एक साल पहले मैंने एक तर्क दिया था। इस साल हमने उसका मूल्यांकन किया।
पिछली गर्मियों में मैंने इसके बारे में लिखा था प्रभाव का पिरामिड — यह विचार कि मानव-संवर्धित में SOC, सभी विश्लेषकों की प्रतिक्रिया एक जैसी नहीं होती। "फॉल्स पॉजिटिव" पर क्लिक करना टियर 1 है। यह इंटरफ़ेस को सजाता है। लेकिन “FP क्योंकि powershell.exe इस होस्ट पर पैच ऑटोमेशन है” — यह टियर 4 है। यह टैगिंग नहीं है, यह है... शिक्षण।
मैंने उस पोस्ट को एक ऐसी पंक्ति के साथ समाप्त किया जिस पर मुझे विश्वास था लेकिन जिसे मैं अभी तक साबित नहीं कर सका था:
RSI SOC यह अपने सर्वश्रेष्ठ शिक्षक से सीखकर और भी बुद्धिमान बनता है: वह विश्लेषक जो जानता है कि कब मार्गदर्शन करना है, कब निर्णय को पलटना है और कब नहीं। सिस्टम को सिखाएं कि वह एक ही गलती दोबारा न दोहराए।
हम अपने लक्ष्य को लेकर आशावादी हैं, लेकिन साथ ही साथ उसे हासिल करने के लिए आवश्यक चीज़ों को लेकर यथार्थवादी भी हैं। इसलिए इस साल हमने वो काम किया जो उतना आकर्षक नहीं है: हमने वो तंत्र विकसित किया जो चौथे स्तर की प्रतिक्रिया को आगे बढ़ाता है — यानी संस्थागत स्मृति — और फिर हमने यह देखने के लिए प्रयोग किया कि क्या यह वास्तव में काम करता है।
जी हाँ। ये रही रसीद।
कार्यप्रणाली: आगे बढ़ने वाली प्रतिक्रिया
स्मृति ही वह कड़ी है जो एक बार की गलती को स्थायी बदलाव में बदल देती है। जब कोई विश्लेषक किसी निर्णय को ठोस कारण से खारिज करता है, तो प्लेटफ़ॉर्म उस तर्क को याद रखता है और उसे अगली मिलती-जुलती चेतावनी पर लागू करता है। यह कोई कठोर नियम नहीं है जो अंधाधुंध लागू हो जाए, बल्कि एक प्रभाव है। एआई इसका विश्लेषण करता है; निर्णय अंततः विश्लेषक का ही होता है। यह स्टीयरिंग व्हील को हल्का सा घुमाने जैसा है, न कि पूरी तरह से नियंत्रण खोने जैसा।
वादा सीधा-सादा है: सिस्टम को एक बार सिखाओ, और वह गलती नहीं दोहराएगा। सवाल हमेशा यही था कि क्या मापने पर यह वादा खरा उतरता है।
कसौटी
हमें डेमो नहीं चाहिए था। हमें एक ऐसा आंकड़ा चाहिए था जिस पर हम खुद भरोसा कर सकें।
इसलिए हमने प्रोडक्शन एनवायरनमेंट से 150 वास्तविक अलर्ट लिए। किसी एक सिस्टम के पूर्वाग्रह पर निर्भर हुए बिना, सही निर्णय लेने के लिए , हमने कई सक्षम और स्वतंत्र AI समीक्षकों से प्रत्येक अलर्ट का निष्पक्ष मूल्यांकन करवाया, और फिर उन निर्णयों को मानव सुरक्षा विशेषज्ञ के लेबलों से जोड़ा। इससे हमें प्रत्येक अलर्ट के लिए एक विश्वसनीय संदर्भ प्राप्त हुआ।
फिर हमें वे अलर्ट मिले जहाँ मूल उत्पादन निर्णय उस संदर्भ से असहमत था — विश्लेषक द्वारा पकड़ी और सुधारी जाने वाली गलतियों के वास्तविक उदाहरण। प्रत्येक मामले में, हमने वही किया जो आपकी टीम प्रतिदिन करती है: सुधार को संस्थागत ज्ञान के रूप में दर्ज किया। और हमने दो तरीकों से ट्राइएज को दोबारा चलाया — बिना मेमोरी के और मेमोरी के साथ — प्रत्येक परिणाम की तुलना संदर्भ निर्णय से की।
परिणाम
उन संशोधित चेतावनियों पर, सही निर्णय से मेल खाने वाले निर्णयों का हिस्सा मेमोरी के बिना लगभग 13% से बढ़कर मेमोरी के साथ लगभग 52% हो गया।
फीडबैक से सीखने के बाद, सही उत्तरों की संभावना लगभग चार गुना अधिक हो जाती है ।
सरल शब्दों में कहें तो: जब हमने सिस्टम को किसी गलती के बारे में सिखाया, तो अगली बार जब उसे वैसी ही चेतावनी मिली, तो उसके सही होने की संभावना कहीं अधिक बढ़ गई। उस पिरामिड से मिलने वाला टियर-4 फीडबैक सिर्फ दिखावटी नहीं है। यह परिणामों में स्पष्ट रूप से बदलाव लाता है।
एक यथार्थवादी टिप्पणी — क्योंकि मैंने ऐसा करने का वादा किया था: ये आंकड़े नियंत्रित अलर्ट के एक समूह पर किए गए आंतरिक A/B परीक्षण से प्राप्त हुए हैं, न कि उत्पादन की गारंटी से। हम अभी भी यह सत्यापित कर रहे हैं कि व्यापक, सामान्य ट्रैफ़िक पर इसका प्रभाव कितना व्यापक है। लेकिन मूल प्रक्रिया — फीडबैक प्राप्त करना, बेहतर परिणाम प्राप्त करना — अब केवल एक दावा नहीं है, बल्कि एक माप है।
यह आपके लिए क्यों मायने रखता है SOC
- जिस शोर को आपने पहले ही नजरअंदाज कर दिया था, वह फिर से आना बंद हो जाता है। बार-बार गलत सकारात्मक परिणाम आने की संभावना कम होने से ध्यान वास्तव में नई चीजों पर केंद्रित होता है।
- आपके वरिष्ठ विश्लेषकों का ज्ञान उनके बाद भी कायम रहता है। आपके परिवेश के बारे में उनकी समझ टिकाऊ, सुनियोजित ज्ञान बन जाती है - न कि वह जनजातीय स्मृति जो कर्मचारियों के जाने पर साथ चली जाती है।
- यह यौगिक बनता है। आपकी टीम जितना अधिक समय तक सिस्टम के साथ काम करेगी, उतना ही यह आपके परिवेश को विशिष्ट रूप से प्रतिबिंबित करेगा। यह एक ऐसी सुरक्षा कवच है जो उपयोग के साथ-साथ मजबूत होती जाती है।
- MSSP को यह प्रति ग्राहक के हिसाब से मिलता है। ज्ञान को सख्त अलगाव के साथ एक ही दायरे में सीमित रखा जाता है - प्रत्येक ग्राहक का संदर्भ उनके अपने प्राथमिकीकरण को और अधिक सटीक बनाता है, और यह कभी भी दूसरे दायरे में नहीं आता है।
और चूंकि हर सीखी हुई बात किसी मानवीय निर्णय से जुड़ी होती है, इसलिए यह सब कुछ रहस्यमय नहीं है। आप हमेशा यह देख सकते हैं कि किस आधार पर कोई निर्णय लिया गया है — और उसे बदल भी सकते हैं। यह स्वायत्तता आपके सुझावों का सम्मान करती है और मशीन को उनका मार्गदर्शन करने देती है।
फीडबैक अब भी प्रेरणा का स्रोत है — अब एक मापक के साथ।
एक साल पहले, "फीडबैक ही ईंधन है" एक दृढ़ विश्वास था। अब यह एक आंकड़ा मात्र है। और अभी काम पूरा नहीं हुआ है: अगला कदम है विश्लेषकों को सिस्टम को पहले से ही सिखाने देना — एक-एक करके अलर्ट देने के बजाय, उन्हें अपने वातावरण का पहले से ही वर्णन करने देना — ताकि मशीन आपके पैच सर्वर, गेस्ट सेगमेंट और सर्विस अकाउंट्स के बारे में पहले से ही जानती हुई सिस्टम में प्रवेश करे।
RSI SOC कोई भी चीज़ अपने आप समझदार नहीं हो जाती। वह विश्लेषक से सीखकर समझदार होती है, जो जानता है कि कब उसे प्रेरित करना है, कब उसके फैसले को पलटना है और कब उसे यह सिखाना है कि एक ही गलती दोबारा न दोहराई जाए।
पिछले साल मैंने यही तर्क दिया था। इस साल मैं इसे साबित कर सकता हूँ।
स्टेलर साइबर ह्यूमन-ऑगमेंटेड एजेंटिक देखें SOC संस्थागत स्मृति सहित, क्रियाशील अवस्था में। डेमो का अनुरोध करें या ऑटोनॉमस के बारे में अपने स्टेलर साइबर प्रतिनिधि से बात करें। SOC ऐड ऑन।
