Copilot से agentic SOC तक
एक असिस्टेंट सवालों के जवाब देता है। एक एजेंट अपने आप जाँच के कदम उठा सकता है। इस ताकत के लिए गार्डरेल्स, अप्रूवल और नाप-तौल की ज़रूरत होती है।
60 सेकंड में
Copilot से agentic SOC तक
एक असिस्टेंट सवालों के जवाब देता है। एक एजेंट अपने आप जाँच के कदम उठा सकता है। इस ताकत के लिए गार्डरेल्स, अप्रूवल और नाप-तौल की ज़रूरत होती है।
| असिस्टेंट (copilot) | एजेंट | |
|---|---|---|
| कदम कौन उठाता है | एनालिस्ट | AI, कनेक्टेड टूल्स का इस्तेमाल करके |
| आम काम | समझाना, सारांश (summarise) बनाना, ड्राफ़्ट तैयार करना | शुरू से अंत तक किसी अलर्ट की जाँच करना, सबूत जुटाना, नतीजे का ड्राफ़्ट बनाना |
| मुख्य जोखिम | गलत जवाब जिसे कोई इंसान पढ़ता है | असली सिस्टम्स पर गलत एक्शन लिया जाना |
| मुख्य नियंत्रण (कंट्रोल) | इंसान पढ़ता है और जाँचता है | Permissions, अप्रूवल, लॉगिंग, सीमाएँ (limits) |
SOC एजेंटों के लिए गार्डरेल्स
- शुरुआत सिर्फ पढ़ने (read-only) से करें। एजेंट को लॉग खोजने दें, यूज़र्स को देखने दें और reputation चेक करने दें, लेकिन कुछ भी बदलने न दें।
- रोकथाम (containment) के लिए अप्रूवल। किसी होस्ट को अलग (isolate) करना, अकाउंट बंद करना या IP ब्लॉक करना—इनके लिए किसी इंसान का अप्रूव पर क्लिक करना ज़रूरी है।
- कम से कम अधिकार (Least privilege)। एजेंट को उसकी अपनी पहचान (identity) दें, जिसमें सिर्फ वही अनुमतियाँ (permissions) हों जिनकी उसे ज़रूरत है, न कि कोई एडमिन अकाउंट।
- सब कुछ लॉग करें। हर टूल कॉल, इनपुट और आउटपुट का रिकॉर्ड रखें, ताकि आप देख सकें कि उसने क्या किया और क्यों किया।
- सीमाएँ (Limits)। वह कितने एक्शन या queries चला सकता है, इसकी एक तय सीमा रखें और उसे तुरंत रोकने का तरीका भी रखें।
कदम-दर-कदम आगे बढ़ें
- 1
सहायता (Assist)
AI सारांश (summaries) ड्राफ़्ट करता है; बाकी सब कुछ एनालिस्ट करते हैं। - 2
सिर्फ पढ़कर जाँचें (Read-only)
एजेंट सर्च और लुकअप करता है और केस का सारांश लिखता है। - 3
एक्शन का सुझाव दें
एजेंट रोकथाम (containment) का सुझाव देता है; एक इंसान हर एक को मंज़ूर (approve) या नामंज़ूर (reject) करता है। - 4
सीमित ऑटोमेशन
सिर्फ कम जोखिम वाले, बदले जा सकने वाले (reversible), और अच्छी तरह परखे गए एक्शन बिना अप्रूवल के चलते हैं, जिनकी सैंपलिंग और समीक्षा होती है।
पहले और बाद का अंतर मापें
| माप (Measure) | यह क्यों मायने रखता है |
|---|---|
| Triage का समय | क्या पहला फैसला पहले से तेज़ हो रहा है? |
| सटीकता बनाम अंतिम फैसला | एजेंट कितनी बार एनालिस्ट के अंतिम फैसले से सहमत होता है? |
| छूटे हुए असली खतरे (True positives) | क्या उसने किसी असली हमले को नुकसान रहित (benign) मान लिया? यह सबसे ज़्यादा मायने रखता है। |
| एनालिस्ट द्वारा किए गए बदलाव | एजेंट के सारांश का कितना हिस्सा लोगों को ठीक करना पड़ा? |
| उलटे गए एक्शन (Actions reversed) | अप्रूव किए गए एक्शन्स को बाद में कितनी बार वापस पलटना (undo करना) पड़ा? |
- एजेंट डोमेन एडमिन अकाउंट के साथ चलता है
- बिना अप्रूवल के अकाउंट्स बंद कर सकता है
- उसके टूल कॉल्स का कोई रिकॉर्ड नहीं होता
- अपनी खुद की पहचान, डिफ़ॉल्ट रूप से सिर्फ पढ़ने की अनुमति (read-only)
- रोकथाम (containment) के लिए किसी नामजद व्यक्ति का अप्रूवल ज़रूरी है
- हर कदम को लॉग किया जाता है और उसकी समीक्षा होती है
और देखें और पढ़ें
लैब
एक काल्पनिक SOC एजेंट के लिए परमिशन प्लान, अप्रूवल और पैमानों (metrics) के साथ।
समस्या
आप एक IT सेवा कंपनी के छोटे SOC के लिए एक AI एजेंट की योजना बना रहे हैं।
- ऐसे 8 टूल्स या एक्शन्स की लिस्ट बनाएँ जो एजेंट के पास हो सकते हैं (उदाहरण के लिए: SIEM खोजना, डायरेक्टरी में यूज़र को देखना, डोमेन reputation जाँचना, टिकट खोलना, होस्ट को अलग करना, अकाउंट बंद करना, IP ब्लॉक करना, यूज़र को ईमेल भेजना)।
- हर एक के लिए चुनें: सिर्फ पढ़ने की अनुमति (read-only), अप्रूवल की ज़रूरत है, या बिल्कुल अनुमति नहीं है। एक लाइन में कारण बताएँ।
- लिखें कि हर एक्शन के लिए क्या-क्या लॉग किया जाएगा।
- पायलट प्रोजेक्ट से पहले और बाद की तुलना करने के लिए 4 पैमाने (metrics) चुनें, और बताएँ कि आप हर एक का डेटा कैसे जुटाएँगे।
आपका काम तब पूरा होगा जब
कठिन सवाल
उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।
Q1"यूज़र को ईमेल भेजना" एजेंट के लिए जितना दिखता है उससे कहीं ज़्यादा जोखिम भरा क्यों है?दिखाएं
ईमेल का इस्तेमाल डेटा लीक करने, हमलावर का कोई लिंक भेजने या जाँच के दायरे में आए किसी अंदरूनी व्यक्ति को सावधान करने के लिए किया जा सकता है। अगर किसी अलर्ट में मौजूद इंजेक्टेड टेक्स्ट उस ईमेल को बदल सकता है, तो एजेंट हमलावर का हथियार बन जाता है। बाहर भेजे जाने वाले संदेशों के लिए अप्रूवल चाहिए या उन्हें तय टेम्पलेट्स तक ही सीमित रखा जाना चाहिए।
Q2आपका एजेंट triage का समय काफी कम कर देता है, लेकिन एनालिस्ट्स को उसके ज़्यादातर सारांश एडिट करने पड़ते हैं। क्या यह सफल है?दिखाएं
साफ़ तौर पर नहीं। बहुत ज़्यादा एडिटिंग का मतलब है कि जो समय बचा, उसका कुछ हिस्सा गलतियाँ ठीक करने में चला गया, और जब लोग व्यस्त होंगे तो कुछ गलतियाँ छूट भी सकती हैं। देखें कि वे क्या एडिट कर रहे हैं: लिखावट ठीक करना ठीक है, लेकिन तथ्यों को सुधारना एक चेतावनी का संकेत है। सफलता का मतलब है बिना सटीकता खोए और बिना किसी हमले को चूके तेज़ी से triage होना।
अक्सर पूछे जाने वाले सवाल
क्या agentic SOC और SOAR एक ही चीज़ हैं?
वे एक-दूसरे से जुड़े हैं। SOAR टूल्स तय प्लेबुक्स पर चलते हैं जिन्हें लोग कदम-दर-कदम डिज़ाइन करते हैं। एक AI एजेंट खुद देखता है कि उसे क्या मिला है और उस आधार पर अपना अगला कदम तय करता है। कई टीमें दोनों को मिला देती हैं: एजेंट जाँच करता है और सुझाव देता है, और परखे हुए प्लेबुक्स अप्रूव किए गए एक्शन्स को पूरा करते हैं।
अगर एजेंट सटीक है, तो सिर्फ पढ़ने (read-only) से शुरुआत क्यों करें?
क्योंकि आप अभी तक यह नहीं जानते कि वह आपके माहौल में कितना सटीक है, और सिर्फ पढ़ने से कुछ बिगड़ नहीं सकता। Read-only मोड आपको सिस्टम में बदलाव करने की कोई भी ताकत देने से पहले, सुरक्षित रूप से उसकी क्वालिटी के बारे में सबूत जुटाने का मौका देता है।
अगर कोई एजेंट गलत अकाउंट ब्लॉक कर दे तो ज़िम्मेदार कौन है?
वह संस्था और वे लोग जिन्होंने उसकी परमिशन तय की थीं और एक्शन को अप्रूव किया था। इसी वजह से अप्रूवल में किसी व्यक्ति का नाम होता है, और लॉग्स में यह दिखना चाहिए कि किसने क्या अप्रूव किया था।
पाठ का टेस्ट
5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।