AI agenti premeštaju istragu ispred reda upozorenja u SOC-u
Od reda upozorenja do istrage zasnovane na dokazima
Corelight opisuje model bezbednosnih operacija u kojem AI agenti proveravaju upozorenja pre nego što slučaj dođe do analitičara. Umesto tradicionalnog toka „upozorenje, red, analitičar, istraga, odluka”, predloženi tok je „upozorenje, red, mašinska istraga, dokaz, ljudska procena”. Istrage koje su nekada zahtevale sate mogu se obaviti za sekunde ili minute.
U klasičnom SOC-u veliki obim mrežne telemetrije stvara red iz kojeg deo upozorenja nikada ne dobije analitičku proveru. Timovi zato biraju koje će signale razmotriti pre nego što znaju šta signal zaista predstavlja. Ograničenje nije samo u kvalitetu detekcije, već i u vremenu koje ljudi mogu da posvete prikupljanju i tumačenju dokaza.
Šta agent radi pre eskalacije
Agent može početi rad čim se pojavi signal: validira detekciju, ispituje povezanu mrežnu aktivnost, profilira pogođeni entitet, poredi je sa istorijskim ponašanjem, povezuje srodne aktivnosti i prikuplja dodatne podatke. Takav rad može da se odvija asinhrono i paralelno za više slučajeva, bez neposrednog takmičenja za pažnju analitičara.
Agentni tokovi trijaže oslanjaju se na strukturisane istražne postupke i duboku mrežnu telemetriju. Njihov cilj nije samo brže razvrstavanje upozorenja, već i šira provera signala pre nego što se potroši ljudsko vreme. Slučaj koji se eskalira trebalo bi da stigne sa dokazima i kontekstom, dok se istrage bez potvrde mogu završiti bez uključivanja čoveka.
Lov na pretnje počinje hipotezom
Pristup zasnovan na hipotezama ne mora da počne pitanjem šta je već detektovano, već pretpostavkom o ponašanju napadača. Primeri su korišćenje neuobičajenog protokola za komandno-kontrolnu komunikaciju, bočno kretanje preko udaljenih administrativnih servisa, priprema podataka za eksfiltraciju ili komunikacija sistema koji za nju nema opravdan poslovni razlog.
Svaka takva pretpostavka ostavlja ponašajne tragove koje mrežni saobraćaj može da potvrdi ili opovrgne. Agent može da istraži slab signal, proveri hipotezu i prekine rad ako dokazi nisu dovoljni. Može i da izmeni hipotezu, ponovi ciklus i postavi pitanja o neuobičajenim odnosima, dokazima koji joj idu u prilog i podacima koji bi smanjili neizvesnost.
Granica između automatizacije i ljudske odluke
Ovaj model ne predstavlja zamenu za detekciju niti za analitičare. Detekcija ostaje početna tačka, dok mrežni dokazi služe za proveru i proširenje njenog značenja. Uloga ljudi se pomera ka proceni rezultata, odgovoru na incidente i rešavanju složenih slučajeva.
Za poslovanje je praktična posledica jasna: pri uvođenju AI podrške u SOC potrebno je definisati koje dokaze agent prikuplja, kada je eskalacija opravdana i ko donosi konačnu odluku. Kontinuirana istraga može povećati obuhvat potencijalnih putanja napada, ali vrednost nastaje tek kada su automatizovani nalazi povezani sa jasnim procesom ljudske procene i odgovora.