هسته 5G در حال بهرهبرداری، ساعتی حجمی از دادههای تلهمتری امنیتی پدید میآورد که بیشتر مراکز عملیات امنیتی (SOC) سازمانی شاید در یک هفته شاهد آن باشند. گلوگاه اصلی در یک SOC بالغ بهندرت اولویتبندی تحلیلگران است؛ بلکه ناتوانی تیم مهندسی تشخیص در همگامسازی پایگاه قواعد با چشمانداز تهدیداتی است که با سرعتی بیش از زمان نگارش قواعد جدید تکامل مییابند.
الگوی معماری توضیحدادهشده در اینجا، بر پایه عملیات امنیتی در هسته 5G یک اپراتور مخابراتی رده یک بنا شده و طی سال گذشته با بازخوردهای عملیاتی تکرارشونده و استقرارهای داخلی بهطور پیوسته پالایش یافته است. این ساختار از لایهای چندعاملی بهره میبرد که از طریق پروتکل A2A هماهنگ شده و با محیط خود از طریق MCP یکپارچه میشود، در حالی که یک عامل بازبینی ممتاز، امنیت را بهعنوان کد اعمال میکند.
مقایسه با مجموعه پایهای از کلاسهای حادثه نشان میدهد که این رویکرد زمانهای میانگین تشخیص و واکنش را هرکدام حدود 40 درصد کاهش داده است. همچنین، این پلتفرم بهطور خودکار بیش از 80 قاعده تشخیص تولید کرده که پیشتر نوشته نمیشدند، و کار انسانی لازم برای نگارش یک قاعده جدید را از حدود 3 ساعت به 15 دقیقه رسانده است. این سامانه بهطور همزمان 10 تا 20 عملکرد شبکه 5G را نظارت میکند.
دو الگوی متداول اما بنبست
در ادبیات فعلی صنعت پیرامون کاربرد هوش مصنوعی در عملیات امنیتی، دو الگوی غالب وجود دارد که به نظر میرسد در مقیاس هسته مخابراتی هر دو مسیر بنبستی هستند.
الگوی LLM یکپارچه (Monolithic)
در این الگو، تلهمتری امنیتی، زمینه داراییها و درخواستهای اپراتورها به یک مدل زبانی بزرگ (LLM) وارد میشود و از آن خواسته میشود تشخیصها و واکنشها را منتشر کند. این روش به سه دلیل عمده در محیط تولید شکست میخورد. نخست، پنجره زمینه (Context Window) برای گستردگی تلهمتری که یک SOC واقعی مدیریت میکند بسیار کوچک است. دوم، رفتار مدل غیرقطعی (Non-deterministic) است که برای خروجیهایی که قرار است انزوای خودکار در زیرساخت تولید را تحریک کنند، غیرقابلقبول میباشد. نهایتاً، ویرایش یک درخواست (Prompt) میتواند رفتار کل SOC را تغییر دهد و مدیریت تغییر (Change Management) را عملاً غیرممکن کند.
تجمیدپذیری GenAI روی SIEM/SOAR سنتی
بسیاری از فروشندگان نرمافزار، یک دستیار LLM را روی مجموعهابزارهای موجود پیاده میکنند که هشدارها را خلاصه و دستورالعملهای عملیاتی را پیشنویس میکند. هرچند این کار بهرهوری تحلیلگران را بالا میبرد، ساختار اساسی SIEM را دگرگون نمیسازد. قواعد همچنان دستنویس باقی میمانند و زمان پوشش روی کلاسهای تهدیدی جدید، همچنان به سرعت نوشتن تیم مهندسی تشخیص محدود است. اگر در مدیریت یک SOC پرخطر با این الگوها احساس نقص کردهاید، جایگزین زیر راهگشا است.
الزامات معماری و پروتکلهای هماهنگی
باید با SOC بهعنوان یک سیستم چندعاملی رفتار کرد که در آن عاملهای تخصصی و محدود از طریق پروتکل باز Agent-to-Agent (A2A) با هم ارتباط برقرار میکنند و محیط پیرامون را از طریق پروتکل زمینه مدل (MCP) یکپارچه میسازند. پروتکلهای باز هماهنگی و زمینه از چارچوبها (Frameworks) طولانیتر عمر میکنند. به این معنا که عاملهایی که با فاصله زمانی 18 ماه نوشته شدهاند، در صورت اشتراکگذاری A2A همچنان با یکدیگر تعامل خواهند داشت و هر ابزار جدیدی که از طریق MCP در معرض دید قرار میگیرد، بلافاصله با هزینه حاشیهای تقریباً صفر برای تمام عاملها در دسترس خواهد بود.
در histوابندی استنتاج با الگوریتمهای کلاسیک
یکی از اصول کلیدی این معماری، دروازهبندی (Gating) استنتاج LLM با تشخیص ناهنجاری کلاسیک است. یک پیشفیلتر سبک جنگل انزوا (Isolation Forest) روی تلهمتری خام قرار میگیرد تا عاملهای مبتنی بر LLM را صرفاً به سمت نمونههای واقعاً جدید هدایت کند. این رویکرد معماری را واکنشگرا میکند؛ بهگونهای که هزینه استنتاج محدود باقی میماند، تأخیر قابلپیشبینی است و LLM صرفاً آن کارهایی را انجام میدهد که پیشتر نیازمند هوش انسانی بود.
عامل بازبینی؛ امنیت بهعنوان کد
اولین گام در این معماری، ساخت عامل بازبینی (Reviewer Agent) است. این عامل باید با محدودیتهای ایمنی کدنویسیشده (Policy as Code به جای درخواستهای متنی LLM) و مسیر ارجاع واضحی به انسان تعبیه شده باشد که مستقیماً در پروتکل گنجانده میشود. در مرکز عملیات امنیتی پرخطر، باید هر دو الگوی LLM یکپارچه و GenAI روی SIEM سنتی را کنار گذاشت. جایگزین پایدار، لایهای چندعاملی با استنتاج دروازهبندیشده با ناهنجاری، خودمختاری دروازهبندیشده با سیاست و حضور انسان در چرخه (Human-in-the-loop) است.
سنجش تأخیر مطلوب در SOC
معیار تعیینکننده در یک SOC تولیدی، زمانی است که بین ظهور یک کلاس تهدیدی جدید در طبیعت و داشتن یک تشخیص مستقرشده برای آن در سیستم شما سپری میشود. معماری باید دقیقاً برای بهینهسازی همین تأخیر طراحی شود. کاهش زمان تشخیص و واکنش به میزان 40 درصد و فشردهسازی زمان نگارش قواعد از 3 ساعت به 15 دقیقه، دستاوردهای این معماری چندعاملی در هسته 5G است که بهطور همزمان 10 تا 20 عملکرد شبکه را نظارت میکند.
توسعه این لایه میانافزاری نشان میدهد که آینده عملیات امنیتی در شبکههای پیچیده مخابراتی نه در اتکای صرف به مدلهای زبانی عظیم، بلکه در توزیع هوشمند وظایف میان عاملهای تخصصی و اعمال سیاستهای سختگیرانه نهفته است.
