การตอบสนองอัตโนมัติของเหตุการณ์: ที่ไหนที่ AI สามารถดำเนินการได้ด้วยตนเองและที่ไหนที่มนุษย์ยังคงสำคัญ

สมัยใหม่มีข้อมูลความปลอดภัยมากมาย แต่ปัญหาก็คือการเปลี่ยนข้อมูลนั้นให้เป็นการดำเนินการ

การเข้าสู่ระบบที่น่าสงสัยอาจเป็นบัญชีที่ถูกบุกรุกหรือพนักงานที่เข้าสู่ระบบจากที่ตั้งใหม่ กิจกรรมของมัลแวร์อาจเป็นผลลัพธ์เท็จบวก การแจ้งเตือนจากคลาวด์อาจเป็นเพียงการกำหนดค่าที่ไม่ดี

ในกรณีใดๆ นักวิเคราะห์ต้องทราบว่าเกิดอะไรขึ้น ซึ่งทรัพย์สินถูกกระทบกระเทือนอย่างไร อันตรายมีระดับความรุนแรงอย่างไร และการดำเนินการอาจทำให้บางสิ่งสำคัญเสียหาย ซึ่งหมายความว่าพวกเขาต้องกระโดดระหว่างเครื่องมือ ตรวจสอบบันทึก เสริมสัญญาณ สร้างเส้นเวลา และรอการอนุมัติ

AI สามารถบีบอัดกระบวนการนี้ มันสามารถรวบรวมหลักฐาน ตรวจสอบเหตุการณ์ที่เกี่ยวข้อง เปรียบเทียบพฤติกรรมกับรูปแบบที่ทราบ เสริมการแจ้งเตือนด้วยข่าวกรองภัยคุกคาม และสร้างสรุปผลในเวลาไม่กี่นาทีหรือแม้กระทั่งวินาที ในบางสถานการณ์ที่กำหนด มันสามารถกระตุ้นการจำกัดขอบเขต

ความหมายที่แท้จริงของการตอบสนองอัตโนมัติ

การตอบสนองอัตโนมัติต้องมีขอบเขตที่ชัดเจนและเฉพาะสถานการณ์

ระบบความปลอดภัยอัตโนมัติหรือระบบอัตลักษณ์สามารถประเมินการแจ้งเตือน ตรวจสอบบริบทที่เกี่ยวข้อง ตัดสินว่ามันตรงกับรูปแบบการตอบสนองที่ทราบหรือไม่ และดำเนินการโดยไม่ต้องรอการอนุมัติจากนักวิเคราะห์มนุษย์ แต่การดำเนินการนั้นควรเกิดขึ้นภายในขอบเขตที่ได้รับอนุมัติเท่านั้น

ตัวอย่างเช่น การปิดใช้งานบัญชีที่ถูกบุกรุก การแยกกันของจุดสิ้นสุดแบบติดเชื้อ การปิดกั้นโครงสร้างพื้นฐานที่เป็นอันตรายที่ทราบ การเพิกถอนเซสชันที่มีความเสี่ยง และการกักเก็บมัลแวร์ กุญแจสำคัญคือ AI จะดำเนินการเฉพาะการกระทำที่ได้รับอนุมัติเท่านั้น

ที่ไหนที่อัตลักษณ์ทำงานได้ดีที่สุด

อัตลักษณ์ทำงานได้ดีที่สุดเมื่อเงื่อนไขสี่ประการถูกตอบสนอง:

• สัญญาณมีความมั่นใจสูง: การแจ้งเตือนได้รับการสนับสนุนจากหลักฐานที่แข็งแกร่ง เช่น โครงสร้างพื้นฐานที่เป็นอันตรายที่ทราบ พฤติกรรมของมัลแวร์ที่ยืนยัน การเดินทางที่เป็นไปไม่ได้ หรือตัวบ่งชี้ที่สอดคล้องกันหลายตัว
• พฤติกรรมถูกเข้าใจอย่างดี: องค์กรได้เห็นรูปแบบนี้มาก่อนและทราบว่ามันหมายถึงอะไร
• การดำเนินการถูกจำกัด: การตอบสนองส่งผลกระทบต่อบัญชี จุดสิ้นสุด เซสชัน โดเมน หรือตัวบ่งชี้เฉพาะ ไม่ใช่กระบวนการทางธุรกิจทั้งหมด
• การดำเนินการสามารถย้อนกลับได้: หากระบบผิด การจัดการสามารถฟื้นฟูการเข้าถึง การเชื่อมต่อจุดสิ้นสุด หรือการยกเลิกการปิดกั้นได้อย่างรวดเร็ว

บัญชีผู้ใช้ที่ถูกบุกรุกเป็นตัวอย่างที่ดี

หาก ระบบอัตลักษณ์ ตรวจพบการเดินทางที่เป็นไปไม่ได้ กฎการเข้าถึงจดหมายที่น่าสงสัย กิจกรรม OAuth ที่มีความเสี่ยง และการเข้าสู่ระบบจากโครงสร้างพื้นฐานที่เป็นอันตรายที่ทราบ ผู้โจมตีอาจได้ทำความเสียหายไปแล้วก่อนที่นักวิเคราะห์มนุษย์จะอนุมัติการดำเนินการกั้นแรก AI สามารถเพิกถอนเซสชัน บังคับให้เปลี่ยนรหัสผ่าน ปิดใช้งานบัญชีชั่วคราว และสร้างกรณีสำหรับการทบทวนของนักวิเคราะห์

จุดสิ้นสุดที่ติดเชื้อเป็นอีกตัวอย่างที่ดี หากเครื่องมือจุดสิ้นสุดยืนยันพฤติกรรมของมัลแวร์ที่ทราบบนอุปกรณ์ที่ไม่สำคัญ การแยกกันสามารถหยุดการเคลื่อนไหวในแนวราบได้โดยการรักษาหลักฐาน

ที่ไหนที่มนุษย์ยังคงสำคัญ

อย่างไรก็ตาม การกำกับดูแลของมนุษย์ยังคงจำเป็นอย่างยิ่ง – โดยเฉพาะสำหรับเหตุการณ์ที่ไม่ชัดเจน การตัดสินใจที่มีผลกระทบสูง และกรณีที่ผลกระทบทางธุรกิจไม่ชัดเจน

การแยกกันของแล็ปท็อปของพนักงานอาจมีความเสี่ยงต่ำ การแยกกันของเซิร์ฟเวอร์การชำระเงิน ระบบการผลิต อุปกรณ์ทางการแพทย์ หรือแอปพลิเคชันที่เผยแพร่สู่ลูกค้าไม่ใช่ การปิดใช้งานบัญชีของที่ปรึกษาอาจเป็นเรื่องตรงไปตรงมา การปิดใช้งานบัญชีบริการที่มีสิทธิพิเศษที่เชื่อมโยงกับระบบการผลิตอาจทำให้เกิดการหยุดชะงักอย่างรุนแรง

โดยสรุป หลักการนี้ป้องกันผลลัพธ์ที่ไม่พึงประสงค์สองประการ ประการแรก: การอัตโนมัติที่ไม่เพียงพอ ที่ทีมงานเสียเวลาในการอนุมัติการดำเนินการกั้นที่ชัดเจน ประการที่สอง: การอัตโนมัติที่มากเกินไป ที่ระบบได้รับอนุญาตให้ทำการเปลี่ยนแปลงที่กว้างขวางโดยไม่มีบริบทหรือการควบคุมเพียงพอ

AI สามารถอัตโนมัติมากกว่าการไตร่ตรอง

ผู้คนส่วนใหญ่คุ้นเคยกับการไตร่ตรองการแจ้งเตือนที่ได้รับการช่วยเหลือจาก AI แต่เชื่อว่าการสอบสวนยังคงเป็นงานของมนุษย์เท่านั้น แต่สิ่งนี้กำลังเปลี่ยนแปลง

การสอบสวนหลายครั้งต้องดำเนินตามขั้นตอนที่ซ้ำกัน นักวิเคราะห์รวบรวมบันทึก ทบทวนพฤติกรรมของจุดสิ้นสุด ตรวจสอบกิจกรรมของผู้ใช้ เสริมสัญญาณ เปรียบเทียบเหตุการณ์กับข่าวกรองภัยคุกคาม ประเมินขอบเขต และเขียนสรุปผล AI นักวิเคราะห์ SOC สามารถดำเนินการมากของงานนี้ได้อย่างรวดเร็วและสม่ำเสมอ

สิ่งนี้เปลี่ยนบทบาทของนักวิเคราะห์ แต่ไม่ลบมันไปทั้งหมด แทนที่จะรวบรวมหลักฐานด้วยตนเองสำหรับการแจ้งเตือนแต่ละครั้ง นักวิเคราะห์จะทบทวณผลการวิเคราะห์ของ AI ตรวจสอบข้อยกเว้น ปรับแต่งการตรวจจับ หาภัยคุกคาม และตัดสินใจในกรณีที่ซับซ้อนหรือมีผลกระทบสูง

สิ่งนี้มีความสำคัญเพราะ SOC ส่วนใหญ่ไม่สามารถสอบสวนการแจ้งเตือนแต่ละครั้งได้อย่างลึกซึ้ง การวิจัยการละเมิดข้อมูลของ IBM ในปี 2025 พบว่าการใช้ AI และการอัตโนมัติอย่างกว้างขวางสามารถลดต้นทุนการละเมิดได้ 1.9 ล้านดอลลาร์และ缩ระยะเวลาการละเมิดได้ประมาณ 80 วัน AI ช่วยให้ทีมสามารถเพิ่มคุณภาพการสอบสวนโดยไม่ต้องเพิ่มจำนวนพนักงานหรือพึ่งพาทีมผู้รับเหมาที่มีขนาดใหญ่สำหรับงานซ้ำๆ

การนำไปใช้คือทั้งเรื่องเทคนิคและความไว้วางใจ

ผู้นำด้านความปลอดภัยมีสิทธิ์ที่จะระมัดระวังเกี่ยวกับ AI ใน SOC การดำเนินการอัตโนมัติที่ไม่ถูกต้องสามารถล็อกผู้ใช้ออก ระบบหรือทำให้ความเชื่อมั่นใน SOC ลดลง แม้ว่า AI จะถูกต้อง ทีมอาจลังเลหากพวกเขาไม่สามารถเห็นเหตุผลที่การตัดสินใจถูกทำขึ้น

ดังนั้น อัตลักษณ์ที่มีประสิทธิภาพจึงต้องมีการป้องกัน:

• ขอบเขตการดำเนินการชัดเจน
• การอนุมัติของมนุษย์สำหรับระบบที่มีความเสี่ยง
• บันทึกการตรวจสอบสำหรับการตัดสินใจทุกครั้ง
• การดำเนินการกั้นที่สามารถย้อนกลับได้
• เกณฑ์ความมั่นใจ
• ขั้นตอนการย้อนกลับ

ส่วนใหญ่ของทีมควรเริ่มต้นในโหมดการสังเกต ให้ AI สอบสวน แนะนำ และจัดทำเอกสารการดำเนินการในขณะที่มนุษย์อนุมัติพวกเขา เมื่อระบบพิสูจน์ความน่าเชื่อถือในสถานการณ์เฉพาะ สถานการณ์เหล่านั้นสามารถย้ายไปสู่การอนุมัติอัตโนมัติ จากนั้นจึงเป็นอัตโนมัติเต็มรูปแบบเมื่อเหมาะสม ความไว้วางใจถูกสร้างขึ้นโดยความสำเร็จที่ควบคุมและซ้ำๆ

สิ่งที่ผู้นำด้านความปลอดภัยควรพิจารณาใหม่

AI มีสถานที่ในการตอบสนองต่อเหตุการณ์ คำถามคือที่ไหนที่ AI ควรได้รับอนุญาตให้ดำเนินการ

เริ่มต้นด้วยสถานการณ์การตอบสนองที่บ่อยครั้ง มีความสำคัญสูง มีการสนับสนุนจากสัญญาณที่แข็งแกร่ง และสามารถย้อนกลับได้ การสอบสวนการฟิชชิ่ง การกักเก็บบัญชีที่น่าสงสัย การแยกกันของมัลแวร์ และการปิดกั้นโดเมินที่เป็นอันตรายเป็นตัวอย่างที่เหมาะสม

เป้าหมายคือการกำจัดการลากจูงการตัดสินใจซ้ำๆ ออกจาก SOC ไม่ใช่การกำจัดมนุษย์โดยสิ้นเชิง AI สามารถตรวจสอบ ตัดสินใจ และดำเนินการในสถานการณ์ที่กำหนดได้ มนุษย์ควรควบคุมขอบเขต จัดการความไม่แน่นอน และรับผิดชอบต่อผลลัพธ์

t, การแยกกันของมัลแวร์ และการปิดกั้นโดเมินที่เป็นอันตรายเป็นตัวอย่างที่เหมาะสม เป้าหมายคือการกำจัดการลากจูงการตัดสินใจซ้ำๆ ออกจาก SOC ไม่ใช่การกำจัดมนุษย์โดยสิ้นเชิง AI สามารถตรวจสอบ ตัดสินใจ และดำเนินการในสถานการณ์ที่กำหนดได้ มนุษย์ควรควบคุมขอบเขต จัดการความไม่แน่นอน และรับผิดชอบต่อผลลัพธ์