从警报疲劳到可行的智能：AI 如何重塑安全运营中心

安全运营中心（SOC）正面临崩溃的边缘。分析师倦怠长期以来一直是一个关键风险，但问题只会变得更加严重。事实上，73% 的组织 最近由 Cybersecurity Insiders 和 Gurucul 进行的调查 表示，他们正在遭受倦怠和持续的员工短缺。警报量正在增加，威胁正在增殖，分析师们被迫使用传统和分散的工具。

仅仅依靠人类来跟上这些进展已经变得不可能，这意味着 AI 正在迅速从一种“nice-to-have”转变为一种战略必要性。

今日 SOC 的危机

虽然 SOC 中的倦怠率已经得到充分记录，但这种情况并没有改善，所以不能说得太多：分析师们已经到了极限。他们正在努力应对日益恶化的挑战，包括：

• 警报疲劳 – 不仅警报数量太多，假阳性也在增加，这使得有效地响应警报变得困难和低效。事实上，根据上述调查，88% 的网络安全领导者表示警报量已经增加；46% 报告称过去一年警报量增加了 25% 以上。
• 新兴和不断演变的威胁 – 威胁格局始终在变化，AI 正在为恶意行为者提供新的工具，使他们能够更快地发起更多攻击。凭证滥用和内部风险增加了复杂性。
• 缺乏可见性和工具缺口 – 调查发现，96% 的公司承认存在显著的盲点。云基础设施（74%）和身份与访问行为（67%）是首要关注点。
• 技能缺口和人员流失 – 网络安全技能缺口继续成为行业整体面临的挑战，高倦怠率意味着高人员流失率。您需要训练 2 级（L2）和更高级别的分析师，但如果他们在 1 级（L1）时就已经筋疲力尽，那么就无法实现这一目标。找到、聘用、入职、培训和留住员工，甚至维持替补人才库以应对人员流失，需要大量时间和精力。

将 AI 引入桌面

AI 和自动化为 SOC 提供了巨大的潜力。因此，81% 的组织在上述调查中表示，他们正在部署或试验 AI 工具用于 SOC。那些将这些工具发挥到极致的组织正在取得重大成果：60% 的采用者表示他们已经看到调查时间减少了 25% 或更多，21% 的组织看到的减少幅度超过 50%。

AI 通过以下方式将警报疲劳转化为可行的智能：

• 噪音减少 – 有了 SOC 中的 AI，组织可以获得 AI 驱动的关联和优先级
• 更快的调查 – AI 和自动化帮助了初步筛查、收集背景和响应
• 分析师赋权 – 分析师的时间被释放出来，专注于更高价值的活动

执行差距

AI 为改善 SOC 提供了巨大的潜力，但问题在于：只有 31% 的受访者在核心检测和响应工作流中使用这些工具。虽然兴趣很高，但存在执行差距。

AI 的完全运营化存在多个障碍。其中一个障碍是集成挑战。传统基础设施和分散的工具也使得采用新技术变得困难。另一个问题是透明度和可解释性；如何理解 AI 做出决定的原因？

第二个障碍集中在分析师需要对他们依赖的系统有信任的程度。信任是 AI 成熟度的基本要求。只有 9% 的调查参与者表示他们对 AI 生成的警报和建议“非常自信”。另外 33% 的人“大多数时候相信”AI 结果，但希望能够审查它们，41% 的人认为 AI 总体上是有帮助的，但仍需要持续验证。

第三个障碍是变革管理。组织正在努力应对持续的技能缺口和新培训需求，这使得引入新技术和充分利用 AI 变得困难。同时，还存在文化抵制；一种“我们一直这样做，所以为什么要改变？”的思维方式。

克服 SOC 成功的障碍

首先，启动能够快速产生投资回报的试点项目。关联身份和行为，而不仅仅是事件。由于身份和访问行为的可见性缺口，根据上述调查，xx% 的受访者表示，这些缺口经常被利用，AI 平台需要做的不仅仅是日志分析，以确定谁和哪些设备在系统中执行操作。这种行为背景对于发现基于身份的复杂威胁至关重要。

清除 SOC 成功的障碍需要几个步骤。首先，优先考虑 可解释的 AI 以实现透明度和信任。可解释、透明的 AI 初步筛查和调查，伴随着背景和详细的补救步骤，帮助 1 级分析师快速学习，表现出更高的水平，并迅速提升技能。

其次，提升分析师的技能，以便他们能够进行更高价值的威胁狩猎和战略计划（如 零信任）。AI 不是用来取代人类的；它应该增强人类的能力。这是一个重要的区别，理解这一点对于在 SOC 中成功使用 AI 至关重要。保持人类在循环中，直到建立信任，然后让 AI 处理平凡、低影响的安全任务，并将其余任务升级。

第三，像对待核心 SOC 战略一样对待 AI，而不是作为附加组件或事后补充，而是作为一个周密、全面方法的一部分。

是时候在 SOC 中拥抱 AI

SOC 面临着日益严重的危机，警报量激增，分析师倦怠加剧，基于身份的威胁也在增多。传统防御无法跟上那些模仿合法行为、在幕后耐心运作的威胁。AI 赋予 SOC 团队减少警报疲劳、克服数据过载和帮助基于上下文进行调查的能力。您需要在发生安全漏洞之前找到自己的盲点，而不是在发生或之后。评估您的 SOC 的能力、当前挑战和战略愿景，并找出 AI 如何在今天和长期内为创建更有弹性的安全态势做出贡献。