Sió-Informatika Rendszerház

Ez csak azt jelenti, hogy a meglévő, széttagolt eszközök kaptak egy kis AI-réteget. A valódi probléma viszont nem oldódik meg: az összefüggéseket továbbra is az elemzőnek kell kézzel összeraknia több külön dashboardból.

Sok biztonsági csapat ma már használ valamilyen „AI funkciót”:

• a SIEM-ben van AI copilot
• az EDR ad egy generatív összefoglalót
• a SOAR ajánl „AI-assisted” playbookot

Ez azonban még nem AI SOC.

---

Mi a különbség az „AI a SOC-ban” és az „AI SOC” között?

A különbség nem marketingkérdés, hanem architektúra.

AI a SOC-ban

Ebben a modellben minden eszköz csak a saját világát látja:

• az endpoint eszköz csak az endpointot
• az identity rendszer csak a hozzáféréseket
• a cloud platform csak a cloud eseményeket
• a hálózati eszköz csak a hálózati forgalmat

Ilyenkor az AI is csak lokális, szűk kontextusban működik.

👉 Eredmény: a legfontosabb összefüggések pont ott vesznek el, ahol a támadások ma a legsikeresebbek – a határterületeken.

---

AI SOC

A valódi AI SOC ezzel szemben egy egységes, agentic reasoning réteg, amely egyszerre lát rá:

• endpoint
• identity
• cloud
• network
• SaaS környezetekre

Ez már nem pusztán összefoglal vagy ajánl, hanem:

• összekapcsolja az eseményeket
• közös kontextust épít
• végigviszi a vizsgálatot
• támogatja vagy részben automatizálja a reagálást

👉 Ez már nem „AI feature”, hanem új működési modell.

---

Hol bújnak meg a breach-ek?

Pont ott, ahol a széttagolt rendszerek nem látnak át egymáson.

Egy mai támadás ritkán marad meg egyetlen rétegben. Például:

1. egy OAuth engedély gyanús módon létrejön
2. utána SaaS hozzáférés történik
3. majd identity oldalon anomália jelenik meg
4. később cloud erőforrásokat érintő aktivitás következik
5. végül endpointon is megjelenik valami „gyanús, de nem kritikus” jel

Ha minden eszköz ezt külön nézi, akkor a támadás szétesik alacsony prioritású eseményekre.

Ha viszont van AI SOC, akkor ez egyetlen történetté áll össze.

---

Miért lett ez most ennyire fontos?

A modern SOC-ok egyik legnagyobb problémája az alert overload.

A tipikus enterprise SOC:

• napi több ezer riasztást kap
• ezek jelentős része nem kerül kivizsgálásra
• az elemzők rengeteg időt töltenek kézi korrelációval

Ez nem pusztán emberi erőforrás-probléma.

👉 Ez architekturális probléma.

Ha az AI csak az egyes eszközökben jelenik meg, attól még a SOC továbbra is fragmentált marad.

---

Egy valódi AI SOC hogyan működik?

Az AI SOC nem egy gomb vagy copilot, hanem egy operációs modell, amely jellemzően 5 fő szakaszból áll.

1. Adatgyűjtés

Az összes releváns forrásból érkeznek adatok:

• logok
• endpoint telemetria
• identity események
• cloud aktivitások
• SaaS hozzáférések

2. AI-alapú triage

A rendszer nem csak listázza a riasztásokat, hanem azonnal értékeli:

• mi fontos
• mi zaj
• mi függhet össze egymással

3. Automatizált enrichment

A gyanús események automatikusan gazdagodnak további kontextussal:

• felhasználói háttér
• eszköztörténet
• asset adatok
• szokatlan viselkedési minták

4. Agentic investigation

Ez a legnagyobb különbség. A rendszer nem csak javasol, hanem vizsgálati logikát követ, és több rendszeren átívelően feltárja az összefüggéseket.

5. Reagálás

A döntéstámogatástól a részleges automatizmusig több szint létezhet:

• containment javaslat
• ticket nyitás
• playbook indítás
• emberi jóváhagyás melletti response

---

A 6 AI típus, amit sokan összekevernek

A valódi AI SOC több különböző AI típust kombinál.

Supervised ML

Ismert minták felismerésére jó.

Unsupervised ML

Anomáliák, ismeretlen eltérések észlelésére alkalmas.

NLP

Lehetővé teszi a természetes nyelvű értelmezést, összefoglalást, keresést.

Generatív AI

Segít jelentést írni, összefoglalni, magyarázni, de önmagában még nem AI SOC.

UEBA

Felhasználói és entitás viselkedési minták elemzése.

Agentic AI

Ez a kulcs: önálló vizsgálati lépések, több rendszerből épített ok-okozati logika, end-to-end reasoning.

👉 Ha egy platformban csak GenAI összefoglaló van, attól az még nem AI SOC.

---

Az AI-washing problémája

Ma a piacon rengeteg gyártó „AI-powered” címkével árul lényegében régi megoldásokat.

Gyanús jelek:

• csak egy eszközön belül működik
• nincs cross-domain korreláció
• nincs vizsgálati logika
• csak összefoglal, de nem értelmez
• nincs explainability
• nincs emberi felülbírálási modell
• nincs governance keretrendszer

👉 Ez AI-washing.

---

Maturity: hol tart valójában a szervezeted?

Az AI SOC nem bináris állapot. Nem az van, hogy van vagy nincs. Inkább érettségi szintekről beszélünk.

1. szint – manuális SOC

Minden kézi, sok dashboard, sok emberi korreláció.

2. szint – automatizált részfolyamatok

Van SOAR, vannak playbookok, de a gondolkodás még emberi.

3. szint – AI-támogatott SOC

Már van AI triage, összefoglalás, prioritás, de a rendszerek még töredezettek.

4. szint – valódi AI SOC

Egységes kontextus, cross-stack reasoning, agentic investigation, kontrollált response.

A nagy ugrás nem a 3-ról 4-re adható újabb copilot, hanem teljes architekturális váltás.

---

Governance nélkül ez veszélyes lehet

Egy AI SOC csak akkor működhet vállalati szinten, ha van mögötte világos irányítás.

Kulcsterületek:

• magyarázhatóság
• adatrezidencia
• emberi override
• torzításkezelés
• megfelelőség

Ez különösen fontos olyan keretrendszerek mellett, mint:

• SOC 2
• ISO 27001
• HIPAA
• GDPR

---

Következtetés

A kérdés ma már nem az, hogy van-e AI a SOC-ban.

A valódi kérdés ez:

👉 az AI látja-e az egész támadási történetet, vagy csak részeket?

Ha csak részeket lát, akkor a breach-ek pontosan ott bújnak meg, ahol a silók között nincsen összefüggés.

A valódi AI SOC nem egy új dashboard, nem egy chatbot, és nem egy GenAI összefoglaló gomb.

Ez egy olyan működési modell, amely képes a teljes biztonsági környezetet egyetlen logikai térben értelmezni.