的核心功能为客户带来了AI驱动的应用成果公司能收集10亿个事件通过ai可以将事件告警下降到100多个通过AI和自动化技术的应用XSIAM可以在几秒钟内检测到事件并在一分钟内响应高优先级事件公司使用1000个AI模型来检测攻击以实现加速调查响应SOC需要基于AI的重建传统SIEM围绕人类分析师构建93的soc处理需要人工流程大量信息存在孤岛管理问题且依赖人的处理同时安全工程师和架构师深陷于集成单点产品和数据源以此进行检测和响应最终导致传统SIEM以警报日志为核心保障安全运营但收效甚微而AI是实现实时攻击检测和修复的唯一选择因此要实现自动化处理下一代SOC必须以AI视角重建AI驱动的XSIAM将颠覆SOC是网络安全解决问题的最理想答案现代SOC的转型需要处理EDRNDR云身份威胁情报和其他类型的数据而所有数据处于孤岛并非传统SIEM覆盖范围公司将Cortex平台与XSIAM结合使用以高保真数据源人工智能和自动化为核心对安全运营中心能力重组1智能数据XSIAM必须对各类数据进行规范化理解并集成即将其缝合在一起实现AI级的相关性理解使用事件上下文来驱动检测调查和响应能力2自动化XSIAM对于攻击形成的事件链利用AI学习形成自动化处理的检测器或者响应策略3主动安全XSIAM还嵌入了威胁情报和攻击面管理功能使安全分析师能够更主动地思考和采取行动因此XSIAM将以AI重构整个安全运营模式AI驱动的全新SOC平台XSIAMXSIAM功能应用资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetworsXSIAM表现超公司预期安全运维的AI需求迫切XSIAM对客户已产生卓越价值XSIAM不仅具备庞大的数据基础利用AI将警报进行连接和标准化同时添加上下文数据取得了极好的效果在部署XSIAM之后客户安全价值显著提升数据分析量提升到每天1400G错误告警减少至每天80个可以通过自动化关闭的告警达到更大占比导致事件得以解决的概率接近100最终事件从创建到解决时间缩减至16分钟至5小时以内XSIAM订单迅速超2亿美金大订单成为趋势XSIAM于22年10月开始面向部分客户提供截止23年1月底的Q2已经实现了3000万美金订单并已签署了首个8位数的解决方案协议同时只有购买XDR才能获得XSIAM公司认为XSIAM将比过去所有产品更快达到1亿美元订单事实上不到1年已突破2亿美元并且连续两个季度签署了8位数的协议XSIAM显著提升了订单规模每笔XSIAM交易的规模都超过100万美元23财年有4个订单超过2000万美金而原Cortex客户迁移到XSIAM的ARR都提升了3倍以上未来3-5年PaloAlto以及合作伙伴还会在XSIAM上增加10个以上模块持续提升AI驱动安全运维能力Cortex客户数量也将突破1万家客户也表现出对于AI能力SOC转型的积极需求公司XSIAM表现出极强的竞争力在一家大型零售商客户中公司以XSIAM为核心获取了超4000万美金的订单并取代了现有的SIEM产品增加了威胁情报和攻击面管理功能需求方面客户对AI提升运营能力较为迫切尤其美国证券交易委员会新规要求上市公司必须在4个工作日内报告重大违规行为客户需要大幅提升其安全效率XSIAM在安全运维上产生明显价值Cortex客户增长预期资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容PaloAltoNetworsAI能力持续创新也推出安全Copilot产品关注代码安全PaloAltoNetworks致力于在在每个安全产品中利用AIcopilot实现简单性和可用性此前公司在AI上一直保持投入公司称为精准AI有超过100个机器学习模型在产品中运行但本轮生成式AI也是具备极强的应用潜力如产品开发人员和客户之间存在交流障碍生成式AI能让客户用自然语言操作产品并解决问题未来公司将精准AI和生成式AI进行结合共同消除安全的复杂性因此公司也推出NetworkSecurityCopilot以自然语言对话的形式给出答案如组织中正在访问哪些风险程序凭借PaloAlto硬件防火墙软件防火墙SASE等云网端的优势给出了6大风险情况并相应策略公司也认为安全领域不能承受错误答案的代价因此在持续研究如何降低Copilot的错误率与此同时交互模式的改变也要让产品实现更好的UI设计和集成公司计划产品集成在零信任平台在年底前进行客户小范围测试以获得真实客户反馈公司也关注到安全左移趋势以及代码安全但还未将AI大模型能力融入公司已经发现开源代码AI主导开发的代码已经成为趋势而这些代码在数十万个容器和程序中运行代码阶段引入的漏洞风险在云中是成倍增加的PaloAlto关注的是传统解决方法是为每个问题提供单点产品如代码阶段就有有六种不同的工具来扫描因此公司推出了Code-to-CloudPlatform一种从代码到云端保护的集成平台通过扫描程序生命周期的每个阶段以实现实时保护公司也有代码安全基础架构即代码IaC安全等产品加大在DevSecOps领域的投入目前还未引入AI大模型能力但是AI大模型在代码检测和修复上具备较高应用潜力未来PaloAlto也有可能将其引入公司推出NetworkSecurityCopilot安全左移下代码安全也可能引入AI能力资料来源PaloAltoNetworks国信证券经济研究所整理资料来源PaloAltoNetworks国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容Crowdstrike最早将AI技术引入终端安全Crowdstrike成立即是以AI和威胁情报颠覆传统终端安全2011年公司成立以来就将AI和ML引入终端安全传统终端安全基于特征库匹配的模式只能检测已知威胁基于AI技术通过机器学习行为检测实现对未知威胁的检测CrowdStrike的机器学习引擎成为第一个集成到VirusTotal中的无签名引擎Crowdstrike进一步以AI为基础推动EDR自动化等新的终端安全迭代此时AI对于公司主要应用三大场景1检测通过AI识别攻击方行为和威胁模式2分析快速大规模地分析情报和数据3自动化响应利用AI自动化执行重复的安全任务自动检测和响应解决安全问题22年率先提出AI驱动的IOA更快地预测和阻止威胁攻击指标IOA是Crowdstrike提出的概念是一系列观察到的事件序列显示正在进行或尝试入侵系统的活动例如代码执行持续横向移动等IOA让安全分析员能按顺序跟踪事件识别攻击方如何获得最初权限并推断出其动机和目标IOA还应用先进的行为分析来建模和预测对手模式从而增强对未来攻击的预防传统IOA生成依赖于全世界的专家模式公司将人类专业知识与机器学习相结合在云原生的CrowdStrikeFalcon平台上训练这些模型该模型可以在大量经过专业管理的恶意威胁和良性活动数据集上检测可疑活动AI驱动的IOA有三大优势1时效更快地检测新出现的威胁类别与本地联动领先对手一步2共享实现自动化防护云端与终端共享实时IOA以阻止攻击3精度减少误报并提高生产力最大限度地提高分析师的工作效率公司一直以AI驱动建立安全方案每天产生2万亿事件用于训练每秒180百万IOA决策颠覆和创新了大量新安全领域端点安全引入AI能力后的进化密码法相关要点资料来源Crowdstrike国信证券经济研究所整理资料来源Crowdstrike国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容CrowdstrikeCharlotteAI生成式AI安全分析师Crowdstrike推出安全分析师CharlotteAI提升人类分析师水平公司通过积累的大量安全数据以及大量检测与响应的运维专家在不断循环反馈改进中训练得到CharlotteAI她将帮助任何技能水平的用户提高阻止威胁的能力同时降低安全操作的复杂性用户可以用简单的英语和数十种其他语言提出问题并获得直观答案让新手用户也能像Falcon平台的高级用户一样操作快速提升网络安全技能CharlotteAI核心是帮助任何用户更好的理解和运维安全目前CharlotteAI有三大用例1更好的洞察任何用户都具备洞察组织安全状况例如可以询问是否存在涉及MicrosoftOutlook的漏洞2更好的决策给予分析师更好决策缩短对关键事件的响应时间例如可以询问最推荐的补救措施是什么3更好的执行帮助用户执行更高级的安全操作可以在整个企业或特定区域内大规模自动化检测和响应操作例如询问查找涉及Windows主机的横向移动CharlotteAI是本轮生成式AI的应用典型类似于微软Copilot致力于安全技术民主化在安全AI助手方面Crowdstrike优势有三1威胁情报公司是威胁情报领导者CharlotteAI利用该知识库可以推理和理解世界各地的对手活动2XDR提供的丰富数据各种平台和来源的万亿个安全事件环境和资产数据漏洞等形成CharlotteAI追捕和修复威胁的能力3专家知识公司认为真正改变行业并领先攻击者的能力是人类智慧和AI的结合因此将专家经验编入CharlotteAI使用的数据集中最终减轻任何安全分析师的工作量CharlotteAI排查系统内的潜在风险CharlotteAI给出攻击溯源和建议资料来源Crowdstrike国信证券经济研究所整理资料来源Crowdstrike国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容Cloudflare安全视角AI模型端的常规安全防护Cloudflare是当前AI应用安全最直接受益的公司传统安全能力保护AI模型端Web全球所有用户在登陆ChatGPT的时候均需要经过一次是否为真人的验证该服务即由Cloudflare提供公司以安全的CDN业务著称在全球部署300多个边缘中心保护着数百万个Web资产公司在提供内容交付加速的同时也提供了众多安全功能如DDoS防护WAF等深受网站用户的欢迎得益于当前生成式AI的应用基本都在云端Cloudflare来自AI厂商的收入在季度间都能显示出快速增长大型AI公司季度收入环比增长超过20从大到小的AI公司客户均呈现增长态势这些一部分是Cloudflare的传统安全业务即安全和CDN传统AI应用中Cloudflare利用机器学习模型来实现流量清洗Cloudflare与其他安全厂商一样很早就将AI技术引入安全产品中在公司主打的DDoS流量清洗业务中公司每秒处理超过4600万个HTTP请求再为流量加速的同时也需要准确检测威胁因此公司在边缘部署机器学习来检测威胁多个机器学习模型来处理每个请求公司已平均能每天阻止1400亿次Cloudflare能提供AI应用两端的保护核心CloudflareOne是SASE和零信任结合体CloudflareOne也是当前主流安全公司云转型的SASE方向产品让用户无论在哪里都能将用户动态安全的连接到企业资源公司依托在CDN领域的积累积极向SASE云安全发展也融入了零信任等众多安全功能对于AI应用其也提供用户侧的连接安全因此公司也推出了CloudflareOneforAI产品访问Chatgpt时的安全认证CloudflareOne产品融合SASE和零信任资料来源Cloudflare国信证券经济研究所整理资料来源Cloudflare国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容Cloudflare安全视角用户端的AI保护防止数据泄露推出CloudflareOneforAI保护用户对于生成式AI的安全使用生成式AI的应用存在用户将敏感数据投喂给大模型的可能导致数据泄露的风险因此在23年5月公司推出了CloudflareOneforAI是一套基于其CloudflareOne平台的零信任安全控制套件旨在帮助企业安全地使用生成式AI工具保证数据知识产权等安全CloudflareOneforAI是一种云端服务本质也是一系列云安全技术而并非将AI功能融入该安全产品中主要是传统的安全策略访问控制加密DDoS保护等技术组合该产品也支持各种类型的设备和操作系统包括WindowsMacLinuxiOS和Android等用户可在任何场景使用也能根据自己需求灵活扩展产品基于用户端使用AI的保护实现用户数据和隐私安全CloudflareOneforAI为模型用户端提供了一套简单快速的安全工具如GatewayDLP等产品可以了解并衡量AI工具的使用情况防止数据丢失提供了实时监测和警报机制例如企业员工在办公中会使用大量ShadowIT即在企业批准之外员工自己选用的SaaS或者AI应用等这些会成为IT安全的负担CloudflareOneforAI可以看到组织内AI使用的情况也可以阻止对AI的使用DLP产品可以提供配置规则设置好所关心的数据例如信用卡号码等以实现对相关数据使用的检查整体上该产品主要融入了零信任的理念更类似于终端和数据安全的结合CloudflareOneforAI监管企业的影子IT多个组件保护大模型使用的数据安全CloudflareOneforAI功能点主要作用帮助公司观察有多少员工正在尝试AI服务可以在CloudflareGateway企业做预算和许可数量数量时提供相关信息为管理员提供清晰的API请求日志控制可以访问ServicetokensAI训练数据的特定服务提供了一个加密的仅出站连接到Cloudflare网络的通道每个请求都将接受CloudflareOne配置规则的CloudflareTunnel检查CloudflaresDataLoss数据防泄漏产品防止员工向模型投喂敏感数据可PreventionDLP以自定义配置哪些数据类型Cloudflarescloudaccess为SaaS应用程序提供全面的可见性和控制还能扫securitybrokerCASB描所使用的AI工具检查错误配置和误用资料来源Cloudflare国信证券经济研究所整理资料来源Cloudflare国信证券经济研究所整理请务必阅读正文之后的免责声明及其项下所有内容