پلتفرمهایی مثل Claude، Codex و Cursor ابزارهایی قدرتمند برای تحلیلگران و مهندسان تشخیصاند؛ اما بیشترین ارزش آنها در لایهٔ بالایی عملیات امنیتی است، نه بهعنوان بازرس ۲۴/7 که باید هر هشدار را خودکاراً پیگیری کند.
نگاه سهلایهای به عملیات امنیتی
عملیات امنیتی را میتوان به سه لایهٔ مشخص تقسیم کرد تا نقش هر ابزار و انسان روشن شود:
- لایهٔ زیرین: منابع داده و ابزارهایی که هشدار تولید میکنند—مثل SIEM، EDR، راهکارهای امنیت ابری، هویتی و سرویسهای ایمیل.
- لایهٔ میانی: یک SOC خودکار که هشدارها را فیلتر، همبسته و اولویتبندی میکند؛ زمینهٔ سازمانی را اعمال مینماید و مواردی را که نیاز به دخالت انسانی دارند مشخص میکند.
- لایهٔ بالایی: پلتفرمهای تعاملی هوش مصنوعی مانند Claude که تحلیلگران را در نوشتن قوانین تشخیص، شکار تهدید، خلاصهسازی تحقیقات و نگارش گزارشها یاری میکنند.
چرایی عدم استفاده از Claude بهعنوان بازرس دائمی
مدلهای زبان بزرگ برای کارهای تعاملی، خلاقانه و تولید متن طراحی شدهاند: توضیح رخدادها، نوشتن قوانین Sigma، بازنویسی پرسوجوها یا خلاصهسازی تحقیقات. اما قراردادن آنها در نقش «بازرس ۲۴/7» با دو محدودیت اصلی مواجه است: مقیاس و هزینه.
مقیاسپذیری و حافظهٔ سازمانی
تحقیقات مؤثر نیازمند زمینهٔ کامل است: تلِمتری endpoint، درخت فرآیندها، لاگهای احراز هویت، تاریخچهٔ ایمیل، اطلاعات تهدید و سوابق تحقیقات قبلی. این دادهها باید در سیستمی ذخیره و پیوسته در دسترس باشند تا مدلها هر بار از صفر شروع نکنند. SOC باید «حافظهٔ سازمانی» داشته باشد و مدلها را با جریانهای تلِمتری و پایگاههای دانش یکپارچه کند.
توکنومیکس و هزینهٔ هر گفتگو
هر فراخوان مدلهای بزرگ برای بررسی یک هشدار هزینه و مصرف توکن در پی دارد. وقتی هزاران هشدار روزانه وجود دارد، بسیاری از گفتگوها فاقد ارزش تحلیلی بالا هستند و هزینهها به سرعت افزایش مییابد. برای درک پایهٔ مدلهای زبان میتوانید به صفحهٔ Large language model مراجعه کنید.
الگوی عملیاتی پیشنهادی: SOC خودکار بهجای پردازش تکبهتک
یک معماری عملیاتی موثر ترکیبی از قواعد قطعی، تحلیلهای خودکار و استفادهٔ هدفمند از مدلهای زبان است. عناصر کلیدی این معماری عبارتاند از:
- فیلترینگ اولیه: قوانین و تحلیلهای deterministic، هشدارها را پالایش و همبسته میکنند.
- جمعآوری و خلاصهسازی خودکار: سیستم بهصورت خودکار اطلاعات مرتبط (تلِمتری، سوابق و شاخصهای تهدید) را گردآوری و خلاصه میکند تا بار پردازشی مدلها کاهش یابد.
- درگیری انسانی هدفمند: زمانی که تحلیل عمیق، قضاوت یا نگارش فنی ارزش افزوده ایجاد میکند، تحلیلگر با پلتفرمهایی مانند Claude وارد تعامل میشود.
این رویکرد هزینهها را قابل پیشبینی میکند و مدلهای زبان را در نقاطی مستقر میسازد که بیشترین تاثیر را دارند، نه در جریان هشدارهای تکراری و کمارزش.
واقعیت MDR/MSSP و تفکیک مسئولیتها
بسیاری از سازمانها بخش یا تمام SOC را به ارائهدهندههای MDR/MSSP واگذار میکنند. در این حالت، جمعآوری تلِمتری و تحقیقات اولیه معمولاً بر عهدهٔ ارائهدهنده است و مشتری بر گزارشها و تحلیلهای آن تکیه میکند. مرزبندی روشن بین کارهایی که داخل سازمان باید انجام شود و کارهایی که توسط پلتفرمهای تعاملی پشتیبانی میشوند، برای کنترل هزینه و حفظ مالکیت عملیاتی حیاتی است.
چکلیست پیادهسازی عملی
- تعریف نقشها: مشخص کردن وظایفی که سیستم خودکار انجام میدهد و نقاطی که تحلیلگر دخالت میکند.
- یکپارچهسازی دادهها: تضمین جریان دائمی تلِمتری و دسترسی به سوابق تحقیقات برای کاهش نیاز به ارسال پیوستهٔ زمینه به مدلها.
- کنترل هزینه: محدود کردن فراخوانهای مدل به مواردی که ارزش ملموس تولید میکنند و نرخ هزینه را قابل پیشبینی نگه میدارند.
- آموزش تیم: آموزش نحوهٔ تعامل مؤثر با پلتفرمهای تعاملی و نگارش پرامپتهای هدفمند.
- پایش عملکرد: سنجش زمان واکنش، نرخ مثبت کاذب و هزینههای مصرف مدل برای بهینهسازی مداوم.
گامهای بعدی برای تیمهای امنیتی
برای بهرهبرداری حداکثری از Claude و همتایانش لازم است فرایندها بازطراحی شوند: حجم بالا را با ابزارهای پیوسته خودکار مدیریت کنید و تعامل انسانی-هوشمصنوعی را برای مسائلی نگه دارید که به خلاقیت، قضاوت یا نگارش نیاز دارند. سازمانهایی که این مرز را دقیق تعریف کنند، هم سرعت و هم دقت را افزایش میدهند بدون آنکه هزینهها از کنترل خارج شود.
معیار موفقیت SOCها در آینده، تنها داشتن مدلهای قدرتمند نخواهد بود؛ بلکه توانایی ترکیب منطقی آنها با سیستمهای خودکار، حافظهٔ سازمانی و فرایندهای واضح است—جایی که ابزارها در نقشهای مناسب قرار میگیرند و تیمهای امنیتی روی تصمیماتی سرمایهگذاری میکنند که بیشترین ارزش را تولید میکنند.
