Смена аналитика первой линии SOC начинается с очереди алертов. Многие из них окажутся ложными срабатываниями, но проверить придётся каждый. Эту работу ИИ забирает быстрее всего, и вокруг неё сейчас больше всего споров: одни считают, что первую линию заменят в ближайшие годы, другие уверены, что в безопасности сокращать почти некого.
Как ИИ меняет требования к специалистам по защите, в какие процессы безопасности уже пришли агенты и чем защита может ответить на атакующих агентов, 28 октября в 19:00 МСК разберут Егор Богомолов, CEO CyberED, и Антон Кузьмин, отраслевой технический директор Positive Technologies, который строил SOC в Innostage с нуля. Зарегистрироваться на открытый эфир «AI-native инженер по ИБ» можно уже сейчас.
Это второй день марафона «НейроПерезагрузка», а накануне, 27 октября, разговор пойдёт о том, из чего сегодня собирают ИИ-агентов.
А пока посмотрим, что уже происходит на первой линии и почему удар пришёлся по ней.
Почему первой оказалась первая линия
Работа первой линии начинается в SIEM. Туда стекаются события со всей сети: с компьютеров на Windows и Linux, сетевого оборудования, прикладного софта. У каждого источника свой формат, поэтому SIEM приводит события к общему виду, хранит их и сопоставляет между собой.
Простой пример корреляции. Сотрудник приложил пропуск на входе, сел за компьютер и ввёл логин и пароль. Оба события попали в SIEM, всё нормально. Если же логин введён, а система контроля доступа в здание этого человека не видела, значит, под его учётной записью работает кто-то другой, возможно удалённо. Вендоры поставляют SIEM с готовыми правилами корреляции, а под свою инфраструктуру правила дописывают вручную в конструкторе.
У такой системы много ложных срабатываний. Сколько бы людей ни сидело в смене, при большом потоке событий они устают. Отсюда выросли SOAR-системы с уклоном в автоматизацию реагирования, а следом и ИИ, который должен разгрузить первую линию и отсечь ложноположительные алерты.
Поток при этом растёт. Атакующий с ИИ-агентами проверяет гипотезы на лету: раньше один человек запускал один-два скрипта, максимум десяток параллельно, теперь вариантов атаки сотни. Практики приводят случай, когда за сутки набралось 17 млн событий. Вручную такой объём не разобрать.
Что уже умеют ИИ-помощники в SOC
Рынок сдвинулся быстро. Яндекс вывел на рынок собственную SIEM: заявлена обработка 3 млн событий в секунду, модель подписки и встроенный ИИ-агент для анализа инцидентов. Российские вендоры показывают мультиагентных ассистентов на базе LLM, которые берут на себя типовые задачи операторов первой и второй линий. Один из вендоров заявляет сокращение времени реагирования на 40%, а стартапы обещают разбор инцидента за секунды.
Практики относятся к таким цифрам с осторожностью, но на типовых алертах машина уже работает быстрее человека, который проверяет всё вручную.
Если хочется понять, из чего собирают таких помощников и какие подходы к агентам уже устарели, это разберут 27 октября.
Кого это заденет
В крупной компании на первой линии сидят десятки людей, и ИИ в будущем сможет заменить многих из них. До сеньоров автоматизация пока не дотянулась, до джунов уже дотягивается.
Есть и другой взгляд. За пределами крупнейших компаний отдел ИБ часто состоит из четырёх-шести человек, и сокращать там некого. Самих SOC в России, по оценке практиков, порядка двух-трёх десятков. Реалистичный сценарий выглядит так: смена первой линии сжимается, условно с десяти человек до восьми, а люди уходят на вторую и третью линии или на сторону заказчика.
Ещё один фактор давно работает без всякого ИИ: компания может не держать собственный SOC и отдать мониторинг на аутсорс коммерческому центру. Редкие роли, вроде специалиста по расследованию инцидентов, тоже часто привлекают со стороны.
Что машине не отдадут
Часть задач автоматизировать можно, но решение остановить процесс без контекста может остановить бизнес. ИИ не знает, зачем нужен тот или иной сервис и что сломается, если его выключить.
Главный вопрос защитника звучит просто: что я защищаю. Инфраструктура крупных компаний строилась десятилетиями, начиная с 80-х и 90-х, каждый новый слой технологий превращает предыдущий в legacy, а скорость изменений растёт. Атакующий выбирает одну цель, защитник отвечает за всё сразу.
Всё, что можно сделать по инструкции, будут отдавать ИИ. В крупных компаниях при этом замечают нехватку инженеров, которым интересно разбираться, как устроена система. Многие приходят с набором инструкций и просто выполняют их в отведённое время.
Куда расти аналитику первой линии
Если вы сейчас разбираете алерты, вот что стоит прокачать в ближайшее время:
- Сети и трафик. Компьютер бухгалтера обычно ходит на одни и те же сайты и сервисы. Если с его адреса пошёл SSH-трафик, это повод разбираться. Без понимания нормального поведения сети не получится проверить вердикт машины.
- Правила корреляции. Правила из коробки покрывают не всё. Тот, кто умеет писать свои, работает уже на уровне второй линии.
- Знание своего объекта. Какие активы критичны, какие процессы нельзя останавливать, кто за что отвечает.
- Работа с ИИ-инструментами. Когда ассистент закрывает инцидент как ложный, требуйте от него событий и логики, на которых держится вывод, и проверяйте их.
- Записи собственного опыта. Разобранные кейсы, нестандартные решения, ошибки. Такие заметки потом становятся контекстом для ИИ-инструментов и для коллег.
Что будет дальше
Среди практиков есть прогноз, что через десять лет начнётся противостояние автономных систем, которые работают круглосуточно: атакующих агентов против защитных. Если защита не построит у себя такую же машину, она проиграет по скорости.
Людям в этой схеме остаётся задавать автоматике границы и правила. Здесь ценен опыт сеньоров, которые знают, как делать не надо, и могут снять страх перед внедрением ИИ в живую инфраструктуру. Первая линия в нынешнем виде, скорее всего, уменьшится, а путь из неё будет идти через понимание сети, своего объекта и того, как проверить решение машины.
Где обсудить это с практиками
На следующей неделе проходит марафон «НейроПерезагрузка»:
- 27 октября, 20:00 МСК: «Агентные системы 2026: что must-have, а что уже устарело». Никита Шилов, автор открытого движка памяти для ИИ-агентов Pulse, и Глеб Михеев, CPO ГигаАгента в SberAI, расскажут, из чего сегодня собирают агентов, куда движется направление и на что не стоит тратить время.
- 28 октября, 19:00 МСК: «AI-native инженер по ИБ». Егор Богомолов и Антон Кузьмин разберут рынок ИБ: роли, требования и зарплаты у интеграторов, вендоров, в бутиках и на стороне заказчика, а ещё то, какие навыки работы с ИИ выходят на первый план и что остаётся основой профессии.
Оба эфира проходят онлайн, участие бесплатное.
