AI-संचालित सुरक्षा: लॉग पूरी सच्चाई नहीं बताते — विश्लेषण

SOC में एक जानी-पहचानी अंधविश्वासी सोच है: अगर वह SIEM में आ गया, तो वह हुआ ही होगा। प्यारा है। SecurityWeek की Danelle Au एक ज़्यादा असहज आर्किटेक्चर समस्या को छेड़ रही हैं: वर्षों से, सुरक्षा टीमों ने लॉग और इवेंट्स को ही डेटा माना है, जबकि वे असल में वातावरण का वह हिस्सा हैं जिसने कुछ लिखकर दर्ज करने पर सहमति दी। यह फर्क मायने रखता है क्योंकि AI अधूरे इनपुट्स को जादुई तरीके से ठीक नहीं करता। वह उन्हें तेज़ करता है, उनका सार बनाता है, उन्हें आपस में जोड़ता है, और कभी-कभी उन्हें बोर्डरूम स्लाइड जैसा आत्मविश्वास दे देता है। नतीजा इंटेलिजेंस जैसा दिख सकता है, फिर भी वह आसपास का वह संदर्भ मिस कर सकता है जो किसी डिफेंडर को बताए कि कोई अलर्ट शोर है, drift है, या बहुत महंगी incident report का पहला दृश्य है।

क्या टूटा: event exhaust को सबूत मानना

DataBahn असफलता की वजह को plumbing में रखता है, जहाँ सभी बेहतरीन horror franchises आखिरकार पहुँच ही जाती हैं। इसका schema governance analysis कहता है कि AI-driven security detection तब टूटती है जब schemas drift होते हैं, और schema governance को pipeline में, SIEM या AI system के डेटा देखने से पहले चलना चाहिए। सरल भाषा में: अगर field names, formats, या meanings model के नीचे लगातार बदलते रहते हैं, तो आपका शानदार detection graph खराब assumptions के साथ interpretive dance कर रहा हो सकता है।

Cloud Security Alliance, Zero Trust principles को पूरा करने के हिस्से के रूप में AI models के साथ log analysis को देखता है, जो सही महत्वाकांक्षा भी है और warning label भी। Zero Trust context, verification, और continuous assessment पर निर्भर करता है, सिर्फ events की बड़ी bucket पर नहीं जिसके ऊपर chatbot बैठा हो। Quest Software के Joe Sharmer, भारी मात्रा के log data से जूझ रहे IT pros के लिए AI log analysis को उपयोगी बताते हैं, लेकिन volume, truth के बराबर नहीं होता। ज़्यादा भूसे वाला haystack फिर भी haystack ही है, बस अब उसमें subscription tier भी है।

Blast radius: cost pressure कहानी को edit कर देता है

Realm Security operational squeeze को सराहनीय साफगोई से बताता है: हर नया firewall, endpoint, identity, और cloud log source visibility जोड़ता है, लेकिन साथ में storage, compute, और licensing expense भी जोड़ता है। यह भी कहता है कि routine firewall allow events, redundant authentication logs, और benign system heartbeats एक typical enterprise environment में total log volume का 70 से 90 percent बना सकते हैं। यह कोई छोटी billing annoyance नहीं है। यह फिल्म का वह हिस्सा है जहाँ finance spreadsheet पकड़े SOC में आता है और अचानक हर किसी के पास retention policy पर राय विकसित हो जाती है।

यहीं AI security बहुत मानवीय तरीके से fail हो सकती है। Teams logs कम करती हैं क्योंकि costs real हैं, pipelines finite हैं, और कोई भी हर system heartbeat को family heirloom की तरह preserve नहीं करना चाहता। लेकिन अगर reductions detection integrity, context mapping, और schema discipline के बिना की जाती हैं, तो model environment की curated shadow से सीखता है। Threat actors को defenders को हर जगह blind करने की ज़रूरत नहीं होती। उन्हें बस missing piece वही चाहिए होता है जो scene को जोड़ सकता था।

Patch: judgment automate करने से पहले context govern करें

DataBahn की prescription glamorous नहीं है, और इसी वजह से उसके महत्वपूर्ण होने की अच्छी संभावना है: schema governance upstream में होना चाहिए, SIEM ingestion से पहले और AI interpretation से पहले। इससे builder का सवाल इस बात से बदल जाता है कि कौन सा model सबसे smart है, और इस बात पर आ जाता है कि model भरोसेमंद तरीके से क्या जान सकता है। अगर identity fields drift करते हैं, cloud event names बदलते हैं, या endpoint telemetry अलग-अलग sources में अलग meanings के साथ आती है, तो model reality की investigation नहीं कर रहा। वह उन systems की paperwork reconcile कर रहा है जो filing cabinet पर कभी सहमत ही नहीं हुए।

Lorven Technologies AI-driven security analytics को machine learning के उपयोग के रूप में बताता है, जो known signatures का इंतज़ार करने के बजाय normal behavior के patterns सीखता है और anomalies detect करता है। दूसरी ओर, Gigamon blind spots हटाने और tool costs घटाने के तरीके के रूप में network-derived intelligence को promote करता है। ये दोनों ideas साथ होने चाहिए: anomaly detection को richer context चाहिए, और richer context का मतलब हमेशा हर raw log को furnace में फेंकना नहीं होता। वह patch note जिसे कोई release notes में नहीं डालेगा, सरल है: AI से higher-stakes calls करवाने से पहले telemetry meaning, coverage, और governance ठीक करें।

आपके लिए इसका असल मतलब क्या है

Quest Software की framing उपयोगी है क्योंकि ज्यादातर teams सचमुच log volume में डूब रही हैं, और Cloud Security Alliance का Zero Trust angle उपयोगी है क्योंकि logs तभी मदद करते हैं जब वे verification को support करें। इसलिए practical move यह नहीं है कि सब कुछ हमेशा के लिए log करें, और न ही यह कि aggressively filter करें और उम्मीद करें कि model vibes के सहारे truth तक पहुँच जाएगा। अपने sources की inventory बनाइए, document कीजिए कि हर field का क्या मतलब है, schema drift पर नज़र रखिए, और किसी भी log reduction को उन detections के खिलाफ test कीजिए जिनके survive करने की आप उम्मीद करते हैं।

अगर आप AI security tooling खरीद रहे हैं या बना रहे हैं, तो rude questions जल्दी पूछिए। क्या होता है जब कोई source quiet हो जाता है, कोई schema बदल जाता है, या कोई filter उस event class को हटा देता है जो पहले investigation को support करती थी? उपयोगी SOC automation की अगली पीढ़ी सबसे सुंदर summary box से नहीं जीती जाएगी। वह उन teams से जीती जाएगी जो telemetry architecture को security architecture मानती हैं, क्योंकि model उस चीज़ की रक्षा नहीं कर सकता जो data ने उसे कभी दिखाई ही नहीं।