Thiết kế SOC theo mô hình “System 1/2”: Kết hợp AI tự động và trợ lý cho nhà phân tích
"The article argues that SOCs should combine autonomous AI for high-volume alert triage with analyst copilots for escalated investigations, mapping this to Kahneman's System 1 and System 2 model. It cites research on more than 25 million enterprise alerts, claiming 98% can be resolved autonomously and that a 450K-alert enterprise may hide 54 real threats in low-severity alerts; the proposed fix is an AI SOC architecture that investigates all signals automatically and routes only the small fraction needing human judgment to copilots like Claude, Codex, or Cursor."
Tác động tích cực nếu triển khai đúng: giảm bỏ sót do quá tải và tăng khả năng phát hiện trong nhóm cảnh báo mức thấp nhờ tự động điều tra 100% tín hiệu. Điểm then chốt gồm giảm nhu cầu System 2 cho triage, và chuyển sang copilot chỉ khi cần phán đoán.
Có thể cải thiện hiệu quả vận hành bằng cách giảm thời gian xử lý và tối ưu năng lực đội ngũ, nhưng phụ thuộc vào khả năng tích hợp dữ liệu và sở hữu knowledge layer. Điểm cần lưu ý: giảm tải cho analyst, nhưng vẫn cần đầu tư để tích lũy lịch sử ca và tuning rule trong hệ thống nội bộ.
Bài viết lập luận rằng SOC hiệu quả cần kết hợp AI tự động cho khối lượng cảnh báo lớn với analyst copilot cho các ca cần phán đoán sâu. Tác giả liên hệ cách ra quyết định của con người theo mô hình Kahneman System 1 và System 2: System 1 xử lý nhanh, tự động; System 2 chậm, có suy luận và giới hạn năng lực.
Bài dẫn nghiên cứu phân tích hơn 25 triệu cảnh báo doanh nghiệp, cho rằng 98% có thể được xử lý tự động với tỷ lệ cảnh báo cần con người xem xét nhỏ hơn. Đồng thời nêu ví dụ: một doanh nghiệp có 450K cảnh báo/năm có thể “ẩn” khoảng 54 mối đe dọa thực trong nhóm cảnh báo mức độ thấp.
Khuyến nghị kiến trúc: lớp “fast brain” phải điều tra tất cả tín hiệu ở tốc độ máy, tự tổng hợp bằng chứng từ endpoint, danh tính, mạng và cloud, rồi chỉ chuyển phần nhỏ (2%) sang lớp “slow brain”. Lớp “slow brain” (ví dụ các công cụ dạng copilot) tập trung vào phân tích phức tạp, kỹ thuật rule và báo cáo sự cố, đồng thời phản hồi để lớp tự động chính xác hơn theo thời gian. Bài cũng nhấn mạnh rủi ro khi phụ thuộc MDR: nếu không sở hữu “knowledge layer”, copilot khó phát huy hiệu quả.