安全运营中心通常需要处理远超分析师有效调查能力的告警数量,这导致告警疲劳、真实事件被淹没在噪音之中,以及分析师高流失率——而组织知识往往刚刚积累起来就因人员流失而流失。AI辅助分诊工具的出现,正是为了解决这一数量问题。
增强判断,而非取代判断
有效的AI辅助安全运营中心工具能够总结告警上下文、跨工具关联相关事件,并提出优先级排序的处理队列,让分析师将时间花在需要判断的决策上,而非在十几个仪表盘之间手动收集数据。最成功的部署方案会明确让人类对遏制和升级决策负责,利用AI来加速调查,而非未经审核就自动关闭告警。
衡量成功与否应超越告警数量的减少:平均检测和遏制时间、红队演练中的漏报率,以及分析师留任率,都能反映AI辅助是真正改善了结果,还是只是转移了疲劳积累的位置。
贾万信息技术集团(JIG)帮助安全运营团队采用AI辅助工具,在降低噪音的同时,让人类继续为最重要的决策负责。