AI a SOC-ban: forradalmi lehetőség vagy újabb technológiai zsákutca?

Az AI körüli lelkesedés ma sok tekintetben emlékeztet az ipari forradalom kezdetére. Egyszerre jelenik meg benne a túlzott várakozás és a félelem.
Az egyik oldal szerint az AI minden munkát megkönnyít. A másik szerint munkahelyeket vesz el, kiszámíthatatlan kockázatokat hoz, és alapjaiban rendezi át a szakmákat.
A kiberbiztonságban, különösen a SOC-ok világában azonban már nem elméleti kérdésről beszélünk. Az AI hatása ma is mérhető. A valódi kérdés inkább az, hogy jól használjuk-e.

Cikkünk Sajó Péter előadása alapján íródott, az előadást az alábbi formon tudják igényelni feliratkozás ellenében.

A SOC-ok új alaphelyzete: nem az adat hiányzik, hanem az idő

A biztonsági üzemeltetésben sokáig az volt az alapvető félelem, hogy nem látunk eleget. Nem gyűjtünk elég logot, nem látunk rá minden végpontra, nem érkezik be minden jel a hálózatból, az alkalmazásokból vagy a felhőből.
Mára ez a helyzet megfordult. A legtöbb fejlett SOC már nem vaksággal küzd, hanem időhiánnyal. A rendszerek jeleznek, a szenzorok dolgoznak, az események beérkeznek — csak éppen nincs elég emberi kapacitás arra, hogy mindez valódi biztonsági döntéssé alakuljon.

A SOC így sokszor nem klasszikus értelemben vett elemzőközpontként működik, hanem egy folyamatos döntési sorompóként: minden riasztás azt kéri, hogy valaki mondja meg róla, fontos-e vagy sem. A baj az, hogy a sorompó előtt egyre hosszabb a sor.
A napi működésben ez többféleképpen jelenik meg:

• vannak riasztások, amelyekhez senki nem jut el időben;
• vannak szabályok, amelyeket azért kapcsolnak ki vagy egyszerűsítenek, mert túl sok zajt termelnek;
• vannak események, amelyek önmagukban jelentéktelennek tűnnek, de egy nagyobb támadási lánc részei lehetnének;
• és vannak elemzők, akik a nap végén nem lezárt ügyeket, hanem átadott elmaradást hagynak maguk mögött.

Ez azért veszélyes, mert a támadói oldalon közben nem ugyanilyen tempóban telik az idő. Egy modern támadásnál a bejutás, a feltérképezés, a jogosultságszerzés és az adatmozgatás egyre gyorsabban történik. Ha a védekező oldal csak késve kezd el értelmezni egy jelet, akkor nem a támadást előzi meg, hanem utólag próbálja rekonstruálni, mi történt.

A SOC-ban az emberi kapacitás a legdrágább erőforrás

A riasztások mennyiségéről sokat beszélünk, de a valódi kérdés az, hogy mit tesz ez azokkal, akik nap mint nap a képernyő előtt ülnek. Egy SOC-elemző munkája nagy koncentrációt, gyors döntést és folyamatos készenlétet igényel. Ha ezt tartósan ismétlődő, alacsony értékű validációs feladatok töltik ki, az előbb-utóbb szakmai fáradáshoz vezet, végül a szervezet elveszíthet egy olyan szakembert, akinek a tudását nem lehet egyik napról a másikra pótolni.

Ez különösen érzékeny pont, mert egy SOC Analyst pótlása hosszú és költséges folyamat:

• meg kell találni a megfelelő jelölteket;
• többkörös szakmai kiválasztáson kell végig menni;
• az új kollégát be kell tanítani a technológiákba, folyamatokba és ügyfélkörnyezetekbe;
• a kezdeti időszakban mentorálásra van szükség;
• a teljes önállóság elérése hónapokba telhet.

Az automatizáció fontos, de önmagában nem elég

A SOC-ok túlterhelésére sokáig az automatizáció tűnt kézenfekvő válasznak. A SOAR-rendszerek bevezetése valóban sok területen hozott előrelépést.
Ezekkel például:

• ismétlődő folyamatokat lehet szabályozott playbookokba rendezni;
• bizonyos rutinfeladatok emberi beavatkozás nélkül végrehajthatók;
• egységesebb incidenskezelési folyamat alakítható ki;
• csökkenthető az ad hoc döntések száma.

A gyakorlat azonban azt mutatja, hogy az automatizáció nem szüntette meg a problémát, csak áthelyezte.

A playbookokat meg kell tervezni, le kell fejleszteni, karban kell tartani, és folyamatosan hozzá kell igazítani a változó környezethez. Egy komplex SOAR-projekt ezért jelentős erőforrást igényel, miközben nem minden szervezet képes vagy érett arra, hogy ebből valódi üzleti értéket hozzon ki.
Ez nem jelenti azt, hogy a SOAR zsákutca. A jól felépített automatizáció továbbra is értékes. De önmagában nem oldja meg azt a problémát, hogy a SOC-nak értelmeznie, priorizálnia és kontextusba kell helyeznie hatalmas mennyiségű biztonsági eseményt.

AI-washing: amikor már minden „AI”

Az AI megjelenése a kiberbiztonsági piacon nemcsak technológiai változást hozott, hanem jelentős piaci zajt is. Ma szinte minden gyártó AI-megoldásként pozicionálja a termékét.
A piacon többféle megközelítés látható:

• SIEM- és XDR-rendszerekbe épített AI-modulok;
• SOAR-platformok AI-kiegészítésekkel;
• triage-fókuszú megoldások;
• copilot jellegű, chatalapú asszisztensek;
• önálló AI SOC-platformok;
• agentic AI-alapú biztonsági rendszerek.

Ezért a legfontosabb kérdés nem az, hogy „van-e benne AI”, hanem az, hogy mit jelent pontosan az AI az adott megoldásban.
Nem mindegy, hogy egy rendszer egyszerű machine learning alapú anomáliaészlelést használ, generatív AI-t alkalmaz, agentic AI működést kínál, vagy egy nagy nyelvi modellre épülő, többfeladatos SOC-támogató platformról beszélünk.

Ugyanígy nem mindegy, hogy az eszköz csak a beérkező alerteket elemzi, vagy képes visszanyúlni a forrásrendszerekhez, időben és kontextusban vizsgálni az eseményeket, majd dokumentált következtetést adni.
A valódi különbség tehát nem a marketinganyagban, hanem a működés mélységében látszik.

Mire kell figyelni AI-alapú SOC-megoldás választásakor?

Egy AI SOC-megoldás értékelésekor több szempontot is érdemes vizsgálni.

1. Működési modell

On-prem, cloud vagy hibrid megoldásról beszélünk?
A legerősebb AI-modellek jelenleg jellemzően felhős környezetben érhetők el, ugyanakkor ez adatvédelmi és megfelelőségi kérdéseket is felvet. Nem mindegy, milyen érzékeny adatok kerülnek ki a vállalati környezetből, azok hogyan kerülnek anonimizálásra vagy hashelésre, és a szolgáltató milyen módon férhet hozzájuk.

2. Lefedettség

Egy jó AI SOC-platform nem csupán riasztásokat magyaráz. Valódi értéket akkor teremt, ha több SOC-folyamatot is támogat, például:

• triage;
• L2/L3 elemzés;
• threat hunting;
• CTI-folyamatok;
• szabályfejlesztés;
• SOAR-folyamatok támogatása;
• incidensdokumentáció;
• riportolás.

Minél szélesebb a lefedettség, annál nagyobb az esély arra, hogy az AI valóban csökkenti az emberi terhelést.

3. Teljes kontextus kezelése

Sok megoldás csak az alertekkel dolgozik. Ez önmagában kevés.
Egy érett AI SOC-megoldásnak képesnek kell lennie arra, hogy:

• visszanyúljon a forrásrendszerekhez;
• időben visszafelé is vizsgálja az eseményeket;
• összekapcsolja a különböző rendszerekből érkező jeleket;
• felismerje, ha egy látszólag jelentéktelen riasztás egy nagyobb támadási lánc része;
• dokumentált, ellenőrizhető következtetést adjon.

4. Adatvédelem és megfelelőség

A data privacy kiemelt szempont. Egy AI SOC-platform esetében tisztázni kell:

• milyen adatok kerülnek a felhőbe;
• hogyan történik az érzékeny adatok védelme;
• van-e hashelési, maszkolási vagy anonimizálási lehetőség;
• ki férhet hozzá az adatokhoz;
• hogyan illeszkedik a megoldás a vállalati és szabályozói elvárásokhoz.

A „felhőszolgáltatói policy rendben van” típusú válasz önmagában nem elég. A részleteket meg kell érteni.

5. Átláthatóság

A SOC-ban nem elég, ha az AI „mond valamit”. Tudni kell, hogy:

• milyen adatokból dolgozott;
• milyen logikai lépéseken ment végig;
• milyen bizonyítékokra alapozta a következtetését;
• hol szükséges emberi validáció;
• hogyan auditálható a döntés vagy javaslat.

Az AI akkor hasznos, ha gyorsítja a döntést, de nem teszi átláthatatlanná a folyamatot.

Az AI nem váltja ki teljesen az embert

A legnagyobb tévhit, hogy az AI teljes autonómiát jelent. Jelenleg nem létezik olyan megoldás, amely emberi kontroll nélkül, teljes felelősséggel képes lenne kiváltani egy SOC egész működését.

Az AI szerepe sokkal inkább az, hogy:

• csökkentse a manuális terhelést;
• gyorsítsa az elemzést;
• javítsa a priorizálást;
• támogassa az emberi döntéshozatalt;
• dokumentálja és egységesítse az elemzési folyamatokat;
• segítse a kisebb csapatokat nagyobb lefedettség elérésében.

Ez különösen fontos vezetői szempontból. Az AI nem feltétlenül azt jelenti, hogy „kevesebb ember kell”, hanem azt, hogy ugyanazzal a csapattal magasabb érettségű, gyorsabb és kiterjedtebb biztonsági működés érhető el.
Egy kisebb szervezet számára pedig akár azt is lehetővé teheti, hogy olyan SOC-képességeket építsen ki, amelyek korábban csak nagyvállalati költségvetéssel voltak elérhetők.

A SIEM nem tűnik el, hanem még fontosabbá válik

Az AI SOC-megoldások terjedése mellett sokan temették a hagyományos SIEM-rendszereket. A piaci mozgások azonban inkább az ellenkezőjét mutatják.
Számos új generációs AI-alapú biztonsági platform mögött végül megjelenik valamilyen SIEM-funkcionalitás, mert az alábbi képességek továbbra is alapvetőek:

• események gyűjtése;
• logok normalizálása;
• kereshetőség;
• korreláció;
• historikus elemzés;
• szabályalapú detekció;
• auditálhatóság.

Az AI tehát nem feltétlenül leváltja a SIEM-et, hanem új értelmet ad neki.

A kérdés nem az, hogy SIEM vagy AI, hanem az, hogy a SIEM-ben lévő adatvagyonból képesek vagyunk-e AI segítségével gyorsabban, pontosabban és üzletileg hasznosabban következtetéseket levonni.

Mit érdemes tenni most?

A szervezeteknek nem érdemes kivárniuk, de vakon belevágniuk sem. Az AI-alapú SOC-megoldások értékeléséhez tudatos tesztelési szempontrendszerre van szükség.

Érdemes pilotokat indítani, valós incidenseken és saját környezetben mérni az eredményeket, és nem pusztán demó alapján dönteni.

A legfontosabb kérdések:

• Mennyire csökkenti a rendszer az elemzői terhelést?
• Képes-e teljes kontextusban vizsgálni az eseményeket?
• Hogyan kezeli az érzékeny adatokat?
• Mennyire átlátható a működése?
• Milyen emberi validációs pontokat épít be?
• Milyen rejtett költségekkel kell számolni?
• Illeszkedik-e a meglévő SIEM-, XDR- és SOAR-környezethez?
• Van-e világos termékvízió és roadmap?
• Valódi SOC-feladatokat támogat, vagy csak látványos felületet ad?

Aki ezekre nem kap világos választ, az könnyen AI-washing áldozatává válhat. Aki viszont alaposan tesztel, megfelelő kontrollokat épít be, és üzleti célokhoz köti az AI használatát, komoly versenyelőnyhöz juthat.

AI Analyst: elemzői kapacitás, azonnal

A cikkben láttuk: a SOC-ok legnagyobb kihívása ma nem az adathiány, hanem az idő- és kapacitáshiány. A riasztások jönnek, a támadók gyorsulnak, a tapasztalt elemzők pedig egyre értékesebb és nehezebben pótolható erőforrást jelentenek.

Erre a problémára építettük fel az AI Analyst megközelítését.

Nem egy újabb dashboardot ad a SOC kezébe, hanem az elemzői munkát gyorsítja fel: kivizsgálja a riasztást, összerakja a kontextust, meghozza az első verdictet, majd teljes riportot készít a humán elemző számára.

Így az elemzőnek már nem nulláról kell indulnia. Egy kész, strukturált vizsgálati anyagot néz át, és arra fókuszálhat, ami valóban szakértői döntést igényel:

• megállja-e a helyét az AI által adott verdict;
• szükséges-e további vizsgálat;
• indokolt-e incidensreagálás;
• vagy az esemény biztonsággal lezárható.

Ez a gyakorlatban gyorsabb reakciót, kevesebb backlogot és több értékes emberi figyelmet jelent a valódi incidensekre.

Az AI Analyst nem leváltja a SOC Analystet, hanem előkészíti számára a döntést. Aki ezt a képességet időben beépíti a SOC működésébe, nemcsak gyorsabb lesz, hanem skálázhatóbb, stabilabb és versenyképesebb biztonsági szolgáltatást tud nyújtani.

Kérdése van, érdekelné megoldás? Vegye fel Kollégáinkkal a kapcsolatot!