Autonomní reakce na incidenty: Kde může AI jednat sama a kde jsou lidé stále důležití

Moderní SOCs mají nadbytek bezpečnostních dat. Problém spočívá v tom, že tato data je třeba převést do akce.

Podezřelé přihlášení může být kompromitovaný účet nebo legitimní zaměstnanec, který se přihlašuje z nové lokace. Aktivita malwaru může být pouze falešný pozitiv. Cloudová výstraha může být pouze špatná konfigurace.

V každém případě musí analytici vědět, co se stalo, který asset byl ovlivněn, jak vysoké je toto riziko a zda akce může způsobit rozbití něčeho důležitého. To často znamená skok mezi nástroji, kontrolu logů, obohacení indikátorů, vytváření časových os a čekání na schválení.

AI může tento proces zkomprimovat. Může shromáždit důkazy, zkorelovat související události, porovnat chování s známými vzory, obohatit výstrahy o threat intel a vyprodukovat závěr v minutách nebo dokonce v sekundách. V některých definovaných scénářích může spustit izolaci.

Co skutečně znamená autonomní reakce

Autonomní reakce musí mít jasná hranice a být scénářově specifická.

Autonomní nebo agentic bezpečnostní systém může vyhodnotit výstrahu, prošetřit okolní kontext, rozhodnout, zda odpovídá známému vzoru reakce, a provést akci bez čekání na lidského analytika. Ale tato akce by se měla stát pouze uvnitř schválených hranic.

Příklady zahrnují zablokování kompromitovaného účtu, izolaci infikovaného koncového bodu, zablokování známé malicious infrastruktury, zrušení rizikových relací a karanténu malwaru. Klíčem je, že AI pouze provádí schválené akce proti definovaným podmínkám.

Kde autonomie funguje nejlépe

Autonomie funguje nejlépe, když jsou splněny čtyři podmínky:

• Signál je vysoký: Výstraha je podpořena silnými důkazy, jako je známá malicious infrastruktura, potvrzené chování malwaru, nemožná cesta nebo více zkorelovaných indikátorů.
• Chování je dobře pochopeno: Organizace viděla tento vzor dříve a ví, co to obvykle znamená.
• Akce je omezená: Reakce ovlivňuje konkrétní účet, koncový bod, relaci, doménu nebo indikátor, ne celý obchodní proces.
• Akce je reverzibilní: Pokud je systém špatný, organizace může obnovit přístup, znovu připojit koncový bod nebo odstranit blok rychle.

Kompromitovaný uživatelský účet je dobrým příkladem.

Pokud identita systému detekuje nemožnou cestu, podezřelé pravidlo schránky, rizikovou OAuth aktivitu a přihlášení z známé malicious infrastruktury, útočníci mohou již mít způsobili škodu, než lidský analytik schválí první krok izolace. Systém AI však může zrušit relace, vynutit reset hesla, dočasně zablokovat účet a vytvořit případ pro kontrolu analytika.

Infikovaný koncový bod je další dobrý příklad. Pokud nástroj koncového bodu potvrzuje známé chování malwaru na nekritickém zařízení, izolace může zastavit laterální pohyb, zatímco zachovává důkazy.

Kde lidé stále záleží

Nicméně, lidská kontrola zůstává nezbytná – zejména pro nejednoznačné incidenty, rozhodnutí s vysokým dopadem a případy, kde je dopad na podnikání nejasný.

Izolace zaměstnaneckého notebooku může být nízkým rizikem. Izolace platebního serveru, výrobního systému, zdravotnického zařízení nebo zákaznického aplikací není. Zablokování kontraktorova účtu může být přímočaré. Zablokování privilegovaného servisního účtu spojeného s produkčními systémy by mohlo způsobit vážné narušení.

Jednoduše řečeno, čím vyšší je potenciální dopad, tím důležitější je lidská kontrola.

Tento princip zabraňuje dvěma nepříznivým výsledkům. První: podautomatizace, kde týmy plýtvají časem schvalováním zjevných akcí izolace. Druhý: nadměrná automatizace, kde systémy jsou dovoleny dělat široké změny bez dostatečného kontextu nebo kontroly.

AI může automatizovat více než triáž

Většina lidí je obeznámena s AI-pomocí při triáži výstrah, ale věří, že vyšetřování je stále výhradně lidskou úlohou. Ale to se začíná měnit.

Mnohá vyšetřování následují opakující se kroky. Analytici shromažďují logy, kontrolují chování koncového bodu, kontrolují uživatelskou aktivitu, obohacují indikátory, porovnávají události s threat intel a píší závěr. AI analytik SOC může nyní provést většinu této práce rychle a konzistentně.

To mění roli analytika, ale nezruší ji úplně. Místo ručního shromažďování důkazů pro každou výstrahu analytici kontrolují AI-generované výsledky, vyšetřují výjimky, ladí detekce, loví hrozby a dělají rozhodnutí o složitých nebo vysoce dopadových případech.

To záleží, protože většina SOC nemůže hluboce vyšetřovat každou výstrahu. IBM výzkum o porušení dat z roku 2025 zjistil, že rozsáhlé použití AI a automatizace snížilo náklady na porušení o 1,9 milionu dolarů a zkrátilo životní cyklus porušení o asi 80 dní. AI umožňuje týmům zvýšit základní kvalitu vyšetřování bez přidání počtu zaměstnanců nebo spoléhání se na velké kontraktorské týmy pro opakovanou práci.

Přijetí je technickou i důvěrnou záležitostí

Bezpečnostní lídři mají právo být opatrní vůči AI v SOC. Špatná automatizovaná akce může uzamknout uživatele, narušit systémy nebo podkopat důvěru v SOC. I když je AI přesné, týmy mohou váhat, pokud nemohou vidět, proč bylo rozhodnutí učiněno.

To je důvod, proč efektivní autonomie potřebuje záruky:

• Jasná hranice akcí
• Lidské schválení pro citlivé systémy
• Audit logy pro každé rozhodnutí
• Reverzibilní akcie izolace
• Práhové hodnoty důvěry
• Postup pro zrušení

Většina týmů by měla začít v režimu pozorování. Nechte AI vyšetřovat, doporučovat a dokumentovat akcie, zatímco lidé je schvalují. Jakmile systém prokáže spolehlivost v konkrétních scénářích, tyto scénáře lze přesunout do schvalovací automatizace a poté do plné autonomie, kde je to vhodné. Důvěra je získávána opakovaným, řízeným úspěchem.

Co by měli bezpečnostní lídři přehodnotit

AI patří do reakce na incidenty. Otázka je, kde by mělo být dovoleno jednat.

Začněte se scénáři reakce, které jsou časté, časově citlivé, dobře pochopené, podporované silnými signály a reverzibilní. Vyšetřování phishingu, podezřelé izolace účtu, izolace malwaru a zablokování malicious domény jsou logickými kandidáty.

Cílem je eliminovat opakující se rozhodovací tahu z SOC, ne eliminovat lidi úplně. AI může validovat, rozhodnout a jednat v definovaných scénářích. Lidé by měli řídit hranice, zpracovat nejednoznačnost a zůstat odpovědní za výsledek.