RST AI Copilot for QRadar
部署在客户内网、接入已有 IBM QRadar 7.5 的 AI 网关。自然语言查询 Ariel，Offense 摘要与研判，Rule Wizard 规则设计。
概述
RST AI Copilot for QRadar 是以 Docker 交付的 AI 网关，部署在客户内网，接入已有的 QRadar Console。网关不包含 QRadar，用一个授权服务 Token 读取事件、网络流、Offense、规则和日志源。分析师用自然语言提问，网关生成 AQL 并执行 Ariel 搜索，再把结果整理为结论。
网关对 QRadar 只读，例外是分析师手动触发的三个 Offense 操作：添加备注、关闭、分配。网关不写规则、参考数据和配置。
功能
| 功能 | 说明 | 许可 |
|---|---|---|
| 智能查询 | 自然语言生成只读 AQL，预检纠错，多轮追问，跳转 Console | 免费 |
| Offense 告警 | 拉取 Offense，逐条 AI 摘要，实时推送，关闭、备注、分配写回 QRadar | 免费 |
| 安全态势、调用审计 | 运营数据的汇总与归档 | 免费 |
| 日志源白名单、字段脱敏 | 白名单在每次 Ariel 搜索前生效，脱敏在内容发给模型前完成 | 免费 |
| 用户与角色、消息通知 | 管理员、分析员、只读三种角色，通知到飞书、钉钉、企业微信、Teams、Slack 和邮件。社区版限 1 个用户 | 免费 |
| Offense 批量研判 | 按规则与来源聚类，模型评级与误报判定 | 付费 |
| Offense 深度调查 | 基于 INOFFENSE() 事件多轮取证，时间线、MITRE ATT&CK、处置建议 | 付费 |
| 规则副驾 | 自然语言生成 Rule Wizard 测试条件、规则响应、回测 AQL，与现网规则查重 | 付费 |
| 平台运维副驾 | QRadar 部署体检与 AI 解读 | 付费 |
| 运营报告 | 按周期汇总运营数据，支持定时报告 | 付费 |
所有版本使用同一个交付包。未激活许可时以社区版运行，免费功能可以使用。付费功能需要专业版或企业版许可，专业版按用户数授权。试用许可开放企业版全部功能，有效期 14 天，限 1 台主机。企业版在专业版之上增加审计转发到外部 SIEM、多模型故障转移、OIDC 单点登录和离线激活。升级只需导入许可，不需要重装。各版本对比见版本对比，激活见产品激活。
社区版免费，包含全部免费功能。交付包在 GitHub：Reallysec/RST-AI-Copilot-for-QRadar。