Phản ứng tự động hóa sự cố: Ở đâu AI có thể hành động một mình và con người vẫn quan trọng

Các trung tâm hoạt động bảo mật (SOC) hiện đại có rất nhiều dữ liệu bảo mật. Vấn đề là chuyển đổi dữ liệu đó thành hành động.

Một lần đăng nhập đáng ngờ có thể là một tài khoản bị xâm phạm hoặc một nhân viên hợp pháp đăng nhập từ một vị trí mới. Hoạt động malware có thể chỉ là một cảnh báo sai. Một cảnh báo từ đám mây có thể chỉ là một cấu hình kém.

Trong mọi trường hợp, các nhà phân tích phải biết điều gì đã xảy ra, tài sản nào bị ảnh hưởng, mức độ rủi ro là bao nhiêu và liệu hành động có thể gây ra thiệt hại cho điều gì quan trọng. Điều đó thường có nghĩa là phải chuyển đổi giữa các công cụ, kiểm tra nhật ký, làm phong phú các chỉ số, xây dựng thời gian và chờ phê duyệt.

AI có thể nén quá trình đó. Nó có thể thu thập bằng chứng, tương quan các sự kiện liên quan, so sánh hành vi với các mẫu đã biết, làm phong phú các cảnh báo với thông tin về mối đe dọa và đưa ra kết luận trong vài phút hoặc thậm chí vài giây. Trong một số kịch bản được định nghĩa, nó có thể kích hoạt việc cô lập.

Phản ứng tự động hóa thực sự có nghĩa là gì

Phản ứng tự động hóa phải có ranh giới rõ ràng và cụ thể cho từng kịch bản.

Một hệ thống bảo mật tự động hóa hoặc có tính chất đại lý có thể đánh giá một cảnh báo, điều tra bối cảnh xung quanh, quyết định xem nó có khớp với một mẫu phản ứng đã biết hay không và thực hiện hành động mà không cần chờ đợi sự phân tích của con người. Nhưng hành động đó chỉ nên xảy ra trong các giới hạn được phê duyệt.

Ví dụ bao gồm việc vô hiệu hóa một tài khoản bị xâm phạm, cô lập một điểm cuối bị nhiễm malware, chặn cơ sở hạ tầng độc hại đã biết, thu hồi các phiên rủi ro và cách ly malware. Điều quan trọng là AI chỉ thực hiện các hành động được phê duyệt đối với các điều kiện được định nghĩa.

Ở đâu tự động hóa hoạt động tốt nhất

Tự động hóa hoạt động tốt nhất khi bốn điều kiện sau được đáp ứng:

• Tín hiệu có độ tin cậy cao: Cảnh báo được hỗ trợ bởi bằng chứng mạnh mẽ, chẳng hạn như cơ sở hạ tầng độc hại đã biết, hành vi malware được xác nhận, việc di chuyển không thể hoặc nhiều chỉ số tương quan.
• Hành vi được hiểu rõ: Tổ chức đã thấy mẫu trước và biết nó thường có nghĩa là gì.
• Hành động được giới hạn: Phản ứng ảnh hưởng đến một tài khoản, điểm cuối, phiên, miền hoặc chỉ số cụ thể, không phải là một quá trình kinh doanh toàn bộ.
• Hành động có thể đảo ngược: Nếu hệ thống sai, tổ chức có thể khôi phục quyền truy cập, kết nối lại điểm cuối hoặc loại bỏ khối nhanh chóng.

Một tài khoản người dùng bị xâm phạm là một ví dụ tốt.

Nếu một hệ thống quản lý danh tính phát hiện ra việc di chuyển không thể, quy tắc hộp thư đáng ngờ, hoạt động OAuth rủi ro và đăng nhập từ cơ sở hạ tầng độc hại đã biết, kẻ tấn công có thể đã gây ra thiệt hại trước khi con người phê duyệt bước cô lập đầu tiên. Tuy nhiên, một hệ thống AI có thể thu hồi phiên, buộc đặt lại mật khẩu, vô hiệu hóa tạm thời tài khoản và tạo một trường hợp để phân tích.

Một điểm cuối bị nhiễm malware là một trường hợp phù hợp khác. Nếu công cụ điểm cuối xác nhận hành vi malware đã biết trên một thiết bị không quan trọng, việc cô lập có thể ngăn chặn sự di chuyển ngang mentre vẫn giữ bằng chứng.

Ở đâu con người vẫn quan trọng

Tuy nhiên, sự giám sát của con người vẫn rất cần thiết – đặc biệt là đối với các sự cố mơ hồ, quyết định có tác động cao và các trường hợp mà tác động kinh doanh không rõ ràng.

Cô lập một laptop của nhân viên có thể là rủi ro thấp. Cô lập một máy chủ thanh toán, hệ thống sản xuất, thiết bị y tế hoặc ứng dụng khách hàng là không. Vô hiệu hóa một tài khoản nhà thầu có thể là trực tiếp. Vô hiệu hóa một tài khoản dịch vụ đặc quyền gắn với hệ thống sản xuất có thể gây ra sự gián đoạn nghiêm trọng.

Nói một cách đơn giản, càng có nhiều tác động tiềm tàng, sự giám sát của con người càng trở nên quan trọng.

Nguyên tắc đó ngăn chặn hai kết quả không mong muốn. Thứ nhất: tự động hóa thấp, nơi các nhóm lãng phí thời gian phê duyệt các hành động cô lập rõ ràng. Thứ hai: tự động hóa quá mức, nơi các hệ thống được phép thực hiện các thay đổi rộng rãi mà không có đủ ngữ cảnh hoặc kiểm soát.

AI có thể tự động hóa hơn là phân loại

Hầu hết mọi người đều quen thuộc với việc phân loại cảnh báo được hỗ trợ bởi AI, nhưng tin rằng việc điều tra vẫn là nhiệm vụ độc quyền của con người. Nhưng điều đó đang bắt đầu thay đổi.

Nhiều cuộc điều tra tuân theo các bước có thể lặp lại. Các nhà phân tích thu thập nhật ký, xem xét hành vi điểm cuối, kiểm tra hoạt động người dùng, làm phong phú các chỉ số, so sánh sự kiện với thông tin về mối đe dọa và đưa ra kết luận. Một nhà phân tích SOC AI có thể thực hiện phần lớn công việc đó nhanh chóng và nhất quán.

Điều đó thay đổi vai trò của nhà phân tích, nhưng không loại bỏ hoàn toàn. Thay vào đó, các nhà phân tích xem xét các phát hiện được tạo bởi AI, điều tra các trường hợp ngoại lệ, tinh chỉnh các phát hiện, săn lùng các mối đe dọa và đưa ra quyết định về các trường hợp phức tạp hoặc có tác động cao.

Điều này quan trọng vì hầu hết các SOC không thể điều tra sâu về mọi cảnh báo. Nghiên cứu về vi phạm dữ liệu của IBM năm 2025 cho thấy việc sử dụng rộng rãi AI và tự động hóa đã cắt giảm chi phí vi phạm bằng 1,9 triệu đô la và缩 ngắn chu kỳ vi phạm khoảng 80 ngày. AI cho phép các nhóm nâng cao chất lượng điều tra cơ bản mà không cần thêm nhân sự hoặc dựa vào các nhóm hợp đồng lớn cho công việc lặp đi lặp lại.

Áp dụng là cả một vấn đề kỹ thuật và niềm tin

Các nhà lãnh đạo bảo mật có lý do để thận trọng khi nói đến AI trong SOC. Hành động tự động hóa sai có thể khóa người dùng, gián đoạn hệ thống hoặc xói mòn niềm tin vào SOC. Ngay cả khi AI chính xác, các nhóm có thể do dự nếu họ không thể thấy lý do tại sao một quyết định được đưa ra.

Đó là lý do tại sao tự động hóa hiệu quả cần có các biện pháp bảo vệ:

• Ranh giới hành động rõ ràng
• Phê duyệt của con người cho các hệ thống nhạy cảm
• Nhật ký kiểm toán cho mọi quyết định
• Hành động cô lập có thể đảo ngược
• Ngưỡng tin cậy
• Quy trình quay lại

Hầu hết các nhóm nên bắt đầu ở chế độ quan sát. Hãy để AI điều tra, đề xuất và ghi lại các hành động trong khi con người phê duyệt chúng. Một khi hệ thống chứng minh được độ tin cậy trong các kịch bản cụ thể, các kịch bản đó có thể chuyển sang tự động hóa dựa trên phê duyệt, sau đó là tự động hóa đầy đủ khi phù hợp. Niềm tin được tạo ra bởi thành công kiểm soát và lặp đi lặp lại.

Các nhà lãnh đạo bảo mật nên xem xét lại

AI thuộc về phản ứng sự cố. Câu hỏi là nó nên được phép hành động ở đâu.

Bắt đầu với các kịch bản phản ứng thường xuyên, nhạy cảm với thời gian, được hiểu rõ, được hỗ trợ bởi tín hiệu mạnh và có thể đảo ngược. Điều tra phishing, chứa tài khoản đáng ngờ, cách ly malware và chặn miền độc hại là những ứng viên logic.

Mục tiêu là loại bỏ sự kéo dài quyết định lặp đi lặp lại từ SOC, không phải là loại bỏ con người hoàn toàn. AI có thể xác thực, quyết định và hành động trong các kịch bản được định nghĩa. Con người nên quản lý các ranh giới, xử lý sự mơ hồ và vẫn chịu trách nhiệm về kết quả.

t, cách ly malware, và chặn miền độc hại là những ứng viên logic. Mục tiêu là loại bỏ sự kéo dài quyết định lặp đi lặp lại từ SOC, không phải là loại bỏ con người hoàn toàn. AI có thể xác thực, quyết định và hành động trong các kịch bản được định nghĩa. Con người nên quản lý các ranh giới, xử lý sự mơ hồ và vẫn chịu trách nhiệm về kết quả.