新加坡学者开发智能体规则转换工具，让多平台SIEM协同工作

来自新加坡和中国的学者找到了一种让AI服务于网络安全防御的新方法——他们开发出一种技术，能够将不同安全信息与事件管理系统（SIEM）的规则相互转换，从而让这些规则可以在多个系统中通用。

SIEM系统从多种来源收集日志文件，并允许用户设置规则以触发警报，供安全运营中心（SOC）判断是否存在安全事件。"不可能行程"检测是一种常见的SIEM规则场景——即同一用户在一小时内分别从纽约和伦敦登录，这往往意味着账号凭证被盗或存在其他异常行为。

许多企业最终会同时使用多套SIEM系统，这给安全运营中心带来了极大的复杂性。

为此，新加坡国立大学与中国复旦大学的研究人员联合发表了一篇题为《ARuleCon：智能体安全规则转换》的论文，详细介绍了他们开发的一种规则转换技术，使规则能够在多个SIEM系统之间通用。

论文第一作者徐明告诉《The Register》，她和同事开发ARuleCon的原因在于：各家SIEM系统使用各自特定的规则Schema，导致在一个SIEM中创建的规则无法在另一个系统中使用。虽然部分厂商提供了转换工具，但支持的范围十分有限——例如微软的工具只能将Splunk规则转换为旗下Sentinel SIEM的格式，无法处理其他系统。

论文指出："由安全专家手动完成规则转换不仅效率低下，还会带来繁重的工作负担。"

Sigma框架等工具旨在帮助跨平台管理和共享规则，但徐明及其合著者认为，这些现有工具在处理复杂或相互关联的规则时表现不佳。

既然是2026年，尝试用大语言模型来转换SIEM规则似乎是顺理成章的想法。然而，研究人员指出，这种方法"通常准确率较低，且缺乏对特定厂商规范的正确支持"，原因在于训练大语言模型所用的数据中，涉及SIEM规则Schema的内容严重不足。

论文进一步指出："这些不足之处呼唤一个可扩展、厂商中立、可靠的SIEM规则转换框架，既能保留现有规则的价值，又能减轻SOC的工作负担。"随后，论文详细说明了ARuleCon的实现方式：通过"智能体RAG（检索增强生成）流水线检索权威的官方厂商文档，以解决转换过程中的规范与Schema不匹配问题，并借助基于Python的一致性检查机制，在受控测试环境中同时运行源规则与目标规则，从而规避细微的语义偏移。"

简而言之，研究团队开发出一套智能体技术，能够对Splunk、Microsoft Sentinel、IBM QRadar、Google Chronicle和RSA NetWitness所创建的SIEM规则进行相互转换。尽管并非所有转换结果都尽善尽美，但ARuleCon能够将各SIEM厂商的专有规则格式转换至多个竞争平台，且准确率高于通用大语言模型。

ARuleCon因此使得从一个SIEM导出规则并在另一个系统中使用成为可能。

徐明表示，她希望这一工具能够帮助企业评估和规划SIEM整合或迁移方案，让安全运营中心更专注于识别真正的安全威胁信号，而不再为多套系统产生的重复警报所困扰。

Q&A

Q1：ARuleCon是什么？它能解决什么问题？

A：ARuleCon是由新加坡国立大学与复旦大学研究人员共同开发的智能体安全规则转换工具。它能够将不同SIEM系统（如Splunk、Microsoft Sentinel、IBM QRadar等）之间的规则进行自动转换，解决了因各厂商规则Schema不兼容而导致规则无法跨系统使用的难题，从而降低安全运营中心的工作负担。

Q2：ARuleCon和直接用大语言模型转换SIEM规则有什么区别？

A：直接使用大语言模型转换SIEM规则准确率较低，原因是训练数据中缺乏足够的SIEM规则Schema相关内容。ARuleCon则通过智能体RAG流水线检索官方厂商文档，并结合基于Python的一致性检查机制，在受控环境中验证转换结果，有效提升了转换准确率，并减少了语义偏移问题。

Q3：ARuleCon目前支持哪些SIEM平台的规则转换？

A：ARuleCon目前支持Splunk、Microsoft Sentinel、IBM QRadar、Google Chronicle和RSA NetWitness五大主流SIEM平台之间的规则转换，能够将各厂商专有格式的规则转换至多个竞争平台，但研究人员也指出并非所有转换结果都完全准确。