The SOC Doesn't Need to Start Over with Every Alert

, "articleBody": "資安圈經常爭論 AI 是否會催生全新的攻擊型態，但 thehackernews.com 在 2026 年 9 月發表的觀點文章指出，更迫近的改變其實安靜得多：AI 讓「失敗的攻擊」變得便宜到可以反覆重試。過去，攻擊者登入一個低權限的雲端帳號後，第一次權限提升嘗試失敗，往往得花數小時閱讀文件、檢查權限、除錯腳本，許多操作者就此卡關。如今，有了模型介入，錯誤會被解釋、腳本會被修正，幾分鐘內就能測試新的枚舉路徑。這個過程沒有任何單一步驟是新能力，但合在一起，它剝除了入侵過程中最不引人注目、卻最耗時的中段——也就是介於意圖與成果之間的研究與排錯工作。\n\n這條趨勢在公開威脅報告中清晰可見。2025 年初，Google 威脅情報小組（Threat Intelligence Group, GTIG）發現國家級攻擊者把生成式 AI 當作生產力工具，用於翻譯、腳本協助、故障排除與研究。到了 2025 年底，同一團隊開始記錄在執行中途呼叫模型的惡意軟體樣本，以及日益成熟的非法 AI 工具地下市場；Anthropic 也披露破獲了一個幾乎每個階段都依賴 AI 的勒索行動，從偵察、竊取憑證到設定贖金要求都包含在內。2026 年 5 月，GTIG 報告指出，網路犯罪者在一個開源管理工具中發現了雙因子驗證的繞過漏洞，並建立了可用的攻擊程式；GTIG 根據攻擊程式的結構與內容，以高信心度評估 AI 模型同時協助了漏洞發現與攻擊程式開發。GTIG 與受影響廠商合作揭露並破壞了該活動，其評估認為這項反制發現可能阻止了攻擊程式被實際使用。\n\n這裡的區別很重要：評估「有 AI 協助」與「已確認在野部署」是兩種不同的宣稱，但這類發現開始流傳時，差異往往被忽略。歸因困難、盛行率不明，這些報告都不是全球活動的普查。真正值得注意的是方向：AI 正在進入攻擊者的工作流程內部，而非只是在一旁輔助。\n\n提供者的防護機制確實值得肯定。安全分類器與濫用破壞機制提高了濫用成本，上述破獲案例也顯示這些努力有成效。但防護機制永遠存在於企業外部。操作者可以反覆試探，直到一個重新框架的請求通過檢查；可以把工作轉移到開放權重的模型；可以把一個惡意任務拆成十幾個看似無害的小任務；也可以繞過政策層，在模型外圍包裹工具。這類摩擦能減緩濫用，但永遠不會成為真正的安全邊界。把供應商政策當作安全邊界的組織，等於用「安心感」取代了「防禦」。\n\n教科書把攻擊生命週期畫成一條線：偵察、存取、權限提升、影響。但實際運作的攻擊者跑的是迴圈：觀察環境、形成猜測、嘗試、讀取回應、調整猜測。AI 壓縮了這些步驟之間的時間，新手能留在遊戲中更久，專家每天能跑更多實驗。防禦方理應以同樣方式迴圈運作：訊號觸發、收集脈絡、形成假說、驗證範圍、執行行動、結果回饋到偵測。但在實務上，佇列與交接在每個接點打斷這個迴圈。警報閒置無人指派，身分資訊散落在不同主控台，遙測缺口變成積壓項目，關閉誤報背後的解釋死在工單裡，從未到達規則擁有者手中。環境在數秒內回應攻擊者的實驗，防禦者的回應卻要等到工單被撿起來的那一刻。平均確認時間與平均修復時間掩蓋了這個問題：警報可以在幾分鐘內被確認，然後花數小時重建脈絡——找出正確身分、確認端點是否受管理、沿著核准路徑向每個新接手者重述事件。這個重建區間就是「決策延遲」，而很少有 SOC 真的在測量它。\n\n安全工作通常被描述為五個功能：威脅情報、威脅狩獵、偵測工程、調查、修復。這是有用的透鏡，而非放諸四海的組織圖。小團隊一人身兼數職，大型企業則分散在 SOC、身分、端點、雲端與業務團隊之間，MDR 供應商可能負責調查卻沒有權限進行遏制。問題很少出在功能本身，而是出在功能之間的轉移。威脅情報理解某個技巧為何重要；威脅狩獵能指出它會在哪裡浮現；偵測工程掌握規則未明說的假設；調查者握有判定結論的證據鏈；有權行動的團隊能說出哪些行動會破壞業務。每一次轉移都把這些知識擠壓成一個指標、一則警報或一張工單，而擠壓是有損的。\n\n這正是文章所稱的「有損交接」（lossy handshake），出自 Jonathan Waknin（Conifers.ai 解決方案架構總監兼 CISO）近期的一系列三篇文章。交接必須攜帶的內容包括：實體身分（案件中心的使用者、裝置、工作負載或業務流程）、證據與來源（觀察背後的來源與時間戳）、假說與信心度（主要解釋、仍成立的替代解釋、選擇背後的不確定性）、遙測充分性（現有資料能支持哪些主張、不能支持哪些、哪個缺席的來源限制了信心）、決策所有權與限制（誰有權行動、哪些核准在途中、行動可能破壞什麼）。失去第一項，兩個團隊可能用不同名稱調查同一個使用者；失去最後一項，正確的建議會卡在佇列裡，而入侵持續老化。沒有來源的證據只是裝飾。\n\n系列文章中的一個實際案例讓這種損失清晰可見。一名財務員工從從未使用過的代管服務商登入，MFA 通過。十分鐘內，新的信箱規則開始將郵件轉寄到外部地址，帳號開始以從未出現過的模式從財務 SharePoint 站台拉取檔案。沒有任何單一事件證明被入侵，但整個序列值得注意。威脅情報正在追蹤一波專門竊取已驗證工作階段的 adversary-in-the-middle 釣魚攻擊，因此 MFA 成功不能單獨洗清帳號。這份脈絡被壓縮成一份帶有指標與技巧 ID 的簡短通告，行為序列與其適用的在地條件則留在原地。狩獵者把通告轉成查詢，學到通告從未追問的兩件事：裝置合規資料只涵蓋部分環境，SharePoint 稽核紀錄會延遲數小時。狩獵者交出可疑帳號清單，覆蓋範圍的警告留在原地。偵測工程建立只在陌生網路、MFA 成功與新轉寄規則於短時間視窗內聚集時才觸發的邏輯，明知規則對部分使用者缺乏裝置狀態可見性。送出的只有嚴重性等級與描述欄位，假設與預期誤報模式留在原地。警報到達值班分析師手上，顯示登入與信箱規則，卻沒有連結兩者的推理過程。分析師得在四個主控台之間重建全貌：身分、郵件安全、SIEM、資產清單。兩種解釋並存：使用者可能出差或嘗試合法新服務，這能解釋陌生網路，卻無法解釋外部轉寄規則與前所未有的存取模式；或者已驗證工作階段被竊取，這能解釋整個序列。第二種解釋符合證據，但端點範圍未知，因為裝置未受管理，沒有程序或網路遙測可查。案件以建議停用帳號作結，競爭解釋、信心度、無人能檢查的端點都留在原地。工單到達身分團隊，只有一行字：停用此帳號。身分團隊知道 SOC 從未見過的事：帳號正處於薪資發放流程中，直接停用會中斷有時間敏感性的業務程序。這不是讓財務否決遏制，而是遏制決策與業務連續性決策必須由能同時看到兩者的人來做。撤銷即時工作階段與移除轉寄規則是低風險動作；暫停帳號屬於事件政策範疇，歸屬擁有該權限的人；轉移薪資發放取決於是否有備援操作者；重新開放存取要等憑證重設、MFA 重新註冊與受管理裝置，還得有人確認行動已生效。每個功能都盡了本分，系統卻迫使每個功能從零重建事件，並把唯一握有業務脈絡的團隊交給一行任務，而非一個決策。\n\n組織感受到這種損失時，反射動作是開出職缺：要精通身分、端點、雲端、郵件、惡意軟體分析、偵測邏輯與主管溝通，派到警報佇列。這種「獨角獸分析師」不是人才策略，而是對系統狀態缺失的繞過。資深分析師之所以成功，是因為知道沒有儀表板顯示的事：哪個日誌來源會說謊、哪個服務帳號絕不能碰、哪個應用程式擁有者凌晨兩點會接電話。公司真正的 runbook 活在那一顆腦袋裡，人離職時就消失了。分析師倦怠的很大一部分正是這個：重新推導組織已經知道、卻未能保存的知識。\n\n最昂貴的損失發生在事件結束之後。假設真相是良性的：員工出差，轉寄規則已獲核准。規則擁有者需要翻轉判決的證據，遙測擁有者需要知道裝置覆蓋率不足。系統保存的只有關閉原因，判決存活了，教訓蒸發了。這就是吵鬧的規則多年來持續吵鬧的原因，也是每個新分析師在自己的班次上重新發現同一個盲點的原因。\n\n解決方案是架構性的：SOC 必須變得「有狀態」（stateful）。SOC 並非失憶，它們保留證據與案件歷史，往往長達數年。但在交接中無法存活的，是圍繞證據的推理、對其限定的不確定性、以及誰能行動的限制。這些留在產生它們的系統中，沒有進入下一個決策。替代方案是共享的營運記憶，五種狀態供每個工作流程讀寫：環境狀態（存在的身分、裝置、工作負載與業務服務，其關係、擁有者、哪些具特權、暴露或未受管理）、證據狀態（每筆觀察、來源、時間、回到原始事件的路徑）、決策狀態（當前假說、被權衡的替代方案、支持與反對的證據、什麼新證據會改變答案）、控制狀態（檯面上的行動、所需核准、受影響系統的擁有者、遏制前必須保存的事物）、學習狀態（分析師做的修正、失敗的假設、修正是否持續、狩獵、規則或劇本應如何隨之改變）。\n\n這樣的共享模型讓 SIEM、EDR、身分平台與案件系統共同貢獻於同一個決策，工具不會被取代。這份清單中最難的紀律，是把「未知」當作合法答案。當端點遙測因裝置未受管理而缺失時，薄弱的系統會記載「未觀察到惡意程序活動」。這句話在技術上為真，在營運上卻有誤導性。有狀態的系統會記錄端點根本無法被檢查，調降對端點範圍的信心度，並把覆蓋缺口路由給負責裝置管理的人。缺口成為案件的一部分，而不是消失在令人安心的句子裡。\n\nAgentic AI 最後才登場，而且是刻意為之：把代理程式綁在無狀態的 SOC 上，只會讓一個壞掉的營運模型跑得更快。從共享記憶出發的有界限工作流程則不同。威脅情報決定外部威脅是否與本地相關，並展示理由；威脅狩獵報告它覆蓋的族群，也報告它看不到的族群；偵測在規則上線前檢查環境能否提供所需資料；調查把時間軸、競爭解釋、證據與信心度包裝成單一物件；修復把決策對應到可用行動、擁有者與核准。權限與信心度分離。框架區分四種行動模式：觀察並收集更多證據；把建議行動與推理放在有權限的人面前；僅在明確核准後執行；或自動執行，且僅在政策、信心度、實體類型與潛在影響條件全部滿足時。模式存在於控制狀態中，可版本化、可稽核。一個聽起來很有信心的敘述，不會為代理程式贏得任何執行權。學習也受同樣的謹慎約束。單一分析師的單一誤報判決，是改變生產偵測邏輯的薄弱證據。分析師會犯錯，有些案件只是例外。有狀態的系統捕捉修正背後的證據、收集類似案件、草擬變更提案、並將提案路由給規則擁有者。這個審查步驟，正是學習與自我腐化之間的分界。\n\n分析師的工作因此向上移動。調查中「組裝證據」的一半，在分析師到達時已經完成。分析師的第一個動作是挑戰結構化的案件：假說是否成立、是否有競爭解釋被遺漏、建議行動是否與證據相稱、業務脈絡改變了什麼。衡量指標也往同一方向移動。計算代理程式完成的任務數量只是在討好軟體。四個問題更有用：分析師打開案件時，脈絡是否已經在裡面；案件是否記錄了看不到的事物；修正後的判決是否在修正還有意義時到達規則擁有者；每個自動化行動是否都留在政策內並有稽核軌跡。美國 NIST 更新後的事件回應建議 SP 800-61r3 也指向同一方向：把回應視為組織整體風險管理的一部分，而非 SOC 自足的活動。\n\n攻擊迴圈正沿著曲線收緊，等待完全自動化到來，是緩慢地承認失敗。起點並不光鮮：測量同一份脈絡在哪裡不斷被手工重組；記錄調查看不到什麼、與它結論了什麼；在平靜時決定誰擁有每個行動、誰核准它；把調查學到的東西路由回威脅狩獵與偵測。財務員工的帳號無論如何都會被停用。在一個 SOC 裡，教訓隨著關閉原因蒸發，薪資問題事後才浮現；在有狀態的 SOC 裡，行動的人能看到調查看不到的，覆蓋缺口有擁有者，下一個分析師繼承的是記憶，而不是佇列。\n\n本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。" }