Akankah AI Menggantikan Analis Keamanan Siber?

Jawaban singkat: tidak, tetapi pekerjaan yang akan Anda rekrut dalam lima tahun tidak akan terlihat seperti pekerjaan yang diposting hari ini. AI sudah menangani sebagian dari apa yang dihabiskan junior analis SOC dalam shift mereka, dan berpura-pura sebaliknya tidak membantu siapa pun merencanakan karir.

Apa yang sudah dilakukan AI di SOC

Alat seperti Microsoft Security Copilot, CrowdStrike Charlotte AI, dan berbagai asisten LLM terintegrasi SIEM menangani triage alert, menulis ringkasan insiden awal, dan menghubungkan data log di seluruh sumber lebih cepat daripada manusia memindai query Splunk dengan tangan. Jika Anda pernah bekerja di kursi Tier 1, Anda tahu sebagian besar hari sering berulang: apakah login dari negara baru adalah ancaman nyata atau kesalahan konfigurasi VPN, apakah eksekusi PowerShell ini aktivitas admin normal atau awal dari rantai lateral movement. Pekerjaan triage itu, kecocokan pola terhadap yang diketahui buruk dan yang diketahui baik, adalah justru apa yang bagus dilakukan model machine learning.

Platform EDR telah menggunakan deteksi anomali berbasis ML selama bertahun-tahun sebelum "AI" menjadi istilah marketing pilihan. Apa yang berubah baru-baru ini adalah penambahan AI generatif di atasnya, jadi alih-alih hanya menandai anomali, alat dapat menyusun penjelasan yang dapat dibaca tentang apa yang terjadi dan menyarankan langkah selanjutnya. Itu adalah peningkatan produktivitas nyata untuk tim yang kerepotan.

Apa yang masih tidak bisa dilakukan AI dengan andal

Model menghalusinasi, dan dalam konteks SOC akar penyebab yang dihaluskan mengirim analis mengejar petunjuk yang salah selama insiden aktif. AI juga kekurangan konteks organisasi: tidak tahu bahwa lalu lintas outbound yang aneh dari tim keuangan setiap Jumat adalah pekerjaan backup warisan, bukan exfiltration, kecuali seseorang melatih konteks itu, dan bahkan kemudian edge case memecahnya.

Tekanan adversarial adalah masalah yang lebih besar daripada yang diakui kebanyakan demo vendor. Penyerang sudah menguji prompt injection terhadap alat pertahanan berbantuan AI dan membuat payload khusus untuk menghindari pengklasifikasi ML yang dilatih pada sampel malware tahun lalu. Model hanya sebaik data yang dilihatnya, dan aktor ancaman tahu itu dan beradaptasi lebih cepat daripada siklus pelatihan ulang di banyak toko.

Akhirnya, respons insiden melibatkan keputusan penilaian dengan konsekuensi hukum dan bisnis: apakah kami membawa server ini offline selama jam bisnis sibuk, apakah kami memberitahu pelanggan, apakah kami membayar ransomnya. Itu bukan masalah klasifikasi. Mereka memerlukan seseorang yang bertanggung jawab, dan perusahaan tidak akan membiarkan model membuat keputusan itu tanpa pengawasan.

Peran bergeser, tidak menghilang

Bandingkan ini dengan apa yang terjadi di network engineering ketika otomasi dan infrastructure-as-code matang. Tidak ada yang secara manual mengonfigurasi VLAN di switch individual lagi di toko modern, tetapi network engineer tidak hilang, mereka bergerak naik di stack menuju arsitektur dan kebijakan. Analis keamanan menuju arah yang sama. Triage tingkat entry-level sedang diotomatisasi, yang berarti pekerjaan tingkat entry-level itu sendiri semakin sulit ditemukan dalam bentuk sekarangnya. Apa yang berkembang adalah permintaan untuk orang yang dapat menyetel aturan deteksi, memvalidasi temuan yang dihasilkan AI, menulis aturan Sigma khusus untuk kesenjangan yang dilewatkan alat otomatis, dan menangani kasus ambigu yang memerlukan penalaran aktual tentang niat dan dampak bisnis.

Threat hunting adalah contoh bagus dari disiplin yang menjadi lebih berharga, bukan lebih sedikit, saat otomasi meningkat. Threat hunter mencari apa yang tidak ditandai sistem otomatis: mekanisme persistence yang duduk diam selama berbulan-bulan, ancaman insider yang terlihat seperti akses normal di atas kertas. Itu secara inheren aktivitas yang didorong hipotesis manusia.

Apa yang benar-benar harus dilakukan

Jika Anda memasuki lapangan atau sudah berada di dalamnya, jangan menghindari alat AI karena takut mereka akan menggantikan Anda. Pelajari cara menggunakannya dan pelajari mode kegagalannya. Dapatkan hands-on dengan SIEM (Splunk, Microsoft Sentinel, atau Elastic) dan praktikkan menulis logika deteksi sendiri sebelum Anda mengandalkan asisten AI untuk menghasilkannya, sehingga Anda dapat mengetahui kapan itu salah. Bangun keterampilan scripting di Python untuk parsing log dan otomasi, karena analis yang bergerak naik adalah mereka yang mengotomatisasi pekerjaan berulang mereka sendiri daripada menunggu vendor melakukannya.

Memahami bagaimana model itu sendiri gagal juga penting. Baca tentang adversarial machine learning dan prompt injection terhadap alat keamanan; pengetahuan itu menjadi sama relevannya untuk blue teamers seperti mengetahui cara kerja phishing kit. Analis yang tetap berharga adalah mereka yang memperlakukan AI sebagai force multiplier yang mereka kontrol, bukan black box yang mereka percayai secara buta.

Korra Studio memiliki lab hands-on mencakup SIEM fundamentals, detection engineering, dan threat hunting jika Anda ingin membangun keterampilan yang berada di atas lapisan otomasi daripada bersaing dengan itu.