В традиционном центре мониторинга и реагирования на инциденты (SOC) защиту делят между специалистами: команды threat intelligence изучают противников, инженеры создают правила обнаружения, threat hunters ищут пропущенную контролями активность, аналитики расследуют оповещения, а специалисты по реагированию сдерживают подтверждённые угрозы. Между этапами часто стоят разные инструменты, тикеты и ручные передачи работы.
ИИ-агенты начинают связывать эти этапы в единый процесс. Данные о новой угрозе могут породить гипотезу для поиска, поиск выявить пробел в обнаружении, а этот пробел привести к созданию нового правила. Агентам под силу переносить контекст и результаты между задачами. На этом фоне возникает роль Threat Operator — специалиста, который определяет приоритеты защиты и направляет работу ИИ.
Решения Threat Operator опираются на три вещи: подверженность организации угрозам, особенности её работы и актуальную обстановку. Он задаёт цели защиты, решает, каким действиям можно предоставить автономность, где требуется вмешательство человека и действительно ли выбранная тактика снижает риск. Например, при угрозе инфраструктуре идентификации финансового учреждения ИИ может оценить уязвимость среды, провести поиск признаков атаки, обнаружить пробелы в правилах и предложить меры. Оператор добавляет то, чего может не знать система: какие сервисы поддерживают критические процессы, какой риск неприемлем и какие действия требуют разрешения.
Роль человека постепенно смещается от постоянного участия в каждом шаге — human-in-the-loop — к надзору за действиями системы, human-on-the-loop. Степень автономности зависит от зрелости технологии, возможных последствий и готовности организации принять риск. За решения и действия ИИ при этом отвечает человек.
Для многих специалистов SOC долго был местом, где начиналась карьера в кибербезопасности. Разбор оповещений, сбор доказательств, расследования, документирование и эскалация давали практический опыт: аналитики учились понимать поведение систем и отличать атаку от безвредной активности. Если ИИ возьмёт на себя всё больше таких задач, прежняя лестница — от простых сигналов к сложным расследованиям — может перестать готовить людей к будущей работе.
Поэтому обучение придётся проектировать намеренно. Начинающие Threat Operators смогут под наблюдением изучать, как разведывательные данные превращаются в охотничьи гипотезы, как создаются обнаружения, на чём основаны выводы расследования и к чему приводят решения о реагировании. Им понадобится проверять доказательства, которыми подкреплены выводы ИИ, оспаривать предположения и замечать недостающий контекст. Для этого нужны прочные технические основы — знание сетей, операционных систем, приёмов атак и средств защиты — и наставничество опытных коллег, которые научат оценивать неопределённость и принимать решения при неполных данных.
Знание языков запросов, логики обнаружения, телеметрии конечных устройств и методов расследования не теряет ценности. К нему добавляются управление цепочками действий ИИ, интерпретация его решений и контроль автономности. Оператору нужно понимать архитектуру организации, критические активы, операционные зависимости и противников, а затем переводить этот контекст в ясные задачи для ИИ. Он также оценивает гипотезы, проверяет доказательства, устанавливает условия эскалации и выясняет, достигло ли автоматизированное действие цели.
Предположим, ИИ обнаружил признаки компрометации сервера и предлагает немедленно отключить его от сети. Технически рекомендация может быть верной, но сервер способен поддерживать критически важный процесс. Threat Operator должен разобраться в зависимостях и сопоставить необходимость сдержать угрозу с риском остановки работы. Требования к надзору и подотчётности в таких решениях согласуются с подходом NIST AI Risk Management Framework.
В этой профессии соединяются четыре области: бизнес-риски безопасности; знание угроз и противников; оборонительные операции, включая обнаружение, поиск, расследование и реагирование; управление ИИ и профессиональное суждение. Ответственность может расти постепенно. Начинающий оператор проверяет доказательства и выводы системы, добавляет сведения о среде и учится видеть связи между этапами защиты. Более опытный переводит бизнес-риски в оборонительные цели, направляет работу агентов и ищет пробелы в покрытии. Старший оператор задаёт границы автономности, контролирует последствия важных действий и оценивает, насколько надёжны решения ИИ.
В эту карьеру могут прийти специалисты по расследованиям, threat intelligence, инженерии обнаружения, реагированию на инциденты, архитектуре безопасности и управлению рисками. Руководителям SOC понадобятся понятные правила: какие решения требуют одобрения человека, как проверяются сгенерированные ИИ доказательства и при каких подтверждённых показателях системе можно доверить больше. Оценивать работу стоит не только по традиционным операционным метрикам, но и по качеству оборонительных решений, устранению пробелов в обнаружении и расширению охвата угроз.
Переход к SOC, построенному вокруг ИИ, будет идти с разной скоростью. В описании роль такой платформы отведена CognitiveSOC: она использует агентный ИИ, чтобы связать анализ угроз, поиск, инженерию обнаружения, расследование и реагирование; каждое действие агента сопровождается цепочкой рассуждений и доказательствами, доступными для проверки аналитиком. Компания говорит, что помогает командам направлять ИИ-защиту и управлять ею на всех этапах работы SOC. Если прежний SOC учил людей пользоваться инструментами, то ИИ-ориентированный должен учить их руководить обороной.
Изображение носит иллюстративный характер
ИИ-агенты начинают связывать эти этапы в единый процесс. Данные о новой угрозе могут породить гипотезу для поиска, поиск выявить пробел в обнаружении, а этот пробел привести к созданию нового правила. Агентам под силу переносить контекст и результаты между задачами. На этом фоне возникает роль Threat Operator — специалиста, который определяет приоритеты защиты и направляет работу ИИ.
Решения Threat Operator опираются на три вещи: подверженность организации угрозам, особенности её работы и актуальную обстановку. Он задаёт цели защиты, решает, каким действиям можно предоставить автономность, где требуется вмешательство человека и действительно ли выбранная тактика снижает риск. Например, при угрозе инфраструктуре идентификации финансового учреждения ИИ может оценить уязвимость среды, провести поиск признаков атаки, обнаружить пробелы в правилах и предложить меры. Оператор добавляет то, чего может не знать система: какие сервисы поддерживают критические процессы, какой риск неприемлем и какие действия требуют разрешения.
Роль человека постепенно смещается от постоянного участия в каждом шаге — human-in-the-loop — к надзору за действиями системы, human-on-the-loop. Степень автономности зависит от зрелости технологии, возможных последствий и готовности организации принять риск. За решения и действия ИИ при этом отвечает человек.
Для многих специалистов SOC долго был местом, где начиналась карьера в кибербезопасности. Разбор оповещений, сбор доказательств, расследования, документирование и эскалация давали практический опыт: аналитики учились понимать поведение систем и отличать атаку от безвредной активности. Если ИИ возьмёт на себя всё больше таких задач, прежняя лестница — от простых сигналов к сложным расследованиям — может перестать готовить людей к будущей работе.
Поэтому обучение придётся проектировать намеренно. Начинающие Threat Operators смогут под наблюдением изучать, как разведывательные данные превращаются в охотничьи гипотезы, как создаются обнаружения, на чём основаны выводы расследования и к чему приводят решения о реагировании. Им понадобится проверять доказательства, которыми подкреплены выводы ИИ, оспаривать предположения и замечать недостающий контекст. Для этого нужны прочные технические основы — знание сетей, операционных систем, приёмов атак и средств защиты — и наставничество опытных коллег, которые научат оценивать неопределённость и принимать решения при неполных данных.
Знание языков запросов, логики обнаружения, телеметрии конечных устройств и методов расследования не теряет ценности. К нему добавляются управление цепочками действий ИИ, интерпретация его решений и контроль автономности. Оператору нужно понимать архитектуру организации, критические активы, операционные зависимости и противников, а затем переводить этот контекст в ясные задачи для ИИ. Он также оценивает гипотезы, проверяет доказательства, устанавливает условия эскалации и выясняет, достигло ли автоматизированное действие цели.
Предположим, ИИ обнаружил признаки компрометации сервера и предлагает немедленно отключить его от сети. Технически рекомендация может быть верной, но сервер способен поддерживать критически важный процесс. Threat Operator должен разобраться в зависимостях и сопоставить необходимость сдержать угрозу с риском остановки работы. Требования к надзору и подотчётности в таких решениях согласуются с подходом NIST AI Risk Management Framework.
В этой профессии соединяются четыре области: бизнес-риски безопасности; знание угроз и противников; оборонительные операции, включая обнаружение, поиск, расследование и реагирование; управление ИИ и профессиональное суждение. Ответственность может расти постепенно. Начинающий оператор проверяет доказательства и выводы системы, добавляет сведения о среде и учится видеть связи между этапами защиты. Более опытный переводит бизнес-риски в оборонительные цели, направляет работу агентов и ищет пробелы в покрытии. Старший оператор задаёт границы автономности, контролирует последствия важных действий и оценивает, насколько надёжны решения ИИ.
В эту карьеру могут прийти специалисты по расследованиям, threat intelligence, инженерии обнаружения, реагированию на инциденты, архитектуре безопасности и управлению рисками. Руководителям SOC понадобятся понятные правила: какие решения требуют одобрения человека, как проверяются сгенерированные ИИ доказательства и при каких подтверждённых показателях системе можно доверить больше. Оценивать работу стоит не только по традиционным операционным метрикам, но и по качеству оборонительных решений, устранению пробелов в обнаружении и расширению охвата угроз.
Переход к SOC, построенному вокруг ИИ, будет идти с разной скоростью. В описании роль такой платформы отведена CognitiveSOC: она использует агентный ИИ, чтобы связать анализ угроз, поиск, инженерию обнаружения, расследование и реагирование; каждое действие агента сопровождается цепочкой рассуждений и доказательствами, доступными для проверки аналитиком. Компания говорит, что помогает командам направлять ИИ-защиту и управлять ею на всех этапах работы SOC. Если прежний SOC учил людей пользоваться инструментами, то ИИ-ориентированный должен учить их руководить обороной.
