كيف يغيّر AI بنية SOC: لماذا لم تعد قواعد الارتباط كافية

تتطور بنية مركز العمليات الأمنية: القواعد الارتباطية وحدها لم تعد كافية لاكتشاف الهجمات الحديثة. النموذج الذي يقوم فيه المحلل بفحص آلاف التنبيهات يدويًا يتم استبداله بمزيج من التعلم الآلي واللغات الكبيرة والخبرة البشرية، حيث تتولى الذكاء الاصطناعي المهام الروتينية وتساعد على تجميع الصورة الكاملة للحادث بسرعة.

لماذا القواعد تفشل

كانت القواعد الارتباطية قلب مركز العمليات الأمنية لفترة طويلة: عندما يكتشف النظام مزيجًا معروفًا من الأحداث، يرفع تنبيهًا. كان هذا النهج يعمل بشكل جيد ضد السيناريوهات النمطية، حيث يتصرف المهاجم بشكل واضح وسريع. لكن الهجمات الحالية غالبًا ما تبدو مختلفة.

تمتد على مدى أسابيع وأشهر، وتتخفى كنشاط عادي، وبدلاً من الأدوات الغريبة، تستخدم الأدوات المعيارية للبنية الأساسية نفسها. في هذا النموذج، تبدأ القواعد الثابتة في فقدان الإشارات الضعيفة أو على العكس من ذلك، تنطلق حيث لا توجد تهديدات حقيقية. المشكلة لا تتعلق فقط بجودة الكشف، بل بالحجم.

يعالج مركز العمليات الأمنية المتوسط ما يصل إلى 10⁷ أحداث يوميًا، وبعد التصفية يتبقى آلاف التنبيهات، ثم يرسل إلى المحللين تيارًا لا نهاية له من الفحوصات اليدوية. وفي الوقت نفسه، تبين أن 70–90% من التنبيهات إيجابية كاذبة. نتيجة لذلك، يقضي المتخصصون الوقت لا في التحقيق في سلاسل الهجوم المعقدة، بل في إغلاق الإيجابيات الكاذبة بشكل روتيني.

هذا يخلق إرهاق التنبيهات: إرهاق من الإخطارات التي لا تنتهي، والذي يقلل من كل من سرعة واهتمام الفريق.

ما تفعله الذكاء الاصطناعي

على هذه الخلفية، تتوقف الذكاء الاصطناعي والتعلم الآلي عن كونها تجربة وتصبح طبقة عملية داخل مركز العمليات الأمنية. مهمتهما ليست استبدال المحلل، بل تخفيف الحمل الإدراكي. يمكن للنماذج ربط الأحداث المشتتة، وسحب السياق من أنظمة مختلفة، والتقاط الانحرافات السلوكية، وصياغة شرح موجز لماذا تبدو سلسلة معينة محفوفة بالمخاطر. بدلاً من السجلات المبعثرة، يتلقى الإنسان فرضية مجمعة بالفعل للبدء بالتحقق.

الذكاء الاصطناعي لا يحل محل المحلل؛ بل يعزز قدراته.

• دمج الأحداث من مصادر مختلفة في تسلسل واحد من الإجراءات
• تعزيز التنبيه بالسياق: الحسابات والأجهزة والامتيازات وسجل الأنشطة
• ترتيب التنبيهات حسب احتمال حدوث هجوم حقيقي والضرر المحتمل
• ملخص نصي موجز للحادث للبدء السريع في التحقيق

الفائدة العملية هي أن المحلل ينفق وقتًا أقل على جمع الحقائق الميكانيكي. لا يحتاج إلى فتح العشرات من البطاقات يدويًا والتوفيق بين السجلات من أنظمة مختلفة لفهم الصورة الأساسية. يمكن للذكاء الاصطناعي أن يقوم بهذا الممر الأول بمفرده، ويمكن للإنسان أن يركز على التأكيد والتصعيد والإجراءات الرد. هذا لا يعني السحر ولا الطيار الآلي: تعتمد جودة النتائج بشكل كامل على قياس السرعة والإعدادات وكيفية توثيق المنظمة لعملياتها الطبيعية.

الدور الجديد للمحلل

هذا يغير أيضًا دور متخصص مركز العمليات الأمنية. إذا كانت جزء كبير من الوردية تذهب سابقًا لفرز الضوضاء، فإن قيمة المحلل تتحول الآن نحو التفسير واتخاذ القرارات. يتحقق من استنتاجات النموذج ويبحث عن روابط غير نمطية ويطرح أسئلة إضافية على البيانات ويحدد ما إذا كان أمامه حادث فعلي.

بعبارة أخرى، يتوقف الإنسان عن كونه مجرد زر يغلق الإيجابيات الكاذبة ويعود إلى العمل الذي يتطلب خبرة فعلية. بعد ذلك، تتغير بنية مركز العمليات الأمنية نفسه. لا يبدو محرك الارتباط الفردي بعد الآن كمركز لكل النظام.

تتشكل طبقة أكثر غنى حوله: التحليل السلوكي والتعزيز التلقائي وتخزين السياق وأدوات التحقيق والواجهات بأسلوب مساعد معرفي. لا يقوم هذا مركز العمليات الأمنية بمجرد عد مطابقات القواعد، بل يساعد على بناء نسخة من الهجوم وشرح العلاقات السببية وتقصير المسار من الحدث إلى القرار.

ماذا يعني هذا

بالنسبة للسوق، هذا يشير إلى أن مركز العمليات الأمنية يتطور تدريجيًا من مصنع التنبيهات إلى نظام دعم التحقيقات في الحوادث. ستتمكن الشركات التي تدمج الذكاء الاصطناعي كمساعد وليس كإضافة سطحية من معالجة الحوادث بشكل أسرع وتقليل إرهاق الفريق والتمييز بدقة أكبر بين الهجمات الحقيقية والضوضاء الخلفية.