Respons Incident Otomatis: Di Mana AI Dapat Bertindak Sendiri dan Di Mana Manusia Masih Penting

Modern SOCs memiliki banyak data keamanan. Masalahnya adalah mengubah data tersebut menjadi tindakan.

Sebuah login mencurigakan mungkin merupakan akun yang dikompromikan, atau karyawan yang sah yang login dari lokasi baru. Aktivitas malware mungkin hanya merupakan positif palsu. Peringatan cloud mungkin hanya merupakan konfigurasi yang buruk.

Dalam hal apa pun, analis harus tahu apa yang terjadi, aset mana yang terkena, seberapa parah risiko tersebut, dan apakah tindakan dapat merusak sesuatu yang penting. Itu sering berarti melompat antara alat, memeriksa log, memperkaya indikator, membangun timeline, dan menunggu persetujuan.

AI dapat mempercepat proses tersebut. Itu dapat mengumpulkan bukti, mengorelasikan peristiwa terkait, membandingkan perilaku dengan pola yang diketahui, memperkaya peringatan dengan intelijen ancaman, dan menghasilkan kesimpulan dalam hitungan menit atau bahkan detik. Dalam beberapa skenario yang ditentukan, itu dapat memicu tindakan pengandalian.

Apa yang Dimaksud dengan Respons Otomatis

Respons otomatis harus memiliki batasan yang jelas dan spesifik.

Sistem keamanan otonom atau agen dapat mengevaluasi peringatan, menyelidiki konteks sekitarnya, memutuskan apakah itu sesuai dengan pola respons yang diketahui, dan mengambil tindakan tanpa menunggu analis manusia. Namun, tindakan tersebut harus terjadi hanya di dalam batasan yang disetujui.

Contoh termasuk menonaktifkan akun yang dikompromikan, mengisolasi titik akhir yang terinfeksi, memblokir infrastruktur berbahaya yang diketahui, membatalkan sesi yang berisiko, dan mengkarantina malware. Kunci utamanya adalah bahwa AI hanya menjalankan tindakan yang disetujui terhadap kondisi yang ditentukan.

Di Mana Otonomi Bekerja Terbaik

Otonomi bekerja terbaik ketika empat kondisi dipenuhi:

• Sinyal yang tinggi: Peringatan didukung oleh bukti yang kuat, seperti infrastruktur berbahaya yang diketahui, perilaku malware yang dikonfirmasi, perjalanan yang mustahil, atau beberapa indikator yang terkorelasikan.
• Perilaku yang dipahami: Organisasi telah melihat pola sebelumnya dan tahu apa yang biasanya berarti.
• Tindakan yang terbatas: Respons hanya mempengaruhi akun, titik akhir, sesi, domain, atau indikator tertentu, bukan proses bisnis secara keseluruhan.
• Tindakan yang dapat dibalik: Jika sistem salah, organisasi dapat memulihkan akses, menghubungkan kembali titik akhir, atau menghapus blokir dengan cepat.

Sebuah akun pengguna yang dikompromikan adalah contoh yang baik.

Jika sistem identitas mendeteksi perjalanan yang mustahil, aturan kotak surat yang mencurigakan, aktivitas OAuth yang berisiko, dan login dari infrastruktur berbahaya yang diketahui, penyerang mungkin telah melakukan kerusakan sebelum analis manusia menyetujui langkah pengandalian pertama. Namun, sistem AI dapat membatalkan sesi, memaksa reset sandi, menonaktifkan sementara akun, dan membuat kasus untuk tinjauan analis.

Titik akhir yang terinfeksi adalah contoh lain yang baik. Jika alat titik akhir mengkonfirmasi perilaku malware yang diketahui pada perangkat non-kritis, isolasi dapat menghentikan pergerakan lateral sambil mempertahankan bukti.

Di Mana Manusia Masih Penting

Namun, pengawasan manusia masih sangat penting – terutama untuk insiden yang ambigu, keputusan yang berdampak tinggi, dan kasus di mana dampak bisnis tidak jelas.

Mengisolasi laptop karyawan mungkin berisiko rendah. Mengisolasi server pembayaran, sistem manufaktur, perangkat kesehatan, atau aplikasi yang menghadap pelanggan bukanlah. Menonaktifkan akun kontraktor mungkin sederhana. Menonaktifkan akun layanan yang memiliki hak istimewa yang terhubung ke sistem produksi dapat menyebabkan gangguan serius.

Secara sederhana, semakin tinggi potensi dampak, semakin penting pengawasan manusia.

Prinsip ini mencegah dua hasil yang tidak diinginkan. Pertama: under-otomatisasi, di mana tim membuang waktu untuk menyetujui tindakan pengandalian yang jelas. Kedua: over-otomatisasi, di mana sistem dibiarkan membuat perubahan yang luas tanpa konteks atau kontrol yang cukup.

AI Dapat Mengotomatisasi Lebih dari Triage

Kebanyakan orang sudah familiar dengan triage peringatan yang dibantu AI, tetapi percaya bahwa penyelidikan masih merupakan tugas eksklusif manusia. Namun, itu mulai berubah.

Banyak penyelidikan mengikuti langkah-langkah yang dapat diulang. Analis mengumpulkan log, meninjau perilaku titik akhir, memeriksa aktivitas pengguna, memperkaya indikator, membandingkan peristiwa dengan intelijen ancaman, menilai cakupan, dan menulis kesimpulan. Seorang analis SOC AI sekarang dapat melakukan sebagian besar pekerjaan tersebut dengan cepat dan konsisten.

Itu mengubah peran analis, tetapi tidak menghilangkannya sepenuhnya. Sebagai gantinya, analis meninjau temuan yang dihasilkan AI, menyelidiki pengecualian, menyetel deteksi, berburu ancaman, dan membuat keputusan pada kasus yang kompleks atau berdampak tinggi.

Hal ini penting karena kebanyakan SOC tidak dapat menyelidiki setiap peringatan secara mendalam. Penelitian pelanggaran data IBM 2025 menemukan bahwa penggunaan AI dan otomatisasi yang luas dapat mengurangi biaya pelanggaran sebesar $1,9 juta dan mempersingkat siklus hidup pelanggaran sekitar 80 hari. AI memungkinkan tim untuk meningkatkan kualitas penyelidikan tanpa menambahkan jumlah staf atau mengandalkan tim kontraktor besar untuk pekerjaan yang berulang.

Adopsi Adalah Keprihatinan Teknis dan Kepercayaan

Pemimpin keamanan memiliki alasan yang tepat untuk berhati-hati tentang AI di SOC. Tindakan otomatis yang salah dapat mengunci pengguna, mengganggu sistem, atau mengikis kepercayaan pada SOC. Bahkan ketika AI akurat, tim mungkin ragu jika mereka tidak dapat melihat mengapa keputusan dibuat.

Itulah mengapa otonomi yang efektif memerlukan pengaman:

• Batasan tindakan yang jelas
• Persetujuan manusia untuk sistem yang sensitif
• Log audit untuk setiap keputusan
• Tindakan pengandalian yang dapat dibalik
• Ambang kepercayaan
• Prosedur rollback

Kebanyakan tim harus memulai dalam mode pengamatan. Biarkan AI menyelidiki, merekomendasikan, dan mendokumentasikan tindakan sementara manusia menyetujui. Setelah sistem terbukti dapat diandalkan dalam skenario tertentu, skenario tersebut dapat dipindahkan ke otomatisasi berbasis persetujuan, lalu otonomi penuh di mana tepat. Kepercayaan diperoleh dengan kesuksesan yang terkendali dan berulang.

Apa yang Pemimpin Keamanan Harus Pertimbangkan Kembali

AI milik incident response. Pertanyaannya adalah di mana AI harus diizinkan untuk bertindak.

Mulailah dengan skenario respons yang sering, sensitif waktu, dipahami dengan baik, didukung oleh sinyal yang kuat, dan dapat dibalik. Investigasi phishing, pengandalian akun yang mencurigakan, isolasi malware, dan pemblokiran domain berbahaya adalah kandidat yang logis.

Tujuannya adalah untuk menghilangkan drag keputusan berulang dari SOC, bukan menghilangkan manusia sepenuhnya. AI dapat memvalidasi, memutuskan, dan bertindak dalam skenario yang ditentukan. Manusia harus mengatur batasan, menangani ketidakjelasan, dan tetap bertanggung jawab atas hasilnya.