قبل عام طرحتُ حجةً. هذا العام، قمنا بقياسها.
كتبتُ الصيف الماضي عن هرم النفوذ — الفكرة التي تقوم بها في بيئة معززة بالبشر SOC, ليست جميع تعليقات المحللين متساوية. النقر على "نتيجة إيجابية خاطئة" هو المستوى الأول. إنه يزيّن واجهة المستخدم. لكن "خطأ في البرنامج لأن powershell.exe يقوم بأتمتة التحديثات على هذا المضيف" هذا هو المستوى الرابع. هذا ليس تصنيفًا، بل هو التدريس.
أنهيت تلك التدوينة بعبارة كنت أؤمن بها لكنني لم أستطع إثباتها بعد:
استخدم SOC يزداد ذكاءً بالتعلم من أفضل معلميه: المحلل الذي يعرف متى يوجه، ومتى يتجاوز، ومتى... علّم النظام ألا يكرر نفس الخطأ مرتين.
متفائلون بالرؤية، وواقعيون بشأن ما يوصلنا إليها. لذا قمنا هذا العام بالجزء غير الجذاب: أنشأنا الآلية التي تنقل تلك التغذية الراجعة من المستوى الرابع إلى الأمام - الذاكرة المؤسسية - ثم أجرينا التجربة لنرى ما إذا كانت فعالة بالفعل.
نعم، هذا صحيح. إليك الإيصال.
الآلية: التغذية الراجعة التي تنتقل للأمام
الذاكرة هي العنصر الذي يحوّل التصحيح العابر إلى تغيير دائم. عندما يُغيّر المحلل رأيه بسبب وجيه، تحتفظ المنصة بهذا السبب وتُطبّقه على التنبيه المُطابق التالي. ليس كقاعدة صارمة تُفعّل بشكل عشوائي، بل كعامل مؤثر. يُقيّم الذكاء الاصطناعي الأمر، لكن يبقى القرار للمحلل. إنها مجرد لمسة خفيفة، وليست تدخلاً كاملاً.
الوعد بسيط: علّم النظام مرة واحدة، ولن يكرر الخطأ. لكن السؤال كان دائماً: هل هذا صحيح عند قياسه؟
الاختبار
لم نكن نريد عرضًا تجريبيًا. أردنا رقمًا نثق به بأنفسنا.
لذا، جمعنا 150 تنبيهًا حقيقيًا من بيئة إنتاجية. ولتحديد الحكم الصحيح - دون الاعتماد على تحيز أي نظام بعينه - استعنّا بعدة مراجعين مستقلين ذوي كفاءة عالية في مجال الذكاء الاصطناعي لتقييم كل تنبيه دون معرفة مسبقة به، ثم ربطنا هذه الأحكام بتصنيفات خبير أمني بشري. وقد وفر لنا ذلك مرجعًا موثوقًا لكل تنبيه.
ثم عثرنا على التنبيهات التي تعارض فيها حكم الإنتاج الأصلي مع المرجع - وهي أمثلة حقيقية على نوع الخطأ الذي يكتشفه المحلل ويصححه. لكل تنبيه، قمنا بما يفعله فريقكم يوميًا: توثيق التصحيح كمعرفة مؤسسية. وأعدنا عملية الفرز بطريقتين - مع وبدون الذاكرة - وقارنا كل نتيجة بالحكم المرجعي.
النتيجة
في تلك التنبيهات المصححة، ارتفعت نسبة القرارات التي تطابقت مع الحكم الصحيح من حوالي 13% بدون ذاكرة إلى حوالي 52% مع الذاكرة.
بشكل صحيح، وبنسبة أربع مرات تقريبًا ، بمجرد أن تعلم النظام من التعليقات.
ببساطة: عندما عرّفنا النظام على خطأ ما، زادت احتمالية تصحيحه للخطأ في المرة القادمة التي يواجه فيها تنبيهًا مشابهًا. إنّ التغذية الراجعة من المستوى الرابع في هذا الهرم ليست مجرد تحسين شكلي، بل تُحدث تغييرًا ملموسًا في النتائج.
ملاحظة من واقعي - لأنني وعدت بأن أكون كذلك: هذه الأرقام مستقاة من اختبارات A/B داخلية على مجموعة محددة من التنبيهات المصححة، وليست ضمانًا للإنتاج. ما زلنا نتحقق من مدى امتداد هذا التأثير على نطاق أوسع من حركة المرور اليومية. لكن الآلية الأساسية - تلقي الملاحظات، والحصول على نتائج أفضل - لم تعد مجرد ادعاء، بل أصبحت قياسًا.
لماذا يُعد هذا الأمر مهمًا بالنسبة لك؟ SOC
- الضوضاء التي تجاهلتها بالفعل تتوقف عن العودة. انخفاض عدد النتائج الإيجابية الخاطئة المتكررة يعني توجيه الانتباه إلى ما هو جديد حقًا.
- إن خبرة كبار المحللين لديك تبقى بعد رحيلهم. يصبح فهمهم لبيئتك معرفة دائمة ومُدارة - وليست ذاكرة قبلية تتلاشى عند تغيير الموظفين.
- يتضاعف. كلما زاد استخدام فريقك للنظام، كلما ازدادت ملاءمته لبيئتك الخاصة. وهذا يُشكل ميزة تنافسية تتطور مع الاستخدام.
- يحصل مزودو خدمات الأمن المدارة (MSSPs) على ذلك لكل عميل. تقتصر المعرفة على مستأجر واحد مع عزل صارم - سياق كل عميل يُحسّن عملية الفرز الخاصة به، ولا يتقاطع أبدًا.
ولأن كل معلومة يتم تعلمها تعود إلى قرار بشري، فإن كل هذا ليس صندوقًا أسود. يمكنك دائمًا معرفة ما استند إليه الحكم، وتعديله. استقلالية تحترم مدخلاتك بما يكفي لتوجيه الآلة.
لا تزال التغذية الراجعة بمثابة وقود - الآن مع مقياس
قبل عام، كانت عبارة "التعليقات هي وقود" مجرد قناعة. أما الآن، فقد أصبحت مجرد رقم. ولم ننتهِ بعد: الخطوة التالية هي تمكين المحللين من تعليم النظام مسبقًا - من خلال وصف بيئتهم بشكل استباقي بدلًا من تلقي تنبيه واحد في كل مرة - بحيث يبدأ النظام العمل وهو على دراية مسبقة بخوادم التحديثات، وشرائح المستخدمين الضيوف، وحسابات الخدمة.
استخدم SOC لا يصبح النظام أكثر ذكاءً من تلقاء نفسه. بل يصبح أكثر ذكاءً من خلال التعلم من المحلل الذي يعرف متى يوجهه، ومتى يتجاوزه، ومتى يعلمه ألا يكرر الخطأ نفسه مرتين.
لقد جادلت بذلك العام الماضي. أما هذا العام، فأستطيع أن أثبت ذلك.
شاهد العميل المعزز بالإنسان السيبراني النجمي SOC — بما في ذلك الذاكرة المؤسسية — قيد التنفيذ. طلب عرض توضيحي أو تحدث إلى ممثل شركة ستيلار سايبر الخاص بك حول نظام التشغيل الذاتي SOC اضافه.
