RiaBy Brain V3 决策引擎设计公开

RiaBy Brain V3 是安全大脑三部曲的收尾：在前两版解决“看得见、追得到”之后，V3 解决“定得准、处置快”。本文公开 V3 决策引擎的核心设计思路。

一、定位：决策不是替代研判

V3 的目标不是输出一个“是/否”的最终结论，而是给安全运营提供结构化决策支持：风险评分、优先级排序、处置建议，以及背后的解释依据。它把“该不该管、先管哪个、怎么管”变成可执行的清单。

二、风险评分模型

评分由四个维度加权合成，每个维度都来自可解释的特征：

• 影响度：事件涉及资产的重要程度与数据敏感性；
• 证据完整度：溯源链路上证据节点是否齐全、是否交叉验证；
• 攻击活跃度：同类手法近期活跃情况与利用成熟度；
• 暴露面：受影响的端口、服务与可能的横向扩散面。

权重不做黑箱调参，而是按场景预设并公开：不同行业与网络形态可以加载不同权重模板，同时保留人工覆盖能力。

评分模型的价值不在“分数本身”，而在“分数可以被解释、被质疑、被改进”。不可解释的评分无法支撑真实决策。

三、处置建议生成

处置建议按“先止损、再排查、后加固”的顺序组织，每条建议都绑定对应证据与预期效果：

• 止损动作：隔离主机、吊销凭据、封禁出口，明确可回滚；
• 排查动作：按溯源时间线给出待确认的节点清单；
• 加固动作：弱口令整改、权限收敛、日志补齐，附优先级。

建议只做“推荐”，最终执行与确认权始终留在运营人员手中。

四、与 V1/V2 的级联

V3 不与前两版并列运行，而是作为链路末端接入：

1. V1 感知：持续接入多源信号，维护行为基线，输出事件流；
2. V2 溯源：对高关注事件做跨源关联，还原攻击路径与证据链；
3. V3 决策：基于 V2 的证据链打分、排序并生成处置清单，反馈回 V1 调优基线。

这一闭环的关键收益是反馈回路：每次处置结果都作为训练与调优输入，让系统在真实运营中持续进化，而不是一次性上线。

五、公开与后续

V3 引擎设计文档、评分维度与版本演进记录已同步收录到文档中心。后续将逐步公开评测方法、示例数据集与基准结果，欢迎研究者交流指正。