CrowdStrike Charlotte AI 使用介绍：功能、价格与上手指南
CrowdStrike Charlotte AI 是集成于 Falcon 平台的生成式 AI 安全助手，可帮助安全团队快速调查告警、获取威胁情报并自动化响应。本文详解其核心功能、定价模式、上手步骤及实际使用建议，适合企业安全负责人与 SOC 分析师评估采用。
在安全运营中心（SOC）中，分析师每天面对大量告警、日志和威胁情报，时间往往浪费在重复查询与手动关联上。CrowdStrike 推出的 Charlotte AI 正是为解决这一痛点而生的生成式 AI 安全助手。它深度集成于 Falcon 平台，允许用户用自然语言提问，快速获得可操作的答案。
本文将从功能、价格与上手三个维度，帮助你全面了解 Charlotte AI，并给出可立即执行的采用建议。
什么是 CrowdStrike Charlotte AI？
Charlotte AI 是 CrowdStrike Falcon 平台内置的生成式 AI 助手。它基于 CrowdStrike 自身的安全数据、威胁情报和 Falcon 平台遥测数据，通过自然语言交互帮助安全团队完成以下工作：
- 快速理解告警上下文
- 查询威胁情报
- 生成调查步骤与响应建议
- 自动化重复性安全任务
与通用大模型不同，Charlotte AI 专注于安全领域，并严格限定在 Falcon 平台的数据边界内，降低数据泄露与幻觉风险。
核心功能详解
1. 自然语言调查
分析师可以直接输入类似“过去 24 小时内哪些端点触发了横向移动告警？”的问题，Charlotte AI 会解析意图，查询 Falcon 数据，并返回结构化结果。这大幅减少了学习查询语言和手动筛选的时间。
2. 告警解释与优先级排序
面对一条复杂告警，Charlotte AI 可以用通俗语言解释告警含义、受影响资产、攻击链阶段，并建议优先级。对于新手分析师，这相当于一位随时在线的导师。
3. 威胁情报整合
Charlotte AI 能调用 CrowdStrike 的威胁情报数据，自动关联 IOC、TTP 和对手画像。例如，询问“这个哈希是否与已知 APT 组织相关？”即可获得情报摘要。
4. 响应建议与自动化
在调查完成后，Charlotte AI 可生成具体的响应建议，如隔离主机、阻止哈希、创建自定义 IOC 等。部分操作可通过 Falcon 平台直接执行，减少切换工具的时间。
5. 报告生成
Charlotte AI 支持自动生成事件摘要、调查时间线和后续建议，方便安全团队向管理层或客户汇报。
价格与订阅模式
CrowdStrike 并未公开 Charlotte AI 的独立标价，而是将其作为 Falcon 平台的高级附加功能或捆绑在特定套餐中。根据公开信息与用户反馈，价格通常与以下因素相关：
| 因素 | 说明 |
|---|---|
| Falcon 套餐等级 | 高级套餐（如 Falcon Pro、Enterprise）更可能包含或优惠购买 |
| 端点数量 | 按端点或按用户数计费，规模越大单价可能越低 |
| 模块组合 | 与 Falcon Insight、Falcon OverWatch 等模块捆绑 |
| 合同周期 | 年付通常比月付更优惠 |
实际价格建议直接联系 CrowdStrike 销售或授权经销商，因为不同地区、行业和采购规模差异较大。对于已有 Falcon 客户，可先申请试用或演示，评估 ROI 后再决定。
上手指南：从零开始使用 Charlotte AI
步骤 1：确认权限与套餐
首先确认你的 Falcon 平台已启用 Charlotte AI 模块。通常需要管理员在 Falcon 控制台中开通并分配权限。
步骤 2：访问 Charlotte AI 界面
登录 Falcon 控制台，在左侧导航或顶部工具栏中找到 Charlotte AI 入口。界面类似聊天窗口，支持输入自然语言问题。
步骤 3：从简单查询开始
建议从以下类型的问题入手：
- “列出过去 7 天严重程度为高的告警。”
- “解释这条告警的 MITRE ATT&CK 技术。”
- “哪些主机最近安装了可疑软件？”
步骤 4：逐步深入调查
获得初步结果后，继续追问，例如：
- “展开第一台主机的进程树。”
- “这个 IP 的历史情报如何？”
- “生成隔离该主机的操作步骤。”
步骤 5：验证与执行
Charlotte AI 的建议需由分析师最终确认。在执行隔离、阻止等操作前，务必核对上下文，避免误伤业务。
步骤 6：反馈与优化
使用过程中可对回答进行反馈，帮助模型改进。同时定期回顾使用日志，总结高频查询，形成团队知识库。
使用建议与注意事项
- 明确数据边界：Charlotte AI 仅基于 Falcon 平台数据，不会访问外部未授权数据源。
- 保持人工审核：AI 输出可能存在偏差，关键响应必须人工确认。
- 培训团队成员：建议为 SOC 分析师提供提示词编写与结果验证培训。
- 结合现有流程：将 Charlotte AI 嵌入现有事件响应流程，而非完全替代。
- 关注更新：CrowdStrike 会持续迭代功能，定期查看官方发布说明。
常见问题（FAQ）
Charlotte AI 能替代安全分析师吗？
不能。它是辅助工具，用于加速调查与决策，最终判断仍需人类分析师。
是否支持中文？
Charlotte AI 主要支持英文交互，中文支持可能有限。建议使用英文提问以获得更准确结果。
数据安全如何保障？
CrowdStrike 强调数据在 Falcon 平台内处理，符合其安全与合规框架。具体可参考官方信任中心。
没有 Falcon 平台能用吗？
不能。Charlotte AI 是 Falcon 平台的内置功能，需先订阅 Falcon。
结论
CrowdStrike Charlotte AI 是一款务实的生成式 AI 安全助手，它不追求炫技，而是聚焦于缩短调查时间、降低认知负担。对于已使用 Falcon 的企业，开启 Charlotte AI 能显著提升 SOC 效率；对于新用户，建议先申请演示，结合团队规模与预算评估。
如果你正在寻找 AI 安全工具，Charlotte AI 值得纳入候选清单。下一步：联系 CrowdStrike 获取试用，或阅读官方文档深入了解。