شبکه به زبان ساده!

❤7

391 views03:34

AI در SOC هوش مصنوعی دقیقاً چه کار می‌کند؟

در یک SOC معمولی، سیستم‌هایی مثل SIEM از منابع مختلف لاگ جمع می‌کنند؛ مثلاً Windows Event Log، Firewall، IDS/IPS، EDR، DNS، Proxy و تجهیزات شبکه. مشکل اینجاست که تعداد Alertها می‌تواند خیلی زیاد باشد و بررسی تک‌تک آن‌ها زمان‌بر است. اینجاست که AI وارد می‌شود.

مثلاً فرض کن یک کاربر در مدت کوتاه چندین بار Login ناموفق داشته، بعد یک Login موفق از یک موقعیت غیرعادی اتفاق افتاده و بلافاصله روی چندین سیستم درخواست دسترسی کرده. AI می‌تواند این Eventها را کنار هم قرار بدهد و به‌جای اینکه هرکدام را یک Alert جداگانه ببیند، آن‌ها را به‌عنوان یک زنجیره احتمالی حمله تحلیل کند.

یکی از کاربردهای مهم AI در SOC، Alert Triage است؛ یعنی بین Alertهای مختلف تشخیص بدهد کدام مورد احتمالاً False Positive است و کدام مورد ارزش بررسی بیشتری دارد.

کاربرد بعدی تشخیص رفتار غیرعادی است. مثلاً اگر یک حساب کاربری همیشه در ساعات اداری از یک سیستم مشخص استفاده می‌کند ولی ناگهان ساعت ۳ صبح وارد سیستم دیگری شود و حجم زیادی داده دریافت کند، این رفتار می‌تواند برای بررسی بیشتر Flag شود.

همچنین می‌تواند در Threat Hunting کمک کند؛ یعنی Analyst به‌جای اینکه تک‌تک لاگ‌ها را دستی بررسی کند، از سیستم بخواهد الگوهای مشکوک، ارتباط بین Eventها یا رفتارهای غیرمعمول را پیدا کند.

در مرحله Incident Response هم می‌تواند مفید باشد؛ مثلاً Alert مربوط به یک Endpoint را با DNS Queryها، لاگ Firewall، Processهای اجراشده و ارتباطات شبکه آن Endpoint مرتبط کند و یک تصویر کامل‌تر از Incident بدهد.
یک سناریوی ساده:

User Login
    ↓
Windows Event Logs
    ↓
SIEM
    ↓
AI Analysis
    ↓
Correlation
    ↓
Risk Scoring
    ↓
SOC Analyst
    ↓
Incident Response

مثلاً AI متوجه می‌شود:

Failed Login × 30
        +
Successful Login
        +
PowerShell Execution
        +
Suspicious DNS Query
        +
Outbound Connection
        ↓
Possible Compromise

نکته مهم اینه که AI به‌تنهایی نباید تصمیم نهایی امنیتی بگیرد. چون ممکن است یک رفتار کاملاً قانونی را حمله تشخیص بدهد یا برعکس، یک حمله واقعی را از دست بدهد.
برای همین در SOC حرفه‌ای معمولاً AI در کنار SIEM، EDR/XDR، SOAR و تحلیلگر انسانی قرار می‌گیرد.
در واقع معماری مدرن می‌تواند چیزی شبیه این باشد:

Logs / Network / Endpoint
          ↓
       SIEM / XDR
          ↓
    AI / ML Analysis
          ↓
 Correlation + Detection
          ↓
       SOAR
          ↓
 Automated Response
          ↓
    SOC Analyst

هوش مصنوعی قرار نیست SOC را حذف کند؛ هدف اصلیش اینه که Analyst به‌جای غرق شدن بین هزاران Alert، روی Incidentهای مهم‌تر تمرکز کنه.

@ModernLan

❤7

493 views03:35