 |
UDV Group: искусственный интеллект в SOC
Андрей Скороходов, руководитель исследовательских проектов UDV GROUP рассказывает о реальных возможностях искусственного интеллекта в SOC, где AI может заменить первую линию, а где без человека не обойтись.
Какие задачи первой линии SOC сегодня действительно лучше всего автоматизируются с помощью AI/ML — триаж алертов, дедупликация, приоритизация инцидентов или первичный контекстный анализ?
Прежде всего автоматизация с ML/AI хорошо интегрируется в процесс приоритезации или триажа инцидентов, поиска аномальных или связанных событий из различных источников. Кроме того, современные LLM модели могут достаточно хорошо справляться с помощью аналитикам как при общем анализе с использованием собственных знаний модели или базы знаний SOC, так и при формировании рекомендаций Заказчику или обогащении инцидента. Также решения с ML/AI могут успешно применяться для формирования отчетов, например, выполняя часть рутинной работы аналитика по сбору и анализу информации.
Насколько высок риск «уверенных ошибок» AI в SOC, когда модель ошибочно подтверждает легитимную активность как атаку, и как это влияет на нагрузку второй линии?
Риск ложных срабатываний моделей ML все еще достаточно велик, и без ограничивающих и корректирующих механизмов это естественным образом будет создавать дополнительную нагрузку на аналитиков, без учета того, что при таких частых сработках пропадет доверие к моделям и потребуется выделение отдельного ресурса для постоянной перепроверки. Можно сказать, что это обратная сторона медали использования моделей, когда за производительность приходится расплачиваться качеством. С другой стороны, если, например, модель обучена на нормальном поведении и выявляет аномальные события, это даст повышенную нагрузку на аналитиков, но позволит выявить атаки, не описанные статичными правилами. В любом случае, увеличение или снижение нагрузки на аналитиков будет напрямую зависеть от качества реализации ML/AI модуля.
Какие типы инцидентов и источники логов остаются принципиально сложными для AI без участия человека, несмотря на развитие LLM и UEBA?
Основная сложность заключается в большом разнообразии программного обеспечения и собственно источников событий, их синхронизации, а также в огромном потоке обрабатываемых событий, не везде программное обеспечение настроено на достаточный уровень логирования и т.д. Поэтому инциденты, оставляющие очень небольшой след в различных источниках, распределенные атаки или атаки, развивающиеся в течение длительного времени, все еще трудно детектировать при помощи представленных на рынке решений.
Как меняются требования к навыкам L1-аналитиков в SOC при внедрении AI: смещение в сторону контроля качества, обучения моделей и работы с false positive?
С применением технологий ML/AI аналитик хоть и не должен будет выполнять привычную работу, однако это не снимет с него требований к глубокому пониманию предметной области, в противном случае он не сможет качественно проверить результаты работы моделей. С другой стороны, при правильном построении процесса, за счет освобождения от рутинных операций у аналитика появится больше времени для улучшения своих навыков в предметной области.
При каких условиях AI может частично заменить первую линию SOC, а где его роль остается вспомогательной, а не замещающей?
AI уже при нынешнем развитии технологий может заменить первую линию SOC, оставив за аналитиками роль контролирующего органа. Что касается сложных комплексных инцидентов, растянутых во времени атак, здесь в ближайшее время все равно решение будет за человеком.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 19:58, 19.04.2026
Количество просмотров: 299
Страна: Россия
| UDV Group: энергетику ждет комплексная перестройка ИТ-ландшафта, UDV Group, 00:11, 09.05.2026, Россия562 |
| Перечень типовых отраслевых объектов критической информационной инфраструктуры (КИИ), утвержденный в феврале 2026 года распоряжением Правительства РФ № 360-р, сделал подход к защите КИИ более жестким. Теперь игнорирование документа грозит не только высокими штрафами, но и остановкой бизнеса. |
| «Аксиома-Софт» автоматизировала учет ювелирных изделий в Торговом доме «Культура Дома», ООО "АКСИОМА-СОФТ", 00:07, 09.05.2026, Россия567 |
| «Аксиома-Софт» автоматизировала учет ювелирных изделий в Торговом доме «Культура Дома» с помощью модуля «АКСИОМА: Интеграция с ГИИС ДМДК». Решение упростило работу по нескольким юридическим лицам: автоматическое создание номенклатуры, договоров, спецификаций. Исключено дублирование операций, ускорена передача данных в ГИИС ДМДК. Оптимизирован учет поступлений, оптовых и розничных продаж для 10 пользователей. |
| Юникон Бизнес Солюшнс будет внедрять Arenadata Harmony MDM, Гармония MDM, 23:59, 08.05.2026, Россия571 |  |
| Решения «Гармония», разработчик российского self-service решения для управления мастер-данными, и компания Юникон Бизнес Солюшнс, специализирующаяся на управленческом и ИТ-консалтинге, заключили стратегическое партнерство. |
| В России впервые реализован инструмент анализа мобильных приложений через нейросети, IT-Agency, 23:48, 08.05.2026, Россия137 |
| Сервис для анализа присутствия брендов в AI-поиске «Киберкошка» расширил функциональность: помимо мониторинга AI-видимости брендов, платформа начала анализировать, как мобильные приложения представлены в ответах нейросетей. Это первый на рынке инструмент, который позволяет оценить их роль в формировании пользовательских рекомендаций. |
|
|
