ผู้นำด้านความปลอดภัยทุกคนคงเคยได้ยินคำสัญญาที่ว่า AI จะเปลี่ยนแปลงการปฏิบัติงานด้านความปลอดภัยไปอย่างสิ้นเชิงแล้ว
มันจะช่วยลดความเหนื่อยล้าจากการแจ้งเตือน มันจะช่วยเร่งการสืบสวนสอบสวน จะทำให้นักวิเคราะห์มีประสิทธิภาพมากขึ้น และจะช่วยให้ทีมทำงานได้มากขึ้นด้วยทรัพยากรที่น้อยลง
คำสัญญาเป็นเรื่องจริง แต่ก็มีข้อแม้ AI ไม่ได้ช่วยปรับปรุงผลลัพธ์ด้านความปลอดภัยเพียงเพราะมีโมเดลให้ใช้งาน AI จะช่วยปรับปรุงผลลัพธ์ได้ก็ต่อเมื่อมีบริบทที่เหมาะสม ทำงานภายในขั้นตอนการทำงานที่ถูกต้อง ปฏิบัติตามการควบคุมที่ถูกต้อง และได้รับความไว้วางใจจากผู้ที่ต้องนำผลลัพธ์ไปใช้
นั่นคือจุดที่หลายคน ความปลอดภัยของ AI การสนทนามักไม่สมบูรณ์ ทีม SecOps ส่วนใหญ่ไม่ได้ขาดแคลนเครื่องมือ แต่พวกเขาขาดแคลนเวลา บริบท ความสม่ำเสมอ และความมั่นใจ การแจ้งเตือนมาจากแหล่งข้อมูลนับสิบแหล่ง นักวิเคราะห์ต้องสลับไปมาระหว่างคอนโซลต่างๆ เคสต่างๆ ถูกสร้างขึ้นด้วยตนเอง การดำเนินการตอบสนองมักเกิดขึ้นในระบบที่แยกจากกัน MSSP ต้องจัดการสิ่งเหล่านี้ทั้งหมดกับลูกค้าจำนวนมาก ซึ่งแต่ละรายมีเครื่องมือ รูปแบบข้อมูล เส้นทางการแจ้งปัญหา และรูปแบบการดำเนินงานที่แตกต่างกัน
ในสภาพแวดล้อมเช่นนั้น การเพิ่มผู้ช่วย AI ทั่วไปเข้าไปไม่ได้แก้ปัญหาหลัก มันอาจสรุปการแจ้งเตือนหรือตอบคำถามได้ แต่ถ้าหากมันอยู่นอกเหนือขั้นตอนการตรวจจับ การคัดกรอง การสืบสวน และการตอบสนองที่แท้จริง มันก็จะกลายเป็นเพียงเครื่องมืออีกชิ้นหนึ่งที่ต้องจัดการ
ขั้นตอนต่อไปของการนำ AI มาใช้ในการปฏิบัติการด้านความปลอดภัยไม่ใช่การเพิ่ม AI เข้าไป แต่เป็นการเตรียมความพร้อมกระบวนการทำงานด้านความปลอดภัยให้พร้อมสำหรับ AI
AI ต้องการมากกว่าแค่คำสั่งแจ้งเตือน
เพื่อให้ AI มีประโยชน์ใน SecOps จำเป็นต้องมีบริบทการใช้งานจริง ระบบจำเป็นต้องเข้าใจรายละเอียดของกรณีนั้นๆ จำเป็นต้องเข้าถึงรายละเอียดการแจ้งเตือน ผู้ใช้ที่ได้รับผลกระทบ ทรัพย์สิน ผู้เช่า ไทม์ไลน์ ข้อมูลการวัดระยะทาง คะแนนความเสี่ยง กิจกรรมในอดีต และตัวเลือกการตอบสนองที่มีอยู่ นอกจากนี้ยังต้องทำงานภายใต้สิทธิ์และขอบเขตที่ชัดเจนด้วย
สิ่งนี้สำคัญโดยเฉพาะสำหรับ MSSP และ MDR ในสภาพแวดล้อมที่มีผู้เช่าหลายราย AI ไม่สามารถทำให้ขอบเขตของลูกค้าเลือนหายไปได้ ไม่สามารถดำเนินการโดยปราศจากการรับรู้ของผู้เช่า ไม่สามารถปฏิบัติต่อข้อมูลทั้งหมดอย่างเท่าเทียมกันได้ ต้องเคารพการควบคุมการเข้าถึง การแยกข้อมูล นโยบายเฉพาะของลูกค้า และข้อจำกัดในการดำเนินงาน
ด้วยเหตุนี้ Stellar Cyber 6.5 จึงนำเสนอการสนับสนุน Early Access สำหรับ Stellar Cyber MCP Server ซึ่งช่วยให้ไคลเอนต์ AI ที่ได้รับการอนุมัติสามารถเชื่อมต่อกับแพลตฟอร์ม Stellar Cyber ผ่านทาง Model Context Protocol ได้
ความสำคัญไม่ได้อยู่ที่เพียงแค่มีการบูรณาการ AI อีกรูปแบบหนึ่งเท่านั้น ประเด็นที่สำคัญกว่าคือ MCP สร้างเส้นทางที่มีการกำกับดูแลเพื่อให้ AI สามารถโต้ตอบกับบริบท SecOps ที่มีโครงสร้างได้ แทนที่จะมอง AI เป็นผู้ช่วยที่ไม่เชื่อมต่อ Stellar Cyber กำลังสร้างวิธีการให้ไคลเอ็นต์ AI ที่ได้รับการอนุมัติสามารถทำงานร่วมกับข้อมูลเคสและการแจ้งเตือนที่เกี่ยวข้อง การเข้าถึงที่ควบคุมได้ และบริบทที่รับรู้ถึงผู้เช่าได้
นั่นคือรากฐานที่ AI ต้องการหากต้องการเข้ามาเป็นส่วนหนึ่งของการปฏิบัติการด้านความปลอดภัยอย่างแท้จริง
กรณีศึกษาที่แสดงให้เห็นว่า AI มีประโยชน์อย่างไร
การปฏิบัติการด้านความปลอดภัยไม่ควรเน้นที่การแจ้งเตือนแบบแยกส่วน แต่ควรเน้นที่กรณีศึกษา การแจ้งเตือนบอกคุณว่าเกิดอะไรขึ้น แต่กรณีศึกษาช่วยให้คุณเข้าใจว่าเรื่องนั้นสำคัญหรือไม่
กรณีศึกษาจะรวบรวมหลักฐานที่เกี่ยวข้องเข้าด้วยกัน ได้แก่ การแจ้งเตือน สิ่งที่สังเกตได้ ผู้ใช้ โฮสต์ กิจกรรมเครือข่าย เหตุการณ์บนคลาวด์ สัญญาณระบุตัวตน และลำดับเวลา MITER ATT&CK บริบท คะแนนความเสี่ยง และคำแนะนำในการตอบสนอง นี่คือหน่วยงานที่เหมาะสมสำหรับ AI เพราะมันให้บริบทที่จำเป็นในการสนับสนุนการคัดกรองและการสืบสวน
Stellar Cyber 6.5 ยกระดับประสบการณ์การทำงานของนักวิเคราะห์ภายในเคสต่างๆ ด้วยการอัปเดตสถานะการคัดกรองแบบเรียลไทม์ นักวิเคราะห์สามารถดูได้ว่าการวิเคราะห์กำลังดำเนินการอยู่เมื่อใด สรุปที่สร้างโดย AI พร้อมเมื่อใด และเคสพร้อมสำหรับการตรวจสอบเมื่อใด
อาจฟังดูเหมือนเป็นการปรับปรุงขั้นตอนการทำงานเล็กน้อย แต่สะท้อนให้เห็นถึงหลักการที่สำคัญกว่านั้น นั่นคือ ทีมงานจำเป็นต้องมองเห็นได้อย่างชัดเจนว่า AI กำลังทำอะไรอยู่
AI ไม่ควรให้ความรู้สึกเหมือนกล่องดำ นักวิเคราะห์จำเป็นต้องรู้ว่าการวิเคราะห์ยังคงดำเนินอยู่เมื่อใด ผลลัพธ์พร้อมเมื่อใด และเมื่อใดที่จำเป็นต้องมีการตรวจสอบโดยมนุษย์ ผู้จัดการจำเป็นต้องมองเห็นความคืบหน้า ผู้ให้บริการจัดการระบบไอที (MSSP) จำเป็นต้องมีเวิร์กโฟลว์ที่ทำซ้ำได้และสามารถปรับขนาดได้ตามจำนวนผู้เช่าและนักวิเคราะห์
สถานะการคัดกรองแบบเรียลไทม์ทำให้การสืบสวนโดยใช้ AI รู้สึกเหมือนเป็นส่วนหนึ่งของกระบวนการทำงานมากกว่าเป็นเครื่องมือภายนอก
ระบบอัตโนมัติเสริมมนุษย์จำเป็นต้องมีการส่งต่อข้อมูลที่ชัดเจน
อนาคตของ SecOps จะไม่ใช่การทำงานด้วยตนเองทั้งหมด และก็ไม่ควรปล่อยให้เป็นไปโดยอัตโนมัติโดยปราศจากการกำกับดูแลเช่นกัน
รูปแบบที่นำไปใช้ได้จริงคือระบบอัตโนมัติที่เสริมด้วยมนุษย์: AI จัดการงานที่ซ้ำซาก เร่งการสืบสวน สรุปหลักฐาน แนะนำขั้นตอนต่อไป และสนับสนุนการตอบสนอง ในขณะที่มนุษย์ยังคงรับผิดชอบต่อการตัดสินใจที่มีผลกระทบสูง
โมเดลดังกล่าวจะใช้ได้ผลก็ต่อเมื่อการส่งต่อข้อมูลระหว่าง AI กับมนุษย์นั้นมองเห็นได้และเข้าใจได้
นักวิเคราะห์จำเป็นต้องเห็นว่า AI ตรวจสอบอะไรบ้าง สรุปผลอย่างไร มีความมั่นใจมากแค่ไหน มีหลักฐานอะไรสนับสนุนข้อสรุป และแนะนำให้ดำเนินการอย่างไร นอกจากนี้ พวกเขายังต้องมีAความสามารถในการยกเลิก เปลี่ยนแปลง แก้ไข หรือปรับแต่งกระบวนการได้ด้วย
เวิร์กโฟลว์ที่พร้อมใช้งาน AI จำเป็นต้องมีบริบทของเคสที่เป็นระบบ การเข้าถึงข้อมูลด้านความปลอดภัยที่ได้รับการควบคุม การกำกับดูแลที่คำนึงถึงผู้เช่า สรุปที่ได้รับการสนับสนุนจากหลักฐาน ความสามารถในการตรวจสอบ และเส้นทางการยกระดับปัญหาที่ชัดเจน หากขาดองค์ประกอบเหล่านี้ AI อาจสร้างความสับสนมากกว่าความชัดเจน
จุดเริ่มต้นที่ดีกว่าสำหรับนักวิเคราะห์
สำหรับ MSSP (ผู้ให้บริการจัดการระบบไอที) นี่คือปัญหาเรื่องขนาด ทุกนาทีที่เสียไปกับการรวบรวมข้อมูลบริบทด้วยตนเอง คือนาทีที่ไม่สามารถขยายขนาดได้ ทุกการตัดสินใจคัดกรองที่ไม่สอดคล้องกันก่อให้เกิดความเสี่ยงในการดำเนินงาน ทุกการส่งต่อด้วยตนเองทำให้การตอบสนองช้าลง เมื่อ AI ทำงานภายในเวิร์กโฟลว์เคสที่มีการกำกับดูแล MSSP สามารถกำหนดมาตรฐานการคัดกรอง ปรับปรุงความสม่ำเสมอของนักวิเคราะห์ ลดงานซ้ำซ้อน และให้การสนับสนุนลูกค้าได้มากขึ้นโดยไม่จำเป็นต้องเพิ่มจำนวนพนักงานตามสัดส่วน
สำหรับทีมรักษาความปลอดภัยที่มีขนาดเล็ก ความท้าทายเดียวกันนี้จะปรากฏขึ้นในรูปแบบของแรงกดดันด้านกำลังคน ทีมขนาดเล็กอาจรับผิดชอบในการตรวจสอบ การสืบสวน การตอบสนอง การรายงาน และการบริหารจัดการเครื่องมือ พวกเขาอาจไม่มีทีมแยกต่างหากสำหรับทีมระดับ 1 ทีมระดับ 2 การล่าภัยคุกคาม วิศวกรรมการตรวจจับ และการตอบสนองต่อเหตุการณ์
สำหรับทีมเหล่านี้ คุณค่าของ AI ไม่ได้อยู่ที่การเข้ามาแทนที่คน แต่เป็นการช่วยให้คนเริ่มต้นจากจุดที่ดีกว่าเดิม
แทนที่จะถามว่า “นี่คือสัญญาณเตือนอะไร?” ทีมงานสามารถเริ่มต้นด้วยการบอกว่า “นี่คือรายละเอียดของคดี นี่คือหลักฐาน นี่คือเรื่องราวที่น่าจะเป็นไปได้ และนี่คือขั้นตอนต่อไปที่แนะนำ”
นั่นเป็นรูปแบบการดำเนินงานที่แตกต่างออกไป
บรรทัดด้านล่าง
ทีมรักษาความปลอดภัยไม่ต้องการ AI เสริมอีกแล้ว พวกเขาต้องการ AI ที่ผสานรวมเข้ากับวิธีการทำงานของ SecOps อย่างแท้จริง
Stellar Cyber 6.5 ก้าวไปในทิศทางนั้นด้วยการแนะนำการเชื่อมต่อ AI ที่มีการกำกับดูแลผ่านทาง MCP Server และปรับปรุงขั้นตอนการทำงานของเคสด้วยสถานะการคัดกรองแบบเรียลไทม์ การปรับปรุงเหล่านี้ช่วยนำ AI เข้ามาสู่การตรวจจับ การคัดกรอง การสืบสวน และการตอบสนองอย่างลึกซึ้งยิ่งขึ้น ในขณะเดียวกันก็รักษาความสามารถในการมองเห็นและการควบคุมที่ทีมต้องการไว้ได้
AI จะไม่เปลี่ยนแปลงการปฏิบัติงานด้านความปลอดภัย เว้นแต่ว่ากระบวนการทำงานจะพร้อมสำหรับ AI
Stellar Cyber 6.5 ช่วยทำให้เวิร์กโฟลว์นั้นเป็นจริงได้
