SOC อัตโนมัติ: การนำทางสู่การเดินทางสู่การปฏิบัติการรักษาความปลอดภัยที่ชาญฉลาดยิ่งขึ้น

  • ประเด็นที่สำคัญ:
  • การแก้ปัญหา Autonomous SOC คืออะไร?
    ช่วยแก้ไขปัญหาสำคัญในการปฏิบัติการรักษาความปลอดภัย เช่น ความเหนื่อยล้าจากการเตือนภัย ทัศนวิสัยที่กระจัดกระจาย และบุคลากรที่มีทักษะจำกัด
  • ความสามารถหลักของ Autonomous SOC มีอะไรบ้าง?
    บูรณาการการตรวจจับอัตโนมัติ การสืบสวน และการตอบสนองโดยใช้ AI และการวิเคราะห์พฤติกรรม
  • SOC อัตโนมัติมีผลกระทบต่อเวลาตอบสนองอย่างไร
    ช่วยลดเวลาเฉลี่ยในการตรวจจับ (MTTD) และตอบสนอง (MTTR) ได้อย่างมาก จึงเพิ่มประสิทธิภาพการทำงาน
  • เครื่องมือประเภทใดบ้างที่รวมอยู่ใน Autonomous SOC?
    ระบบ SIEM, SOAR, UEBA, NDR และการวิเคราะห์ภัยคุกคามทำงานร่วมกันเป็นโซลูชันแบบบูรณาการหนึ่งเดียว
  • ใครได้รับประโยชน์สูงสุดจาก Autonomous SOC?
    วิสาหกิจและ MSSP ที่มีทรัพยากรจำกัดจำเป็นต้องดำเนินการรักษาความปลอดภัยที่มีประสิทธิภาพสูงและมีความเสียดทานต่ำ
  • Stellar Cyber ​​สนับสนุน Autonomous SOC อย่างไร?
    แพลตฟอร์ม Open XDR เชื่อมต่อเครื่องมือมากกว่า 300 รายการ โดยรวมศูนย์การมองเห็นและการทำงานอัตโนมัติทั่วทั้งโครงสร้างพื้นฐาน

ศูนย์ปฏิบัติการความปลอดภัยอัตโนมัติ (SOC) มาถึงแล้ว โดยขณะนี้องค์กรต่างๆ พยายามเพิ่มความสมบูรณ์ของ SOC และประสิทธิภาพของทีมงาน แต่ขั้นตอนต่อไปในการเพิ่มประสิทธิภาพ AI ที่เข้มงวดยิ่งขึ้นอาจระบุได้ยาก และเชื่อถือได้ยาก 

บทความนี้ระบุถึงขั้นตอนหลักของการพัฒนาระบบอัตโนมัติของ SOC รวมถึงความท้าทายที่ต้องเผชิญตลอดทาง และความร่วมมือที่นักวิเคราะห์ AI และ SOC จำเป็นต้องสร้างขึ้นเพื่อปูทางไปสู่การปฏิบัติการรักษาความปลอดภัยที่เป็นอิสระอย่างแท้จริง

เอกสารข้อมูลรุ่นถัดไป-pdf.webp

SIEM รุ่นต่อไป

Stellar Cyber ​​Next-Generation SIEM เป็นส่วนประกอบที่สำคัญภายใน Stellar Cyber ​​Open XDR Platform...

ดาวน์โหลดเอกสารข้อมูล
ภาพตัวอย่าง.webp

สัมผัสประสบการณ์การรักษาความปลอดภัยที่ขับเคลื่อนด้วย AI ในการดำเนินการ!

ค้นพบ AI อันล้ำสมัยของ Stellar Cyber ​​เพื่อการตรวจจับและตอบสนองภัยคุกคามในทันที กำหนดเวลาการสาธิตของคุณวันนี้!

กำหนดเวลาการสาธิต

AI และระบบอัตโนมัติขับเคลื่อนการเดินทางสู่ SOC อัตโนมัติได้อย่างไร

SOC ถือเป็นหัวใจสำคัญของการรักษาความปลอดภัยทางไซเบอร์ขององค์กร โดย SOC จะตรวจจับ วิเคราะห์ และตอบสนองต่อเหตุการณ์ที่เกิดขึ้นด้านความปลอดภัยทางไซเบอร์ผ่านผู้ตอบสนองเหตุการณ์และผู้จัดการหลายระดับ โดยใช้บุคลากรที่มีทักษะ กระบวนการที่กำหนดไว้อย่างชัดเจน และเทคโนโลยีขั้นสูงร่วมกัน

ทีมงานด้านความปลอดภัยในยุคใหม่กำลังเผชิญกับความท้าทายที่เพิ่มมากขึ้นเรื่อยๆ ตั้งแต่การโจมตีทางไซเบอร์ที่ซับซ้อนมากขึ้นเรื่อยๆ ไปจนถึงปริมาณการแจ้งเตือนที่ล้นหลามซึ่งครอบคลุมพื้นผิวการโจมตีที่ขยายตัวอย่างต่อเนื่อง เมื่อนำสิ่งเหล่านี้มารวมกัน ผลกระทบในโลกแห่งความเป็นจริงจะเริ่มกัดกร่อนประสิทธิภาพของผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ และเพิ่มชั่วโมงการทำงานที่จำเป็นของพวกเขาอย่างมาก

ผลที่ตามมาคือการขาดแคลนบุคลากรอย่างต่อเนื่อง ปัจจัยเหล่านี้ทำให้ทีม SOC ต้องเผชิญกับความยากลำบากมากขึ้นกว่าเดิมในการคัดกรอง ตรวจสอบ และตอบสนองต่อภัยคุกคามอย่างมีประสิทธิภาพ ส่งผลให้งานสำคัญๆ เช่น การจัดการท่าทีเชิงรุกและการตรวจหาภัยคุกคามมักถูกละเลย เนื่องจากต้องใช้เวลา ความเชี่ยวชาญเฉพาะทาง และเงินทุนสนับสนุนจำนวนมาก ในสภาพแวดล้อมเช่นนี้เองที่ SOC ที่ขับเคลื่อนด้วย AI จึงกลายเป็นจุดเปลี่ยนสำคัญที่ได้รับความนิยมเพิ่มมากขึ้น

เมื่อองค์กรต่างๆ ก้าวไปข้างหน้าผ่านกระบวนการ SOC อัตโนมัติ ความสามารถในการตรวจจับภัยคุกคามก็จะเติบโตขึ้น เอ็นจิ้น AI สามารถวิเคราะห์บันทึกและพฤติกรรมของอุปกรณ์ที่เชื่อมต่อกับการแจ้งเตือนแบบมิติเดียวก่อนหน้านี้ เวิร์กโฟลว์ของนักวิเคราะห์สามารถจัดลำดับความสำคัญได้อย่างชัดเจนยิ่งขึ้น และการดำเนินการด้านความปลอดภัยสามารถขยายขีดความสามารถให้สูงขึ้นกว่าที่เคยมาก เมื่อถึงจุดสูงสุดของโมเดลความสมบูรณ์ของ SOC องค์กรต่างๆ จะสามารถใช้ประโยชน์จากความสามารถในการมองเห็นและการตอบสนองซึ่งเหนือกว่าจำนวนพนักงานในทีมได้มาก

ประโยชน์หลักในแต่ละขั้นตอนของระบบอัตโนมัติ SOC

องค์กรต่างๆ กำลังดำเนินการเปลี่ยนแปลงนี้ด้วยอัตราและเครื่องมือที่แตกต่างกัน เพื่อให้เข้าใจโปรแกรมต่างๆ เหล่านี้ได้ในระดับหนึ่ง โมเดลความสมบูรณ์ของ SOC อัตโนมัติจึงแบ่ง SOC ออกเป็น 5 ประเภท ได้แก่ แบบแมนนวลทั้งหมด แบบอิงตามกฎ แบบรวม AI แบบเสริม AI และแบบนำโดย AI

#1. คู่มือ SOC

ระดับพื้นฐานที่สุดของระบบอัตโนมัติคือไม่มีระบบอัตโนมัติเลย การดำเนินการด้านความปลอดภัยทั้งหมดภายในขั้นตอนนี้ต้องอาศัยวิธีการตรวจจับแบบรวมศูนย์ ซึ่งจากนั้นนักวิเคราะห์ที่เป็นมนุษย์จะทำการประเมิน ตัวอย่างเช่น เมื่อมีการส่งต่ออีเมลฟิชชิ่งที่น่าสงสัยไปยังเวิร์กโฟลว์ของนักวิเคราะห์ นักวิเคราะห์ที่เกี่ยวข้องจะต้องตรวจสอบบันทึกเครือข่ายที่รวบรวมไว้จำนวนมากเพื่อยืนยันว่ามีผู้ใช้รายใดเข้าชมเว็บไซต์ปลอมหรือไม่ การแก้ไขปัญหาอาจรวมถึงการเลือกไซต์ที่จำเป็นต้องบล็อกด้วยตนเอง หรือการตรวจสอบและแยกบัญชีที่ถูกบุกรุก

ปัจจุบันมี SOC จำนวนไม่มากนักที่พึ่งพากระบวนการด้วยตนเองล้วนๆ การขยายตัวของเครื่องมือรักษาความปลอดภัยขั้นสูงทำให้ SOC ทั่วไปต้องทำงานอัตโนมัติมากขึ้น อย่างไรก็ตาม การพึ่งพาการแทรกแซงด้วยตนเองอาจยังคงมีอยู่ในกระบวนการรักษาความปลอดภัยบางกระบวนการ เช่น การจัดการแพตช์และการค้นหาภัยคุกคาม การพึ่งพาการแทรกแซงด้วยตนเองนี้ใช้เวลานานมาก และต้องอาศัยพนักงานจำนวนมากในการทำงานตามเวิร์กโฟลว์ที่ต้องใช้แรงงานมาก

#2. SOC ตามกฎเกณฑ์

นี่คือระดับแรกของการทำงานอัตโนมัติ: มันถูกนำไปใช้ในเครื่องมือรักษาความปลอดภัยแต่ละรายการ และช่วยให้เครื่องมือเหล่านั้นสามารถเชื่อมโยงข้อมูลตามกฎที่กำหนดไว้ หากข้อมูลตรงกัน เครื่องมือจะป้องกันหรือทำเครื่องหมายการเชื่อมต่อที่ "ไม่ดี" โดยอัตโนมัติ ตัวอย่างเช่น กฎของไฟร์วอลล์อาจกำหนดว่า ในกรณีที่มีการพยายามเข้าสู่ระบบล้มเหลวหลายครั้งจากบัญชีเดียว นักวิเคราะห์จะได้รับการแจ้งเตือน กฎต่างๆ สามารถซ้อนกันได้เพื่อให้มีรายละเอียดมากขึ้น ในตัวอย่างของเรา นักวิเคราะห์สามารถซ้อนการตรวจจับความพยายามเข้าสู่ระบบล้มเหลวหลายครั้งกับกิจกรรมเครือข่ายขาออกที่เพิ่มขึ้นจากที่อยู่ IP เดียวกัน หากเป็นไปตามเงื่อนไขทั้งสองข้อนี้ ไฟร์วอลล์สามารถแยกจุดสิ้นสุดที่น่าสงสัยโดยอัตโนมัติ เพื่อป้องกันหรือจำกัดบัญชีไม่ให้ถูกบุกรุก การป้องกันเครือข่ายของ SOC ไม่ใช่แพลตฟอร์มเดียวที่เป็นไปได้สำหรับการทำงานอัตโนมัติตามกฎ การจัดการบันทึกเป็นหนึ่งในตัวเลือกที่มีผลตอบแทนจากการลงทุนสูงสุด และทำได้ผ่าน เครื่องมือ SIEMหลักการนี้ใช้หลักการเดียวกันในการรวบรวม รวบรวม และตอบสนองบันทึก แทนที่นักวิเคราะห์จะต้องดำเนินการวิเคราะห์และแก้ไขด้วยตนเอง กฎจะกำหนดว่าเครื่องมือรักษาความปลอดภัยควรดำเนินการเฉพาะใด ซึ่งช่วยเร่งความเร็วในการที่ SOC สามารถปกป้องอุปกรณ์ปลายทางและเซิร์ฟเวอร์ได้อย่างมาก แม้ว่าความก้าวหน้าเหล่านี้จะช่วยปรับปรุงการดำเนินการ SOC ที่ปรับขนาดได้อย่างมาก แต่ทีม SOC ยังคงต้องอัปเดตและปรับแต่งกฎด้วยตนเองอย่างต่อเนื่อง และทุกครั้งที่มีกฎเกิดขึ้น นักวิเคราะห์มักจะระบุปัญหาหลักที่กระตุ้นให้เกิดปัญหาด้วยตนเอง ควบคู่ไปกับการกำหนดว่าเป็นการโจมตีจริงหรือไม่ รันบุ๊กมักจะอธิบายรายละเอียดว่านักวิเคราะห์จำเป็นต้องอ้างอิงเครื่องมือหนึ่งกับอีกเครื่องมือหนึ่งอย่างไร ซึ่งหมายความว่า SOC ที่ใช้กฎยังคงต้องพึ่งพาการคัดกรองด้วยตนเองเป็นอย่างมาก

#3. AI-SOC แบบครบวงจร

ความสามารถแบบรวมของ AI พัฒนารันบุ๊กให้กลายเป็นเพลย์บุ๊กหรือเวิร์กโฟลว์อัตโนมัติ SOC แบบรวมของ AI เพิ่มชั้นการวิเคราะห์พิเศษให้กับความสัมพันธ์ของบันทึกทั้งหมดที่เกิดขึ้นในเฟส 2 ซึ่งเริ่มเปลี่ยนจากความสัมพันธ์ของบันทึกเป็นความสัมพันธ์ของการแจ้งเตือน ทำให้บางครั้งที่การแจ้งเตือนมักจะรวมกันเป็นกลุ่มหายไป

ความต้องการ และช่วยให้ทีมตอบสนองต่อ IoC ที่แท้จริงได้เร็วยิ่งขึ้น

SOAR เป็นเครื่องมือทั่วไปที่พบเห็นได้ใน SOC ที่เป็นการรวม AI เข้าด้วยกัน โดยเครื่องมือนี้มอบคอนโซลให้กับ SOC ที่รวมกิจกรรมแบบเรียลไทม์ของซอฟต์แวร์ความปลอดภัยแบบแบ่งกลุ่มขององค์กร เช่น SIEM, EDR และไฟร์วอลล์ การทำงานร่วมกันนี้ไม่เพียงแต่จะมองเห็นได้เท่านั้น แต่เพื่อให้เป็น AI เดียวกัน SOAR จะอ้างอิงการแจ้งเตือนและข้อมูลที่แชร์ระหว่างเครื่องมือที่แตกต่างกันเหล่านี้โดยอัตโนมัติ เครื่องมือเหล่านี้สามารถใช้ประโยชน์จากอินเทอร์เฟซการเขียนโปรแกรมแอปพลิเคชัน (API) เพื่อถ่ายโอนข้อมูลระหว่างแหล่งข้อมูลที่เกี่ยวข้อง

จากข้อมูลทั้งหมดนี้ แพลตฟอร์ม SOAR สามารถรับการแจ้งเตือนจากเครื่องมือหนึ่งได้ เช่น โซลูชันการตรวจจับและตอบสนองปลายทาง (EDR) และเริ่มเชื่อมโยงผลการค้นพบของเครื่องมืออื่นๆ ตัวอย่างเช่น EDR อาจระบุแอปพลิเคชันพื้นหลังที่ผิดปกติที่ทำงานบนอุปกรณ์ SOAR สามารถเปรียบเทียบแอปพลิเคชันที่เป็นปัญหากับบันทึกที่เกี่ยวข้องภายในเครื่องมืออื่นๆ เช่น ฟีดข้อมูลข่าวกรองภัยคุกคามและไฟร์วอลล์ จากนั้นข้อมูลเพิ่มเติมนี้จะช่วยให้กลไกวิเคราะห์ของ SOAR ประเมินความถูกต้องของการแจ้งเตือนของ EDR ได้

โปรดทราบว่า SOAR นั้นไม่ใช่ AI เต็มรูปแบบ แต่ยังต้องอาศัยแผนงานจำนวนมากในการตอบสนอง การพัฒนาแผนงาน SOAR เหล่านี้ต้องอาศัยความเข้าใจอย่างถ่องแท้เกี่ยวกับการดำเนินการด้านความปลอดภัยแต่ละอย่าง และภัยคุกคามที่อาจเกิดขึ้น แผนงานแต่ละแผนนั้นสร้างขึ้นโดยระบุงานที่ทำซ้ำๆ กัน จากนั้นจึงกำหนดตัวชี้วัดที่ชัดเจนเพื่อประเมินประสิทธิภาพของแผนงาน เช่น เวลาตอบสนองและอัตราของผลลัพธ์บวกปลอม วิธีนี้ช่วยประหยัดเวลาได้มากในกระบวนการตอบสนองต่อเหตุการณ์เมื่อทุกอย่างพร้อมและทำงาน

#4. AI-Augmented Human SOC

ขั้นตอนนี้จะเห็นถึงความสามารถในการทำงานอัตโนมัติที่เติบโตจากการเชื่อมโยงการแจ้งเตือนไปจนถึงการคัดแยกอัตโนมัติบางส่วน การคัดแยกเป็นกระบวนการที่ตอบสนองต่อการแจ้งเตือน และจนถึงขั้นตอนนี้ ขั้นตอนการคัดแยกทั้งหมดได้รับการกำหนดด้วยตนเอง แทนที่จะใช้ทริกเกอร์สำหรับคู่มือที่กำหนดไว้ AI-Augmented SOC จะได้รับประโยชน์จากการตรวจสอบการแจ้งเตือนแต่ละครั้งเป็นจุดข้อมูลแต่ละจุด และการตอบสนองต่อเหตุการณ์จะรวมคำแนะนำอัตโนมัติเข้ากับอินพุตของนักวิเคราะห์

ความต้องการเฉพาะของแต่ละกระบวนการสืบสวนนั้นกำหนดขึ้นโดยข้อมูลที่องค์กรวิเคราะห์เอง: ด้วยฐานข้อมูลพื้นฐานของการเข้าถึงเครือข่าย การแบ่งปันข้อมูล และพฤติกรรมของจุดสิ้นสุด AI สามารถตรวจจับการเบี่ยงเบนจากบรรทัดฐานนี้ได้ ควบคู่ไปกับการตรวจสอบ IoC ที่ทราบซึ่งตรงกับฐานข้อมูลข่าวกรองภัยคุกคามที่เชื่อมต่อ อย่างไรก็ตาม สิ่งที่สำคัญที่สุดสำหรับขั้นตอนนี้คือการตอบสนองที่ได้รับ: เมื่อการแจ้งเตือนเชื่อมโยงกับเส้นทางการโจมตีที่แท้จริงแล้ว เอ็นจิ้น AI จะสามารถตอบสนองผ่านเครื่องมือด้านความปลอดภัยเพื่อตัดการโจมตีได้ ตลอดกระบวนการนี้ เอ็นจิ้นจะสร้างและจัดลำดับความสำคัญของการแจ้งเตือนและสตรีมไปยังผู้เชี่ยวชาญด้าน SOC ในแต่ละระดับที่ถูกต้อง เอ็นจิ้นจะเชื่อมต่อการแจ้งเตือนแต่ละครั้งกับบทสรุปและผลการค้นพบที่สอดคล้องและมีการบันทึกไว้เป็นอย่างดี ซึ่งจะทำให้ส่วนประกอบของมนุษย์ทันสมัยได้อย่างรวดเร็ว

เครื่องมือสำหรับการบรรลุขั้นตอนนี้และขั้นตอนสุดท้ายของระบบอัตโนมัติประกอบด้วย แพลตฟอร์ม SecOps อัตโนมัติของ Stellar Cyber:ช่วยให้ผู้เชี่ยวชาญ SOC ที่เป็นมนุษย์สามารถดำเนินการคัดกรองผู้ป่วยโดยอัตโนมัติได้อย่างรวดเร็ว ในขณะที่ยังคงให้นักวิเคราะห์ที่เป็นมนุษย์เป็นผู้ตัดสินใจขั้นสุดท้ายในการแก้ไขปัญหา เพื่อรองรับความสามารถและข้อมูลพื้นฐานเหล่านี้ ความสามารถดังกล่าวจึงสามารถเข้าถึงได้ผ่านแพลตฟอร์มส่วนกลาง

#5. SOC ของ AI เสริมพลังของมนุษย์

ขั้นตอนสุดท้ายของการบูรณาการ AI-SOC ระยะนี้จะเห็นได้ว่าความสามารถของ AI ขยายจากการตรวจจับและการตอบสนองต่อเหตุการณ์เพื่อรวมถึงพื้นที่ที่กว้างขึ้นและเฉพาะทางมากขึ้น

ตัวอย่างเช่น การสืบสวนทางนิติเวชโดยละเอียดเป็นสาขาหนึ่งที่ SOC ที่นำโดย AI สามารถแซงหน้า SOC ที่นำโดยมนุษย์ได้ โดยเริ่มจากเหตุการณ์ด้านความปลอดภัยที่ทราบแล้ว เอ็นจิ้น AI ส่วนกลางสามารถแยก IOC ที่เกี่ยวข้องออกมาและประกอบใหม่เป็นห่วงโซ่การโจมตีที่เป็นไปได้ ตั้งแต่การบุกรุกครั้งแรก ข้ามการเคลื่อนไหวในแนวขวาง และสุดท้ายไปจนถึงการใช้มัลแวร์หรือการขโมยข้อมูล IOC เหล่านี้สามารถคงไว้ภายในหรือใช้เพื่อเพิ่มความสามารถในการตรวจจับของศูนย์แบ่งปันและวิเคราะห์ข้อมูลส่วนกลาง (ISAC) นอกเหนือจากการระบุวิธีการและวัตถุประสงค์ขั้นสุดท้ายของผู้โจมตีแล้ว การมุ่งเน้นไปที่ความรู้ร่วมกันนี้ยังช่วยให้ SOC ที่ขับเคลื่อนด้วย AI สามารถระบุผู้ก่อเหตุที่อาจเกิดขึ้นจากการโจมตีได้ โดยเฉพาะอย่างยิ่งหากกลวิธีและเทคนิคของพวกเขาสอดคล้องกับกลุ่มที่ทราบ

ในระยะนี้ การสื่อสารเกี่ยวกับเหตุการณ์ยังได้รับประโยชน์อีกด้วย การเติบโตของ Large Language Models (LLM) เฉพาะกลุ่มทำให้ผู้นำ SOC สามารถสื่อสารประเด็นหลักที่เกิดขึ้นได้อย่างรวดเร็ว เนื่องจากแพลตฟอร์ม SOC อัตโนมัติส่วนกลางจะย่อการโจมตีที่ซับซ้อนอย่างมากให้เป็นภาษาที่เข้าถึงได้ง่ายขึ้น นี่คือวิธีที่ Copilot AI ของ Stellar ให้ความช่วยเหลือตลอดการสืบสวนที่ซับซ้อน นอกจากนี้ LLM ที่บูรณาการยังช่วยให้องค์กรแจ้งข้อมูลลูกค้าที่ได้รับผลกระทบได้อย่างรวดเร็ว และช่วยให้นักวิเคราะห์ SOC สามารถมุ่งเน้นไปที่การแก้ไขที่นำทางโดย AI

หากไม่นับการตรวจสอบทางนิติวิทยาศาสตร์ การทำงานอัตโนมัติของ SOC เต็มรูปแบบสามารถระบุช่องโหว่ในการควบคุมความปลอดภัยปัจจุบันได้ล่วงหน้าและอัตโนมัติ ซึ่งอาจเป็นการตรวจจับภัยคุกคามอัตโนมัติเต็มรูปแบบ การแพตช์ และการแก้ไขช่องโหว่ไฟร์วอลล์ที่ค้นพบระหว่าง การแซนด์บ็อกซ์ไฟล์หรือการบูรณาการกับ CI/CD pipeline เพื่อป้องกันไม่ให้มีการนำโค้ดที่มีช่องโหว่ไปใช้งานภายในตั้งแต่แรก

ความท้าทายของ SOC ตลอดการเดินทาง

การเปลี่ยนไปใช้ SOC อัตโนมัติถือเป็นการเปลี่ยนแปลงครั้งใหญ่ต่อการดำเนินงานด้านความปลอดภัยของบริษัท อีกทั้งยังมีความท้าทายหลายประการที่ต้องตระหนักรู้

การรวมข้อมูล

การเชื่อมต่อเครื่องมือและระบบที่แตกต่างกันเข้ากับแพลตฟอร์มรวมศูนย์อาจเป็นอุปสรรคแรกๆ ของการทำงานอัตโนมัติของ SOC และไม่ใช่แค่การแชร์ข้อมูลระหว่างเครื่องมือต่างๆ เท่านั้น SOC ที่ทำงานอัตโนมัติต้องมีสถาปัตยกรรมความปลอดภัยที่ขยายได้ ซึ่งสามารถบูรณาการกับสแต็กความปลอดภัยทั้งหมดได้อย่างราบรื่น รวมถึงรับข้อมูล รวมข้อมูล และแปลงข้อมูลในรูปแบบใดก็ได้

ในขณะเดียวกัน ไม่เพียงแต่ข้อมูลด้านความปลอดภัย อุปกรณ์ และเครือข่ายทั้งหมดเท่านั้นที่ต้องเข้าถึงเอ็นจิ้น AI ส่วนกลาง แต่ยังต้องรองรับความพยายามในการแก้ไขและการสืบสวนของนักวิเคราะห์ด้วย ซึ่งทำให้จำเป็นต้องมีแพลตฟอร์มรวมศูนย์และ UI ที่รองรับหลายเครื่องมือ

การต่อต้านทางวัฒนธรรม

การปรับตัวให้เข้ากับระบบอัตโนมัติอาจต้องมีการเปลี่ยนแปลงเวิร์กโฟลว์ของทีมอย่างมาก หาก SOC คุ้นเคยกับการบำรุงรักษาไฟร์วอลล์และกฎ SIEM ด้วยตนเอง พวกเขาอาจต่อต้านการเปลี่ยนแปลงที่เกิดจากระบบอัตโนมัติ นี่คือสาเหตุที่กระบวนการแบบเพิ่มทีละน้อยจึงมักเป็นทางเลือกที่ดีที่สุด การก้าวข้ามจากเฟส 1 ไปเป็นเฟส 5 ในช่วงเวลาหนึ่งปีอาจก่อให้เกิดความวุ่นวายมากเกินไป

นอกจากนี้ ยังมีความกลัวที่จะต้องเผชิญอีกด้วย เนื่องจากระบบอัตโนมัติสามารถจำลองทักษะของนักวิเคราะห์ SOC ทั้ง 3 ระดับได้แล้ว จึงมีความกังวลที่สมเหตุสมผลว่าการป้อนข้อมูลจากมนุษย์จะไม่จำเป็นอีกต่อไป ความจริงนั้นไม่เป็นเช่นนั้น ทีม SOC ที่เป็นมนุษย์คือแหล่งที่ดีที่สุดในการทำความเข้าใจในโลกแห่งความเป็นจริงและข้อมูลเชิงลึกเกี่ยวกับสถาปัตยกรรมและช่องโหว่ขององค์กร ความท้าทายในปัจจุบันของพวกเขาจำเป็นต้องนำไปสู่การบูรณาการความปลอดภัยที่ขับเคลื่อนโดย AI ภายใน SOC ใดๆ ก็ตาม การสนับสนุนของพวกเขาจะยังคงมีความสำคัญแม้ในการตั้งค่าที่พัฒนาอย่างสมบูรณ์ เนื่องจากพวกเขาอยู่ที่หัวเรือใหญ่ในการตัดสินใจแก้ไขและถูกต้องตามจริยธรรมของ AI

ข้อจำกัดด้านทักษะและงบประมาณ

เมื่อนำ AI มาใช้ จำเป็นอย่างยิ่งที่จะต้องอาศัยความเชี่ยวชาญเฉพาะด้านในด้าน AI ระบบอัตโนมัติ และการตรวจจับภัยคุกคามขั้นสูง อย่างไรก็ตาม การผสมผสานทักษะเฉพาะเหล่านี้อาจเป็นเรื่องยาก และไม่ต้องพูดถึงค่าใช้จ่ายในการจ้างคนเข้ามาทำงาน นักวิเคราะห์ SecOps ใหม่ล่าสุดอาจมีค่าใช้จ่าย 50 ดอลลาร์ต่อปี และผู้เชี่ยวชาญที่ได้รับการฝึกอบรมอย่างเหมาะสมและเชี่ยวชาญด้าน AI จะต้องมีค่าใช้จ่ายสูงกว่ามาก ซึ่งสิ่งนี้เชื่อมโยงกับความท้าทายอีกอย่างหนึ่ง นั่นคือ งบประมาณ

SOC เคยถูกจำกัดให้อยู่ในบริษัทที่มีอัตราการลาออกสูงที่สุด องค์กรขนาดเล็กจะต้องพึ่งพาผู้ให้บริการด้านความปลอดภัยที่ได้รับการจัดการ (MSSP) เพื่อช่วยปรับสมดุลต้นทุนด้านความปลอดภัยทางไซเบอร์กับความเสี่ยงจากการโจมตี ซึ่งหมายความว่าต้นทุนยังคงเป็นอุปสรรคที่ใหญ่ที่สุดประการหนึ่งในการนำ AI มาใช้ โดยเฉพาะอย่างยิ่งเมื่อพิจารณาถึงเวลาและเงินที่สูญเสียไปจากกระบวนการด้วยตนเอง

Stellar Cyber ​​ขจัดอุปสรรคต่อ SOC อัตโนมัติได้อย่างไร

Stellar Cyber ​​เร่งกระบวนการไปสู่ ​​SOC อัตโนมัติโดยมอบแพลตฟอร์มแบบบูรณาการที่ผสมผสานการดำเนินการด้านความปลอดภัยที่เรียบง่ายและ AI ที่เข้าถึงได้ โดยมุ่งเน้นที่การหยุดยั้งการขยายตัวของ SOC และมอบเครื่องมือที่จำเป็นให้กับนักวิเคราะห์แต่ละระดับเพื่อให้ได้รับความปลอดภัยที่มากขึ้น

แพลตฟอร์มแบบเปิดและรวมเป็นหนึ่ง

การรักษาความปลอดภัยที่ขับเคลื่อนโดย AI จำเป็นต้องมีการเข้าถึงข้อมูลอย่างต่อเนื่องและเข้มงวด ผู้ให้บริการบางรายล็อกการเข้าถึงนี้ไว้ภายใต้ขั้นตอนของเครื่องมือของตนเอง ในทางกลับกัน Stellar Cyber ​​จัดเตรียม การบูรณาการแบบเปิดเป็นหัวใจสำคัญของปรัชญาของเครื่องมือ สถาปัตยกรรมที่ขับเคลื่อนด้วย API ช่วยให้ Stellar Cyber ​​รวบรวมข้อมูลจากแหล่งที่มาและเครื่องมือรักษาความปลอดภัยใดๆ ได้ และยังช่วยให้เอ็นจิ้น AI แก้ไขเหตุการณ์ต่างๆ ผ่านการเชื่อมต่อแบบสองทิศทางเดียวกันได้อีกด้วย

จากนั้นสภาพแวดล้อมด้านความปลอดภัยขององค์กรทั้งหมดจะถูกรวมเข้าเป็นแพลตฟอร์มเดียว ซึ่งจะทำให้การดำเนินการ SOC ของ AI ทั้งหมดอยู่ในมือของนักวิเคราะห์ที่เกี่ยวข้อง แพลตฟอร์มดังกล่าวจะรวมการวิเคราะห์และการดำเนินการแก้ไขที่นำเสนอโดย SIEM, NDR และ XDR เข้าด้วยกัน ซึ่งจะทำให้ชุดเทคโนโลยีของ SOC ง่ายขึ้นไปอีก เนื่องจาก Stellar สามารถฝังกรอบงานต่างๆ มากมายลงในความสามารถในการตอบสนองที่หลากหลายนี้ แดชบอร์ดจึงทำหน้าที่อธิบายขั้นตอนต่างๆ ที่เกี่ยวข้องกับการตอบสนองอัตโนมัติแต่ละรายการด้วย

AI หลายชั้น

หัวใจสำคัญของ Stellar Cyber ​​อยู่ที่ความสามารถในการตัดสินใจ มีกระบวนการหลายอย่างที่ AI หลายชั้นต้องผ่านเพื่อระบุภัยคุกคาม:

การตรวจจับเอไอ

ทั้งอัลกอริทึม ML ที่มีการดูแลและไม่มีการดูแลจะตรวจสอบสถานะแบบเรียลไทม์ของเครื่องมือและอุปกรณ์ด้านความปลอดภัยที่เชื่อมต่อทุกตัว โดยรวบรวมข้อมูลโดยเซ็นเซอร์หรือการรวม API บันทึกและการแจ้งเตือนที่สร้างขึ้นทั้งหมดจะถูกนำเข้าสู่คลังข้อมูลของโมเดล ซึ่งอัลกอริทึมการตรวจจับหลักจะถูกเรียกใช้ สถาปัตยกรรมนี้ช่วยให้ AI ในการตรวจจับสามารถส่งสัญญาณรูปแบบที่ผิดปกติหรือเรียกใช้การแจ้งเตือนตามกฎที่ตั้งไว้ล่วงหน้าได้

AI ความสัมพันธ์

เมื่อตรวจพบการแจ้งเตือน ระบบ AI ตัวที่สองของ Stellar จะเริ่มทำงาน โดยจะเปรียบเทียบการตรวจจับและสัญญาณข้อมูลอื่นๆ ในสภาพแวดล้อมที่เกี่ยวข้อง เพื่อเปลี่ยนการแจ้งเตือนให้กลายเป็นเหตุการณ์ที่ครอบคลุม เหตุการณ์เหล่านี้จะถูกติดตามผ่าน AI ที่ใช้ GraphML ซึ่งช่วยนักวิเคราะห์ในการรวบรวมข้อมูลที่เกี่ยวข้องโดยอัตโนมัติ การกำหนดวิธีเชื่อมโยงการแจ้งเตือนต่างๆ จะต้องคำนึงถึงความเป็นเจ้าของ ตลอดจนความคล้ายคลึงกันทางเวลาและพฤติกรรมด้วย ระบบ AI นี้พัฒนาอย่างต่อเนื่องโดยอิงจากข้อมูลในโลกแห่งความเป็นจริง และเพิ่มขึ้นตามการเปิดเผยข้อมูลในแต่ละครั้ง

ตอบสนอง AI

ในที่สุด AI ตอบสนองก็สามารถทำงานได้อย่างมีประสิทธิภาพ โดยสามารถดำเนินการได้ทั่วทั้งไฟร์วอลล์ จุดสิ้นสุด อีเมล และผู้ใช้ ทุกที่ที่สามารถจำกัดรัศมีการโจมตีได้เร็วที่สุด นักวิเคราะห์ยังคงปรับแต่งได้อย่างสมบูรณ์ตามบริบท เงื่อนไข และผลลัพธ์ของการตอบสนองของเครื่องมือ Playbook สามารถนำมาใช้ได้ทั่วโลกหรือปรับแต่งให้เหมาะกับผู้เช่าแต่ละราย Playbook ที่สร้างไว้ล่วงหน้าสามารถทำให้การตอบสนองมาตรฐานเป็นอัตโนมัติ หรือสร้าง Playbook แบบกำหนดเองที่ดำเนินการตามบริบทได้

การรองรับผู้เช่าหลายรายสำหรับ MSSP

MSSP ถือเป็นพันธมิตรที่เหมาะสำหรับองค์กรต่างๆ มากมาย แต่มีประโยชน์อย่างยิ่งต่อองค์กรขนาดกลางที่ต้องการความสมดุลระหว่างงบประมาณและความยืดหยุ่นด้านความปลอดภัย เนื่องจาก MSSP มักจะจ้างบุคคลภายนอกเพื่อจัดการด้านความปลอดภัย จึงได้รับประโยชน์อย่างมากจากการทำงานอัตโนมัติที่มีประสิทธิภาพสูง เช่น ของ Stellar Cyber

Stellar Cyber ​​รองรับสิ่งนี้โดยนำเสนอความสามารถให้กับผู้เช่าหลายรายในขณะที่ยังคงรักษาการแยกข้อมูลไว้ การป้องกันไม่ให้เกิดการปะปนกันนี้ถือเป็นสิ่งสำคัญในการรับรองความปลอดภัยด้านแบ็คเอนด์ ขณะเดียวกันก็ยังมอบเครื่องมือและการมองเห็นของแพลตฟอร์ม Stellar Cyber ​​ให้กับนักวิเคราะห์ที่มีการฝึกอบรมมาเป็นอย่างดี

ความสามารถในการปรับขนาดสำหรับทีม Lean

ไม่ว่าจะอยู่ใน MSSP หรือในองค์กรเอง การเปิดใช้งาน AI จำเป็นต้องมุ่งเน้นไปที่การดำเนินการด้านความปลอดภัยที่คุ้มต้นทุนและปรับขนาดได้ Stellar Cyber ​​ช่วยให้ทีมงานที่เน้นเรื่องความคล่องตัวได้รับการปกป้องในระดับเดียวกับทีมงานที่เน้นการทำงานด้วยตนเองขนาดใหญ่ ด้วยองค์ประกอบหลักสองประการ ได้แก่ การค้นหาภัยคุกคามโดยอัตโนมัติและการตัดสินใจที่เข้าถึงได้

ขณะรวบรวมและวิเคราะห์ข้อมูลแบบเรียลไทม์ภายในองค์กร Stellar Cyber ​​จะรวบรวมข้อผิดพลาดด้านความปลอดภัยที่เป็นไปได้ทั้งหมดไว้ในคลังข้อมูลการค้นหาภัยคุกคาม ภาพรวมนี้แสดงประเภทการแจ้งเตือนที่แตกต่างกัน และจำนวนการแจ้งเตือนแต่ละประเภทที่ตรวจพบ ซึ่งสามารถเชื่อมโยงการแจ้งเตือนเหล่านี้กับกรณีที่กำลังดำเนินอยู่ด้วยตนเอง หรือจัดการทีละรายการก็ได้ เพื่อให้มองเห็นภาพที่แตกต่างออกไป กระบวนการวิเคราะห์สินทรัพย์ของ Stellar Cyber ​​จะจัดเรียงสินทรัพย์ที่มีความเสี่ยงสูงที่สุดอย่างรวดเร็ว ควบคู่ไปกับตำแหน่งและกรณีที่เชื่อมต่อกัน ทำให้ผู้วิเคราะห์สามารถเห็นภาพความละเอียดสูงขึ้นสำหรับข้อบกพร่องที่อาจเกิดขึ้นแต่ละอย่าง

SOC อัตโนมัติไม่ควรเกิดขึ้นโดยเสียค่าใช้จ่ายของทีม Stellar Cyber ​​แปลการตัดสินใจอัตโนมัติแต่ละครั้งตามกรอบงานที่เกี่ยวข้องที่ใช้เพื่อไปถึงจุดนั้น ตัวอย่างเช่น ไม่เพียงแต่สอดคล้องกับ MITRE เท่านั้น แต่ยังแบ่งปันด้วยว่าการตัดสินใจในการคัดแยกแต่ละครั้งสอดคล้องกับกรอบงานนี้อย่างไร ซึ่งช่วยให้สามารถเข้าถึงกระบวนการคัดแยกได้แม้จะต้องจัดการกับการโจมตีที่ซับซ้อน

เพิ่มประสิทธิภาพ SOC ของคุณด้วย Stellar Cyber

ผลลัพธ์ของการเปิดใช้งาน AI ของ Stellar Cyber ​​คือแพลตฟอร์มที่เข้าถึงได้ซึ่งขับเคลื่อนความมั่นใจของนักวิเคราะห์ SOC ในกระบวนการของตนเอง ซึ่งช่วยยกระดับความสามารถทั้งของมนุษย์และ AI แนวทางที่ให้ความสำคัญกับมนุษย์เป็นอันดับแรกนี้ยังเป็นเหตุผลที่ Stellar Cyber ​​กำหนดราคาแพลตฟอร์มเป็นใบอนุญาตเดียว ซึ่งรวมถึงความสามารถ SecOps แบบเปิดทั้งหมด ซึ่งสร้างขึ้นโดยเฉพาะเพื่อเพิ่มประสิทธิภาพของความเชี่ยวชาญของสมาชิก SOC แต่ละคน หากต้องการสำรวจ Stellar Cyber ​​ด้วยตัวคุณเอง กำหนดเวลาการสาธิต โดยหนึ่งในสมาชิกทีมที่มีประสบการณ์ของเรา

ฟังดูดีเกินไปที่จะ
จริงมั้ย?
ดูด้วยตัวคุณเอง!

ขอการสาธิต
เลื่อนไปที่ด้านบน
ลงทะเบียนเพื่อรับจดหมายข่าว