Dviguba DI architektūra: kodėl bendrieji modeliai yra įrankiai, o SOC autonomija – infrastruktūra

DI diegimo greitis kibernetiniame saugume sukūrė didelį strateginį atotrūkį tarp tų, kurie DI laiko pokalbių robotu, ir tų, kurie jį vertina kaip architektūrą. Anksčiau saugumo vadovai vertino didžiuosius kalbos modelius (LLM) pagal jų gebėjimą atsakyti į klausimus ar rašyti skriptus. Dabar operacinė realybė rodo, kad bendrosios paskirties DI platformos, tokios kaip „Claude“ ir „Cursor“, skiriasi nuo specializuotos infrastruktūros, reikalingos didelės apimties saugumo operacijų centrui (SOC) valdyti.

Saugumo komandos susiduria su grėsmių aplinka, kurioje užpuolikai naudoja DI žvalgybos ir atakos grandinės (kill chain) išnaudojimo etapams automatizuoti. Tradicinis grėsmių modelis, besiremiantis žmogaus greičiu bandant perimti mašininio greičio atakas, yra iš esmės pasenęs. Norėdamos tai išspręsti, organizacijos privalo peržengti bazinę DI asistentų integraciją ir sukurti pakopinę žvalgybos architektūrą, kuri atskirtų didelės apimties autonominį rūšiavimą nuo didelės vertės žmogaus kognityvinio darbo.

Kognicijos ir apimties atskyrimas

Šiuolaikinės saugumo operacijos veikia trijuose skirtinguose sluoksniuose. Baziniame sluoksnyje esami saugumo įrankiai, tokie kaip EDR, SIEM ir debesijos tapatybės platformos, generuoja neapdorotą telemetriją ir įspėjimus. Šis sluoksnis yra pagrindinis duomenų šaltinis, tačiau jam trūksta argumentavimo gebėjimų, kad galėtų atskirti sudėtingą ataką nuo neteisingai sukonfigūruoto administracinio skripto.

Viduryje yra autonominis DI SOC sluoksnis. Tai nėra pokalbių roboto sąsaja. Tai agentų sistema, kuri nuolat tiria kiekvieną įspėjimą, koreliuoja įrodymus iš skirtingų įrankių ir taiko organizacinį kontekstą rizikai nustatyti. Šis sluoksnis sumažina triukšmą, išspręsdamas nepavojingus įspėjimus be žmogaus įsikišimo.

Viršuje yra kognityvinis sluoksnis, kuriame veikia tokios platformos kaip „Claude“, „Codex“ ir „Cursor“. Tai interaktyvi erdvė, kurioje vyresnieji analitikai ir reagavimo į incidentus specialistai bendradarbiauja su pažangiausiais modeliais spręsdami specializuotas problemas. Šių modelių naudojimas viršutiniame sluoksnyje yra efektyvus, nes jie sukurti argumentavimui, o ne pasikartojančiam tūkstančių telemetrijos srautų apdorojimui. Kiekvienas sluoksnis atlieka konkretų darbą, o kognityvinio sluoksnio painiojimas su autonominiu sluoksniu lemia operacinį neefektyvumą.

Saugumo argumentavimo tokenomika

Architektūra dažnai yra ekonomikos šalutinis produktas. Kiekviena sąveika su didžiuoju kalbos modeliu kainuoja, o kaina paprastai matuojama tokenais. Vienas saugumo tyrimas nėra paprasta tekstinė užklausa. Tam reikia apdoroti galinių įrenginių telemetriją, procesų medžius, autentifikavimo žurnalus ir grėsmių žvalgybos srautus. Šis kontekstas gali greitai sunaudoti tūkstančius tokenų vienam incidentui.

Anksčiau organizacijos manė, kad viena DI licencija gali išspręsti visus tyrimų poreikius. Dabar skaičiavimai rodo, kad bendrosios paskirties LLM naudojimas kiekvienam informaciniam įspėjimui tirti yra finansiškai neįmanomas. Jei SOC per dieną gauna 5 000 įspėjimų ir kiekvieną iš jų siunčia pažangiausiam modeliui pilnai teismo ekspertizės analizei, metinės API išlaidos viršys viso saugumo departamento biudžetą.

Autonominės DI SOC platformos tai išsprendžia naudodamos talpykloje saugomą kontekstą ir atrankinį argumentavimą. Jos netraktuoja kiekvieno įspėjimo kaip naujo pokalbio su brangiu modeliu. Vietoj to jos naudoja deterministines darbo eigas rutininiam duomenų rinkimui ir pasitelkia LLM tik tada, kai reikalinga konkreti argumentavimo užduotis. Toks architektūrinis požiūris leidžia ištirti 100 % įspėjimų, išlaikant nuspėjamas išlaidas. Naudoti „Claude“ kiekvienam nepavojingam žurnalui tirti yra tas pats, kas naudoti chirurginį lazerį miškui kirsti; įrankis yra tikslus, tačiau taikymas yra architektūriškai netinkamas.

Duomenų gravitacija ir MDR trinties taškas

Daugelis įmonių pasikliauja valdomo aptikimo ir reagavimo (MDR) paslaugų teikėjais savo saugumo stebėjimui valdyti. Tai sukuria duomenų prieigos asimetriją. MDR teikėjui paprastai priklauso tyrimo darbo eiga ir praturtinta telemetrija. Klientas mato tik galutinį eskaluotą incidentą, o tai riboja vidinių DI platformų efektyvumą.

Jei analitikas bando naudoti „Claude“ įspėjimui tirti, jam dažnai trūksta neapdorotų duomenų, reikalingų modeliui suteikti pakankamą kontekstą. LLM negali argumentuoti apie duomenis, kurių nemato. Štai kodėl vietinis autonominis DI SOC sluoksnis tampa kritiniu įmonės technologijų krūvos komponentu. Jis veikia kartu su saugumo įrankiais, fiksuoja tyrimų istoriją ir kuria vietinę žinių bazę.

Ši architektūra leidžia organizacijai išsaugoti institucines žinias, užuot palikus jas trečiosios šalies MDR portale. Tai užtikrina, kad kai vyresnysis analitikas pasitelkia tokį įrankį kaip „Claude“, reikiami įrodymai jau yra susisteminti ir paruošti analizei. Autonominis sluoksnis veikia kaip tiltas tarp neapdorotų, išsibarsčiusių žurnalų ir aukšto lygio kognityvinio darbo.

Paslėpta informacinių įspėjimų rizika

Dauguma SOC ignoruoja mažo prioriteto įspėjimus, nes neturi pakankamai žmogiškųjų išteklių jiems peržiūrėti. Šis prioritetų nustatymas yra būtinybė į žmogų orientuotame modelyje, tačiau tai taip pat yra sisteminis pažeidžiamumas. 2025 m. atlikta 25 milijonų įspėjimų analizė parodė, kad maždaug 1 % patvirtintų saugumo incidentų prasidėjo kaip mažo prioriteto arba informaciniai žurnalai.

Užpuolikai dažnai naudoja slaptus šoninio judėjimo (lateral movement) metodus, kurie nesukelia didelio prioriteto pavojaus signalų. Vieną nesėkmingą prisijungimą arba įtartiną, bet ne akivaizdžiai kenkėjišką „PowerShell“ komandą lengva praleisti. Autonominis DI SOC keičia situaciją, suteikdamas galimybę ištirti viską. Kadangi mašina nepavargsta, o tyrimo kaina yra minimali dėl specializuotos architektūros, įspėjimo „svarba“ nebelemia to, ar jam bus skiriamas dėmesys. Kiekvienas įspėjimas yra ištiriamas, ir tik tikrosios grėsmės pasiekia žmogaus kognityvinį sluoksnį.

Kur pažangiausi modeliai užtikrina didžiausią investicijų grąžą (ROI)

Kai autonominis sluoksnis susitvarko su pasikartojančiu rūšiavimu, DI platformos, tokios kaip „Claude“, tampa žymiai galingesnės. Analitikai nebenaudoja jų baziniam duomenų rinkimui. Vietoj to jie susikoncentruoja į didelio poveikio strateginį darbą.

Aiškumo dėlei, kognityvinį sluoksnį geriausia naudoti:

• Naujos aptikimo logikos kūrimui ir testavimui remiantis atsirandančia grėsmių žvalgyba.
• Išsamiai teismo ekspertizės analizei atlikti sudėtingų, daugiapakopių incidentų atveju.
• Techninių tyrimų santraukų rengimui vadovybei ir reguliuojančioms institucijoms.
• Grėsmių medžioklei (threat hunting), generuojant sudėtingas užklausas per kelis duomenų ežerus.
• Pasenusių aptikimo taisyklių vertimui į šiuolaikines užklausų kalbas, tokias kaip „Sigma“ arba KQL.

Šiame modelyje žmogus ir LLM dirba kartu spręsdami problemas, kurioms reikia nuovokos ir sprendimų priėmimo. Autonominė sistema užtikrina, kad jų laikas niekada nebūtų švaistomas 99 % nepavojingų įspėjimų.

Veiksmų planas: pakopinės DI architektūros kūrimas

Norėdami pereiti nuo DI FOMO (baimės praleisti progą) prie atsparios gynybos, CISO turėtų vadovautis šiuo 6–12 mėnesių planu, kad pertvarkytų savo saugumo operacijas.

1. Telemetrijos vamzdyno auditas (1–2 mėn.): Sužymėkite visus duomenų šaltinius ir nustatykite, kur saugoma telemetrija. Išsiaiškinkite, ar jūsų MDR teikėjas leidžia realaus laiko API prieigą prie neapdorotų žurnalų ir tyrimo artefaktų.
2. DI išlaidų suskirstymas (3–4 mėn.): Atskirkite kognityvinių įrankių („Claude“, „Cursor“) biudžetą nuo autonominės infrastruktūros biudžeto. Nebandykite priversti vieno įrankio atlikti abu darbus.
3. Autonominio rūšiavimo sluoksnio įdiegimas (5–8 mėn.): Įdiekite sistemą, kuri gali automatizuoti teismo ekspertizės duomenų rinkimo procesą. Pirmiausia susikoncentruokite į mažo prioriteto įspėjimų rūšiavimo laiko sutrumpinimą, kad įrodytumėte koncepciją.
4. Organizacinio konteksto kodifikavimas (9–10 mėn.): Sukurkite vidinės dokumentacijos, tinklo žemėlapių ir politikos failų saugyklą, kurią autonominė sistema galėtų naudoti atskirdama autorizuotą administratoriaus veiklą nuo užpuoliko elgesio.
5. Analitikų darbo eigos tobulinimas (11–12 mėn.): Perkelkite 1-ojo ir 2-ojo lygio analitikus prie aptikimo inžinerijos ir grėsmių medžioklės. Naudokite kognityvines DI platformas šiam perėjimui palaikyti, automatizuodami naujų taisyklių ir ataskaitų rašymą.

Šios architektūros tikslas nėra pašalinti žmones iš SOC. Tikslas yra užtikrinti, kad saugumo pažeidimas netaptų katastrofa dėl to, kad žmogus buvo per daug užsiėmęs triukšmo rūšiavimu, kad pastebėtų tikrąjį signalą. Išlikimas dabartinėje grėsmių aplinkoje priklauso nuo architektūros ir greičio, o ne tik nuo geresnių įrankių.

Šaltiniai:

• CISA (Cybersecurity and Infrastructure Security Agency) - Guidelines on AI Security and Triage.
• NIST (National Institute of Standards and Technology) - AI Risk Management Framework 1.0.
• Anthropic - Claude Enterprise and API Documentation.
• Internal analysis of telemetry trends and tokenomics in enterprise security operations (2025-2026).

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams ir nepakeičia profesionalaus kibernetinio saugumo audito ar reagavimo į incidentus paslaugų.