في مراكز العمليات الأمنية التقليدية (SOC) يتكدس آلاف التنبيهات في قوائم انتظار طويلة، معظمها لا يصل أبداً إلى مرحلة التحقيق البشري بسبب محدودية الوقت والموارد. هذا النموذج القديم يعتمد على أن المحلل هو الطبقة الأساسية للتحقيق، ما يجعل القرار بالتصعيد أو الإهمال يتم قبل معرفة حقيقة الإشارة.
التحول إلى التحقيق القائم على الفرضيات
النهج الجديد الذي تقوده العمليات الأمنية المعتمدة على الوكلاء الذكيين يغيّر المعادلة. بدلاً من الانتظار في طابور التنبيهات، يمكن للوكلاء المدعومين بالذكاء الاصطناعي البدء بالتحقيق فور ظهور الإشارة:
- التحقق من صحة الاكتشاف.
- تحليل النشاط الشبكي المرتبط.
- بناء ملف سلوكي للكيان المتأثر.
- مقارنة السلوك مع الأنماط التاريخية.
- ربط الأنشطة ذات الصلة وجمع الأدلة.
بهذا الشكل، يصبح التحقيق آلياً وموازياً، ويصل المحلل البشري إلى القضية فقط عندما تكون مدعومة بأدلة واضحة.
الصيد السيبراني على نطاق آلي
الصيد التقليدي يبدأ بسؤال: “ما الذي تم اكتشافه؟” بينما الصيد المدعوم بالذكاء الاصطناعي يبدأ بسؤال: “ما الذي يفعله المهاجم؟”. فرضيات مثل:
- استخدام بروتوكول غير مألوف للسيطرة.
- التحرك الجانبي عبر خدمات الإدارة عن بُعد.
- تجهيز البيانات لتهريبها.
- التواصل مع أنظمة لا سبب مشروع للتواصل معها. كل فرضية يمكن اختبارها عبر أدلة الشبكة، ما يجعل التحقيق أكثر دقة ومرونة.
نموذج التحقيق الجديد
المسار التقليدي: تنبيه → قائمة انتظار → محلل → تحقيق → قرار
المسار الجديد: تنبيه → تحقيق آلي → أدلة → حكم بشري
أما الصيد التقليدي: بيانات → إشارة → محلل → فرضية → تحقيق → قرار
في حين أن النموذج القائم على الفرضية المدعوم بالوكلاء: بيانات → إشارة → فرضية → تحقيق آلي → أدلة → حكم بشري
الفوائد العملية
- خفض التكلفة: الوكلاء يتولون جمع الأدلة والتحليل.
- تغطية أوسع: يمكن التحقيق في مسارات هجوم أكثر.
- تسريع الاستجابة: التهديدات الحقيقية تُكشف بسرعة.
- رفع قيمة وقت المحلل: البشر يركزون على القرارات المعقدة.
- تحويل البيانات إلى أدلة: كل حركة مرور شبكية تصبح مادة للتحقيق.
