DOI: https://doi.org/10.1145/3819819
تاريخ النشر: 2026-06-02
المؤلف: Massimiliano Albanese وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تستعرض هذه القسم التحديات التي تواجهها مراكز عمليات الأمن (SOCs) في إدارة تهديدات الأمن السيبراني، مع تسليط الضوء بشكل خاص على الحجم المفرط من التنبيهات، ونقص المحللين المهرة، وعدم كفاءة تكامل الأدوات. لمعالجة هذه القضايا، يقترح المؤلفون نموذج تعاون بين الإنسان والآلة مدفوع بالذكاء الاصطناعي يستخدم نماذج اللغة الكبيرة (LLMs) لتعزيز وظائف مختلفة في SOC، بما في ذلك استخبارات التهديدات، وتصنيف التنبيهات، وسير عمل الاستجابة للحوادث.
يؤكد النهج المقترح على أهمية التعاون بين الإنسان والذكاء الاصطناعي، حيث يتعلم وكلاء الذكاء الاصطناعي المعتمدون على LLM من المعرفة الضمنية للمحللين البشريين ضمن عمليات SOC. يهدف هذا العملية التعليمية إلى تحسين أداء وكلاء الذكاء الاصطناعي في مهام SOC، مما يخفف من الحمل المعرفي على المحللين البشريين. يشجع المؤلفون مراكز SOC على الانخراط في جهود تعاونية لتحسين هذه العملية التعاونية وتحديد الأنماط القابلة للتكرار التي تظهر تحسينات قابلة للقياس في إنتاجية SOC.
مقدمة
تسلط المقدمة الضوء على الدور المحوري لمراكز عمليات الأمن (SOCs) في حماية المنظمات من التهديدات السيبرانية المتزايدة التعقيد. يواجه محللو SOC تحديات كبيرة، بما في ذلك حجم التنبيهات الهائل، والمهام المتكررة، ونقص الأتمتة، مما يعيق قدرتهم على منع الحوادث الأمنية واكتشافها والاستجابة لها بشكل فعال. يزيد الاعتماد على المحللين البشريين للحصول على معلومات التهديدات في الوقت الحقيقي من تفاقم الثغرات، خاصة في سياق نقص المحترفين المهرة في الأمن السيبراني.
لمعالجة هذه التحديات، هناك تركيز متزايد على الأتمتة في الاستجابة للحوادث، حيث تقوم الشركات الرائدة في تكنولوجيا المعلومات بتطوير منصات تنسيق مثل IBM Resilient وSplunk Phantom وMicrosoft Azure Sentinel. تهدف هذه الأدوات إلى تبسيط إدارة الحوادث وتحسين كفاءة الاستجابة. ومع ذلك، على الرغم من التقدم في التكنولوجيا، لا يزال إرهاق محللي SOC قضية حرجة، تفاقمت بسبب جائحة COVID-19. يعقد الحجم الكبير من التنبيهات، التي تتكون في الغالب من إيجابيات كاذبة، إلى جانب نقص المعلومات السياقية في أدوات الأمان السائدة، عملية اتخاذ القرار للمحللين. تؤكد الأبحاث التي أجراها Sundaramurthy وآخرون على أهمية فهم المعرفة الضمنية داخل بيئات SOC، مشيرة إلى أن تضمين الباحثين داخل SOCs يمكن أن يؤدي إلى تطوير أدوات تتماشى بشكل أفضل مع سير عمل المحللين وتعالج بشكل فعال الأسباب الجذرية للإرهاق.
نقاش
تسلط قسم النقاش في ورقة البحث الضوء على أهمية المعرفة الضمنية في مراكز عمليات الأمن (SOCs) والمنهجيات المبتكرة المستخدمة لاستغلال هذه المعرفة من خلال البحث الغامر. من خلال التواجد داخل SOCs، أسس الباحثون الثقة مع المحللين، مما سمح لهم بكشف التحديات التشغيلية وتطوير أدوات تعزز سير عمل المحللين. تتماشى هذه العملية مع نموذج المعرفة SECI، حيث يتم اجتماعية المعرفة الضمنية، وتصديرها، ودمجها، واستيعابها، مما يؤدي إلى دورة مستمرة من تحويل المعرفة تدعم تطوير أدوات فعالة مصممة وفقًا لاحتياجات المحللين.
تقترح الورقة نهج تعاون بين الإنسان والآلة يدمج نماذج اللغة الكبيرة (LLMs) كمتدربين في الذكاء الاصطناعي لمساعدة محللي SOC في التحقيقات المتعلقة بالتهديدات في الوقت الحقيقي. يهدف هذا التعاون إلى تخفيف الحمل المعرفي على المحللين من خلال أتمتة المهام المتكررة مع ضمان تقييم النتائج التي يقدمها الذكاء الاصطناعي بشكل نقدي من قبل الخبراء البشريين. يجادل المؤلفون بأن أدوات SOC التقليدية غالبًا ما تتجاهل المعرفة السياقية والضمنية اللازمة لاتخاذ قرارات فعالة، ويدعون إلى التحول نحو حلول مدفوعة بالذكاء الاصطناعي القابلة للتكيف التي يمكن أن تتعلم من التفاعلات مع المحللين البشريين. يؤكد الإطار المقترح على أهمية التعلم التكراري وآليات التغذية الراجعة لتحسين قدرات LLM، مما يعزز في النهاية كفاءة وفعالية عمليات SOC.
DOI: https://doi.org/10.1145/3819819
Publication Date: 2026-06-02
Author(s): Massimiliano Albanese et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The section outlines the challenges faced by Security Operations Centers (SOCs) in managing cybersecurity threats, specifically highlighting the excessive volume of alerts, a lack of skilled analysts, and the inefficiency of tool integration. To address these issues, the authors propose an AI-driven human-machine co-teaming paradigm that utilizes large language models (LLMs) to enhance various SOC functions, including threat intelligence, alert triage, and incident response workflows.
The proposed approach emphasizes the importance of human-AI collaboration, where LLM-based AI agents learn from the tacit knowledge of human analysts within SOC operations. This learning process aims to improve the AI agents’ performance on SOC tasks, thereby alleviating cognitive overload for human analysts. The authors encourage SOCs to engage in collaborative efforts to refine this co-teaming process and identify replicable patterns that demonstrate measurable enhancements in SOC productivity.
Introduction
The introduction highlights the pivotal role of Security Operations Centers (SOCs) in safeguarding organizations against increasingly sophisticated cyber threats. SOC analysts encounter significant challenges, including overwhelming alert volumes, repetitive tasks, and a lack of automation, which hinder their ability to effectively prevent, detect, and respond to security incidents. The reliance on human analysts for real-time threat intelligence further exacerbates vulnerabilities, particularly in the context of a shortage of skilled cybersecurity professionals.
To address these challenges, there is a growing emphasis on automation in incident response, with leading IT companies developing orchestration platforms such as IBM Resilient, Splunk Phantom, and Microsoft Azure Sentinel. These tools aim to streamline incident management and improve response efficiency. However, despite advancements in technology, SOC analyst burnout remains a critical issue, intensified by the COVID-19 pandemic. The high volume of alerts, predominantly false positives, coupled with the lack of contextual information in mainstream security tools, complicates the analysts’ decision-making process. Research by Sundaramurthy et al. underscores the importance of understanding the tacit knowledge within SOC environments, suggesting that embedding researchers within SOCs can lead to the development of tools that better align with analysts’ workflows and effectively address the root causes of burnout.
Discussion
The discussion section of the research paper highlights the significance of tacit knowledge in Security Operations Centers (SOCs) and the innovative methodologies employed to harness this knowledge through immersive research. By embedding themselves within SOCs, researchers established trust with analysts, allowing them to uncover operational challenges and develop tools that enhance analysts’ workflows. This process aligns with the SECI knowledge model, where tacit knowledge is socialized, externalized, combined, and internalized, leading to a continuous cycle of knowledge conversion that supports the development of effective tools tailored to analysts’ needs.
The paper proposes a human-machine co-teaming approach that integrates Large Language Models (LLMs) as AI apprentices to assist SOC analysts in real-time threat investigations. This collaboration aims to alleviate the cognitive load on analysts by automating repetitive tasks while ensuring that the AI outputs are critically evaluated by human experts. The authors argue that traditional SOC tools often overlook the contextual and tacit knowledge necessary for effective decision-making, and they advocate for a shift towards adaptive AI-driven solutions that can learn from interactions with human analysts. The proposed framework emphasizes the importance of iterative learning and feedback mechanisms to refine LLM capabilities, ultimately enhancing the efficiency and effectiveness of SOC operations.