面對企業數位化及資安威脅持續演進，安全營運中心（Security Operations Center, SOC）每天必須處理大量資安告警，但人力與時間有限，如何從海量訊息中快速辨識真正威脅，已成為資安團隊的重要挑戰。資誠智能風險管理諮詢公司執行董事唐雍為指出，AI可扮演SOC的「超級實習生」，協助處理重複、耗時且可標準化的工作，讓資安人員將時間投入研判、決策與威脅獵捕，推動SOC從「告警疲勞」走向「智慧營運」。
SOC陷入慢性失血 數百筆告警、七成誤報壓垮分析師
平均每位SOC分析師每天面對超過500筆告警，其中約70%為誤報，48%的SOC團隊表示經歷嚴重「告警疲勞」（Alert Fatigue），而關鍵告警平均回應時間超過4小時。當告警長期超量，不僅增加分析師工作負擔，更可能使真正的重要威脅淹沒在大量雜訊之中。
唐雍為表示，目前SOC困境有三大痛點，包括「告警疲勞」、「人才短缺」與「流程斷裂」。全球網路安全人才缺口達340萬人，加上企業雖部署大量資安工具，但若系統與作業流程沒有充分整合，平均偵測時間（MTTD）及平均回應時間（MTTR）仍可能居高不下，形成「告警增加、分析師疲勞、忽略告警、資安事件發生、再增加規則」的失血循環。
AI不是取代人力 而是接手最重複的資安工作
面對這些問題，唐雍為將AI比喻為SOC的「超級實習生」。這名實習生可以全年無休工作，擅長告警分類與降噪、IOC自動補充情資（Enrichment）、MITRE ATT&CK映射、調查報告生成及異常行為偵測，不會疲勞，但獨立決策與創意判斷仍是弱項，因此必須由資深分析師擔任「導師」，對關鍵決策進行人工覆核。
導入初期，AI可扮演「自動分類員」，查詢IP、網域及Hash信譽，學習歷史誤報模式，為告警自動評分與分流；下一階段則成為「智慧研判助手」，整合SIEM、EDR、防火牆等多源日誌及威脅情資，自動進行MITRE ATT&CK映射、產出調查摘要並觸發SOAR Playbook。更成熟後，AI則可進化為「威脅獵人搭檔」，透過UEBA行為基線、多源弱信號關聯、攻擊路徑推演及Threat Hunting假設生成，協助資安團隊從被動回應走向主動獵捕。
從告警分類到釣魚郵件 AI大幅縮短事件回應
唐雍為以金融業SOC導入AI告警分類為例。某中型金融機構每日告警量約3,000至5,000筆，在利用SOAR平台內建機器學習模組及過去12個月告警資料建立評分模型後，每日需人工處理的告警由3,500筆降至800筆，減少77%；平均初步回應時間由4.2小時縮短至45分鐘，L1分析師每月加班時數亦由32小時降至8小時。
另一個釣魚郵件案例則顯示，透過SOAR整合AI分析郵件內容、寄件者信譽、附件與連結，並串接VirusTotal、URLScan等工具後，每件釣魚事件處理時間可由2至3小時縮短至15至20分鐘，從偵測到停用的平均時間由4.2小時縮短為18分鐘，每月可處理事件量更從60至80件提高到200件以上。
AI從「已知告警」走向發現未知威脅
AI更大的潛力在於尋找傳統規則不易發現的弱信號。唐雍為以半導體設計公司導入AI-UEBA為例，企業原本已部署完整偵測規則，但已知規則並未觸發異常。在導入AI並分析過去24個月的VPN、登入、檔案存取、電子郵件及DNS查詢後，系統為使用者與設備建立行為基線，並透過多個弱信號疊加，在第22天發現潛伏型APT攻擊，且於資料尚未外洩的偵察階段完成辨識。
在虛擬資產交易所案例中，整合鏈上交易、簽署請求、API金鑰與開發者端點日誌建立AI關聯引擎後，每日人工告警由2,500筆降至600筆，異常提領平均偵測時間由約3小時縮短至6分鐘，更能在異常簽署發生、資產轉出前即時攔截。
AI再強也需要人帶 「Trust but Verify」是管理原則
唐雍為提醒，AI雖能提高資安營運效率，卻不是可以完全放手的「全自動員工」。AI仍可能產生幻覺、遭受對抗式攻擊、造成資料外洩、讓團隊過度依賴，或因模型漂移形成偏差。因此AI導入SOC的黃金法則應是「Trust but Verify」。
實務上，低風險動作如查詢、情資補充與分類，可交由AI自動處理；封鎖IP、停用帳號等中風險動作，可由AI提出建議再經人員核准；隔離關鍵系統、啟動事件回應（IR）等高風險行動，仍必須由人員決策。透過Human-in-the-Loop、資料脫敏、定期對抗測試、Red Team演練及模型效能監控，才能避免效率提升反而創造新的資安風險。
人才不是被AI取代 而是從救火隊升級為指揮官
唐雍為認為，AI加入SOC後，人員的價值並不會降低，而是工作內容將向更高價值移動。L1分析師可從「人工告警過濾器」轉型為AI品質審核員與訓練師；L2分析師從手動調查轉為事件指揮官與決策者；L3人員則成為Threat Hunter及安全架構師；SOC主管也可從每天處理人力不足與救火問題，轉向以數據進行安全營運策略規劃。
展望次世代SOC，代理AI、自然語言驅動SOC及Purple Team AI將成為值得關注的發展方向。AI未來不只是工具，而可能成為具自主能力的Agent，自行規劃調查步驟、蒐集證據與提出假設；分析師也可使用自然語言下達需求，再由AI轉換為查詢指令；AI並可能同時扮演模擬攻擊與防守角色，持續進行攻防驗證。
Contact us
媒體聯絡人
