Эксперт Салпагаров: аналитики первой линии SOC останутся востребованными несмотря на развитие ИИ
изображение: grok
Султан Салпагаров, архитектор по информационной безопасности Getmobit, прокомментировал для CISOCLUB дискуссию о будущем центров мониторинга безопасности и заявления о том, что развитие искусственного интеллекта может сделать первую линию аналитиков SOC ненужной.
По мнению эксперта, подобный взгляд остаётся спорным. Он считает, что современные ИИ-инструменты действительно обладают высокой скоростью работы и широкими возможностями применения, но вместе с этим сохраняют непредсказуемость, которая может создавать дополнительные риски для защитников.
«Это спорное мнение, что L1, первая линия защиты SOC, не нужна. Как инструмент ИИ быстр и универсален, но непредсказуем. И если первые два свойства «играют в обе стороны», то хаотичность ИИ всегда на руку нападающим», — заявил Султан Салпагаров.
Он отметил, что для эффективного противодействия киберугрозам недостаточно полагаться на автоматический перебор возможных сценариев атак. Намного важнее обеспечить корректное принятие решений на основе всей доступной информации о происходящих событиях.
«Чтобы действенно защитить от атакующего, ИИ вместо перебора всех сочетаний атакующих техник (заведомо безнадежного) нужно корректировать контекст принятия решения на основе всех доступных данных в моменте», — подчеркнул эксперт.
По словам Султана Салпагарова, развитие ИИ в сфере информационной безопасности неизбежно повышает требования к качеству мониторинга и объёму собираемых данных. При этом рост количества информации увеличивает и стоимость процессов анализа.
«Также необходимо серьезно повышать требования к оперативности и полноте мониторинга. Потому что чем больше данных для принятия решения, тем оно точнее, но дороже обходится», — отметил он.
Эксперт считает, что без решения этих задач говорить о полноценной упреждающей защите пока сложно. Ситуацию дополнительно осложняет то, что современные средства автоматизации доступны не только защитникам, но и злоумышленникам.
«Без решения этих задач затруднительно говорить об упреждающей защите, потому что автоматический пентест дешевле и не требует от нападающего ни участия, ни квалификации», — рассказал Султан Салпагаров.
По его мнению, всё это свидетельствует о том, что специалисты первой линии SOC ещё долго будут оставаться важной частью процессов мониторинга и реагирования на инциденты.
«Всё это может указывать на то, что от L1 нам в обозримом будущем не избавиться», — заключил Султан Салпагаров.
