Va înlocui AI-ul analiștii de securitate cibernetică?

Răspuns scurt: nu, dar jobul pentru care ai fi angajat peste cinci ani nu va arăta ca postarea de astazi. AI-ul face deja o parte din ceea ce iau în sarcină analiștii junior din SOC în timpul turelor lor, și a pretinde contrariul nu ajută pe nimeni să-și plănuiască cariera.

Ce face deja AI-ul în SOC

Instrumente precum Microsoft Security Copilot, CrowdStrike Charlotte AI și diferiți asistenți LLM integrati în SIEM gestionează triajul alertelor, redactează rezumate inițiale ale incidentelor și corelează date din jurnale din mai multe surse mai repede decât un om care analizeaza manual cereri Splunk. Dacă ai lucrat într-o poziție Tier 1, știi că mare parte din zi este adesea repetitivă: este această autentificare dintr-o nouă țară o amenințare reală sau o configurare greșită a VPN, este această execuție PowerShell o activitate normală de administrator sau începutul unui lanț de mișcări laterale. Acea muncă de triaj, identificarea de modele împotriva celor cunoscute ca rele și celor cunoscute ca bune, este exact pentru ceea ce sunt bune modelele de machine learning.

Platformele EDR au folosit detecția anomaliilor bazate pe ML ani de zile înainte ca "AI" să devină termenul preferat de marketing. Ce s-a schimbat recent este adăugarea de AI generativ deasupra, deci în loc să doar marchezi o anomalie, instrumentul poate redacta o explicație ușor de citit a ceea ce s-a întâmplat și sugera pașii următori. Asta e un câștig real de productivitate pentru o echipă întinsă.

Ce nu poate face AI-ul în mod fiabil

Modelele halucinează, și într-un context SOC o rădăcină de cauză halucinată trimite un analist să urmărească pista greșită în timp ce un incident este în curs. AI-ul lipsește, de asemenea, de context organizațional: nu știe că traficul ciudat ieșitor al echipei finanțelor în fiecare vineri este o sarcină de backup moștenită, nu exfiltrare, decât dacă cineva a antrenat acel context în ea, și chiar și atunci cazurile limită o destabilizează.

Presiunea adversarială este o problemă mai mare decât recunoaște majoritatea demo-urilor furnizorilor. Atacatorii testează deja injecție de prompt împotriva instrumentelor de apărare asistate de AI și creează sarcini specifice pentru a evita clasificatorii ML antrenați pe eșantioane de malware din anul trecut. Un model este doar atât de bun cât datele pe care le-a văzut, și actorii amenințarilor știu asta și se adaptează mai repede decât ciclurile de reentrainare în multe magazine.

În sfârșit, răspunsul la incident implică decizii cu consecințe legale și de afaceri: deconectez acest server în orele de vârf, notific clienții, plătesc răscumpunarea. Acestea nu sunt probleme de clasificare. Necesită pe cineva responsabil, și companiile nu vor permite unui model să ia acea decizie fără supraveghere.

Rolul se schimbă, nu dispare

Comparați aceasta cu ceea ce s-a întâmplat în ingineria rețelei atunci când automatizarea și infrastructure-as-code s-au maturizat. Nimeni nu mai configurează manual VLAN-uri pe comutatoare individuale în magazinele moderne, dar inginerii de rețea nu au dispărut, s-au mutat mai sus în stivă către arhitectură și politică. Analiștii de securitate se îndreaptă în aceeași direcție. Greutatea triajului la nivel de intrare se automatizează, ceea ce înseamnă că jobul la nivel de intrare în sine devine mai greu de găsit în forma sa actuală. Ceea ce crește este cererea de oameni care pot acorda reglări la regulile de detecție, valida descoperirile generate de AI, scrie reguli Sigma personalizate pentru lacunele pe care le ratează instrumentele automatizate și gestionează cazurile ambigue care au nevoie de raționament real despre intenție și impact de afaceri.

Căutarea amenințărilor este un bun exemplu de disciplină care devine mai valoroasă, nu mai puțin, pe măsură ce automatizarea se îmbunătățește. Vânătorii de amenințări caută ceea ce sistemele automatizate nu au marcat: mecanismul de persistență care stă liniștit de luni, amenința însiderului care arată ca acces normal pe hârtie. Aceasta este în mod inerent o activitate condusă de ipoteze umane.

Ce să faci de fapt în legătură cu asta

Dacă intri în domeniu sau ești deja în el, nu evita instrumentele AI din teamă că te vor înlocui. Învață să le folosești și învață modurile lor de eșec. Lucrează practic cu un SIEM (Splunk, Microsoft Sentinel sau Elastic) și exersează scrierea logicii de detecție singur înainte să te bazezi pe un asistent AI pentru a o genera, deci să poți vedea când nu e corect. Construiește abilități de scripting în Python pentru parsarea jurnalelor și automatizare, pentru că analiștii care avansează sunt cei care-și automatizează munca lor repetitivă în loc să aștepte de la furnizor să o facă pentru ei.

Înțelegerea cum eșuează modelele în sine contează de asemenea. Citește despre machine learning adversarial și injecție de prompt împotriva instrumentelor de securitate; acea cunoaștere devine la fel de relevantă pentru apărătorii albastri ca știind cum funcționează kiturile de phishing. Analiștii care rămân valoroși sunt cei care tratează AI ca un multiplicator de forță pe care-l controlează, nu o cutie neagră în care se încred orb.