עקרונות והקשרים ב AI SOC

[ זמן קריאה משוער; 15 דקות. ]

לפני מספר ימים (נכון לכתיבת מאמר זה) העליתי לרשת פוסט קצר שהוא קצת דעה, הרבה מהמציאות ואיך אולי ייראה הצעד הבא. היה בעיקר משעשע עם הרבה תגובות בתעשיה. וכן, בתקופת זמן הנוכחית עם השינויים הטכנולוגיים והדינמיות של AI אז כן, AI SOC is dead.

בשלוש שנים האחרונות היו מספר גרסאות ל AI SOC שהאחרונה בהן היא v3.0 (לפחות כך הוונדורים מתארים אותם) בכל האבולוציה הזאת היה אפשר לראות התחלה מ AI SOC שמבוסס על Centralized SIEM, לאחר מכן עם Federated ועד לאחרון שהוא מבוסס Distriubted. בכולם צורת איסוף הלוג, חיבור הנקודות, עבודה עם API's, הבנת הקונטקסט נעשתה בצורה שונה ומגוונת. זה התחיל טוב אבל בשנה האחרונה משהו הלך לאיבוד ודווקא באותו רגע שהגיח Agentic. רוב הוונדורים (AI SOC) עושים Cognitive SOC או Agentic SOC או משהו בסגנון.

לכלל הוונדורים האלה חסר הבנה ארגונית, הקשר עסקי, חוסר משווע בקונטקסט (ממש קריטי), עדיין לא רואים את כל הלוגים, לא תמיד מקבלים הרשאות מול מערכות מסוימותף צריכים להתחבר לכל כך הרבה מערכות ועוד הרבה תנאים שמונעים לממש AI SOC אמיתי.

כעת, השיח והדבר הבא הוא, Edge.

באתר של SOC Radar דירגו את הוונדורים המובילים

המצב כיום

ההייפ הגדול של ה Generative AI ששטף את התעשייה בשנתיים-שלוש האחרונות והמעבר אל Agentic מתחיל לשקוע, וזה מגיע לאבטחת מידע וסייבר אנו נשארים עם המציאות האפורה ב SOC. הבטיחו לנו את הטרמינטור שיגן עלינו מפני Cybercriminal ופני קבוצות תקיפה סיניות ורוסיות, ובפועל, קיבלנו משהו כמו איזה Clippy על סטרואידים, בוט פטפטן שיודע לכתוב סיכומים יפים ל CISO, סייען התראות, אבל כשמבקשים ממנו לחקור תנועה במרחב או באקדור בענן הוא מאבד את זה.

הבעיה היא לא במודל, אלא בארכיטקטורה. רוב הארגונים לקחו את מנוע של פרארי, והרכיבו אותו על עגלת סופרמרקט רעועה של תשתיות לגאסי. התוצאה? מנוע שצורח בניוטרל, מייצר המון חום והרבה צריכת Azure, אבל לא מזיז את המחט המבצעית במילימטר. מכירים סביבות וארגונים כאלה?

המאמר הזה הוא לא עוד סקירה של פיצרים ב Security Copilot או של Sentinel MCP. את זה תקראו במאמרים אחרים בבלוג  נוסף שלי ב Cyberdom או באיזה בלוג מיקרוסופטי אחר.

המאמר הזה מכיל מספר בודד של עקרונות של Blueprint הנדסי שמיועד לארכיטקטים, אנשי AI ומנהלי SOC שכבר הבינו שהקסם לא יקרה מעצמו. נפרק לגורמים מספר קטן מהם, כמו, המכונה, ולהרכיב מחדש את ה Stack של Microsoft, מ Sentinel כבסיס הנתונים, דרך ה MCP כעמוד השדרה העצבי, ועד ל Copilot כמוח כדי לבנות מערכת מבצעית מזיזה משהו. מערכת שלא רק עונה על שאלות" אלא מבינה קונטקסט, שומרת על סטייט, ויודעת להבדיל בין התראת שווא לבין האירוע שיקח אתכם לשבועות של חקירה בלי שינה.

למה האנליסטים מפסידים בקרב עוד לפני שהוא התחיל?

כמה פעמים היתה תקרית אבטחה והאנליסט תייג עוד מקרה אמת עם False Positive? או בוצע מבדק אבטחה עם עשרות בדיקות והסוק נרדם בשמירה (אפילו לא התראה אחת)? במקרים אחרים, בוצע Purple והמסך של הסוק היה נקי מהבדיקות האלה? אלה מתרחשים בכל סוק בעולם, מהקטן ועד המתקדם שנים לאחור ואין שום חדש.

נוסיף לזה רגעים מוכרים וכל מי שנוגע (או נגע) בסוק מכיר את הרגע המסוים, והכמעט טקסי, שחוזר על עצמו בכל משמרת בכל SOC בעולם, וזה קורה בדרך כלל באזורי הלילה או סופי שבוע, השעה האפלה ביותר של הנפש הדיגיטלית. השקט במסדרונות מקפיא והאור המרצד שבוקע מהמסכים הענקיים הוא הדבר היחיד שזז בחדר. העיניים של האנליסט התורן (במקרה הטוב של אנליסט עם ידע טכני), שכבר ראה וסרק אלפי שורות לוג בשעות האחרונות או שבכלל מתכונן לבחינת סמסטר, מתחילות להימרח ולהזדגג ולחשוב אחרת. המוח האנושי הוא מכונה ביולוגית מופלאה, שעברה אבולוציה של מיליוני שנים בסוואנה כדי לזהות תנועה חשודה של טורף בין השיחים או לקרוא הבעת פנים מיקרוסקופית של חבר, אבל הוא לא נועד, בשום צורה, ואבולוציונית הוא לא מסוגל, לפענח ולחבר לוגים בנפחים של פטה בייטים בזמן אמת ובזמן קצר.

בנקודת הזמן הקריטית והשברירית הזו נוצרת הבעיה האקוטית ביותר ב SOC המודרני, בעיה שרוב מנהלי האבטחה ומנהלי הסוק מעדיפים להתעלם ממנה, קריסת הקונטקסט. במקרה הטוב הנתונים נמצאים שם, בין אם ה Beacon הקטנטן והמחזורי של ה C2 שרץ מעל תעבורת HTTPS מוצפנת, התנועה במרחב השקט והאלגנטי שמתבצע באמצעות Service Principle בענן, ושינוי ההרשאות בקבוצת ה Shadow Admins ב Entra ID. בקיצור, כל הסימנים שם, אבל האנליסט העייף, המוצף והשחוק, רואה אותם כנקודות בודדות, מנותקות וחסרות משמעות. חסר לו הסטייט המנטלי, רוחב הפס הקוגניטיבי, כדי לחבר את הנקודה האדומה הזעירה בין Firewall עם הנקודה הכתומה ברמת זהויות ועם הפרוסס החדש ברמת תחנות לכדי סיפור קוהרנטי אחד של מתקפה.

המושג Alert Fatigue (עייפות התראות) היא מכבסת מילים של השנים האחרונות וגם המציאות. זה לא שהאנליסטים עייפים פיזית, הם רק פשטו רגל קוגניטיבית. כמות המידע שמגיעה ממשהו כמו 70 מערכות ומעלה כמו ה EDR, ה NDR, ה Identity וה Cloud גדלה בקצב אקספוננציאלי ופסיכי, בעוד היכולת האנושית לעבד כמויות מידע בסקיילים כאלה נשארה הרחק מאחור. הפער הזה הוא המקום שקבוצות תקיפה לעיתים מנצלות ולא תמיד צריכות להשתמש באיזה Zero Days מתוחכם, הן פשוט צריכות לייצר מספיק רעש רקע לגיטימי, ולהסתתר בתוך הפער הקוגניטיבי הזה שבין הלוג לבין ההבנה, ויודעות שאולי האנליסט יראה את הלוג, אבל לא יבין את הקונטקסט.

לתוך הוואקום המבצעי המסוכן הזה נכנסה ההבטחה הגדולה של ה AI. הגל הראשון של כלי ה AI (זה שקם לפני שלוש שנים) היה טוב בתחילה אבל בהמשך נכשל כישלון חרוץ. הוא נכשל כי הוא ניסה לחקות צאטבוט במקום לחקות אנליסט, הוא נתן תשובות וסיכומים עם ערך מינימלי (היינו מסתדרים בלעדיו), ומה שהוא לא נתן זה את הקונטקסט. במילים פשוטות, הוא ידע לזהות ולומר מה זה Mimikatz, אבל הוא לא ידע להגיד למה זה רץ על המחשב של המנכל או בתוך Sandbox של עמדת בדיקות, משהו שאנליסט  יכול לבצע. כדי לנצח במלחמה הזו, אנחנו צריכים להפסיק לבנות בוטים ולהתחיל לבנות ארכיטקטורה של ידע ומוח מורחב עם מערכת שמורכבת משכבות הנדסיות של איסוף, תרגום, הזרקת ידע, חשיבה וזיכרון, שכל תפקידה הוא לייצר ולשמר קונטקסט עבור האדם שבקצה. במקרה הזה מדובר על Blueprint לארכיטקטורה של Microsoft, השילוב של הגורם האנושי, Sentinel, MCP ו Copilot.

Microsoft Sentinel כמעצב הקונטקסט הראשוני

השכבה הראשונה בארכיטקטורה החדשה היא ה Telemetry Plane, לא חדש. ה AI חייב לחיות מהשטח, והשטח הזה הוא ה Data Lake ב Microsoft Sentinel. ללא גישה לשטח, ה AI מרחף בחלל ריק של תיאוריות אקדמיות והוא יכול לדקלם הגדרות NIST או CIS בעל פה, והוא יכול לכתוב פוליסות אבטחה שנראות טוב, אבל הוא לא יידע שיש לכם פריצה פעילה בVNET הענני, פשוט כי הוא עיוור. אנלוגיה מעולם המודיעין הצבאי תהיה ההבדל בין חייל ששומע רעשים ביער לבין מערכת סנסורים משולבת שיודעת להגיד בדיוק איזה סוג רכב מתקרב ובאיזו מהירות.

לצד זה, Sentinel ב AI SOC אינו מחסן לוגים פאסיבי כמו ב SIEM המסורתי, אלא המנגנון שמייצר את חומר הגלם של הקונטקסט. כדי ש Security Copilot יוכל לבצע Inference, כלומר, להסיק מסקנה חדשה מתוך עובדות קיימות, הוא לא יכול לקבל זרם אינסופי של טקסט גולמי ולא מובנה. מודלים (LLMs) הם בעלי יתרון, אבל הם בזבזניים. למשל, אם מספקים להם לוג גולמי של Entra ID ותבקשו מהם לפענח אותו, הם יבזבזו 90% מהטוקנים על הבנת הפורמט ורק 10% על החקירה עצמה.

כאן נכנס לתמונה הגיבור השקט של הארכיטקטורה, מודל הנתונים ASIM (Advanced Security Information Model) וזה במקרה של Microsoft Sentinel, הרכיב הקריטי שהופך רעש לסיגנל. כשאנחנו מנרמלים את המידע באמצעות ASIM, אנחנו בעצם מזריקים לו קונטקסט סמנטי בשלב הכי מוקדם של השרשרת. אנחנו לוקחים שורה סתמית של טקסט ואומרים למודל: הסטרינג הזה, 192.168.1.50, הוא לא סתם רצף מספרים אקראי. היא ישות מסוג Source IP. והסטרינג השני הוא Target User".

תחשבו על זה כמו על פענוח מודיעין של סיגנלים (SIGINT), כלומר, לוג גולמי הוא כמו שידור מוצפן ורועש בקוד מורס. לוג מנורמל ב ASIM הוא הטקסט המתורגם, הנקי והמסווג. רק כשהמידע עטוף בקונטקסט הסכמטי הזה, ה AI יכול להתחיל לחבר נקודות. הוא יכול לומר, "ה Source IP הזה הופיע גם בלוג של ה Identity וגם בלוג של ה Endpoint". בלי ASIM, ה AI הוא כמו בלש שמקבל את כל הראיות בשפה זרה שהוא לא מבין, ומבזבז את כל כוח העיבוד שלו על תרגום במקום על פיצוח התיק. בארכיטקטורה החדשה, איכות הפירסור והינרמול ב Sentinel קובעת ישירות את ההאיכות ואת היעילות המבצעית של ה Copilot. ככל שהנתונים ב Sentinel יותר מובנים וממש Structured, כך ההזיות של ה AI יורדות והדיוק עולה.

הערה: Microsoft Sentinel עם הקונקטורים הקיימים מביא חלק מהמידע מנורמל אך זה לא מספיק טוב כאשר עובדים עם AI, ולמה? כי הם לא מדברים את אותה שפה ברמת הלוג. כלומר אנו חייבים שיהיה לנו אלמנטים של common schema ברמת הלוג ומכל הקונטקורים ולא רק שדות ספציפיים בין Defender for Office לבין Defender for Endpoint.

MCP כצינור הקונטקסט הארגוני ושבירת ה Silos

אחת הבעיות של אנליסטים אנושיים (וגם של מודלי AI דור ראשון) היא הפרגמנטציה. המידע הארגוני מפוזר בתוך אינספור חלקים נפרדים. הלוגים ההיסטוריים נמצאים ב Sentinel, הסטטוס של המכשירים נמצא ב Defender for Endpoint, הטיקטים וההיסטוריה הארגונית נמצאים באיזה ServiceNow או Jira, והמודיעין החיצוני נמצא אצל ספק ה TI. כל כלי מדבר שפה אחרת, יש לו API אחר, והקונטקסט נשבר בכל פעם שמנסים לעבור ביניהם. האנליסט הממוצע מבזבז כ 80% מהזמן שלו בביצוע Alt Tab בין ממשקים שונים שונים, ובניסיון ידני להעתיק ולהדביק כתובות מידע מכלי לכלי. הפעולה הזו היא השמדת קונטקסט האנושי.

הפתרון הארכיטקטוני לבעיה הכואבת הזו הוא Model Context Protocol (MCP). זהו המהפכה השקטה והטכנית של ה SOC, שעדיין איננה מקבלת אימוץ מספיק טוב. תחשבו על MCP כעל מערכת העצבים המרכזית שמחברת את המוח (Copilot) לאיברים השונים של הגוף (Sentinel, Defender, Jira, Entra).

במקום לכתוב אינטגרציות ספגטי עם סקריפטים של פייתון / פוורשל, כאלה שיכולים להישבר בכל שינוי גרסה, או מצריכים התאמות, ה MCP מייצר סטנדרטיזציה גלובלית של העברת קונטקסט. אנלוגיה מצוינת מעולם התקיפה תהיה פרוטוקולי C2 מודרניים. בדיוק כמו שתוקף משתמש בפרופיל C2 גמיש כדי לשלוט על Implantsים שונים בלי לדעת מה מערכת ההפעלה שלהם, ה MCP מאפשר ל Copilot לשדר בקשה לקונטקסט, כמו, תביא לי את כל המידע על המשתמש ולקבל תשובה אחידה, מובנית ומפורמטת מכל המערכות במקביל.

בארכיטקטורת ה AI SOC, אנחנו מקימים שרת MCP ייעודיים שיושבים על ה Gateways של המערכות השונות. השרתים האלו חושפים ל AI כלים (Tools) מופשטים ולוגיים. במקום שה AI יצטרך לדעת איך בנויה טבלה פנימית של מערכת משאבי האנוש, או מה הסינטקס המדויק של שאילתת KQL לטבלה ספציפית, הוא פשוט משתמש בכלי MCP שנקרא get_user_risk_profile. הפרוטוקול דואג לכל התרגום הטכני מאחורי הקלעים. זה מאפשר ל AI לשמור על רצף קונטקסטואלי רציף. הוא חושב ברמת ה"מה", וה MCP דואג ל"איך". ה MCP הוא הצינור שדרכו זורם הדם של החקירה מקצה לקצה, ללא חסימות וללא המרות פורמט ידניות.

Copilot כמנוע SOAR מבוסס כוונה

המילה SOAR מעוררת קונוטציות שונות ומגוונות אצל הגורם האנושי, לעיתים חיובי ולעיתים שלישי.

עדיין, זה המקום שבו הקסם יכול להתרחש (וגם הסכנה הפוטנציאלית) עם Security Copilot. בארכיטקטורת סוק מודרנית ובוגרת, אנחנו מפסיקים להתייחס אל Security Copilot כאל צאטבוט חביב שעונה על שאלות, ומתחילים להתייחס אליו כאל מנוע SOAR מסוג חדש לחלוטין, Intent Based SOAR.

במערכות SOAR קלאסיות, היינו צריכים לכתוב פלייבוק ליניארי, נוקשה ואולי טיפש. האלגוריתם היה מריץ נוסחה פשוטה, כמו, אם התראה מסוג X מתרחשת, אז תריץ סקריפט Y, ואז תגיב ב Z. הבעיה היא שהמציאות המבצעית היא כאוטית ודינמית. אם התוקף שינה את הטקטיקה שלו במילימטר, או אם שם הקובץ השתנה במקצת, הפלייבוק הליניארי נשבר ומפסיק לעבוד, כי חסר לו קונטקסט דינמי. הוא יודע לעקוב אחרי הוראות, לא להבין מצבים.

ה Copilot משנה את המשוואה הזו מהיסוד. אנחנו נותנים לו Objective עם כוונה עליונה, כמו, חקור את האירוע הזה, סווג אותו לפי מטריצת Mitre ATT&CK, בדוק סיגנלים, השווה fingerprints, וודא prevalence ועוד מספר אלמנטים ותנאים, ואם זו מתקפת כופר וודאית, בודד את המכונה מהרשת. המודל לא מקבל הוראות צעד אחר צעד, אלא מקבל יעד ומנדט. הוא משתמש בכלים שחשפנו לו דרך ה MCP כדי למשוך מידע, לנתח אותו, ולהחליט בזמן אמת מה הצעד הבא הנדרש והוא יכול להחליט שזה לא כופר אלא רק כלי הצפנה לגיטימי של ה IT, ולעצור את התהליך לבד.

כדי שהמוח החזק הזה יעבוד ביעילות ולא יטייל סתם בלוגים ויבזבז זמן יקר וטוקנים, אנחנו משתמשים ב Promptbooks. אלו הם בעצם SOPs (Standard Operating Procedures) דיגיטליים ואינטראקטיביים. ה Promptbook הוא הזרקת קונטקסט של מומחיות לתוך המודל. במקום שהמודל ינחש איך חוקר מנוסה עובד, ה Promptbook מכריח אותו לעבור סדרת בדיקות פורנזיות מוגדרת מראש, אבל עם הגמישות הקוגניטיבית להבין את התוצאות ולסטות מהמסלול אם הקונטקסט דורש זאת. ה Copilot הוא לא רק מוח, הוא המנצח על התזמורת, שמשתמש ב MCP כדי להפעיל את הכלים הנכונים ב Sentinel וב Defender בזמן הנכון, בדיוק כמו שמנצח מפעיל את הכינורות או התופים ברגע המדויק בסימפוניה.

Pinboard והזיכרון הארגוני

אחת הבעיות הקשות ביותר של מודלי AI וגם של אנליסטים שעובדים במשמרות היא ה Statelessness. חוסר הזיכרון והצמדת העובדות והראיות. כידוע, חקירת סייבר היא לא אירוע נקודתי אלא תהליך מתמשך. אני מכיר אלפי מקרים שאנליסט א התחיל חקירה בבוקר, מצא משהו חשוד, והלך הביתה, לאחר מכן, אנליסט ב מגיע בערב וממשיך את הטיפול או החקירה ואולי זה יגיע גם למתחקר ג. במידה והקונטקסט המלא לא עובר ביניהם בצורה חלקה ומלאה (ראיות, עובדות, מסקנות, ארטיפקטים ועוד), המידע הולך לאיבוד, והחקירה חוזרת לנקודת ההתחלה. טלפון שבור בחדר המלחמה הוא מתכון לאסון.

בארכיטקטורת ה Copilot, הרכיב הקריטי שפותר את הבעיה הזו נקרא Pinboard. ה Pinboard הוא ה Context Store של הסשן החקירתי והוא שומר את כל העדויות, ראיות, ארטיפקטים ועוד שנמצאו במהלך הדרך, כתובת ה IP החשודה, ה Hash של הקובץ הזדוני, התנועה מהסביבה המקומית לענן, תנועה במרחב הענני וציר הזמן של האירוע, והערות החוקר.

הערה: למי שמנהל אירועים אז יש כלים כמו זה של IRIS, אבל גם שם אין תיעוד מלא של כל הראיות, עובדות, ארטיפקטים ועוד הרבה מידע שנמצא בשטח. בודדים המקרים בהם ראיתי אירועים שמכילים את כל המידע במלואו וכזה שעבר בין מתחקרים.

ה Pinboard הוא הרבה יותר מסתם רשימה או מסד נתונים זמני והוא המנגנון שיוצר את ה Narrative Context ואת הסיפור החקירתי. כשה AI נועץ עובדה בלוח, היא הופכת להיות עוגן לכל השאילתות והפעולות הבאות, ואם נעצנו את העובדה שהשרת המותקף הוא Domain Controller קריטי, כל תשובה עתידית של ה AI תהיה מושפעת מהקונטקסט הקריטי הזה. הוא לא יציע סתם כך לבצע פעולות בשרת, אלא יתעדף את האירוע כקריטי ביותר. היכולת הזו לשמר State לאורך זמן, על פני שעות, ימים, שבועות, היא מה שהופך אוסף של אירועים בודדים ואקראיים לקמפיין תקיפה שאפשר להבין, לנתח ולעצור. ה Pinboard הוא הזיכרון לטווח ארוך של ה SOC.

השילוב של MTTD עם MTTC

אולי הקדמתי את זמננו עם הרעיון והשם המפוצץ של MTTC אבל זאת המציאות וזה החלק עושה את השינוי.

בסופו של דבר, הארכיטקטורה המורכבת הזו לא נועדה להחליף את האנליסט האנושי (T2 ומעלה), אלא תשדרג את התפקיד שלו בצורה דרמטית ופסיכית (ממש כך), ממצב של פועל ייצור של לוגים עם בניית Detections שלא נגמרים למנהל אסטרטגי של הגנה.

השילוב של Copilot + Sentinel + MCP עולה על הגורם האנושי בניהול קונטקסט של נתונים. היא זוכרת כל לוג, כל IP, כל אפליקציית OAuth וכל Hash. אבל היא עיוורת לחלוטין לקונטקסט העסקי. היא לא יודעת שהשרת הזה קריטי דווקא היום כי מחר מגישים דוחות רבעוניים, או שהמשתמש הזה הוא המנכל שנמצא כרגע בנסיעה עסקית קריטית.

האנליסט ב SOC החדש הופך לאנליסט מתקדם כי מטרתו זה לא לכתוב שאילתות קוסטו ידניות, הוא לא עושה Copy Paste סיזיפי בין חלונות. הוא מקבל מהמכונה חבילת קונטקסט מוכנה ושלמה עם הסיפור, האירוע המלא, את הראיות התומכות, את המתאם למודיעין האיומים, ואת ההמלצות האופרטיביות לפעולה. התפקיד שלו משתנה ממפענח למקבל החלטות והוא זה שמפעיל את שיקול הדעת האתי, העסקי והאנושי. לאחר מכן יחבר את הנקודות ויכתוב זיהוי מתקדם בעל ערך ומחובר למציאות.

ועכשיו לדבר המעניין שמתפתח וכזה שאימצתי בחודשים האחרונים. כיום המדד הקיים והמוכר ליעילות הסוק הוא המדד של MTTD (Mean Time To Detect), כלומר, כמה זמן לוקח לראות את הנורה האדומה בסוק, וזה גם מדד שיישאר איתנו עוד הרבה זמן. המדד החדש, בעידן ה AI, הוא מדד חדש MTTC (Mean Time To Context) וכזה שיישאר איתנו לאורך זמן כי הקונטקסט הוא דבר מכריע ב AI.

כמה מהר המערכת מסוגלת לאסוף את השברים המפוזרים, לחבר את הנקודות דרך ה MCP, לנתח אותן ב Copilot, ולהגיש לאנליסט תמונה מלאה שממנה הוא יכול לקבל החלטה מושכלת. בסוק הישן, התהליך הזה לוקח ימים ושבועות. בארכיטקטורה החדשה, זה עניין של דקות/שעות בודדות. הניצחון בקרב הסייבר הבא לא יהיה של הארגון שיש לו יותר לוגים או יותר כלי אבטחה, אלא של הארגון שמייצר קונטקסט מהר יותר, מדויק יותר ועמוק יותר מהיריב שלו, ולכן, במלחמה על המהירות והדיוק, הקונטקסט הוא המלך, וה AI SOC הוא הממלכה.

החיישן האנושי

עד עכשיו דיברנו על איך המערכת (Sentinel, MCP, Copilot) מזינה את האנליסט במידע. אבל ארכיטקטורת AI SOC אמיתית היא דו סטרית. ישנו סוג אחד של קונטקסט שהמכונה, חכמה ככל שתהיה, לעולם לא תוכל לייצר בעצמה: הקונטקסט העסקי והאנושי !

המכונה רואה אפליקציית OAuth בענן, האנליסט רואה שירות קריטי שחייב לעלות לאוויר מחר. המכונה רואה משתמש שמבצע לוגין ממיקום חריג, האנליסט יודע שהמנכל טס אתמול לחופשה בבאלי ושכח לעדכן. הפער הזה, שנקרא בתעשייה The Semantic Gap, הוא המקום שבו רוב החקירות האוטומטיות נופלות.

במודל ה AI SOC החדש, האנליסט מפסיק להיות רק מפעיל והופך להיות מקור נתונים פעיל שמזין את ה AI במידע רלוונטי. אני קוראים לזה Human in the Loop Context Injection. אם לא נבנה פייפליינים מסודרים שדרכם האנליסט יכול להזריק את הידע שלו חזרה לתוך ה AI, המערכת תישאר לנצח חכמה טכנית אבל ללא הקשר רלוונטי ותהיה טיפשה עסקית.

איך זה קורה בשטח? אפשר לחשוב על הדבר הכי פשוט, נתחיל מערכות טיקטים.

הטיקט כמאגר אימון

למי יש Jira? ומי אוהב אותו? אז עכשיו הוא הופך להיות מקור מידע על ערך.

מערכת ה Ticketing הארגונית כמאגר ידע. בסוק המסורתי, טיקטים שהם למעשה Incidents הפכו להיות הם פי אשפה של מידע. האנליסט פותר תקלה, כותב תיקנתי/סודר עם איזה False Positive, וסוגר את הטיקט. המידע הזה מת.

ב AI SOC, כל סגירת טיקט היא אירוע אימון וכזה שיכול להיות עם מינימום עבודה. המערכת מחוברת דרך ה MCP להיסטוריה של הטיקטים. כשהאנליסט מתעד את הפתרון, הוא חייב לכתוב אותו בצורה מפורטת ובידיעה שה AI קורא את זה. במידה והאנליסט כותב ומפרט משהו כמו, ״זה היה False Positive כי שרת הגיבוי מבצע סריקה כל יום שלישי בשעה 02:00 ומפעיל סרוויסים שונים אשר ניגשים למערכות שאליהם יש אינטגרציה (וממשיך עם הפירוט)״, אז הוא לימד את המערכת כלל חדש, ובפעם הבאה שתהיה התראה דומה, ה Copilot ישלוף את הטיקט ההיסטורי הזה באמצעות RAG, יקרא את הערת האנליסט, וימליץ אוטומטית "נראה שזו פעילות גיבוי מוכרת, בהתבסס על מספר חקירות שהיו בחודשים האחרונים".

המשמעות היא שאנחנו חייבים לאכוף משמעת תיעוד ואנליסט שסוגר טיקט בלי הסבר מפורט הוא לא סתם עצלן, הוא מבצע חבלה בתהליך הלמידה של ה AI. הוא מונע מהמערכת להחכים.

דרך נוספת ובסיסית ביותר להזריק את הידע הזה היא באמצעות Microsoft Sentinel Watchlists (רכיב לא מנוצל, לא מתוחזק ואינו שמיש בהרבה סביבות ועם יכולת לעשות את ההבדל). פעמים רבות מתייחסים ל Watchlists כאל מקור לסינון רעשים, אבל בארכיטקטורת ה AI הם מתפקדים כמילון הקונטקסט הארגוני.

כשהאנליסט מסמן נכס מסוים ב Watchlist שנקרא High_Value_Assets או מתייג משתמש בקבוצת Flight_Risk_Employees, הוא בעצם צורב קונטקסט קשיח לתוך הזיכרון של Sentinel. כשה Copilot יבצע בעתיד חקירה על הנכס הזה, הוא לא יראה סתם עוד שרת. ה MCP ישלוף את התיוג הזה מה Watchlist, וה Copilot יבין מיד, "זהירות, זה שרת קריטי, כל פעולה כאן דורשת אישור בכיר". הפעולה הידנית והמשעממת של עדכון רשימות הופכת להיות פעולה של Fine-tuning למודל.

יש אינספור מקרים של אפשרויות כאלה בכל סביבה ארגונית וזה עוד לפני שאנליסט בכיר מתחיל להזריק ידע ל AI על תרחישי קצה, תקיפות ועוד.

בניית Skills מותאמים אישית

עד עכשיו בנינו מוח שמבין (Sentinel + Copilot) וזיכרון שזוכר (Pinboard). אבל מוח בצנצנת, חכם ככל שיהיה, הוא חסר תועלת אם אין לו ידיים. בעולם ה-AI SOC, הידיים האלו נקראות Skills.

בברירת המחדל, Security Copilot מגיע עם סט בסיסי של יכולות (KQL Query, Incident Summarization). אבל הארגון שלכם הוא ייחודי ויש לכם כלי פנימי לבדיקת מוניטין של עובדים? יש לכם מערכת Legacy שמנהלת את הפיירוול הפיזי? ה AI לא מכיר אותם. כדי שהוא יעבוד באמת, אנחנו צריכים ללמד אותו מיומנויות חדשות. זהו המעבר מ Passive Analysis ל Active Orchestration.

הארכיטקטורה של המיומנות

מבחינה ארכיטקטונית, Skill הוא לא סתם סקריפט. זהו שילוב של שלושה רכיבים שחייבים לעבוד בסנכרון מושלם:

• הלוגיקה הביצועית 

• ההגדרה הסמנטית

• הנתב הקוגניטיבי 

הטעות הגדולה של Detection as Code בסוק היא השקעה של 90% מהזמן בקוד ורק 10% בהגדרה. ב AI, זה צריך להיות הפוך. אם לא תסבירו ל AI בצורה מושלמת מתי להשתמש ב Skill, הוא פשוט יתעלם ממנו או ישתמש בו לא נכון.

אם שרדתם עד כה, אתם כנראה מבינים שכניסת AI לסוק היא לא פרויקט של התקן ושכח. זהו שינוי פרדיגמה מוחלט באופן שבו אנחנו צורכים, מעבדים ומגיבים לנתונים ומודיעין. לפני שאתם רצים ליישם, הנה חמש התובנות הקריטיות שצריכות להנחות אתכם בבניית המבצר:

1. הקונטקסט הוא המלך (והמלכה, והנסיך). מודל טיפש עם קונטקסט מלא תמיד ינצח מודל גאון עם אפס קונטקסט. אל תשקיעו בחיפוש אחרי ה LLM המושלם. תשקיעו בפייפליינים של המידע (MCP, Data Connectors, ASIM) שמזינים אותו.

2. הארכיטקטורה היא הגבול הדק בין כלי לפרצה. AI בסוק הוא ה Insider Threat האולטימטיבי. יש לו הרשאות, יש לו גישה, ואין לו מצפון. אם לא תבנו את שכבות הבידוד (OBO, Network Isolation, Read-Only MCP), אתם לא בונים מערכת הגנה, אלא דלת אחורית מפוארת לתוקפים.

3. האנליסט לא מת, הוא משתדרג. הפנטזיה על SOC אוטונומי לחלוטין היא מסוכנת. המכונה מעולה בנתונים, אבל עיוורת למשמעות עסקית ולפוליטיקה ארגונית. התפקיד של האנליסט משתנה ממפענח לוגים למנהל אסטרטגיה ומורה דרך.

4. ידע ארגוני הוא הנכס הכי יקר. ההבדל בין SOC בינוני למצוין הוא מה שלא כתוב בנהלים. היכולת ללכוד את הידע הזה דרך תיעוד בטיקטים, Watchlists, ופידבק בזמן אמת ולהזריק אותו חזרה למודל, היא מה שיוצר את ההבדל ההגנתי. בקיצור, ארגון שלא מתעד, לא לומד. וארגון שלא לומד, ה AI שלו יישאר טיפש לנצח.

5. זהו מרוץ חימוש, לא פרויקט חד פעמי. התוקפים קוראים את אותם מאמרים בדיוק. הם כבר משתמשים ב AI כדי לייצר תקיפות כמו פישינג עם קונטקסט, כדי לעקוף זיהוי התנהגותי, או אולי לבצע איזה Prompt Injection. הארכיטקטורה שבניתם היום תהיה מיושנת בעוד מספר חודשים. ולכן, ה AI SOC חייב להיות אורגניזם חי ונושם, שמתעדכן, לומד ומשתכלל כל יום, לא אחרת.

אז צאו מהאשליה, תפשילו שרוולים, ותתחילו לבנות AI SOC שיש לו הקשר ותמיד תזכרו שהגורם האנושי הוא חלק מהותי במשחק.