Traduzido do 日本語 • Ver original 
De fato, a IA pode acelerar a "análise", o "resumo" e a "classificação" em operações de segurança.
No entanto, para concluir -
**IA não pode "substituir" o SOC. **
No entanto, você pode "reforçar" seu SOC.
1. O trabalho de um SOC é "tomar decisões e priorizar"
O principal negócio do SOC (Centro de Operações de Segurança) é
Não se trata apenas de revisar alertas e analisar logs.
Na verdade, o fluxo seguinte é repetido.
- Verifique alertas
- Examinar Registros Relacionados
- Determinar a presença de uma ameaça
- Priorizar e decidir uma resposta
- Partir como conhecimento
Em outras palavras, a essência do SOC não é o "processamento de informações", mas a "tomada de decisão".
Essa parte do "julgamento" também é a área em que a IA é mais fraca.
2. Onde a IA é boa e onde não é boa
| Domínio | Bom em IA | Não bom em IA |
|---|---|---|
| Análise de Dados | Resumo de Log, Análise de Correlação e Classificação | Contexto, Intenção e Inferência de Intenção de Ataque |
| Resposta ao Alerta | Criação Inicial de Tickets, Pesquisa de Rotina | Determinação de Prioridade, Avaliação de Risco |
| Criação de Relatórios | Geração e Formatação de Frases | Reflexão das Características da Empresa e Contexto do Cliente |
| Caça a Ameaças | Extração de Padrões Conhecidos | Obtendo Insights sobre Comportamentos Desconhecidos e Intenção Humana |
A IA é excelente em "poder de processamento de dados",
Não tenho a "capacidade de entender e julgar o contexto e a intenção".
Por exemplo, mesmo na mesma comunicação
Para distinguir entre "teste administrativo" e "fraude interna", use
É necessário um olhar humano para conhecer o contexto e o comportamento da organização.
3. Três áreas onde a IA pode "aprimorar" o SOC
Ainda assim, a IA certamente simplificará as operações do SOC.
O segredo é projetar "até onde deixar a IA e onde intervir."
(1) Resumo e Resumo de Alertas
A IA resume logs e alertas em linguagem natural para organizar as informações que você precisa investigar.
→ Analistas podem reduzir o "tempo de leitura" e aumentar o "tempo de reflexão".
(2) Busca e Reutilização do Conhecimento
A IA pesquisa, resume e apresenta registros de incidentes passados.
→ Imediatamente percebe se houve casos semelhantes.
(3) Bilhetagem automática e notificação
A IA organiza o conteúdo de alerta,
Atribuir automaticamente pessoal de resposta e procedimentos.
→ As pessoas podem focar no que precisam fazer primeiro.
Nessas áreas, a IA atua como um "apoiador" e não como um "substituto".
4. "Você pode automatizar com IA" e "Você pode deixar isso para a IA" são coisas diferentes.
Só porque a IA pode automatizar
Nem sempre é aceitável deixar como está.
Muitas tarefas SOC são
"Você responde a falsos positivos, só por precaução?"
Envolve julgamentos de risco como "Você precisa reportar ao cliente?"
O que falta à IA é responsabilidade.
Por que você tomou essa decisão e quem assumirá a responsabilidade?
Essa área é a que o SOC humano deve ser responsável até o fim.
5. Aproximação da Colorkrew Security
A Colorkrew Security utiliza IA como um "mecanismo para ajudar as pessoas a tomar decisões."
- Um sistema que permite à IA consultar e propor conhecimento de operações SOC
- Resumo de alertas, classificação automática e suporte de resposta inicial
- Projeto operacional em que a "revisão humana" de decisões baseadas em IA
**IA evolui o SOC, não o reduz. **
Essa é a forma de "IA ×SOC" que buscamos.