Sokak szerint a hatékonyság kulcsa a technikai „zaj” kiszűrése. A szakemberek gyakran úgy finomhangolják a biztonsági rendszereket, hogy azok előszűrjék és összesítsék a nyers adatokat, eltávolítva a kontextust adó, de emberi szemmel nehezen feldolgozható technikai attribútumokat. A modern, „agentic” biztonsági műveleti központok (SOC) kiépítése során azonban a vállalatok egy évtizedes, jól bevált gyakorlat miatt ütköznek akadályba.

Az ágens-alapú MI számára ugyanis ez a radikális adatredukció kritikus információs űrt teremt. Míg az emberi elemző a tapasztalata alapján képes áthidalni az adatok közötti lyukakat, az MI kizárólag a kapott bizonyítékokra támaszkodhat. Viszont amennyiben az MI nem fér hozzá a szűrők által feleslegesnek ítélt háttéradatokhoz, elesik a pontos azonosítás lehetőségétől, és hallucinálni kényszerül. A hiányos adatokra épülő, bizonytalan MI-döntéseket végül ismét a drága emberi elemzőknek kell ellenőrizniük. Ez gyakorlatilag lenullázza az automatizáció megtérülését, és akár növelheti is a válaszadási időt (MTTR).

A helyzetet tovább bonyolítja az autonóm MI-eszközök vállalati integrációja, amely példátlan adatforgalmi robbanást idéz elő, kettészakítva a hagyományos, szűrt hálózati láthatóságot.

A belső MI-ágensek óriási mennyiségű kelet-nyugati (oldalirányú) forgalmat generálnak az infrastruktúrán belül. Ez az áramlás tökéletes fedezéket nyújt a kifinomult támadóknak, mivel a kártékony mozgás kísértetiesen hasonlít a legitim, automatizált alkalmazások kommunikációjára.

Az MI-rugalmasság ára

Az ExtraHop blogbejegyzésének okfejtése úgy folytatódik, hogy az MI ma már bárhonnan, bármilyen eszközről elérhető. Egy modern egészségügyi intézményben például külsős specialisták és alvállalkozók saját eszközeikről csatlakoznak a hálózatra. A SOC feladata, hogy ezt a megdöbbentő mennyiségű, saját titkosítással és kommunikációs mintával rendelkező protokollt egyszerre monitorozza és dekódolja. Ha a kiberbiztonsági MI nem ismeri fel pontosan ezen alkalmazások eltérő protokolljait, garantáltan téves riasztásokat generál, vagy éppen kritikus szolgáltatásokat szakít meg.

Ahhoz, hogy a mesterséges intelligencia a találgatások helyett tényalapú, bizonyítékokra támaszkodó döntéseket hozzon, radikálisan újra kell gondolni az adatszűrést. Az autonóm SOC csak akkor működhet, ha az ágensek megkapják a teljes, szűretlen képet.

Következtetés

A biztonsági csapatoknak olyan observability platformra van szükségük, amely mindent lát, méghozzá értelmezés és előzetes csonkítás nélkül. A hagyományos, észak-déli fókuszú eszközök helyett a laterális protokollok folyamatos dekódolására van szükség, hiszen a fenyegetések és a monitorozás nélküli MI-forgalom itt olvadnak össze a leginkább. Így, a valós hálózati állapotra építve megszüntethetők a vakfoltok, felgyorsítható a vizsgálat, és minimalizálható a támadók hálózatban töltött ideje.

További részletek angol nyelven itt olvashatók:

Your AI Needs the Noise: Why Filtering Kills the Agentic SOC

Kapcsolódó tartalom

ExtraHop képzések a RelNet eLearning programban