A fydd AI yn Disodli Dadansoddwyr Diogelwch Seiber?

Ateb byr: nac ydyw, ond ni fydd y swydd a fyddai'n eich cyflogi mewn pump mlynedd yn edrych yr un peth â'r swydd sy'n cael ei chyhoeddi heddiw. Mae AI eisoes yn gwneud porsiynau helaeth o'r hyn y mae dadansoddwyr SOC iau yn ei dreulio eu shifftiau arno, ac nid yw cymryd arnom nad yw hyn yn digwydd yn helpu neb gynllunio gyrfa.

Beth y mae AI yn ei wneud eisoes yn y SOC

Mae offer fel Microsoft Security Copilot, CrowdStrike Charlotte AI, a nifer o gynorthwywyr LLM wedi'u hintegreiddio â SIEM yn trin triage rhybuddion, yn ysgrifennu crynodebau digwyddiad cychwynnol, ac yn cydberthynu data log ar draws ffynonellau yn gyflymach na pherson yn sganio Splunk queries â llaw. Os ydych chi wedi gweithio mewn sedd Tier 1, rydych chi'n gwybod bod y rhan fwyaf o'r diwrnod yn aml yn ailadroddus: a yw'r mewngofnod hwn o wlad newydd yn fygythiad go iawn neu gamddrefniad VPN, a yw'r digwyddiad PowerShell hwn yn weithgarwch gweinyddol arferol neu ddechrau cadwyn symud ochr i ochr. Dyma'r gwaith triage, priodweddau'r patrwm yn erbyn yr hyn sy'n ddrwg ac yr hyn sy'n dda, sef union beth y mae modelau dysgu peiriant yn dda arno.

Mae platformau EDR wedi defnyddio canfod anomaleddau sy'n seiliedig ar ML ers blynyddoedd cyn i "AI" ddod yn derm marchnata o ddewis. Yr hyn sydd wedi newid yn ddiweddar yw'r ychwanegiad o AI generadurol ar ben hynny, felly yn lle dim ond fflagio anomali, gall yr offeryn ddrafftio esboniad darllenadwy o'r hyn a ddigwyddodd ac awgrymu camau nesaf. Mae hynny'n enillion cynhyrchiant go iawn i dîm sy'n frysur.

Beth na all AI ei wneud yn ddibynadwy

Mae modelau'n hallucineiddio, ac mewn cyd-destun SOC mae achos gwraidd hallucineiddio yn anfon dadansoddwr ar ôl y arweiniad anghywir yn ystod digwyddiad gweithredol. Hefyd, mae AI yn diffygio cyd-destun sefydliadol: nid yw'n gwybod bod trafig allfa rhyfedd tîm ariannol bob dydd Gwener yn waith wrth gefn etifeddol, nid alltfudo, oni bai bod rhywun wedi hyfforddi'r cyd-destun hwnnw iddo, ac hyd yn oed wedyn mae achosion ymyl yn ei dorri.

Pwysau gwrthwynebol yw'r broblem fwy na'r hyn y mae mwyafrif arddangosfeydd gwerthwyr yn ei gydnabod. Mae ymosodwyr eisoes yn profi chwistrellu cyfarwyddyd yn erbyn offer amddiffyn â chymorth AI ac yn llunio llwythi'n benodol i osgoi dosbarthwyr ML hyfforddedig ar samplau malware o'r llynedd. Nid yw model yn dda ond cyn dda â'r data a welodd, ac mae actorau bygythiad yn gwybod hynny ac yn addasu'n gyflymach na chylchredau hyfforddi mewn llawer o siopau.

Yn olaf, mae ymateb i ddigwyddiadau'n cynnwys penderfyniadau sy'n cael canlyniadau cyfreithiol ac yn y byd busnes: a ydym ni'n mynd â'r gweinydd hwn all-lein yn ystod oriau prysuraf y busnes, a ydym ni'n hysbysu cwsmeriaid, a ydym ni'n talu'r tân. Nid problemau dosbarthiad yw'r rhain. Maent yn gofyn am rywun atebol, ac nid yw cwmnïau'n mynd i adael i fodelau wneud yr alwad honno heb oruchwyliaeth.

Mae'r rôl yn symud, nid yn diflannu

Cymharwch hyn â'r hyn a ddigwyddodd mewn peirianneg rhwydwaith pan ddatblygodd awtomeiddio a seilwaith-fel-cod. Nid yw neb yn ffurfweddu VLANau â llaw ar switshys unigol mewn siop fodern mwyach, ond ni ddiflannodd peiriannwyr rhwydwaith, dyma nhw'n symud i fyny'r pentwr tuag at pensaernïaeth a pholisi. Mae dadansoddwyr diogelwch yn mynd i'r un cyfeiriad. Mae'r slach triage lefel-mynediad yn cael ei awtomeiddio, sy'n golygu bod y swydd lefel-mynediad ei hun yn cael ei gwneud yn anoddach i'w chanfod yn ei ffurf presennol. Yr hyn sy'n tyfu yw'r galw am bobl a all allosod rheolau canfod, dilysu canfyddiadau a gynhyrchir gan AI, ysgrifennu rheolau Sigma personol ar gyfer y bylchau y mae offer awtomatig yn eu methu, a thrin yr achosion amwys sy'n gofyn am resymu go iawn am fwriad a'r effaith ar y busnes.

Heilgyniad bygythiad yw enghraifft dda o ddisgybliaeth sy'n dod yn fwy gwerthfawr, nid yn llai, wrth i awtomeiddio wella. Mae heilgynwyr bygythiad yn chwilio am yr hyn na flagoiodd y systemau awtomatig: y mecanizmau parhad sy'n eistedd yn dawel am fisoedd, y bygythiad tu fewn sy'n edrych fel mynediad arferol ar bapur. Dyna'n ôl i weithgarwch sy'n seiliedig ar hypothesis dynol yn gynhenid.

Beth sydd angen ei wneud mewn gwirionedd

Os ydych chi'n torri i mewn i'r maes neu eisoes ynddo, peidiwch ag osgoi'r offer AI rhag ofn y byddant yn eich disodli. Dysgu'u defnyddio a dysgu eu hwylusgwll. Cael trafodion ymarferol gyda SIEM (Splunk, Microsoft Sentinel, neu Elastic) a chyfarfer ysgrifennu rhesymeg canfod eich hun cyn i chi ddibynnu ar gynorthwyydd AI i'w gynhyrchu, fel y gallwch chi weld pryd y mae'n anghywir. Adeiladu sgiliau sgriptio ynddo Python ar gyfer dosraniad log ac awtomeiddio, gan mai'r dadansoddwyr sy'n symud i fyny yw'r rhai sy'n awtomeiddio eu gwaith ailadroddus eu hunain yn hytrach nag aros i'r gwerthwr ei wneud.

Mae deall sut y mae'r modelau eu hunain yn methu yn bwysig hefyd. Darllenwch am ddysgu peiriant gwrthwynebol a chwistrellu cyfarwyddyd yn erbyn offer diogelwch; mae'r gwybodaeth honno'n dod yn berthnasol i dimau glas gymaint â gwybod sut y mae kits pysgota yn gweithio. Yr dadansoddwyr sy'n aros yn werthfawr yw'r rhai sy'n trin AI fel lluosydd grym y maent yn ei reoli, nid blwch du y maent yn ei ymddiried ynddo'n ddall.

Mae gan Korra Studio labiau ymarferol yn trafod hanfodion SIEM, peirianneg canfod, a heilgyniad bygythiad os ydych chi am adeiladu'r sgiliau sy'n eistedd uwchben yr haen awtomeiddio yn hytrach na chystadlu â hi.