از «توضیح قابل‌قبول» تا «فرض حمله»: شکاف پنهان در تریاژ SOC


در اغلب مراکز عملیات امنیت (SOC)، تریاژ هشدارها تحت فشار شدید زمان، حجم بالا و محدودیت منابع انجام می‌شود. نتیجه این شرایط، شکل‌گیری یک الگوی ذهنی غالب است: تحلیل‌گر به‌دنبال نخستین توضیح «منطقی و بی‌خطر» برای یک هشدار می‌گردد و در صورت یافتن آن، پرونده را می‌بندد. این رویکرد که می‌توان آن را «Benign-first» نامید، اگرچه از نظر عملیاتی کارآمد به نظر می‌رسد، اما یک ضعف بنیادی دارد: منطقی بودن، معادل واقعی بودن نیست. مهاجمان حرفه‌ای دقیقاً از همین شکاف استفاده می‌کنند و رفتار خود را طوری طراحی می‌کنند که در چارچوب توضیحات عادی و قابل‌قبول قرار گیرد.
در مقابل، رویکرد «Adversarial Thinking» قرار دارد؛ پارادایمی که به‌جای تلاش برای اثبات بی‌خطر بودن یک رویداد، از این فرض شروع می‌کند که «این می‌تواند یک حمله باشد». در این مدل، تحلیل‌گر یا سیستم می‌پرسد: اگر این یک سناریوی نفوذ باشد، چه شواهدی باید در لاگ‌ها، رفتار کاربر یا فعالیت سیستم مشاهده شود؟ سپس به‌صورت فعال به‌دنبال تأیید یا رد این فرضیه می‌گردد. این تغییر ساده در زاویه نگاه، تأثیر عمیقی بر کیفیت تشخیص دارد، زیرا فرآیند را از تأیید سریع به سمت بررسی عمیق و مبتنی بر شواهد سوق می‌دهد.
با این حال، این نوع تفکر در اغلب SOCها رایج نیست. یکی از دلایل اصلی، «اقتصاد عملیات» است. ابزارهایی مانند Splunk حجم عظیمی از هشدار تولید می‌کنند و تیم‌ها ناچارند با شاخص‌هایی مانند سرعت پاسخ و تعداد تیکت‌های بسته‌شده ارزیابی شوند. در چنین محیطی، تحلیل عمیق و مبتنی بر فرضیه، به‌عنوان یک لوکس تلقی می‌شود. علاوه بر این، بایاس‌های شناختی مانند «Confirmation Bias» باعث می‌شود تحلیل‌گر ناخودآگاه به‌دنبال شواهدی بگردد که فرض اولیه بی‌خطر بودن را تأیید کند، نه اینکه آن را به چالش بکشد.
مشکل دیگر، طراحی ابزارهاست. SIEMها برای جمع‌آوری، جستجو و همبستگی داده‌ها ساخته شده‌اند، نه برای تفکر خصمانه یا استدلال مبتنی بر فرضیه. به‌عبارت دیگر، آن‌ها داده می‌دهند، اما نمی‌گویند چگونه باید به آن‌ها شک کرد. در نتیجه، حتی تحلیل‌گران باتجربه نیز در جریان تریاژ روزمره، به‌سمت تصمیم‌گیری سریع و سطحی سوق داده می‌شوند.
در این میان، رویکردهایی مانند آنچه در DeeperSplunk مطرح شده، تلاش می‌کنند این شکاف را در سطح سیستم برطرف کنند. با استفاده از مدل‌هایی مانند Claude، این ابزارها فرآیند تریاژ را به‌صورت پیش‌فرض «خصمانه» طراحی می‌کنند؛ یعنی فرض اولیه را بر وجود حمله می‌گذارند و تنها در صورتی آن را رد می‌کنند که شواهد کافی برای بی‌خطر بودن ارائه شود. همچنین، با الزام به استناد به جستجوهای واقعی در SIEM، از تصمیم‌گیری‌های حدسی جلوگیری می‌کنند و امکان ممیزی (auditability) را افزایش می‌دهند.
در نهایت، مسئله اصلی صرفاً نبود مهارت یا دانش نیست، بلکه به طراحی فرآیندها و مشوق‌های عملیاتی بازمی‌گردد. تا زمانی که موفقیت در SOC بر اساس سرعت و حجم خروجی سنجیده شود، «توضیح قابل‌قبول» جای «حقیقت» را خواهد گرفت. حرکت به‌سوی Adversarial Thinking، نیازمند بازتعریف این معیارها و ایجاد سازوکارهایی است که تحلیل عمیق، مبتنی بر شواهد و مقاوم در برابر فریب را ممکن و مقیاس‌پذیر کند.