تحول در SOC؛ حرکت از صف هشدارها به تحقیقات امنیتی مبتنی بر فرضیه و هوش مصنوعی

مرکز عملیات امنیت (SOC) در سال‌های اخیر با چالشی جدی مواجه بوده است: حجم هشدارهای امنیتی بسیار بیشتر از ظرفیت تحلیلگران انسانی است. در مدل سنتی، هشدارها پس از شناسایی توسط سامانه‌های تشخیص، بر اساس سطح اهمیت در صف قرار می‌گیرند و تحلیلگران باید به‌صورت دستی آن‌ها را بررسی و درباره ادامه فرایند تصمیم‌گیری کنند.

این رویکرد باعث می‌شود بخش قابل‌توجهی از هشدارها هیچ‌گاه به‌طور کامل بررسی نشوند. از سوی دیگر، حجم گسترده تله‌متری شبکه باعث شده تیم‌های امنیتی ناچار باشند حتی پیش از مشخص شدن ماهیت واقعی یک سیگنال، درباره اینکه کدام هشدارها ارزش بررسی دارند تصمیم بگیرند.

اکنون ظهور هوش مصنوعی Agentic در حال تغییر این مدل است؛ رویکردی که می‌تواند فرایند تحقیقات امنیتی را از یک عملیات وابسته به صف هشدارها، به یک فرایند مداوم، خودکار و مبتنی بر شواهد تبدیل کند.

از «صف هشدار» به «تحقیق پیش از ارجاع»

در SOC سنتی، جریان کار معمولاً به این شکل است:

هشدار → صف → تحلیلگر → تحقیق → تعیین وضعیت

اما در مدل جدید، Agentهای هوش مصنوعی می‌توانند پیش از ورود یک پرونده به مرحله بررسی انسانی، تحقیقات اولیه را به‌صورت خودکار انجام دهند:

هشدار → تحقیقات ماشینی → جمع‌آوری شواهد → ارزیابی انسانی

Agent می‌تواند بلافاصله پس از مشاهده یک سیگنال، اعتبار هشدار را بررسی کرده، فعالیت‌های شبکه مرتبط را تحلیل کند، رفتار تاریخی سیستم یا کاربر را مورد بررسی قرار دهد، ارتباطات مشکوک را با سایر رویدادها تطبیق دهد و شواهد بیشتری برای تصمیم‌گیری جمع‌آوری کند.

به این ترتیب، تحلیلگر انسانی دیگر مجبور نیست زمان خود را صرف بررسی تک‌تک هشدارها کند و تنها مواردی که شواهد کافی برای اهمیت امنیتی آن‌ها وجود دارد، برای بررسی نهایی به او ارجاع داده می‌شوند.

Threat Hunting در مقیاس ماشین

یکی از مهم‌ترین تغییرات این رویکرد، تحول در فرایند Threat Hunting یا شکار تهدید است.

در روش سنتی، شکار تهدید معمولاً با بررسی یک سیگنال یا هشدار موجود آغاز می‌شود. اما در مدل مبتنی بر Agentهای هوش مصنوعی، تحقیقات می‌توانند از یک فرضیه درباره رفتار احتمالی مهاجم آغاز شوند.

برای مثال، یک Agent می‌تواند به‌صورت خودکار بررسی کند که آیا مهاجم:

از پروتکل‌های غیرمعمول برای ارتباطات Command & Control استفاده می‌کند؛ از سرویس‌های مدیریت از راه دور برای حرکت جانبی در شبکه بهره می‌برد؛ داده‌ها را برای خروج از شبکه آماده می‌کند؛ میان سیستم‌هایی ارتباط ایجاد کرده که از نظر عملیاتی دلیلی برای ارتباط با یکدیگر ندارند؛ یا از تکنیک‌هایی استفاده می‌کند که برای عبور از آستانه‌های فعلی سیستم‌های تشخیص طراحی شده‌اند.

در چنین شرایطی، تله‌متری شبکه به منبع اصلی شواهد تبدیل می‌شود و Agent می‌تواند با بررسی این داده‌ها مشخص کند که فرضیه موردنظر تا چه اندازه با رفتار واقعی شبکه مطابقت دارد.

تحقیقات بدون نیاز به قطعیت اولیه

یکی از مزیت‌های کلیدی تحقیقات Agentic این است که برای آغاز بررسی، نیازی به وجود یک هشدار قطعی یا شواهد کامل نیست.

یک Agent می‌تواند یک سیگنال ضعیف یا رفتار غیرمعمول را شناسایی کرده، یک فرضیه ایجاد کند، شواهد موجود را بررسی و در صورت عدم تأیید فرضیه، تحقیقات را متوقف کند.

در صورت مشاهده شواهد جدید نیز Agent می‌تواند فرضیه خود را اصلاح کرده و چرخه تحقیقات را مجدداً اجرا کند.

این فرایند به Agent اجازه می‌دهد سؤالاتی مانند موارد زیر را به‌صورت خودکار دنبال کند:

چه رفتاری در شبکه غیرعادی است؟ کدام ارتباطات نیاز به بررسی بیشتر دارند؟ چه شواهدی فرضیه مطرح‌شده را تأیید می‌کنند؟ چه شواهدی آن را رد می‌کنند؟ برای کاهش عدم‌قطعیت چه داده‌های دیگری مورد نیاز است؟ چه زمانی شواهد به اندازه‌ای معتبر هستند که دخالت تحلیلگر انسانی را ضروری کنند؟

در نتیجه، یک لایه تحقیقاتی جدید میان تله‌متری شبکه، سیستم‌های تشخیص و تحلیلگران امنیتی ایجاد می‌شود.

نقش تحلیلگران از «تحقیق» به «تصمیم‌گیری»

هدف این رویکرد حذف تحلیلگران امنیتی نیست؛ بلکه تغییر نحوه استفاده از تخصص آن‌هاست.

در مدل سنتی، بخش زیادی از زمان تحلیلگر صرف جمع‌آوری داده، بررسی لاگ‌ها، تطبیق رویدادها و اعتبارسنجی هشدارها می‌شود. در مدل Agentic، این فعالیت‌ها می‌توانند تا حد زیادی توسط ماشین انجام شوند و تحلیلگر روی تصمیم‌های مهم‌تر، پاسخ به حوادث و پرونده‌های پیچیده تمرکز کند.

مهم‌ترین مزایای این مدل عبارت‌اند از:

کاهش هزینه تحقیقات امنیتی: جمع‌آوری و تحلیل اولیه شواهد توسط Agent انجام می‌شود. افزایش پوشش تهدید: تعداد بیشتری از سیگنال‌ها و مسیرهای احتمالی حمله قابل بررسی خواهند بود. کاهش زمان شناسایی تهدید: موارد مهم سریع‌تر از چرخه سنتی صف هشدارها عبور می‌کنند. افزایش بهره‌وری تحلیلگران: نیروی انسانی روی تصمیم‌گیری و حوادث پیچیده متمرکز می‌شود. استفاده مؤثرتر از تله‌متری: داده‌های خام شبکه به شواهد قابل استفاده برای تحقیقات تبدیل می‌شوند. آینده SOC؛ تحقیقات مداوم به‌جای صف هشدار

در معماری‌های جدید AI SOC، تحقیقات امنیتی دیگر لزوماً از صف هشدارها آغاز نمی‌شود. Agentها می‌توانند مستقیماً از سیگنال‌ها و رفتارهای مشاهده‌شده شروع کنند، فرضیه‌های مختلف را آزمایش کنند، شواهد شبکه را بررسی کرده و فعالیت‌های مشکوک را در طول زمان دنبال کنند.

در نهایت، تنها پرونده‌هایی که شواهد کافی برای اهمیت امنیتی آن‌ها وجود دارد، به تحلیلگر انسانی ارجاع داده می‌شوند.

این مدل می‌تواند SOC را از یک سیستم واکنشی و مبتنی بر صف هشدار به یک محیط مداوم، غیرهمزمان و مبتنی بر تحقیقات و شواهد تبدیل کند؛ محیطی که در آن محدودیت زمان تحلیلگران، مانع بررسی گسترده تهدیدهای احتمالی نخواهد بود.

با گسترش Agentهای هوش مصنوعی، آینده SOC احتمالاً نه بر پایه این سؤال که «کدام هشدار را بررسی کنیم؟»، بلکه بر اساس این سؤال شکل خواهد گرفت که:

«چه رفتار مشکوکی در حال وقوع است و چه شواهدی می‌تواند آن را اثبات یا رد کند؟»