Искусственный интеллект уже становится стандартом для современных центров мониторинга кибербезопасности. По данным РБК, практически все организации, которые планируют создавать SOC, рассматривают внедрение искусственного интеллекта:
📎67 % опрошенных считают, что будут использовать искусственный интеллект;
📎32 % уверены в том, что ИИ станет неотъемлемой частью процессов.
📢 В посте ниже команда РТ‑ИБ разобрала, как изменилась роль первой линии SOC под влиянием искусственного интеллекта, почему традиционная модель обработки алертов перестаёт справляться с нагрузкой и каким становится новый формат работы аналитиков.
🎨🎨🎨 От кого: Ян, маскот
🎨🎨🎨 Кому: Любимым
🎨🎨🎨 подписчикам
Традиционный SOC
Аналитики первой линии выполняют три ключевые задачи:
1️⃣ проводят первичный анализ: верифицируют и фильтруют события из SIEM
2️⃣ обогащают инциденты контекстом: проверяют репутацию файлов, анализируют активность учётных записей и другие данные
3️⃣ принимают решение — закрыть тикет как ложное срабатывание или передать его специалистам L2/L3
Но с ростом инфраструктур эта модель перестала справляться. Количество событий растёт быстрее, чем человек успевает их анализировать.
Возникает Alert Fatigue: постоянный поток уведомлений снижает внимательность аналитиков и превращает их работу в бесконечное закрытие тикетов.
Последствия очевидны:
📎выгорание сотрудников
📎высокая текучесть кадров
📎невозможность масштабировать безопасность только за счёт найма новых специалистов.
Современный SOC
Сегодня AI берёт на себя рутинные операции, меняя роль аналитика. Вместо механической обработки событий он управляет автоматизированной системой и контролирует её работу.
Новая модель выглядит так:
1️⃣ Автоматизация рутины
AI берёт на себя часть повторяющихся операций. Он группирует события, выполняет поиск похожих случаев, подготавливает описание, рекомендации и черновик действий.
2️⃣ Поддержка расследований
В сложных инцидентах AI помогает быстрее собрать факты, проверить гипотезы и найти связи в большом объёме исторических данных.
3️⃣ Роль аналитика
Аналитик контролирует работу AI, проверяет выводы и принимает финальные решения там, где ошибка будет критична.
AI не заменяет аналитика первой линии — он освобождает его от рутинной работы.
Вместо обработки тысяч однотипных уведомлений специалист сосредотачивается на контроле автоматизации, проверке рекомендаций и принятии решений там, где по‑прежнему необходим человек.