凯尔斯蒂·佩恩（她/她）是Splunk EMEA地区的技术和创新战略顾问，她为战略账户提供技术思想领导。作为一位经验丰富的技术专家、战略家和安全专家，她擅长于理解困难的问题和找到创造性的解决方案。
传统的安全运营中心（SOC）正在经历一场重大变革，这主要是由人工智能集成驱动的。近90%的组织现在使用人工智能技术，主要应用于威胁检测、响应和事件恢复。然而，只有27%的组织已经完全实现了威胁检测的自动化，这表明在实现人工智能的全部潜力方面仍然存在差距。为了跟上时代的步伐，安全领导者必须战略性地利用人工智能来构建未来安全运营中心。人工智能如何增强SOC团队和集成工作负载人工智能可以帮助安全分析师重新定义他们的角色，并使他们能够专注于更高价值、更具战略性的工作。防御者可以从不断的反应模式转变为减少风险和提高安全运营在业务中的价值的工作。我们经常讨论SOC中的产品，例如安全信息和事件管理（SIEM）、安全编排和自动响应（SOAR）以及用户和实体行为分析（UEBA）是SOC运营的核心组件。这些组件有时会因为工作流程不完善而导致互操作性困难和不必要的精神负担。然而，现代对话现在更关注能力而不是产品，尤其是人工智能正在通过减少切换疲劳来帮助连接现有工具，作为连接组织的粘合剂。人工智能不仅仅是连接现有工具；它也是提高生产力的重要因素。它可以与分析师合作创建新的响应方案，节省他们从头开始创建自动响应的时间。人工智能还可以总结事件，提取最相关的信息，并为分析师提供早期简报的起点。当SOC团队在工作流程中使用人工智能代理时，他们可以从更快的事件控制、扩大响应、增加能力和减少手动劳动中受益。例如，人工智能代理可以自动分级和删除假阳性，帮助分析师更快地处理票务队列。但这不仅仅是关于效率或生产力；人工智能可以为SOC带来以前外包工具的新能力。例如，逆向工程，人工智能可以分析特定恶意软件的工作原理，为安全团队提供对攻击的理解。这些工具还可以在调查期间执行更深入的分析，确保在分析师审查事件之前完成大部分准备工作。人工智能驱动SOC的优势当SOC团队花费所有时间响应警报或处理事件时，他们没有时间为推动SOC效率的战略计划做出贡献。这对业务来说是有害的，因为数字系统的恢复力直接影响利润。人工智能解锁了一种新的时间释放方式，就像自动化之前一样。这使SOC团队能够专注于战略、主动的计划，这些计划推动业务增长、减少事件数量并为进一步投资创造更多容量。除了为SOC团队释放时间外，人工智能还将提高响应质量并帮助团队更快地响应。随着攻击者越来越多地使用人工智能来加速和扩大攻击，现代SOC必须采用类似的能力。开发人工智能驱动SOC要建立人工智能驱动SOC，网络安全领导者必须首先分析当前SOC实践，以确定需要最多手动努力的任务，然后使用人工智能来加速这些任务。常见的起点包括：创建和管理检测： 许多SOC已经利用供应商编写的检测，并根据其特定需求进行微调。人工智能可以进一步增强此过程，通过协同创建和编写新检测。除了创建和编写新检测外，人工智能还可以使分析师免于管理检测生命周期的负担。当检测不再触发或变得过于嘈杂时，人工智能可以识别问题并建议改进检测保真度的改进。例如，就像Netflix建议电影一样，人工智能可以为检测推荐引擎提供动力，根据您的数据和您面临的威胁确定哪些检测提供最佳覆盖。解读发现： 人工智能可以通过总结和突出警报中的关键信息为分析师提供帮助。除了自动丰富功能外，人工智能可以识别重要细节并建议可能的下一步骤，使分析师能够保留控制权并节省每次调查的宝贵时间。运行调查： 对于SOC来说，潜在威胁的协作调查不仅是一种功能，而是核心使命。有效的调查依赖于具有高质量数据以应用正确的分析并做出明智的决定。虽然这听起来很基本，但在所有业务领域实现此类工作流程却出乎意料地具有挑战性。人工智能可以通过自动处理调查的某些部分（例如分析恶意软件样本或高效搜索其他资产中的类似恶意模式）来增强SOC的调查能力，从而增加团队容量并使分析师能够专注于复杂分析、调查和补救。草拟调查报告： 调查报告通常冗长且耗时，但它们对于企业知识、历史记录和合规性至关重要。高质量的报告甚至可以作为SOC中人工智能的宝贵数据源，揭示常见模式和补救趋势。然而，编写这些报告通常需要很长时间且枯燥无味。这就是人工智能可以发挥作用的地方：人工智能可以快速收集信息并创建全面报告。它可能不那么光彩，但它每次调查可以节省15-20分钟；这些时间很快就会累积起来。编写剧本： 剧本自动化安全工作流程，允许安全分析师花更多时间调查威胁。它们在节省时间、响应质量和一致性方面带来显著的好处。另外，剧本作为特定场景下正确响应的明确文档，对合规团队来说是一种宝贵的优势！然而，创建有效的剧本需要时间和精力来确保它们在相关情况下正确触发。分析师通常面临时间压力，很难从头开始开发这些资源。再次，人工智能可以通过生成和协同编写剧本来帮助加速此过程，允许分析师避免从空白页开始。建立未来安全运营中心利用人工智能将为您的SOC带来显著优势，释放宝贵的时间来开发安全战略并为未来做好准备。随着复杂性的增加，包括人工智能驱动的攻击、针对内部威胁和不断演变的网络安全法规，保持领先变得更加具有挑战性。然而，未来SOC不仅仅是关于战斗准备；它是关于建立能够经久不衰的恢复力、实现组织敏捷性以及加强业务的底线和声誉。
