自动化安全分析工作流：从数据采集到智能决策

在网络安全运营中，高效的自动化分析能力是提升威胁响应速度的关键。本文将分享一个基于工作流构建的安全分析自动化方案，通过可视化编排与代码扩展，实现从数据采集到智能决策的全流程闭环。

在网络安全运营场景中，威胁分析的时效性、规则的精准度和上下文关联是核心诉求。人工逐条核验日志、匹配安全规则，不仅效率低下，还极易因人为疏漏产生误报、漏报。

本文将与社区广大网友分享，从业务场景、工作流设计、核心代码实现到落地价值，完整拆解如何通过「工作流 + Python 代码定义规则」，搭建一套日志审计白名单校验自动化编排工作流。该工具目前已支持 IBM QRadar SIEM API AQL 查询节点块，可快速对接数据源完成数据拉取、筛选与分组；同时支持机器人多任务处理机制，能有效避免工作流编排过于冗长、操作复杂的问题。后续若网友反馈相关需求较多，还会进一步适配 ELK  API 查询能力，以覆盖更多日志分析场景，切实解决安全运营中的批量分析痛点。

一、工作流架构设计

整个自动化分析流程采用模块化设计，通过节点拖拽与连线的方式，将不同功能模块有机串联，形成清晰的执行链路：

这种架构的优势在于，既利用了可视化编排的直观高效，又通过代码节点保留了处理复杂逻辑的能力，实现了 “低代码” 与 “全代码” 的完美结合。

二、核心逻辑解析

在工作流中，Codei 节点是实现复杂安全规则检测的核心，而可视化工作流画布与机器人多任务机制，则为规则的高效落地提供了强有力的编排与执行保障。用户可直接在画布上拖拽编排各类功能节点块，实现节点间协同配合；机器人多任务处理模块可将冗长繁琐的校验逻辑拆分为多个子任务并行处理，导入合规工作流后，机器人状态按钮会自动变为绿灯，大幅简化编排难度、降低流程复杂度。

代码节点规则展示

def process(input_data):
text = str(input_data)

# 规则1: 验证是否为合法的Nessus扫描
if ('C:\\\\Windows\\\\TEMP\\\\nessus' in text or
'nessus_cmd' in text or 'nessus_enumerate.' in text):
return True

# 规则2: 验证是否为服务启动链
wininit_pos = text.find('wininit.exe')
services_pos = text.find('services.exe')
svchost_pos = text.find('svchost.exe')
wuauclt_pos = text.find('wuauclt.exe')

if (wininit_pos != -1 and services_pos != -1 and
svchost_pos != -1 and wuauclt_pos != -1 and
wininit_pos < services_pos < svchost_pos < wuauclt_pos):
# 验证更新文件路径
if 'C:\\\\Windows\\\\SoftwareDistribution\\\\Download\\\\Install\\\\' in text:
return True

# 规则3: 验证微软安全工具(MRT)
if 'MRT.exe' in text and ('user' or 'SYSTEM' in text):
if 'C:\\\\Windows\\\\System32\\\\MRT.exe' in text:
return True

# 规则4: 验证证书注册
if 'CryptTextAddCER' in text and 'rundll32.exe' in text:
wininit_pos = text.find('wininit.exe')
services_pos = text.find('services.exe')
svchost_pos = text.find('svchost.exe')
rundll32_pos = text.find('rundll32.exe')

if (wininit_pos != -1 and services_pos != -1 and
svchost_pos != -1 and rundll32_pos != -1 and
wininit_pos < services_pos < svchost_pos < rundll32_pos):
if 'Appinfo' in text:
return True

# 规则5: VMware Tools安装 – 严谨
if 'vmStatsProvider.dll' in text:
if 'frame':"C:\\\\Program Files\\\\VMware\\\\VMware Tools\\\\'" in text or 'fname':"C:\\\\Prog…":
if 'user':"SYSTEM" in text:
if 'regsvr32.exe' in text:
if '//s' in text:
services_pos = text.find('services.exe')
msiexec_pos = text.find('msiexec.exe')
if services_pos != -1 and msiexec_pos != -1:
if services_pos < msiexec_pos:
return True
# 规则13：用户交互PowerShell
if 'powershell.exe' in text:
# 验证由explorer启动
if 'explorer.exe' in text:
# 验证合法PowerShell路径
if 'C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\WindowsPowerShell\\\\\\\\v1.0\\\\\\\\powershell.exe' in text:
# 扩展管理用户验证，包括新发现的用户
if '123-Admin' in text or 'Administrator' in text or 'adm_223' in text or 'adm' in text:
# 验证进程链顺序
explorer_pos = text.find('explorer.exe')
powershell_pos = text.find('powershell.exe')

if explorer_pos != -1 and powershell_pos != -1 and explorer_pos < powershell_pos:
return True
return False

这段代码通过字符串匹配和位置检查，对进程行为进行多维度验证，有效识别合法操作，避免误报。

工作流画布例子展示

当复杂判断时就是使用代码定义规则

机器人任务展示

当导入的工作流符合时按钮会变为绿灯

三、实践效果与价值

通过这套自动化工作流，我们在安全运营中实现了显著提升：

• 效率提升：将原本需要数小时的人工分析流程，压缩至分钟级自动完成。
• 准确性提高：通过固化专家经验规则，减少了人为判断的主观性和疏漏。
• 响应速度加快：自动化决策与响应，使威胁从发现到处置的时间窗口大幅缩短。
• 可扩展性强：新的威胁规则可以快速集成到 Codei 节点中，工作流无需重构即可适应新的安全挑战。

四、落地效果：从 “人工小时级” 到 “自动分钟级”

五、总结与展望

工作流平台为安全运营自动化提供了强大的工具支持。通过将可视化编排与代码能力相结合，不仅构建了高效的分析流程，更重要的是沉淀了组织的安全知识，使其成为可复用、可扩展的资产。

未来，我们计划进一步集成机器学习模型，让工作流能够从历史数据中学习，实现更智能的威胁预测与响应。

「基于 Conda 环境开发的工具，下载后仅需 3 步即可使用！下载 Conda、导入conda配置库、配置身份，工具包及使用说明私信可获取」

清华源 Conda 24.5.0 下载地址

# conda 导入命令
conda env create -f conda.yml