كيف يغيّر الذكاء الاصطناعي بنية مراكز SOC: لماذا لم تعد قواعد الارتباط كافية

تتغير بنية مراكز SOC: فقواعد الارتباط وحدها لم تعد كافية لرصد الهجمات الحديثة. ويحلّ محل النموذج الذي يفرز فيه المحلل آلاف التنبيهات يدويًا نموذجٌ يجمع بين ML وLLM والإنسان، يتولى فيه الذكاء الاصطناعي المهام الروتينية ويساعد على تكوين صورة الحادثة بسرعة أكبر.

لماذا تفشل القواعد

ظلت قواعد الارتباط زمنًا طويلًا قلب مركز SOC: فإذا رصد النظام مجموعة أحداث مألوفة، أطلق تنبيهًا. وقد نجح هذا النهج في مواجهة السيناريوهات النمطية، حيث كان المهاجم يتحرك بضجيج وسرعة.

لكن هجمات اليوم تبدو مختلفة في كثير من الأحيان. فهي تمتد أسابيع وأشهرًا، وتتخفّى في هيئة نشاط طبيعي، وتستخدم الأدوات المدمجة في البنية التحتية نفسها بدلًا من أدوات غريبة. وفي مثل هذا النموذج تبدأ القواعد الثابتة بتفويت الإشارات الضعيفة، أو بالعكس، تُطلق تنبيهات حيث لا يوجد تهديد حقيقي.

ولا تتعلق المشكلة بجودة الكشف فحسب، بل بالحجم أيضًا. فمركز SOC المتوسط يعالج ما يصل إلى 10⁷ أحداث يوميًا، ثم يُبقي بعد التصفية آلاف التنبيهات، ثم يرسل إلى المحللين سيلًا من عمليات التحقق اليدوية. وتتبين نسبة 70–90% من التنبيهات أنها إيجابيات كاذبة. وهكذا ينفق المتخصصون وقتهم لا في التحقيق في السلاسل المعقدة، بل في إغلاق false positive المتكررة. وهنا ينشأ alert fatigue: الإرهاق الناتج عن الإشعارات التي لا تنتهي، وهو ما يخفض سرعة الفريق ودقته معًا.

ماذا يفعل الذكاء الاصطناعي

في هذا السياق، لم يعد الذكاء الاصطناعي وML تجربة، بل أصبحا طبقة عمل داخل مركز SOC. ومهمتهما ليست استبدال المحلل، بل رفع الحمل المعرفي الزائد عنه. فالنماذج قادرة على ربط الأحداث المتفرقة، وجلب السياق من أنظمة مختلفة، ورصد الانحرافات السلوكية، وصياغة شرح موجز لسبب كون سلسلة بعينها تبدو خطرة. وبدلًا من كومة من السجلات، يحصل الإنسان على فرضية جاهزة يمكنه أن يبدأ التحقق منها.

الذكاء الاصطناعي لا يحلّ محل المحلل، بل يعزز قدراته.

• دمج الأحداث من مصادر مختلفة في تسلسل واحد من الأفعال
• إثراء التنبيه بالسياق: الحساب والمضيف والصلاحيات وسجل النشاط
• ترتيب التنبيهات حسب احتمال وقوع هجوم حقيقي والضرر المحتمل
• ملخص نصي موجز للحادثة لبدء التحقيق بسرعة

والأثر العملي أن المحلل ينفق وقتًا أقل في جمع الوقائع ميكانيكيًا. فلا حاجة إلى أن يفتح عشرات البطاقات يدويًا ويطابق السجلات من أنظمة مختلفة ليفهم الصورة الأساسية. يستطيع الذكاء الاصطناعي إنجاز هذه المرحلة الأولى بنفسه، فيركّز الإنسان على التأكيد والتصعيد وإجراءات الاستجابة. وهذا ليس سحرًا ولا طيارًا آليًا: فجودة النتيجة لا تزال تعتمد على القياس عن بُعد (telemetry) والإعدادات ومدى جودة وصف المؤسسة لعملياتها الطبيعية.

دور جديد للمحلل

لهذا يتغير دور المتخصص في مركز SOC نفسه. فبعد أن كان جزء كبير من الوردية يضيع في فرز الضوضاء، تنتقل قيمة المحلل الآن إلى التفسير واتخاذ القرار. فهو يراجع استنتاجات النموذج، ويبحث عن الروابط غير المعتادة، ويطرح أسئلة إضافية على البيانات، ويحدد ما إذا كان أمامه حادثة فعلًا. وبعبارة أخرى، لم يعد الإنسان مشغّل زر Close false positive، بل يعود إلى العمل الذي يتطلب الخبرة أصلًا.

ويتبع ذلك تغيّر في بنية SOC. فلم يعد محرك ارتباط واحد يبدو مركز المنظومة كلها. وتتشكل حوله طبقة أغنى: تحليلات سلوكية، وإثراء تلقائي، ومستودعات للسياق، وأدوات تحقيق، وواجهات على غرار المساعد المعرفي. ولا يكتفي مركز SOC من هذا النوع بحساب التطابقات وفق القواعد، بل يساعد على بناء رواية الهجوم، وشرح العلاقات السببية، وتقصير الطريق من الحدث إلى القرار.

ماذا يعني ذلك

بالنسبة إلى السوق، هذه إشارة إلى أن SOC يتطور تدريجيًا من مصنع للتنبيهات إلى منظومة لدعم التحقيقات. أما الشركات التي ستدمج الذكاء الاصطناعي بوصفه مساعدًا لا بوصفه واجهة استعراضية، فستتمكن من معالجة الحوادث بسرعة أكبر، واستنزاف فرقها بدرجة أقل، والتمييز بدقة أعلى بين الهجوم الحقيقي والضوضاء الخلفية.