FOMO ในศูนย์ SOC: สรุปแล้ว AI อย่าง Claude อยู่ตรงไหนในระบบรักษาความปลอดภัยไซเบอร์?
ช่วงนี้ถ้าใครอยู่ในวงการไซเบอร์ซีเคียวริตีคงรู้สึกได้เหมือนผมครับว่า AI มันหมุนไวมากจริงๆ จนผู้บริหารสายความปลอดภัย (Security Leaders) หลายคนเริ่มเกิดอาการ FOMO (Fear of Missing Out) หรือกลัวตกขบวน AI กันยกใหญ่
ปัจจุบัน AI Platforms ตัวท็อปอย่าง Claude, Codex หรือ Cursor เข้ามามีบทบาทช่วยทีมความปลอดภัยไซเบอร์ทำงานกันอย่างแพร่หลาย ไม่ว่าจะเป็นการเขียนกฎตรวจจับ (Detection Rules), สอบสวนการแจ้งเตือน (Alert Investigation), สรุปเหตุการณ์ ละลุยงานถึกงานซ้ำซากอัตโนมัติ
คำถามในวงการตอนนี้เลยไม่ได้หยุดอยู่ที่ "ควรใช้ AI ในศูนย์ SOC (Security Operations Center) หรือไม่?" อีกต่อไปแล้วครับ แต่มันขยับไปสู่โจทย์ที่ลึกกว่านั้นคือ "AI แต่ละประเภท ควรจะอยู่ตรงไหน ถึงจะสร้างคุณค่าได้สูงสุดกันแน่?"
ท่ามกลางผลิตภัณฑ์ AI ใหม่ๆ ที่แห่กันลงตลาด จนหลายคนเผลอคิดไปว่า “เครื่องมือเดียวจะแก้ได้ทุกปัญหา” แต่ในความเป็นจริง AI แต่ละแบบถูกออกแบบมาเพื่อ "งานที่ต่างกันอย่างสิ้นเชิง" และการเข้าใจความแตกต่างนี้แหละครับ คือสิ่งที่จะเปลี่ยน "ความกลัวตกขบวน (FOMO)" ให้กลายเป็น "ผลลัพธ์ด้านความปลอดภัยที่ดีขึ้นอย่างแท้จริง"
สองบทบาท สองหน้าที่: มองภาพ SOC ให้เป็น 3 ชั้น
เพื่อให้เห็นภาพง่ายที่สุด ผมอยากให้มองโครงสร้างของศูนย์ SOC ยุคใหม่แบ่งออกเป็น 3 ชั้น (3 Layers) ด้วยกันครับ:
- ชั้นล่างสุด (Existing Security Tools): เครื่องมือความปลอดภัยเดิมที่คุณมี ไม่ว่าจะเป็น SIEM, EDR, Cloud Security, Identity Platforms หรือ Email Security ซึ่งเป็นตัวสร้าง Alert ปริมาณมหาศาลในแต่ละวัน
- ชั้นกลาง (Autonomous AI SOC): ระบบ AI SOC อัตโนมัติที่คอยทำหน้าที่สอบสวน Alert ทุกตัวโดยอัตโนมัติ นำข้อมูลจากหลายเครื่องมือมาเชื่อมโยงกัน (Correlate) ใส่บริบทขององค์กรเข้าไป และที่สำคัญที่สุดคือ คัดกรองว่า Alert ไหนบ้างที่ต้องถึงมือ "มนุษย์" จริงๆ
- ชั้นบนสุด (AI Platforms เช่น Claude, Cursor, Codex): พื้นที่ที่เหล่านักวิเคราะห์ (Analysts), Detection Engineers และ Incident Responders จะเข้ามาทำงานร่วมกับ AI เพื่อแก้ปัญหาซับซ้อน, เขียนกฎตรวจจับ, ทำรายงาน, ล่าคุกคาม (Threat Hunting) และตัดสินใจในเคสสำคัญ
ทั้ง 3 ชั้นนี้ไม่ได้มาแทนกันครับ แต่มันส่งเสริมกันเพื่อให้ SOC ทำงานได้อย่างสมบูรณ์แบบ
ทำไมเราถึงไม่ควรใช้ Claude ไปไล่ตรวจทุก Alert?
จริงอยู่ครับว่า Claude เก่งมากๆ แต่ต้องไม่ลืมว่า มันถูกออกแบบมาเพื่อช่วย "คน" ทำงาน
นักวิเคราะห์สามารถสั่งให้ Claude ช่วยอธิบายคำสั่ง PowerShell ที่น่าสงสัย, สรุปผลการสอบสวน, ร่างกฎ Sigma หรือแปลงโค้ดตรวจจับไปเป็นภาษาอื่นได้ ซึ่งนี่คืองานที่ Claude ทำได้ยอดเยี่ยมมาก
แต่การต้องไล่สอบสวน Alert เป็นพันๆ รายการในแต่ละวัน มันคืองานคนละสเกลครับ!
งานประเภทนั้นจำเป็นต้องใช้ ระบบอัตโนมัติ (Autonomous System) ที่รันได้ต่อเนื่อง 24 ชั่วโมงโดยไม่ต้องรอให้มนุษย์มานั่งป้อน Prompt เชื่อมต่อกับเครื่องมือความปลอดภัยได้โดยตรง และจำบริบทองค์กรได้ตลอดเวลา
"การพยายามใช้ LLM อย่าง Claude มาเป็นนักสอบสวนใน SOC ตลอด 24/7 ก็เหมือนการจ้างที่ปรึกษาระดับอัจฉริยะไปนั่งรับสายโทรศัพท์ทุกสายใน Call Center แน่นอนว่าที่ปรึกษาคนนั้นเก่งมากครับ แต่มันจะคุ้มค่าที่สุดก็ต่อเมื่อเขาได้โฟกัสกับงานที่ใช้ทักษะขั้นสูงจริงๆ เท่านั้น"
ปัญหาเรื่อง "Tokenomics" (เศรษฐศาสตร์ของ Token)
นอกจากเรื่องการออกแบบระบบแล้ว อีกเหตุผลสำคัญคือเรื่อง "ต้นทุน" ครับ
การสอบสวนภัยคุกคามแต่ละครั้งต้องใช้บริบท (Context) มหาศาล AI จำเป็นต้องอ่านข้อมูล Endpoint, Process Trees, ประวัติการเข้าสู่ระบบ, ข้อมูลอีเมล, Threat Intelligence ไปจนถึงกฎการตรวจจับเดิม ก่อนจะสรุปผลได้ ซึ่งข้อมูลทุกบรรทัดคือ Token ที่มีค่าใช้จ่าย
- ถ้าให้นักวิเคราะห์ใช้ Claude ช่วยสอบสวนเคสสำคัญวันละไม่กี่เคส → จ่ายแค่นี้ คุ้มค่ามาก
- แต่ถ้าต้องป้อน Alert เป็นหมื่นๆ ตัวเข้า LLM เพื่อเริ่มการสนทนาใหม่ทุกครั้ง → ค่า Token จะพุ่งสูงขึ้นมหาศาล แถม Alert ส่วนใหญ่ที่ตรวจเจอกลายเป็น False Positive (แจ้งเตือนผิดพลาด) เสียด้วยซ้ำ
ทางออกของ Autonomous AI SOC
แทนที่จะปฏิบัติต่อทุก Alert เหมือนเป็นการเปิดแชทใหม่กับ LLM ระบบ Autonomous AI SOC จะผสมผสานระหว่าง Workflows แบบกำหนดเงื่อนไข (Deterministic), การวิเคราะห์นิติวิทยาศาสตร์ (Forensic Analysis), ความจำองค์กร และเลือกใช้ AI Reasoning เฉพาะในขั้นตอนที่จำเป็นเท่านั้น ผลลัพธ์ที่ได้คือ สามารถสอบสวน Alert ได้ 100% โดยที่ควบคุมต้นทุนได้อย่างแม่นยำ
"การใช้ Claude ไล่เช็กทุก Alert เปรียบเหมือนการเอา 'รถแข่ง Formula 1' ไปวิ่งส่งพัสดุตามบ้าน มันเป็นวิศวกรรมที่ยอดเยี่ยมครับ แต่มันถูกออกแบบมาเพื่อ 'ความเร็ว' ไม่ใช่ 'โลจิสติกส์ปริมาณมาก' สิ่งที่ SOC ระดับองค์กรต้องการ คือโครงสร้างพื้นฐานที่รับมือกับสเกลใหญ่ๆ ได้อย่างมีประสิทธิภาพต่างหาก"
ความเป็นจริงของฝั่ง MDR (Managed Detection and Response)
อีกหนึ่งข้อจำกัดทางปฏิบัติที่หลายองค์กรเจอ คือการที่ไม่ได้คุม SOC เองทั้งหมด แต่ใช้บริการจากผู้ให้บริการ MDR (Outsource)
ในสภาวะแบบนี้ ผู้ให้บริการ MDR มักจะเป็นเจ้าของ Workflow ทั้งหมด ไม่ว่าจะเป็นประวัติเคส ระบบจัดการ หรือข้อมูลเชิงลึก ตัวองค์กรเองมักจะได้รับเฉพาะรายงานสรุปหรือเคสที่ยกระดับ (Escalate) มาแล้วเท่านั้น ทำให้ AI อย่าง Claude ไม่สามารถเข้าไปสอบสวน Alert ได้เอง เพราะ "ไม่มีข้อมูล" อยู่ในมือ
นี่จึงเป็นอีกเหตุผลที่ Autonomous AI SOC เข้ามาเป็นเลเยอร์สำคัญ เพราะมันจะติดตั้งอยู่เคียงข้างเครื่องมือความปลอดภัยขององค์กร คอยสอบสวน Alert ทันทีที่เข้ามา เก็บบริบทขององค์กรไว้เอง และเปิดข้อมูลนั้นให้ทั้งนักวิเคราะห์และ AI Platform (เช่น Claude) ดึงไปใช้ต่อได้สะดวก
ตรวจสอบ Alert 100% เป็นไปได้จริงหรือ?
ทีมความปลอดภัยส่วนใหญ่ไม่สามารถตรวจสอบ Alert ได้ครบทั้งหมดอยู่แล้วครับ จึงต้องเลือกดูเฉพาะตัวที่มีความรุนแรงสูง (High Severity) ส่วนตัวที่ความรุนแรงต่ำ (Low Severity) มักถูกละเลย
แต่ความน่ากลัวคือ "ระดับความรุนแรง ไม่ได้สะท้อนถึงระดับความเสี่ยงเสมอไป"
จากการวิเคราะห์ Alert กว่า 25 ล้านรายการ พบว่าเกือบ 1% ของเหตุการณ์คุกคามที่เกิดขึ้นจริง มีจุดเริ่มต้นมาจาก Alert ระดับ Low หรือ Informational เท่านั้น หมายความว่าภัยร้ายแรงสามารถซ่อนตัวอยู่ที่ไหนก็ได้ในระบบ
ทางออกไม่ใช่การบังคับให้คนทำงานหนักขึ้น แต่คือการสร้าง "Capacity" หรือกำลังการประมวลผลเพิ่มขึ้นผ่าน Autonomous AI SOC ที่เข้าไปกวาดตรวจ Alert ทั้งหมด 100% แล้วส่งต่อเฉพาะเคสที่ต้องใช้ดุลยพินิจของมนุษย์จริงๆ ออกมา
จุดที่ Claude และผองเพื่อนจะเปล่งแสงได้ดีที่สุด
เมื่อ Autonomous AI SOC ทำงานถึกในการคัดกรองและสอบสวนเบื้องต้นเสร็จแล้ว นี่คือจุดที่ AI Platform อย่าง Claude จะแสดงพลังออกมาได้เต็มที่ครับ!
แทนที่นักวิเคราะห์จะต้องเสียเวลาไปนั่งรวบรวมหลักฐานจากหลายหน้าจอ พวกเขาจะสามารถใช้ Claude มาโฟกัสกับงานมูลค่าสูง (High-value Work) ได้ทันที เช่น:
- ตั้งคำถามและเจาะลึก เกี่ยวกับเคสที่สอบสวนเสร็จแล้ว
- ร่างและปรับแต่งกฎการตรวจจับ (Detection Rules) ให้แม่นยำยิ่งขึ้น
- ออกล่าภัยคุกคามใหม่ๆ (Threat Hunting)
- สรุปผลการสอบสวน และทำรายงานส่งผู้บริหาร
- ทดสอบสมมติฐานใหม่ๆ และตัดสินใจในเคสที่มีความซับซ้อนสูง
บทสรุป: ทำงานร่วมกัน ย่อมดีกว่าเลือกอย่างใดอย่างหนึ่ง
ประเด็นสำคัญที่สุดไม่ใช่การเลือกอย่างใดอย่างหนึ่งระหว่าง Autonomous AI SOC กับ AI Platforms อย่าง Claude ครับ แต่คือการใช้ "ทั้งสองอย่างร่วมกัน"
- ฝ่ายหนึ่ง ทำหน้าที่สอบสวน Alert ทั้งระบบตลอด 24 ชั่วโมงแบบไร้รอยต่อ
- อีกฝ่ายหนึ่ง ช่วยให้บุคลากรสายไซเบอร์ทำงานได้ไวขึ้น ตัดสินใจได้เฉียบคมขึ้น
#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก