يتناول موضوع تتبع مصدر البيانات في الذكاء الاصطناعي، في سياق العمليات الأمنية، المسار الذي تسلكه إشارات الرصد والتنبيهات والمعلومات الاستخبارية من نظام الذكاء الاصطناعي الذي يولّدها مرورًا بعمليات سير العمل والتصعيد والاستجابة التي تحدد ما يحدث عند وصولها. ولّدت منصة المراقبة الأمنية بالذكاء الاصطناعي لدى أحد المورّدين تنبيهًا في الساعة 2:17 صباحًا. ووجّه سير عمل التنبيهات حالة الرصد إلى قائمة انتظار المحلل المناوب. وسجّل المحلل المناوب دخوله في الساعة 3:42 صباحًا، وراجع التنبيه، وصنّفه على أنه يتطلب تحقيقًا من المستوى 2. ولم تكن قائمة انتظار تحقيقات المستوى 2 مزوّدة بموظفين ليلًا، إذ يبدأ محللو المستوى 2 مناوبتهم في الساعة 8:30 صباحًا. وظل التنبيه في قائمة انتظار المستوى 2 من الساعة 3:42 صباحًا حتى الساعة 9:15 صباحًا حين تناوله أول محلل من المستوى 2. وكان المهاجم الذي أطلق الشذوذ في الساعة 2:17 صباحًا يعمل داخل البيئة منذ سبع ساعات قبل أن يبدأ فعليًا التحقيق الذي استدعاه الرصد الصحيح للذكاء الاصطناعي. كانت قدرة الذكاء الاصطناعي على الرصد حقيقية ودقيقة. لكن مسار البيانات من الرصد إلى الاستجابة، أي المسار الذي سلكه التنبيه عبر سير العمل، أدخل فجوة مدتها سبع ساعات بين الرصد والاستجابة لم تستطع دقة رصد الذكاء الاصطناعي تعويضها.
ما تتبع مصدر البيانات في الذكاء الاصطناعي ضمن العمليات الأمنية حقًا؟
يصف تتبع مصدر البيانات في الذكاء الاصطناعي، في سياق العمليات الأمنية، المسار الكامل الذي تسلكه الإشارات والتنبيهات والمعلومات الاستخبارية الأمنية من لحظة توليدها بواسطة أنظمة الرصد بالذكاء الاصطناعي، مرورًا بعمليات سير العمل وتحديد الأولويات والتصعيد والاستجابة التي تحدد كيف ومتى يتصرف البشر بناءً عليها. وتكشف الرؤية الكاملة لتتبع المصدر ليس فقط ما إذا كان الذكاء الاصطناعي قد رصد شيئًا، بل ما حدث لذلك الرصد بعد توليده: كيف وُجِّه، وكم انتظر عند كل خطوة، وما القرارات التي اتُّخذت بشأنه، وكم من الوقت انقضى بين الرصد وإجراء الاستجابة الذي عالج التهديد.
مشكلة زمن الانتقال من الرصد إلى الاستجابة هي فجوة العمليات الأمنية الجوهرية التي يكشفها تحليل تتبع مصدر البيانات. إذ تُقيَّم منصات المراقبة الأمنية بالذكاء الاصطناعي وتُسوَّق على أساس دقة الرصد وسرعته، أي مدى سرعة تحديدها للشذوذ وتوليدها للتنبيهات. أما الوقت بين توليد التنبيه وإجراء الاستجابة الذي يعالج التهديد الكامن فلا تحدده سرعة رصد الذكاء الاصطناعي، بل يحدده سير العمل والتوظيف وعمليات التصعيد التي يمر بها التنبيه بعد توليده. والرصد الذي يحدث في أجزاء من الثانية لكنه يُطلق عملية استجابة تستغرق سبع ساعات ليس أفضل بشكل يُعتد به من انعدام الرصد خلال الساعات السبع الأولى.
فجوة تصميم سير العمل هي الآلية الأساسية. فسير عمل العمليات الأمنية الذي يوجّه جميع التصعيدات عبر هياكل محللين متدرجة المستويات يُصمَّم عادةً وفق نماذج توظيف لساعات العمل. وقد يكون محللو المستوى 1 متاحين على مدار الساعة. بينما قد لا تتوفر قدرة التحقيق من المستوى 2 إلا خلال ساعات العمل. وحين يولّد رصد الذكاء الاصطناعي تنبيهًا يتطلب تحقيقًا من المستوى 2 خارج ساعات العمل، ينتظر التنبيه في قائمة انتظار حتى بداية يوم العمل، مما يُدخل فجوة في الاستجابة غير مرئية في مقاييس رصد الذكاء الاصطناعي لكنها شديدة الوضوح في وقت بقاء المهاجم.
تُضخّم مشكلة عدم مواءمة أولوية التنبيهات فجوة تتبع المصدر. فتنبيهات الذكاء الاصطناعي المصنفة بشكل صحيح على أنها تتطلب تحقيقًا لكنها لا تُصعَّد بوصفها حرجة ستتبع سير عمل التصعيد القياسي، الذي قد ينطوي على زمن انتظار كبير خلال الفترات الليلية وعطلات نهاية الأسبوع. والتنبيه الذي كان ينبغي تصنيفه حرجًا، بما يستدعي استجابة فورية من المستوى 2 خارج ساعات العمل، لكنه صُنِّف على أنه يتطلب تحقيقًا، يضع تنبيهًا ذا أولوية خاطئة في سير عمل صُمِّم لحالات أقل إلحاحًا. وسوء التصنيف ليس خطأ الذكاء الاصطناعي. بل هو فجوة في تصميم سير العمل وتدريب المحللين لا تستطيع دقة رصد الذكاء الاصطناعي تصحيحها.
لماذا يهم هذا
يهم تتبع مصدر البيانات في الذكاء الاصطناعي ضمن العمليات الأمنية TPRM لأن النتيجة الأمنية لنشر المراقبة الأمنية بالذكاء الاصطناعي لدى المورّد تعتمد على المسار الكامل من الرصد إلى الاستجابة، لا على قدرة الذكاء الاصطناعي على الرصد وحدها. فالمورّد الذي توفر منصته الأمنية بالذكاء الاصطناعي رصدًا حقيقيًا ودقيقًا لكن سير عمل الاستجابة لديه يُدخل فجوات لساعات متعددة بين الرصد والتحقيق قد يوفر تغطية أمنية عملية أسوأ من حل أبسط ذي استجابة أسرع.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم القدرة الأمنية للذكاء الاصطناعي من خلال مقاييس أداء الرصد دون تقييم سير عمل الاستجابة الذي يحدد ما يحدث فعليًا بعد الرصد. وقت الرصد مقياس. أما وقت الاستجابة فهو النتيجة الأمنية. وكلاهما يتطلب التقييم.
- تقييم أداء الرصد دون سير عمل الاستجابة
- عدم قياس زمن الانتقال من التنبيه إلى الاستجابة أو الإبلاغ عنه
- عدم تقييم قدرة التصعيد ليلًا وفي عطلات نهاية الأسبوع
- عدم تقييم عملية تصنيف أولوية التنبيهات
- عدم تتبع الفجوة بين الرصد والتحقيق بوصفها مقياسًا أمنيًا
كيف تبدو الممارسة الجيدة
تتتبع برامج العمليات الأمنية الناضجة الجدول الزمني الكامل من الرصد إلى الاستجابة، لا وقت الرصد وحده، وتصمم سير عمل التصعيد بقدرة استجابة خارج ساعات العمل للتنبيهات الحرجة، بما يضمن أن تقابل سرعةَ رصد الذكاء الاصطناعي عملياتُ استجابة قادرة على التصرف بناءً على حالات الرصد دون تأخيرات تمتد لساعات.
- تتبع متوسط وقت الاستجابة إلى جانب متوسط وقت الرصد
- قدرة التصعيد خارج ساعات العمل للتنبيهات الحرجة
- عملية لتحديد أولوية التنبيهات تحدد التنبيهات الحرجة التي تتطلب تصعيدًا فوريًا
- اتفاقية SLA لزمن الانتقال من الرصد إلى الاستجابة: الحد الأقصى للوقت من رصد الذكاء الاصطناعي إلى بدء التحقيق
- تدقيق سير عمل التصعيد: تحديد تأخيرات قوائم الانتظار في العمليات الليلية وفي عطلات نهاية الأسبوع
الأدوات
العمليات الأمنية: PagerDuty لتصعيد التنبيهات الحرجة، وJira لتتبع سير عمل الاستجابة
توفر منصات إدارة المناوبات مسارات تصعيد فوري للتنبيهات الأمنية الحرجة، فتوجّه حالات الرصد مباشرةً إلى المحللين المتاحين في أي وقت من اليوم. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت التنبيهات الأمنية بالذكاء الاصطناعي لدى المورّد تملك مسار تصعيد فوري لحالات الرصد الحرجة، يتجاوز تحديدًا قوائم الانتظار في سير العمل القياسي للتنبيهات عالية الأولوية، يوفر سؤالًا محددًا حول زمن الاستجابة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في تتبع مصدر البيانات في الذكاء الاصطناعي ضمن العمليات الأمنية في مشكلة اختيار المقاييس. فمقاييس أداء الرصد، أي الدقة والسرعة والتغطية، راسخة ومتاحة بسهولة من مورّدي منصات الأمن بالذكاء الاصطناعي. أما مقاييس سير عمل الاستجابة، أي متوسط وقت التحقيق وزمن التصعيد الليلي وأوقات الانتظار في قوائم الانتظار، فيولّدها برنامج العمليات الأمنية لا منصة الذكاء الاصطناعي، وقد لا تُتتبَّع بصورة منهجية. ويتمثل حل الحوكمة في اشتراط فئتي المقاييس كلتيهما ضمن تقارير العمليات الأمنية.
- تتبّع متوسط وقت التحقيق إلى جانب متوسط وقت الرصد
- قيّم قدرة التصعيد ليلًا وفي عطلات نهاية الأسبوع للتنبيهات الحرجة التي يولّدها الذكاء الاصطناعي
- ارسم خريطة سير العمل الكامل من الرصد إلى الاستجابة: حدّد تأخيرات قوائم الانتظار في كل خطوة
- اشترط توثيق عملية تحديد أولوية التنبيهات: كيف تُحدَّد التنبيهات الحرجة للتصعيد الفوري
- اطلب بيانات زمن الانتقال من الرصد إلى الاستجابة في الحوادث الأخيرة
إذا كنت فريقًا صغيرًا
اطرح سؤالًا واحدًا عن سير عمل العمليات الأمنية بالذكاء الاصطناعي لدى المورّد لا تجيب عنه مقاييس الرصد: إذا ولّدت منصة الأمن بالذكاء الاصطناعي لديكم تنبيهًا حرجًا في الساعة 2 صباحًا يوم سبت، فما الوقت المتوقع بين ذلك التنبيه وبدء تحقيق من المستوى 2؟ تصف الإجابة عن هذا السؤال زمن الانتقال الواقعي من الرصد إلى الاستجابة في السيناريو الأكثر أهمية: الرصد ليلًا وفي عطلة نهاية الأسبوع، حين يتراكم وقت بقاء المهاجم في الفجوة بين رصد الذكاء الاصطناعي والاستجابة البشرية. والمورّد الذي لا يستطيع تقديم إجابة محددة لا يتتبع على الأرجح زمن الانتقال من الرصد إلى الاستجابة بوصفه مقياسًا.
- اطلب الوقت المتوقع من الرصد إلى الاستجابة لتنبيه حرج في الساعة 2 صباحًا يوم سبت
- اسأل عن قدرة التصعيد إلى المستوى 2 ليلًا وفي عطلات نهاية الأسبوع
- اسأل عمّا إذا كان زمن الانتقال من الرصد إلى الاستجابة يُتتبَّع بوصفه مقياسًا
- اطلب عملية تحديد أولوية التنبيهات للتصعيدات الحرجة خارج ساعات العمل
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إذا ولّدت منصة الأمن بالذكاء الاصطناعي لديكم تنبيهًا حرجًا في الساعة 2 صباحًا يوم سبت، فما الوقت المتوقع من ذلك الرصد إلى بدء تحقيق من المستوى 2، وهل تتتبعون متوسط وقت التحقيق بوصفه مقياسًا للعمليات الأمنية إلى جانب متوسط وقت الرصد؟»
ما تتوقعه دليلًا
- الوقت المتوقع من الرصد إلى التحقيق للتنبيهات الحرجة خارج ساعات العمل
- متوسط وقت التحقيق بوصفه مقياسًا مُتتبَّعًا
- عملية التصعيد خارج ساعات العمل للتنبيهات الحرجة الصادرة عن الذكاء الاصطناعي
- وثائق عملية تصنيف أولوية التنبيهات
ينبغي سؤال المورّد الذي يؤكد قدرة الرصد بالذكاء الاصطناعي عن زمن الانتقال من الرصد إلى الاستجابة. فالرصد يؤكد أن الذكاء الاصطناعي يعمل. أما زمن الاستجابة فيحدد ما إذا كان الرصد يُفضي إلى نتيجة أمنية قبل أن يحقق المهاجم هدفه.
كيف تُثبت ذلك
- سجلات مقياس متوسط وقت التحقيق
- وثائق عملية التصعيد خارج ساعات العمل
- بيانات زمن الانتقال من الرصد إلى الاستجابة
- عملية تصنيف أولوية التنبيهات
الخلاصة الرئيسية
رصد الذكاء الاصطناعي في الساعة 2:17 صباحًا. راجع المحلل المناوب في الساعة 3:42 صباحًا. فُتحت قائمة انتظار المستوى 2 في الساعة 9:15 صباحًا. سبع ساعات. عمل الذكاء الاصطناعي. لكن سير العمل أحدث الفجوة. زمن الانتقال من الرصد إلى الاستجابة هو المقياس الأمني الذي لا تستطيع دقة رصد الذكاء الاصطناعي أن تحل محله. وقدرة المستوى 2 خارج ساعات العمل تسد فجوة سير العمل. والتصعيد الفوري للتنبيهات الحرجة يتجاوز قائمة الانتظار. وتتبع متوسط وقت التحقيق إلى جانب متوسط وقت الرصد يُظهر الفجوة في التقارير. تحدد سرعة رصد الذكاء الاصطناعي متى تبدأ ساعة الاستجابة. ويحدد سير العمل كم تدور الساعة قبل أن تبدأ الاستجابة.