Як використовувати Cisco Штучний інтелект для звітів про кібербезпеку

Вступ: Штучний інтелект на передовій кібербезпеки

У дедалі складнішому ландшафті кібербезпеки організації постійно шукають інноваційні способи управління величезним обсягом даних, сповіщень та інцидентів, з якими вони стикаються щодня. Cisco, один з провідних світових гравців у сфері мережевої та ІТ-безпеки, зробив сміливий крок: інтегрував генеративний штучний інтелект у процес створення звітів з кібербезпеки. Ця ініціатива, що була випробувана внутрішньо та представлена ​​публічно у 2026 році, порушує важливі питання щодо ефективності, точності та обмежень ШІ, коли йдеться про документування інцидентів безпеки. Отримані результати описуються як змішаний, а це означає, що існують як очевидні переваги, так і значні проблеми, які необхідно вирішувати з технічною та операційною увагою.

Звіти з кібербезпеки є критично важливими документами в будь-якому Центрі операцій безпеки (ЦОБ). Вони узагальнюють дані, зібрані після інциденту, описують вектори атаки, вплив на уражені системи, застосовані заходи щодо усунення наслідків та отримані уроки. Написання цих звітів займає значну кількість часу аналітиків безпеки, який можна було б використати для проактивних розслідувань або для покращення стану безпеки організації. Саме тому часткова або повна автоматизація цього процесу за допомогою штучного інтелекту є надзвичайно привабливою пропозицією з операційної точки зору.

Технологічний контекст: чому генеративний штучний інтелект у кібербезпеці?

Переважний обсяг даних у SOC

Сучасний центр операцій безпеки щодня обробляє мільйони подій безпеки, мережевих журналів, сповіщень, що генеруються SIEM (системою управління інформацією та подіями безпеки), EDR (системою виявлення та реагування на кінцеві точки) та іншими платформами моніторингу. Аналітики 1-го, 2-го та 3-го рівнів часто перевантажені, і таке явище, як тривожна втома є реальною та задокументованою проблемою в галузі. У цьому контексті використання моделей великих мов (LLM) для синтезу інформації з інциденту та автоматичного створення структурованого звіту видається логічним та ефективним рішенням.

Cisco інтегрувала можливості генеративного штучного інтелекту у свою платформу безпеки, використовуючи такі технології, як моделі LLM, для автоматизації написання звітів після інцидентів. Заявленою метою було скоротити час, який аналітики з безпеки витрачають на повторювані адміністративні завдання, дозволяючи їм зосередитися на глибокому технічному аналізі, пошуку загроз та покращенні їх виявлення. Концепція відповідає світовій тенденції впровадження Операції безпеки за допомогою штучного інтелекту, де штучний інтелект виступає в ролі другого пілота аналітика-людини, а не його заміни.

Platforma Cisco та інтеграція штучного інтелекту

Cisco останніми роками значно інвестувала у свої можливості штучного інтелекту, особливо після стратегічних придбань та партнерств із постачальниками передових мовних моделей. Платформа Cisco Безпека Cloudразом із такими інструментами, як Cisco XDR (розширене виявлення та реагування) та Cisco Talos збирає величезні телеметричні дані з мереж, кінцевих точок та програм cloud та джерела інформації про загрози. Ця телеметрія є сировиною, яку ШІ обробляє для створення звітів про інциденти. Якість результату прямо пропорційна якості та повноті вхідних даних, що є фундаментальним принципом будь-якої реалізації машинного навчання або генеративного ШІ.

Змішані результати: що спрацювало, а що ні

Доведені переваги штучного інтелекту у звітності

Серед позитивних результатів, про які повідомлялося Cisco це вважається одним значне скорочення часу необхідне для написання звітів про інциденти. У той час як досвідчений аналітик міг би витратити від двох до чотирьох годин на повне документування інциденту безпеки середньої складності, штучний інтелект зміг створити початковий варіант за лічені хвилини. Цей варіант включав хронологічний опис подій, ідентифікацію уражених систем, попередній аналіз вектора атаки та загальні рекомендації щодо усунення наслідків.

Ще однією очевидною перевагою було структурна узгодженість генерованих звітів. Звіти, написані аналітиками-людьми, часто відрізняються за форматом, рівнем деталізації та термінологією, що залежно від досвіду та стилю кожної людини. Штучний інтелект створював структурно узгоджені звіти, що сприяє подальшому аналізу, кореляції інцидентів та генерації агрегованої статистики на організаційному рівні. Така узгодженість надзвичайно цінна для команд з управління ризиками та аудиторів безпеки.

Штучний інтелект також продемонстрував здатність співвідносити інформацію з кількох джерел одночасно, що для аналітика-людини вимагало б навігації через численні інтерфейси та інструменти. Модель могла б інтегрувати дані з журналів брандмауера, сповіщень EDR, інформацію про загрози від Cisco Дані Talos та контексту про постраждалого користувача або систему, що створюють зв'язну та технічно обґрунтовану розповідь.

Виявлені обмеження та проблеми

Окрім переваг, Cisco також визначив низку важливих обмежень, які виправдовують опис результатів як змішанийОднією з найсерйозніших виявлених проблем було явище галюцинації специфічні для моделей LLM. У контексті кібербезпеки галюцинація означає, що ШІ може генерувати інформацію, яка є технічно правдоподібною, але фактично неправильною. Наприклад, модель може віднести інцидент до певного вектора атаки, який не відповідає технічній реальності подій, або може згадувати IOC (індикатори компрометації), які насправді не були виявлені в мережі.

Ця проблема особливо серйозна в кібербезпеці, де точність даних є критично важливою. Звіт із невірною інформацією може призвести до помилкових рішень щодо усунення недоліків, неправильного розподілу ресурсів для розслідування або, в крайніх випадках, до неможливості виявити активні загрози. Перевірка людиною Таким чином, звіти, згенеровані штучним інтелектом, стають не опцією, а абсолютною необхідністю, що частково знижує обіцяне підвищення ефективності.

Ще одним виявленим обмеженням була складність управління за допомогою штучного інтелекту випадки великої складності або новизниСкладні атаки, такі як APT-кампанії (Advanced Persistent Threat) або експлойти нульового дня, передбачають незвичайні шаблони та складні ланцюжки атак, які не відповідають шаблонам, отриманим моделлю з навчальних даних. У таких випадках звіти, згенеровані штучним інтелектом, описуються як поверхневі або неповні, що вимагають значного втручання старших аналітиків.

Питання конфіденційності та безпеки даних

Критичний аспект, який часто ігнорується в ажіотажі навколо штучного інтелекту, полягає в тому, що конфіденційність данихЗвіти про інциденти містять дуже конфіденційну інформацію: внутрішні IP-адреси, імена користувачів, деталі про архітектуру мережі, використані вразливості та операційний вплив інциденту. Надсилання цих даних до моделі штучного інтелекту, внутрішньої чи зовнішньої, викликає серйозні питання щодо того, де ці дані зберігаються, як вони обробляються та хто має до них доступ.

Cisco довелося вирішити ці проблеми, запроваджуючи суворий контроль якості управління даними та за допомогою моделей штучного інтелекту, розгорнутих локально або в cloud приватні, щоб запобігти ненавмисному витоку конфіденційних даних. Однак організації, які бажають впровадити подібні рішення, повинні провести ретельний аналіз ризиків перед впровадженням, забезпечуючи їх відповідність відповідним нормам, таким як GDPR у європейському просторі.

Наслідки для команд безпеки: Зміна ролі аналітика

Штучний інтелект як інструмент, а не заміна

Одним із центральних висновків, що випливає з експерименту Cisco це як Штучний інтелект не замінює аналітика безпеки, але це змінює спосіб їхньої роботи. Роль аналітика еволюціонує від автора звітів до перевіряльника якості та валідатора результатів роботи ШІ. Цей зсув вимагає нового набору навичок: здатності критично оцінювати автоматично згенерований звіт, виявляти фактичні помилки або суттєві пропуски та завершувати розповідь там, де ШІ зазнав невдачі.

Крім того, аналітики повинні розуміти технічні обмеження моделей LLM вони використовують: як працює механізм уваги, які типи даних модель обробляє добре, а які погано, та як можна формулювати підказки для отримання точніших та релевантніших результатів. Ця нова компетенція, відома як оперативне проектування У контексті кібербезпеки це стає цінною навичкою для фахівців SOC.

Вплив на процеси реагування на інциденти

Інтеграція штучного інтелекту в процес звітності про інциденти також має наслідки для робочих процесів у командах. Відповідь на випадокТрадиційні процеси управління інцидентами, визначені в посібниках та задокументовані в таких стандартах, як NIST SP 800-61 або ISO/IEC 27035, повинні бути оновлені, щоб включити кроки для перевірки результатів ШІ. Заявки на інциденти на платформах SOAR (оркестрація, автоматизація та реагування на безпеку) можуть бути автоматично збагачені чернетками звітів, згенерованих ШІ, але процес затвердження обов'язково повинен включати етап перевірки людиною.

Крім того, показники ефективності Команди SOC потребують перекалібрування. Середній час документування (MToD) різко падає зі штучним інтелектом, але відповідною метрикою тепер стає точність остаточних звітів та якість рішень щодо виправлення, прийнятих на їх основі. Організаціям необхідно інвестувати в механізми зворотного зв'язку, щоб постійно покращувати продуктивність моделей, що використовуються на основі штучного інтелекту.

Винесені уроки та майбутні напрямки

Чого інші організації можуть навчитися з експерименту Cisco

Досвід Cisco пропонує цінні уроки для будь-якої організації, яка розглядає можливість впровадження генеративного штучного інтелекту в операціях безпеки. По-перше, контрольоване пілотування є важливим: поступове впровадження з ретельним вимірюванням результатів та підтримкою людського нагляду зменшує ризики, пов'язані з помилками ШІ. По-друге, якість вхідних даних є фундаментальною: модель ШІ не може генерувати точні звіти, якщо телеметрія, зібрана з середовища безпеки, є неповною, надлишковою або низької якості.

По-третє, тренування команди є критично важливим. Аналітики безпеки повинні бути навчені не лише тому, як використовувати інструменти штучного інтелекту, але й їхнім обмеженням та обов'язкам як валідаторів результатів. Організаційна культура, в якій штучний інтелект розглядається як допоміжний інструмент, а не як непогрішний авторитет, є важливою для його відповідального та ефективного використання.

Еволюція технологій: що далі

Cisco та інші великі постачальники рішень безпеки продовжують інвестувати в покращення можливостей штучного інтелекту для операцій безпеки. Напрямки розвитку включають моделі тонко налаштований специфічні для даних кібербезпеки, що зменшить феномен галюцинацій та покращить технічну точність генерованих звітів. Також ведеться робота над механізмами для Пошуково-доповнена генерація (RAG), що дозволяє моделі отримувати доступ до оновлених баз даних інформації про загрози в режимі реального часу, таких як нещодавні CVE або задокументовані APT-кампанії, перед створенням звіту.

Інші очікувані розробки включають глибшу інтеграцію з платформами SIEM та SOAR, щоб звіти ШІ генерувалися автоматично, щойно інцидент буде сортовано та класифіковано, а також можливості запити природною мовою що дозволяє аналітикам взаємодіяти зі звітами, створеними за допомогою запитів природною мовою, отримуючи роз'яснення або додаткові деталі без ручного перегляду журналів.

Висновок: Один крок уперед, з відкритими очима

експеримент Cisco використання генеративного штучного інтелекту у звітності про інциденти кібербезпеки є важливим та сміливим кроком до модернізації операцій безпеки. Отримані неоднозначні результати не слід інтерпретувати як провал, а як реалістичне підтвердження поточного потенціалу та обмежень технології. Штучний інтелект може принести очевидні переваги з точки зору швидкості, узгодженості та кореляції даних, але він не може замінити людське судження, глибокі технічні знання та відповідальність аналітика безпеки.

Для організацій у Румунії та в усьому світі ключовий урок полягає в наступному: впровадження штучного інтелекту в кібербезпеці має здійснюватися стратегічно, з чітким розумінням ризиків, з інвестуванням у навчання та з підтримкою надійного рівня... людський наглядТехнології стрімко розвиваються, і фахівці з безпеки, які розвивають навички, необхідні для ефективної роботи зі штучним інтелектом, будуть найкраще підготовлені до подолання викликів майбутнього.

Ви напевно зрозуміли, з чим пов'язані новини 2026 року cybersecurityЯкщо ви зацікавлені в поглибленні своїх знань у цій галузі, запрошуємо вас ознайомитися з нашим асортиментом курсів, структурованих за ролями та категоріями. Cybersecurity Концентратор. Якщо ви тільки починаєте чи хочете вдосконалити свої навички, у нас є курс для вас.