金融网络安全运营数智化建设研究与实践

北京金融科技产业联盟2026年4月 版权声明 本报告版权属于北京金融科技产业联盟，并受法律保护。转载、编摘或利用其他方式使用本白皮书文字或观点的，应注明来源。违反上述声明者，将被追究相关法律责任。 编制委员会 编委会成员 黄程林巫建刚王磊赵海权张勇张立文 编写组成员（排序不分先后，按姓氏拼音排序） 陈代乐陈明陈宇磊董润汉段超龚兴超胡飞胡宏伟李万宝李尚泽刘凯宇茅雨绮苏涵孙德福孙钢特荣夫王畅王海星夏海蛟徐春运张信保张帆张牧张文博张毅赵殷豪周涛 编审 黄本涛刘昌娟 牵头单位 参编单位 国家开发银行中国银联股份有限公司兴业银行股份有限公司浙商银行股份有限公司北银金融科技有限责任公司北京银联金卡科技有限公司深圳市腾讯计算机系统有限公司北京天融信网络安全技术有限公司 摘要 随着数字化转型的深入推进，网络安全已成为关乎金融稳定与客户信任的核心保障。面对日益频繁的网络攻击、数据泄露和高级持续性威胁，传统依赖人工的被动防御模式已难以应对，银行业亟需推动网络安全运营向数智化转型，通过融合大数据、人工智能等前沿技术，构建智能、主动、自适应的安全防护体系，为金融业务创新与发展筑牢战略安全底座。 本报告围绕金融网络安全运营数智化建设展开系统研究，阐述了在日益复杂的网络威胁背景下，传统安全运营模式存在的效率低下、响应滞后等问题，指出引入大数据、人工智能、大模型等技术的必要性。从核心内涵、关键技术、体系架构、流程重构等方面深入探讨，提出以数据中台、AI模型、SOAR平台等为核心的技术架构，并设计了“事前-事中-事后”全周期运营流程。最后，结合银行业实践，指出未来网络安全运营将向“智能泛在、生态协防、人机协同”方向发展，形成新的智慧网络安全运营体系。 关键词：网络安全运营数智化大模型人工智能智能分析自动化响应 目录 一、总体概述...................................................................................................................................1 （一）背景意义...............................................................................................................................1（二）发展现状...............................................................................................................................1（三）研究内容...............................................................................................................................4 （一）基本概念...............................................................................................................................4（二）关键支撑技术.......................................................................................................................7 三、体系设计与实践路径...............................................................................................................9 （一）网络安全数智化运营技术架构...........................................................................................9（二）运营流程的数智化重构.....................................................................................................12（三）关键成功要素与持续运营机制.........................................................................................13 四、实践案例.................................................................................................................................15 （一）邮储银行构建网络安全运营数字化底座.........................................................................15（二）北银金科聚焦高危场景践行“AI+SOAR”.......................................................................22（三）兴业银行借助大模型智能体重构安全运营.....................................................................25（四）浙商银行构建“一基础五平台”数智化防护体系.........................................................28 五、未来展望.................................................................................................................................31 （一）AI重塑安全运营内核........................................................................................................31（二）构建开放共生安全生态.....................................................................................................31（三）重塑安全团队组织形态.....................................................................................................32 一、总体概述 （一）背景意义 当前，互联网技术飞速发展，网络空间已成为现代社会不可或缺的一部分，极大地促进了信息的流通与共享，同时也带来了前所未有的安全挑战，网络攻击频发、数据泄露风险增加、高级持续性威胁（APT）等安全事件层出不穷，严重威胁着国家安全、社会稳定以及个人隐私。 面对上述挑战，传统的网络安全运营模式往往依赖于人工分析和响应，存在效率低、响应慢、覆盖面窄等问题，难以有效应对日益复杂的网络安全威胁。网络安全运营亟需通过运用大数据、人工智能、机器学习等先进技术，向数智化转型，实现对网络安全威胁的实时监测、智能分析和快速响应，显著提升网络安全运营的效率和效果。探索网络安全运营数智化建设的路径及实践，促进银行业提升网络安全防护能力、保障网络空间安全。 （二）发展现状 利用大模型为网络安全赋能已成为安全界的热点研究方向。据Gartner统计，生成式网络安全AI，可以提高效率并缩短对网络安全风险和威胁的响应时间，实现自动化值守，自主基于高级指引运行，而不需要频繁提示对话。目前国内主流安全厂商陆续发布安全大模型相关产品，安全大模型已经成为网络安全的新赛道。 利用大模型，为网络安全赋能的场景也越来越丰富，涵盖了 安全运营分析的各个阶段，以下是目前比较主流的典型场景： 1.搜索与威胁狩猎：利用大模型更强的语意识别、理解和关联能力，使用自然语言进行搜索，降低技能门槛，提高结果的准确性和全面性，降低运维人员搜索与威胁狩猎门槛； 2.安全信息摘要：自动生成摘要和关联性视图，扩展集成知识库，协助问题理解和处置； 3.攻击路径摘要：自动对复杂操作、漏洞利用和攻击行为进行建模，模拟攻击路径，并创建易于理解的摘要，协助风险评估和处置，如攻击定性、风险研判、攻击面和影响面管理、补救和缓解措施生成等。 4.改善情报运营：能更有效地实现论坛、暗网、深网的踪迹识别，以及信息传递混淆，同时善于进行跨数据源的信息关联，并生成更容易阅读的摘要或报告，提高威胁检测效率，降低分析者门槛。 5.数据标签和摘要：将手工标注变为自动化标注。大模型非常善于理解数据内容，结合无监督和有监督的机器学习，辅助数据管理人员实现自动化的标注，提高分类分级或其他安全策略关联的效率。 6.恶意脚本分析：经过大量恶意脚本进行预训练的模型，能够自动生成代码分析摘要和报告，发现容易被忽略的隐患，更准确甄别正常脚本，从而辅助分析人员提升分析效率，减少对高阶专家的依赖，提供稳定的质量输出，减少漏报和误报。 7.逆向代码分析：经过大量代码和反编译进行预训练的模型，能够自动进行逆向补全和函数名称与功能摘要的生成，逆向工程师无需破译每一行代码，便能快速、高层次地理解代码功能。 8.Web安全分析：经过大量Web攻击流量进行预训练的模型，能够有效提升Web潜在风险的识别并给出修复意见。 有研究表明，目前大模型技术赋能网络安全运营已深入到运营工作的各个环节，以IPDRR模型为例，相关赋能活动成熟度如图1。 短期来看，大模型将显著提升现有安全技术的性能和智能化水平。得益于大模型在数据理解、意图识别、任务编排等方面的能力，在安全问答、安全运营、数据分类分级、违规处理个人信息检测、音视图文内容安全检测等关键网络安全场景中，大模型能够在大幅减少人工参与的同时，有效提升安全事件处理的效率 和准确性。 长期来看，大模型有潜力成为安全防护的核心，从而改变安全的工作模式。当前，大模型主要扮演安全从业人员的辅助工具，用于提高他们的工作效率和效能。未来，随着大模型在自主研判和决策能力方面的提升，预计将进化为安全从业人员的合作伙伴，共同应对安全风险的识别、防御、检测、响应和恢复等一系列复杂工作。 （三）研究内容 本课题旨在全面系统研究网络安全运营数智化建设的相关问题。首先，分析网络安全运营数智化的背景、意义及发展现状；其次，从理论基础、关键技术等方面入手，深入探讨网络安全运营数智化建设的核心要素；再次，通过银行业典型机构的实践经验，体现数智化建设在提升网络安全运营效率和效果方面的实际效果；最后，针对当前面临的挑战提出应对策略，并对未来发展趋势进行展望。 二、核心内涵与关键技术 （一）基本概念 1.核心定义与特征 1）网络安全运营 本课题所研究的网络安全运营，是指组织在生产运行环节，为持续监控、检测、分析、调查、响应和防御网络安全威胁而建立的一套人员、流程和技术的综合体系。其核心目标是主动保护 组织的关键信息资产、系统、网络和数据免受损害，并将安全事件的影响降到最低。 2）数字化、智能化、数智化转型 所谓数字化转型，是指深化应用新一代信息技术，激发数据要素创新驱动潜能，建设提升数字时代