Az automatizálás korában: miért válik a SOC-kapacitás az új szűk keresztmetszetté?

A 2025–2026-ban közzétett számos kiberbiztonsági tanulmány ugyanazon probléma különböző aspektusait mutatja be. A Mandiant a tényleges behatolásokra, a Verizon a nagyméretű adatvédelmi incidensek mintáira, az IBM pedig a pénzügyi következményekre összpontosít, míg az IANS és az Artico Search a biztonsági vezetők rendelkezésére álló költségvetéseket és létszámot vizsgálja.

Összességében a kép sokkal fontosabb, mint bármelyik egyes statisztika: a támadók gyorsabban és nagyobb léptékben terjeszkednek, mint ahogy a biztonsági csapatok kapacitásukat bővítik. Mivel a 2026-os jelentések nagyrészt a 2025-ös incidenseket elemzik, az IANS 2025–2026-os referenciaértéke leírja azt a környezetet, amelyben a védelemmel foglalkozóknak szembe kell nézniük ezekkel a fenyegetésekkel.

A támadási ablak egyre szűkül

A Mandiant „M-Trends 2026” című jelentése bemutatja, milyen gyorsan eszkalálódhatnak a látszólag egymástól független események. Bizonyos incidensek során egy támadó kevesebb mint 30 másodperc alatt hozzáférést szerez, majd azt átadja egy másik támadónak. Egy kezdetben alacsony prioritásúnak tűnő jelzés így szinte azonnal válhat ransomware-támadás vagy más, súlyos következményekkel járó művelet kiindulópontjává.

Ugyanakkor az alapvető tényezők továbbra is nyomás alatt állnak. A Mandiant megállapította, hogy a kihasználások hatodik éve egymás után a vezető kezdeti fertőzési vektorok, az ismert behatolási pontok esetében az esetek 32%-át teszik ki. A Verizon hasonló tendenciáról számol be: a sebezhetőségek kihasználása az adatállományában a leggyakoribb kezdeti hozzáférési vektorrá vált, elérve a 31%-ot.

A kihívás nem csupán a sebezhetőségek felkutatásában rejlik, hanem azok elég gyors kijavításában is. A Verizon megállapította, hogy:

• a kritikus CISA KEV-sebezhetőségek mindössze 26%-át javították ki teljes mértékben;
• a teljes kijavításig eltelt idő mediánja 43 napra nőtt;
• a szervezeteknek körülbelül 50%-kal több kritikus sebezhetőséget kellett kijavítaniuk, mint egy évvel korábban.

A támadók sebessége és a kijavítási idő közötti szakadékot nehéz figyelmen kívül hagyni.

Az AI felgyorsítja a támadási tevékenységeket

Mind a Verizon, mind a Mandiant elsősorban erőszaporítóként jellemzi az AI-t. A támadók a generatív MI-t használják a célpontok kiválasztásához, a social engineering-hez, a sebezhetőségek kutatásához, a rosszindulatú szoftverek fejlesztéséhez, valamint a támadási életciklus egyéb szakaszaiban.

Az IBM még tovább megy, és számszerűsíti a hatást. A vállalat 2026-os „Cost of a Data Breach” (Adatvédelmi incidensek költségei) című jelentése megállapította, hogy az AI-vezérelt támadások száma évről évre 56%-kal nőtt, és átlagosan 1 millió USD-vel növelte a rosszindulatú adatvédelmi incidensek költségeit. Az adatvédelmi incidensek globális átlagos költsége 4,99 millió USD-re emelkedett, ami 12%-os növekedést jelent.

Ez nem jelenti azt, hogy minden sikeres támadás hirtelen „AI-alapú” lenne. A Mandiant kifejezetten megjegyzi, hogy a legtöbb sikeres behatolás továbbra is a jól ismert gyenge pontokból ered:

• kihasználható rendszerek,
• ellopott hitelesítő adatok,
• social engineering,
• harmadik felek általi hozzáférés
• és az alapvető ellenőrzési mechanizmusok meghibásodásai.

Ami az AI révén megváltozik, az a tempó. Ugyanazokat a technikákat ma már gyorsabban lehet kutatni, adaptálni, bevetni és méretezni.

A védelmi oldal nem oldhatja meg a problémát pusztán új munkaerő felvételével

Ebben a tekintetben különösen releváns az IANS és az Artico Search által készített összehasonlító elemzés. A biztonsági költségvetés növekedése 2025-ben átlagosan mindössze 4%-ra lassult, ami az elmúlt öt év legalacsonyabb szintje. A CISO-k csupán 45%-a tudott új munkatársakat felvenni, míg 47%-uk változatlanul tartotta a csapat létszámát.

A CISO-k mindössze 11%-a mondta, hogy biztonsági szervezete megfelelő létszámmal rendelkezik.

Ez strukturális problémát jelent a SOC-ok számára. A riasztások száma, a támadási útvonalak és a rendelkezésre álló telemetriai adatok folyamatosan bővülnek, míg az elemzők kapacitása nem. További irányítópultok hozzáadása vagy több riasztás generálása nem oldja meg ezt az egyensúlytalanságot.

A kérdés a „Hogyan automatizálhatunk több feladatot?”-ról a „Hogyan csökkenthetjük a jó döntés meghozatala előtt szükséges emberi vizsgálatok mennyiségét?”-re változik.

Az automatizálás hasznos. A nyomozási intelligencia a következő lépés.

A hagyományos automatizálás rendkívül hatékony, ha a folyamat előre jelezhető: mutató gyűjtése, IP-cím kiegészítése, jegy megnyitása, host elszigetelése. A modern incidensek azonban gyakran ennél bonyolultabb megoldást igényelnek: a gyenge jelek összekapcsolását a felhasználók, a host-ok, az identitások, a hálózati tevékenység, a fenyegetési információk és a korábbi események között.

Az IBM adatai alátámasztják, hogy érdemes ebbe az irányba haladni. Azok a szervezetek, amelyek széles körben alkalmazzák az AI-t és az automatizálást a biztonság területén, 65 nappal rövidítették le a biztonsági incidensek életciklusát, és 1,93 millió USD-vel csökkentették az incidensek átlagos költségeit. Ugyanakkor csak 36% számolt be arról, hogy széles körben alkalmazzák ezeket a technológiákat a megelőzés, az észlelés, a nyomozás és a reagálás területén.

A SOC-fejlesztés következő fázisa nem az automatizálás önmagáért való. Hanem a gépi sebességű kontextusépítés, emberi irányítású döntésekkel.

Hol jön képbe a PULZARIS Analyst AI?

Ez is az a probléma, amelyet a PULZARIS Analyst AI segítségével kívánunk megoldani. A rendszer nem az elemző helyettesítésére szolgál, hanem arra, hogy átvegye az incidensvizsgálat ismétlődő, bizonyítékokkal teli részeit.

A PULZARIS képes:

• a beérkező biztonsági riasztások osztályozására és elemzésére;
• a releváns felhasználók, host-ok és rendszerek feltérképezésére;
• a vizsgálatok kiegészítésére belső és külső fenyegetési információkkal;
• a kockázat és az üzleti hatások értékelésére;
• az elemzők számára felhasználható eredmények és ajánlott következő lépések előállítására.

A cél nem az emberi ítélőképesség kiküszöbölése. A PULZARIS egy „human-in-the-loop” modellre épül: a mesterséges intelligencia végzi el a nehéz nyomozati munkát, míg az elemzők ellenőrzik, továbbítják a problémát a megfelelő szintre, és meghozzák a végső döntést.

Ha a támadók egyre inkább gépi sebességgel működnek, miközben a SOC-csapatok továbbra is az emberi kapacitás korlátai közé szorulnak, a megoldás nem lehet az, hogy még több információt állítsunk elő, amelyet az elemzőknek manuálisan kell feldolgozniuk.

Az előny abból származik, hogy a riasztásokat olyan gyorsan alakítjuk döntéshozatalra kész információkká, hogy az emberek megtarthassák az irányítást.

Kérdése van, érdekelné a megoldás? Vegye fel Kollégáinkkal a kapcsolatot!