Sztuczna inteligencja w bezpieczeństwie operacyjnym: granice kontroli

Narzędzia automatyzacji skutecznie identyfikują szum informacyjny, powtarzające się zdarzenia oraz nadmiarowe dane telemetryczne. Wskazanie obszarów, w których można ograniczyć wolumen przechowywanych danych, zajmuje modelowi zaledwie kilka minut, podczas gdy ręczny audyt wymaga często wielu dni lub nawet tygodni. Nie oznacza to jednak, że sztuczna inteligencja powinna samodzielnie podejmować decyzje o usuwaniu danych z produkcyjnych potoków przetwarzania.

Zdarzenie uznane za mało istotne może w przyszłości okazać się kluczowym elementem analizy incydentu lub dochodzenia cyfrowo-śledczego. Jeśli algorytm samodzielnie eliminuje dane telemetryczne, istnieje ryzyko powstania „ślepych stref”, które ujawnią się dopiero po wystąpieniu incydentu. Eksperci Cribl podkreślają, że rola sztucznej inteligencji powinna ograniczać się do identyfikowania możliwości optymalizacji, natomiast ostateczna decyzja powinna należeć do specjalisty. Każda rekomendowana zmiana powinna zostać zweryfikowana pod kątem wpływu na mechanizmy detekcji zagrożeń, a proces jej wycofania powinien być prosty, szybki i w pełni kontrolowany.

Mapowanie surowych danych telemetrycznych do standardów, takich jak Open Cybersecurity Schema Framework (OCSF), jest procesem, w którym systemy uczenia maszynowego mogą znacząco usprawnić integrację nowych źródeł danych, skracając jej czas z dni do zaledwie kilku godzin. Kluczowym zagrożeniem pozostaje jednak nadmierne zaufanie do automatycznie wygenerowanych wyników oraz brak ich odpowiedniej weryfikacji przez specjalistów.

Nieprawidłowo zmapowane zdarzenie uwierzytelnienia może spowodować, że mechanizmy wykrywania ataków, takich jak brute force, nie zostaną uruchomione. Choć struktura danych może wydawać się poprawna, błędna interpretacja kluczowych atrybutów – na przykład przypisanie pola adresu IP do serwera proxy zamiast rzeczywistego źródła połączenia – prowadzi do utraty kontekstu analitycznego. W konsekwencji skuteczność mechanizmów detekcji i korelacji zdarzeń ulega obniżeniu. Z tego względu sztuczna inteligencja powinna wspierać proces mapowania poprzez rekomendowanie odpowiednich schematów, natomiast ich ostateczna weryfikacja i zatwierdzenie powinny należeć do specjalistów, zwłaszcza w przypadku pól wykorzystywanych przez systemy SIEM do wykrywania zagrożeń.

Zdolność modeli sztucznej inteligencji do wykrywania danych wrażliwych w nieoczywistych miejscach – takich jak klucze API zapisane w logach debugowania czy informacje poufne niewykryte przez tradycyjne mechanizmy DLP – stanowi istotne wsparcie dla zespołów bezpieczeństwa. Samo wykrycie takich danych nie oznacza jednak, że można automatycznie podjąć decyzję o ich maskowaniu lub usunięciu, ponieważ wymaga to uwzględnienia polityk organizacyjnych, wymagań regulacyjnych oraz kontekstu biznesowego.

Nadmierne maskowanie danych może pozbawić analityków informacji niezbędnych do prowadzenia analiz incydentów i dochodzeń cyfrowo-śledczych, natomiast niewystarczająca ochrona zwiększa ryzyko naruszenia przepisów oraz wewnętrznych wymagań dotyczących bezpieczeństwa informacji. Modele AI nie posiadają wiedzy o zapisach umów dotyczących przetwarzania danych, wyjątkach wynikających z procesów biznesowych ani wewnętrznych regulacjach organizacji. Dlatego definiowanie polityk ochrony danych powinno pozostawać w gestii specjalistów, a każda zmiana zasad maskowania lub retencji danych wymaga formalnej oceny i kontroli, podobnie jak modyfikacje innych krytycznych elementów infrastruktury IT.

Niektórzy dostawcy promują koncepcję pełnej automatyzacji konfiguracji potoków danych z wykorzystaniem poleceń w języku naturalnym. W praktyce inżynierskiej żadna istotna zmiana – czy to w kodzie aplikacji, czy w konfiguracji zapory sieciowej – nie powinna jednak trafiać do środowiska produkcyjnego bez odpowiedniej weryfikacji. Ta sama zasada dotyczy potoków przetwarzania telemetrii, których konfiguracja ma bezpośredni wpływ na skuteczność monitorowania i bezpieczeństwo organizacji.

Systemy sztucznej inteligencji mogą skutecznie wspierać tworzenie konfiguracji, generowanie wyrażeń regularnych oraz identyfikację błędów. Korzyści wynikające z szybkości działania nie uzasadniają jednak automatycznego wdrażania zmian w środowisku produkcyjnym. Nawet pozornie niewielka modyfikacja reguł routingu może spowodować, że część logów przestanie trafiać do platformy bezpieczeństwa, ograniczając zdolność do wykrywania zagrożeń i analizowania incydentów. Dlatego każda konfiguracja wygenerowana przez AI powinna zostać zweryfikowana i zatwierdzona przez inżyniera, a wszystkie zmiany muszą podlegać pełnej kontroli wersji oraz rejestrowaniu na potrzeby audytu.

Technologie sztucznej inteligencji i uczenia maszynowego potrafią skrócić etap wstępnej analizy danych z wielu godzin do zaledwie kilku minut, automatycznie generować zapytania oraz wspierać korelację zdarzeń. Ich potencjał w obszarze automatyzacji operacji bezpieczeństwa jest niepodważalny. Ostateczna ocena ryzyka nadal wymaga jednak uwzględnienia kontekstu biznesowego oraz wiedzy o specyfice organizacji.

Model AI nie rozpozna, że alerty o pozornie niskim priorytecie pochodzą z systemów przejętej spółki, której akwizycja nie została jeszcze publicznie ogłoszona. Nie będzie również w stanie samodzielnie ocenić, czy wykonanie poleceń PowerShell jest elementem autoryzowanych ćwiczeń Red Team, czy też stanowi oznakę rzeczywistej aktywności napastnika. Tego rodzaju informacje znajdują się poza zakresem danych dostępnych dla modelu. Dlatego ostateczna ocena krytyczności incydentu powinna należeć do analityków, a wyniki pracy agentów AI należy traktować jako wartościowe wsparcie procesu decyzyjnego, a nie jego substytut.

Dyskusja o zasadności wykorzystywania sztucznej inteligencji w operacjach związanych z danymi cyberbezpieczeństwa w dużej mierze dobiegła końca – rozwiązania te stały się integralnym elementem nowoczesnych centrów operacji bezpieczeństwa. Kluczowym wyzwaniem pozostaje dziś odpowiedzialne zarządzanie ich wykorzystaniem oraz właściwy podział odpowiedzialności za podejmowane decyzje. Organizacje, które wykorzystują AI do automatyzacji analizy danych i przyspieszenia procesu triage, zyskują na efektywności. Natomiast przekazanie algorytmom pełnej kontroli nad filtrowaniem danych czy podejmowaniem decyzji wpływających na przebieg analiz incydentów może prowadzić do utraty przejrzystości procesów i zwiększenia ryzyka operacyjnego.

iIT Distribution, jako Value Added Distributor (VAD) oraz partner specjalizujący się w rozwiązaniach z zakresu cyberbezpieczeństwa, wspiera organizacje w budowie nowoczesnej architektury zarządzania danymi i telemetrią. Eksperci iITD zapewniają kompleksowe wsparcie – od analizy potrzeb i projektowania architektury, przez wdrożenie rozwiązań światowych producentów, w tym Cribl, po doradztwo techniczne i optymalizację środowiska. Dzięki ścisłej współpracy z partnerami i klientami zespół iIT Distribution pomaga budować skalowalne, bezpieczne i łatwe w zarządzaniu środowiska IT, przygotowane na wyzwania nowoczesnych operacji bezpieczeństwa.