 |
UDV Group: искусственный интеллект в SOC
Андрей Скороходов, руководитель исследовательских проектов UDV GROUP рассказывает о реальных возможностях искусственного интеллекта в SOC, где AI может заменить первую линию, а где без человека не обойтись.
Какие задачи первой линии SOC сегодня действительно лучше всего автоматизируются с помощью AI/ML — триаж алертов, дедупликация, приоритизация инцидентов или первичный контекстный анализ?
Прежде всего автоматизация с ML/AI хорошо интегрируется в процесс приоритезации или триажа инцидентов, поиска аномальных или связанных событий из различных источников. Кроме того, современные LLM модели могут достаточно хорошо справляться с помощью аналитикам как при общем анализе с использованием собственных знаний модели или базы знаний SOC, так и при формировании рекомендаций Заказчику или обогащении инцидента. Также решения с ML/AI могут успешно применяться для формирования отчетов, например, выполняя часть рутинной работы аналитика по сбору и анализу информации.
Насколько высок риск «уверенных ошибок» AI в SOC, когда модель ошибочно подтверждает легитимную активность как атаку, и как это влияет на нагрузку второй линии?
Риск ложных срабатываний моделей ML все еще достаточно велик, и без ограничивающих и корректирующих механизмов это естественным образом будет создавать дополнительную нагрузку на аналитиков, без учета того, что при таких частых сработках пропадет доверие к моделям и потребуется выделение отдельного ресурса для постоянной перепроверки. Можно сказать, что это обратная сторона медали использования моделей, когда за производительность приходится расплачиваться качеством. С другой стороны, если, например, модель обучена на нормальном поведении и выявляет аномальные события, это даст повышенную нагрузку на аналитиков, но позволит выявить атаки, не описанные статичными правилами. В любом случае, увеличение или снижение нагрузки на аналитиков будет напрямую зависеть от качества реализации ML/AI модуля.
Какие типы инцидентов и источники логов остаются принципиально сложными для AI без участия человека, несмотря на развитие LLM и UEBA?
Основная сложность заключается в большом разнообразии программного обеспечения и собственно источников событий, их синхронизации, а также в огромном потоке обрабатываемых событий, не везде программное обеспечение настроено на достаточный уровень логирования и т.д. Поэтому инциденты, оставляющие очень небольшой след в различных источниках, распределенные атаки или атаки, развивающиеся в течение длительного времени, все еще трудно детектировать при помощи представленных на рынке решений.
Как меняются требования к навыкам L1-аналитиков в SOC при внедрении AI: смещение в сторону контроля качества, обучения моделей и работы с false positive?
С применением технологий ML/AI аналитик хоть и не должен будет выполнять привычную работу, однако это не снимет с него требований к глубокому пониманию предметной области, в противном случае он не сможет качественно проверить результаты работы моделей. С другой стороны, при правильном построении процесса, за счет освобождения от рутинных операций у аналитика появится больше времени для улучшения своих навыков в предметной области.
При каких условиях AI может частично заменить первую линию SOC, а где его роль остается вспомогательной, а не замещающей?
AI уже при нынешнем развитии технологий может заменить первую линию SOC, оставив за аналитиками роль контролирующего органа. Что касается сложных комплексных инцидентов, растянутых во времени атак, здесь в ближайшее время все равно решение будет за человеком.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 19:58, 19.04.2026
Количество просмотров: 351
Страна: Россия
| На Северо-Западе столицы прошла профилактическая акция «Безопасный двор», УВД по СЗАО ГУ МВД России по г Москве, 21:39, 23.09.2026, Россия342 |
| К началу нового учебного года сотрудники Отдела Госавтоинспекции УВД по СЗАО ГУ МВД России по г. Москве провели в районе Строгино профилактическое мероприятие «Безопасный двор». Его главная задача — снизить риски дорожно-транспортных происшествий с участием детей. |
| «Телфин» представил интеграцию с платформой ABCP, Телфин, 21:34, 23.09.2026, Россия345 |
| Провайдер коммуникационных сервисов «Телфин» объявил об интеграции виртуальной АТС «Телфин.Офис» и платформы ABCP — IT-экосистемы для продаж и закупок автозапчастей. Связка сервисов расширяет их функциональность, создавая единую цифровую среду для эффективного взаимодействия с клиентами. |
| Axenix прокачает студентов ТвГТУ в сфере ИИ, Axenix, 21:34, 23.09.2026, Россия358 |  |
| Компания Axenix модернизировала лабораторию искусственного интеллекта Тверского государственного технического университета (ТвГТУ), дополнив ее новым оборудованием. |
|
|
