الاستجابة التلقائية للحوادث: حيث يمكن للذكاء الاصطناعي العمل وحده و哪里 لا يزال البشر مهمين

المراكز الحديثة لأمن المعلومات تملك كمية هائلة من البيانات الأمنية. المشكلة تكمن في تحويل تلك البيانات إلى إجراءات.

قد يكون تسجيل الدخول المشبوه حسابًا مخترقًا أو موظفًا مشروعًا يقوم بتسجيل الدخول من موقع جديد. قد تكون أنشطة البرامج الضارة مجرد إيجابيات كاذبة. قد يكون تنبيه السحابة مجرد تكوين سيء.

في أي حال، يجب على المحللين معرفة ما حدث، والموارد المتأثرة، ومدى خطورة هذا الخطر، ومدى احتمال أن تؤدي الإجراءات إلى كسر شيء مهم. هذا يعني في كثير من الأحيان القفز بين الأدوات، وفحص السجلات، وتحسين المؤشرات، وبناء الجدول الزمني، وانتظار الموافقة.

يمكن للذكاء الاصطناعي ضغط ذلك العملية. يمكنه جمع الأدلة، وربط الأحداث المرتبطة، ومقارنة السلوك بالأنماط المعروفة، وتحسين التنبيهات بالاستخبارات الأمنية، وإنتاج استنتاج في دقائق أو حتى ثوان. في بعض السيناريوهات المحددة، يمكنه تشغيل الإجراءات التقييدية.

ما يعني الاستجابة التلقائية حقًا

يجب أن تكون الاستجابة التلقائية واضحة الحدود ومحددة السيناريو.

يمكن لنظام أمني تلقائي أو ذكاء اصطناعي تقييم التنبيه، و調査 السياق المحيط، و 결정 ما إذا كان يطابق نمط استجابة معروف، واتخاذ إجراء دون انتظار تحليلات بشرية. لكن يجب أن يتم ذلك الإجراء داخل الحدود المعتمدة.

تتضمن الأمثلة تعطيل حساب مخترق، عزل نهاية طرف مصاب، حظر البنية التحتية الضارة المعروفة، إلغاء الجلسات الخطرة، وعزل البرامج الضارة. المفتاح هو أن الذكاء الاصطناعي ينفذ فقط الإجراءات المعتمدة ضد الشروط المحددة.

أين تعمل الاستجابة التلقائية بشكل أفضل

تعمل الاستجابة التلقائية بشكل أفضل عندما تتم تلبيه أربعة شروط:

• الإشارة عالية الثقة: التنبيه مدعوم بالدليل القوي، مثل البنية التحتية الضارة المعروفة، سلوك البرامج الضارة المؤكد، السفر المستحيل، أو المؤشرات المرتبطة المتعددة.
• السلوك مفهوم جيدًا: المنظمة رأت النمط من قبل وتعرف ما يعنيه عادة.
• الإجراء محدود: الاستجابة تؤثر على حساب معين، أو نهاية طرف، أو جلسة، أو نطاق، أو مؤشر، وليس عملية أعمال كاملة.
• الإجراء قابل للإلغاء: إذا كان النظام مخطئًا، يمكن للمنظمة استعادة الوصول، أو إعادة الاتصال بنهاية الطرف، أو إزالة الحظر بسرعة.

حساب المستخدم المخترق هو مثال جيد.

إذا اكتشفت نظام الهوية السفر المستحيل، وقواعد البريد المخترقة، والأنشطة غير الآمنة لاوث، والدخول من البنية التحتية الضارة المعروفة، قد يكون المهاجمون قد فعلوا بالفعل الضرر قبل أن يمنح البشر الموافقة على الخطوة الأولى من الإجراء التقييدي. ومع ذلك، يمكن لنظام الذكاء الاصطناعي إلغاء الجلسات، وفرض إعادة تعيين كلمة المرور، و تعطيل الحساب مؤقتًا، وإنشاء حالة لمراجعة المحلل.

نهاية طرف مصاب هي مثال آخر جيد. إذا أكدت أدوات النهاية سلوك البرامج الضارة المعروف على جهاز غير حرج، يمكن لعزل النهاية منع الحركة الجانبية مع الحفاظ على الأدلة.

أين لا يزال البشر مهمين

然而، لا يزال الرقابة البشرية ضرورية – خاصة في الحوادث الغامضة، و القرارات ذات التأثير الكبير، و الحالات التي يكون فيها التأثير التجاري غير واضح.

عزل جهاز الكمبيوتر المحمول للموظف قد يكون مخاطرًا منخفضة. عزل خادم الدفع، أو نظام التصنيع، أو جهاز الرعاية الصحية، أو تطبيق واجهة العملاء قد لا يكون كذلك.

باختصار، كلما زاد التأثير المحتمل، زادت أهمية الرقابة البشرية.

هذا المبدأ يمنع两个 نتيجة غير مواتية. الأولى: التأهيل التلقائي، حيث تضييع الفرق وقتها في الموافقة على إجراءات التقييد الواضحة. الثانية: التأهيل التلقائي المفرط، حيث يتم السماح للأنظمة باتخاذ تغييرات واسعة بدون سياق أو سيطرة كافية.

يمكن للذكاء الاصطناعي توفير المزيد من الترياق

معظم الناس على دراية بالترياق المساعد بالذكاء الاصطناعي، ولكنهم يعتقدون أن التحقيق لا يزال مهمة حصرية للبشر. لكن هذا يبدأ في التغيير.

许多 تحقيقات تتبع خطوات متكررة. يقوم المحللون بجمع السجلات، ومراجعة سلوك النهاية، و فحص أنشطة المستخدم، وتحسين المؤشرات، ومقارنة الأحداث بالاستخبارات الأمنية، وتقييم النطاق، وكتابة الاستنتاج. يمكن لمحلل الذكاء الاصطناعي في المركز الآن أداء معظم هذا العمل بسرعة وثبات.

ذلك يغير دور المحلل، ولكنه لا يزيله تمامًا. بدلاً من جمع الأدلة يدوياً لجميع التنبيهات، يقوم المحللون بمراجعة النتائج التي تم إنشاؤها بواسطة الذكاء الاصطناعي، و تحقيق الاستثناءات، وتحسين الكشف، و صيد التهديدات، و اتخاذ القرارات في الحالات المعقدة أو ذات التأثير الكبير.

هذا يهم لأن معظم المراكز لا يمكنها التحقيق العميق في جميع التنبيهات. أظهر بحث IBM عن الإختراقات لعام 2025 أن الاستخدام الواسع للذكاء الاصطناعي و التأهيل خفض التكاليف الناجمة عن الإختراقات بمبلغ 1.9 مليون دولار، وقصرت دورة حياة الإختراق بحوالي 80 يومًا. يسمح الذكاء الاصطناعي للفرق بتحسين جودة التحقيق الأساسية دون إضافة عدد الموظفين أو الاعتماد على فرق من المقاولين للعمل المتكرر.

التعرف هو قلق فني وثقة

يحق للقادة الأمنيين أن يكونوا حذرين من الذكاء الاصطناعي في المركز. الإجراء التلقائي الخاطئ يمكن أن يؤدي إلى حظر المستخدمين، أو تعطيل الأنظمة، أو تآكل الثقة في المركز. حتى عندما يكون الذكاء الاصطناعي دقيقًا، قد تتردد الفرق إذا لم تكن能够 رؤية سبب اتخاذ القرار.

ذلك هو السبب في أن الفعالية التلقائية الفعالة تحتاج إلى ضمانات:

• حدود الإجراء الواضحة
• الموافقة البشرية للنظم الحساسة
• سجلات التدقيق لجميع القرارات
• إجراءات التقييد القابلة للإلغاء
• أعتبارات الثقة
• إجراءات الإلغاء

يجب على معظم الفرق أن تبدأ في وضع المراقبة. دع الذكاء الاصطناعي يتحقق، و يوصي، و يوثق الإجراءات، بينما يمنح البشر الموافقة. بمجرد أن يثبت النظام موثوقية في سيناريوهات محددة، يمكن تحويل تلك السيناريوهات إلى تأهيل بالموافقة، ثم التأهيل التلقائي الكامل حيثما كان مناسبًا. الثقة تكتسب من خلال النجاح المتكرر والمنظم.

ما يجب على قادة الأمن إعادة النظر فيه

الذكاء الاصطناعي ينتمي إلى استجابة الحوادث. السؤال هو أين يجب أن يسمح له بالعمل.

ابدأ بالسيناريوهات التي تكون متكررة، و حاسمة، و مفهومة جيدًا، و مدعومة بإشارات قوية، و قابلة للإلغاء. تحقيق الاحتيال، و احتواء الحسابات المشبوهة، و عزل البرامج الضارة، و حظر النطاقات الضارة هي مرشحين منطقيين.

الهدف هو القضاء على التأخيرات المتكررة في اتخاذ القرارات من المركز، لا القضاء على البشر تمامًا. يمكن للذكاء الاصطناعي التحقق، و اتخاذ القرارات، و العمل في السيناريوهات المحددة. يجب على البشر تحديد الحدود، و التعامل مع الغموض، و البقاء مسؤولين عن النتيجة.

t, عزل البرامج الضارة، وحظر النطاقات الضارة هي مرشحين منطقيين. الهدف هو القضاء على التأخيرات المتكررة في اتخاذ القرارات من المركز، لا القضاء على البشر تمامًا. يمكن للذكاء الاصطناعي التحقق، و اتخاذ القرارات، و العمل في السيناريوهات المحددة. يجب على البشر تحديد الحدود، و التعامل مع الغموض، و البقاء مسؤولين عن النتيجة.