Alur Kerja SOC End-to-End, Otomatisasi (SOAR), Manajemen Mutu, dan Audit Mandiri — Kecerdasan Buatan dalam Keamanan Cyber

Keuntungan:

Kemampuan untuk merancang alur kerja SOC ujung ke ujung yang terdiri dari pengumpulan, deteksi, triase, investigasi, intervensi, peningkatan, pelaporan dan umpan balik, menentukan lokasi kecerdasan buatan dan gerbang manusia
Kemampuan untuk memisahkan otomatisasi berdasarkan tingkat risiko (langkah-langkah berisiko rendah/yang dapat dibalik dilakukan secara otomatis, langkah-langkah berisiko tinggi/tidak dapat diubah dikendalikan oleh manusia) dan merancang jalur rollback untuk setiap tindakan otomatis.
Kemampuan untuk membuat pemantauan mandiri dan putaran umpan balik yang secara teratur mengukur tingkat positif/negatif palsu, MTTD/MTTR, akurasi keluaran, dan penyimpangan model

Unit terakhir ini menggabungkan bagian-bagian yang kita pelajari secara terpisah di seluruh modul—analisis log, perburuan ancaman, manajemen kerentanan, respons insiden, phishing, peninjauan kode, intelijen, pelaporan—ke dalam satu alur kerja menyeluruh. Di pusat operasi keamanan (SOC) yang sebenarnya, langkah-langkah ini tidak terputus; Alarm memicu penyelidikan, yang memicu respons, yang memicu laporan, yang memicu remediasi. Kecerdasan buatan terlibat dalam setiap mata rantai ini, namun manusialah yang memegang rantai tersebut dan mengambil keputusan di setiap pintu penting.

Selain itu, unit ini mencakup dua topik penting. Yang pertama adalah otomatisasi: Ketika SOAR (Security Orchestration, Automation and Response – platform yang mengotomatiskan dan mengatur proses keamanan) dan AI digabungkan, kekuatan dan risiko meningkat; Penting untuk membedakan antara apa yang dapat diotomatisasi dan apa yang tidak dapat dihapuskan dari persetujuan manusia. Kedua, manajemen kualitas dan pengaturan mandiri: Operasi keamanan berkemampuan AI tidak disiapkan dan ditinggalkan satu kali pun; itu terus-menerus dipantau, diukur, diumpankan kembali dan dikoreksi. Otomatisasi meningkatkan kecepatan namun tidak menghilangkan tanggung jawab; Program keamanan tetap aman hanya melalui pemantauan mandiri secara berkala.

Alur kerja SOC ujung ke ujung

Mari kita lihat di mana AI berperan dan siapa yang menyetujuinya dalam siklus hidup insiden pada umumnya:

Pengumpulan dan pemantauan: Aliran log ke SIEM; AI mengurangi kebisingan, rangkum. (Otomatis, risiko rendah.)
Deteksi dan alarm: Aturan + anomali + deteksi pola AI. (Produksi otomatis; triase dilakukan pada manusia.)
Triase: Apakah alarmnya nyata atau positif palsu? AI menyarankan alasan dan prioritas; analis menegaskan. (Pintu manusia.)
Investigasi: AI mengumpulkan bukti, menetapkan garis waktu, mencantumkan akar permasalahan; analis mengkonfirmasi dengan bukti mentah. (Pintu manusia.)
Intervensi: Isolasi, penguncian, pembersihan. AI memberikan pilihan/pengaruh; Keputusan ada di tangan analis yang berwenang. (Gerbang manusia yang kritis.)
Remediasi: Penutupan kerentanan, penghapusan akar permasalahan. rancangan rencana AI; persetujuan dalam manajemen perubahan. (Manusia + proses.)
Pelaporan: AI menulis draf, menyesuaikan dengan audiens; Ahli memverifikasi dan menandatangani bukti. (Pintu manusia.)
Pembelajaran dan masukan: AI mengekstrak pola; Memperbarui aturan dan pedoman deteksi tim. (Manusia + proses.)

Aturan rantai ini: langkah-langkah yang berisiko rendah, berulang, dan dapat dibalik dapat diotomatisasi; Langkah-langkah yang berisiko tinggi, tidak dapat diubah, dan memerlukan penilaian melewati pintu manusia.

Tabel keputusan otomatisasi

langkah

Bisakah itu diotomatisasi

kondisi

persetujuan manusia

Pengumpulan log, normalisasi

Ya, tepatnya

—

tidak perlu

Pengayaan alarm (pencarian IOC)

Sumbernya dapat diandalkan

Ini sedang ditinjau

Eliminasi positif palsu (yang diketahui baik)

sebagian

aturan ketat

Diperiksa dengan pengambilan sampel

Email phishing karantina

sebagian

presisi tinggi

Tinjau + jalur kembalikan

Mengunci akun secara otomatis

hati-hati

Hanya kriteria yang jelas

Verifikasi manusia yang cepat

Isolasi servernya

Umumnya tidak

Kecuali infrastruktur penting

Keputusan manusia yang dipaksakan

Penambalan (produksi)

tidak

—

Pengujian + manajemen perubahan

Laporan/pemberitahuan resmi

tidak

—

Ahli + hukum

Manajemen mutu dan audit mandiri

Operasi keamanan yang didukung AI adalah sistem yang hidup; kinerjanya berubah seiring waktu (serangan baru, perubahan lingkungan, pembaruan model). Pengukuran rutin diperlukan agar tetap aman:

Tingkat positif palsu dan negatif palsu: Seberapa sering AI membunyikan alarm dengan sia-sia, seberapa sering AI mengabaikan ancaman sebenarnya? Negatif palsu terutama diawasi karena secara diam-diam menimbulkan kerugian.
MTTD/MTTR: Apakah waktu deteksi dan respons rata-rata meningkat?
Akurasi keluaran AI: Dengan pengambilan sampel, berapa banyak ringkasan/temuan/kutipan AI yang lolos validasi?
Keamanan otomatisasi: Apakah tindakan otomatis berfungsi seperti yang diharapkan, apakah ada pemicu yang salah, apakah rollback berfungsi?
Putaran umpan balik: Apakah peristiwa aktual yang ditemukan menjadi aturan deteksi baru, dan alarm yang dibunyikan menjadi daftar pengecualian?

Syarat : MTTD (Mean Time To Detect). Putaran umpan balik adalah saat operasi belajar dari hasil operasinya sendiri dan memperbarui aturannya. Penyimpangan model adalah ketika AI menjadi usang dan kinerja menurun seiring dengan perubahan lingkungan. Audit mandiri adalah peninjauan rutin dan kritis terhadap proses yang dilakukan tim.

tiga kasus mini

Kasus 1 — Otomatisasi yang benar. SOC mengotomatiskan langkah “secara otomatis memperkaya dan memprioritaskan peringatan yang cocok dengan IOC berbahaya yang diketahui dan berada dalam kategori berisiko rendah”; tetapi selalu meninggalkan langkah "mengisolasi server" untuk persetujuan manusia. Hasilnya: analis terbebas dari 400 alarm rutin setiap hari, sehingga memberikan waktu luang untuk penyelidikan nyata, dan menyerahkan keputusan penting kepada manusia. Bagian kanan rantai itu otomatis, tempat yang tepat adalah manusia.

Kasus 2 — Otomatisasi menjadi bumerang. SOC lain mendefinisikan aturan "kunci otomatis akun saat login mencurigakan" dengan sangat luas. Suatu hari, karena kesalahan konfigurasi, aturan tersebut mengunci 1.200 pengguna sah sekaligus dan pekerjaan terhenti; Selain itu, jalur pemulihan tidak ditentukan. Pelajaran: otomatisasi berdampak tinggi harus memiliki kriteria yang ketat, penerapan bertahap, dan jalur rollback. Otomatisasi harus bersifat reversibel dan dipantau melalui pengaturan mandiri.

Kasus 3 — Slippage ditangkap oleh pengendalian diri. Dalam audit mandiri selama tiga bulan, sebuah tim menemukan bahwa akurasi deteksi phishing AI menurun: gelombang phishing baru terlewatkan karena tidak sesuai dengan pola lama (pattern drift). Tim mengumpulkan sampel, memperbarui aturan deteksi, dan menyegarkan konteks yang diberikan kepada AI. Tanpa pengendalian diri yang teratur, penghindaran diam-diam ini bisa berlanjut selama berbulan-bulan. Pelajaran: hanya karena kinerjanya bagus sekali, tidak selalu bagus; pengukuran dan umpan balik sangat penting.

Perintah lemah / Perintah kuat

Perintah yang lemah:

Otomatiskan SOC kami sepenuhnya dan biarkan AI menangani semuanya.

Permintaan ini menuntut otomatisasi tanpa diskriminasi risiko, mengabaikan pintu manusia, dan tidak mempertimbangkan rollback dan kontrol. Jika diterapkan, keputusan berisiko tinggi akan menjadi otomatis tanpa pengawasan dan berubah menjadi bencana jika terjadi kesalahan pertama.

Perintah yang kuat:

Peran Anda: Konsultan dalam desain proses SOC. [Cantumkan] langkah-langkah siklus hidup peristiwa ini menjadi tiga berdasarkan tingkat risiko: (A) sepenuhnya otomatis (risiko rendah, dapat dibalik, berulang), (B) rekomendasi AI + persetujuan manusia, (C) keputusan yang selalu dibuat oleh manusia (berisiko tinggi, tidak dapat diubah). Sarankan jalur rollback wajib dan metrik pelacakan untuk masing-masing (A) dan (B). Juga buatlah daftar periksa audit mandiri triwulanan: tingkat positif/negatif palsu, MTTD/MTTR, pengambilan sampel akurasi keluaran AI, tanda-tanda penyimpangan pola.

Permintaan yang kuat memisahkan otomatisasi berdasarkan tingkat risiko, memerlukan rollback dan pemantauan, serta menetapkan kerangka pengaturan mandiri.

Templat cepat yang dapat disalin

TEMPLATE PEMISAHAN RISIKO OTOMATIS Pisahkan langkah-langkah alur kerja keamanan ini menjadi tiga: (A) sepenuhnya otomatis sesuai, (B) Merekomendasikan persetujuan manusia, (C) selalu keputusan manusia. Tuliskan justifikasi, reversibilitas, dan dampak bisnis untuk setiap langkah. Merekomendasikan jalur rollback wajib untuk langkah-langkah berdampak tinggi. Langkah-langkah: [daftar]

TEMPLATE DESAIN ROLLBACK untuk tindakan otomatis [mis. penguncian akun] mengusulkan desain yang aman: kriteria pemicu (sempit), penerapan bertahap, langkah rollback pemicu yang salah, peringatan dan titik verifikasi manusia. Desain untuk menghindari otomatisasi buta. Tindakan: [tulis]

TEMPLATE DAFTAR PERIKSA AUDIT SELF-AUDIT Draf daftar periksa audit mandiri triwulanan untuk SOC yang didukung AI: tingkat positif/negatif palsu, bias MTTD/MTTR, pengambilan sampel akurasi output AI, pemicu palsu otomatisasi, tanda-tanda penyimpangan pola, operasi loop umpan balik, kepatuhan privasi/anonimisasi. Untuk setiap item, tuliskan bagaimana item tersebut akan diukur.

TEMPLATE LOOP UMPAN BALIK Gambarkan apa yang dipelajari dari kejadian aktual/alarm yang gagal: (1) pola yang akan menjadi aturan deteksi baru, (2) positif palsu yang akan ditambahkan ke daftar pengecualian, (3) langkah playbook yang akan diperbarui, (4) konteks baru yang akan diberikan kepada AI. Ringkasan acara/alarm: [tempel]

Kesalahan umum

Mengotomatiskan langkah berisiko tinggi. Langkah-langkah yang tidak dapat diubah seperti isolasi server, patch produksi, pemberitahuan resmi tidak dihapus dari pintu manusia.
Tidak merancang jalur pengambilan. Ada kemungkinan tindakan otomatis apa pun terpicu secara tidak benar; Otomatisasi tanpa tujuan pembatalan dan konfirmasi berbahaya.
Atur dan lupakan. Kinerja AI berubah seiring perubahan lingkungan; Tanpa pemantauan dan pengukuran mandiri secara rutin, penghindaran secara diam-diam akan terakumulasi.
Hanya melacak positif palsu. Negatif palsu (ancaman sebenarnya yang terlewatkan) lebih berbahaya namun lebih sulit dilihat; Tonton secara pribadi.
Mengabaikan umpan balik. Jika peristiwa yang terdeteksi tidak berubah menjadi aturan baru dan alarm yang gagal tidak berubah menjadi pengecualian, operasi tidak mempelajari dan mengulangi kesalahan yang sama.

Petunjuk: Pertanyaan emas dalam keputusan otomatisasi: “Dapatkah tindakan ini dibatalkan jika dipicu secara tidak benar dan apa dampaknya terhadap bisnis?” Jika jawabannya “mudah dibatalkan, berdampak rendah”, otomatiskan; Jika "tidak dapat diubah atau berdampak besar" simpan di depan pintu rumah manusia.

Perhatian: Otomatisasi tidak menghilangkan tanggung jawab, namun hanya mempercepatnya. Tindakan otomatis yang disalahpahami menyebabkan kerusakan jauh lebih cepat dan lebih luas dibandingkan yang dapat dilakukan manusia. Setiap otomatisasi dikelilingi oleh kriteria sempit, jalur rollback, dan inspeksi rutin; Tanggung jawab utama selalu terletak pada manusia.

Singkatnya

Unit ini menggabungkan semua bagian modul ke dalam alur kerja SOC ujung ke ujung: pengumpulan, deteksi, triase, investigasi, respons, remediasi, pelaporan, dan umpan balik. AI terlibat dalam setiap mata rantai, namun manusialah yang memegang rantai dan mengambil keputusan di setiap pintu penting. Otomatisasi (SOAR + AI) meningkatkan daya; Aturannya jelas: langkah-langkah yang berisiko rendah, dapat dibalik, dan berulang menjadi terotomatisasi, langkah-langkah yang berisiko tinggi dan tidak dapat diubah melewati pintu manusia, dan setiap otomatisasi mempunyai cara untuk membatalkannya. Terakhir, program keamanan bertenaga AI sudah aktif: positif/negatif palsu, MTTD/MTTR, akurasi keluaran, dan penyimpangan pola diukur secara teratur; Apa yang ditemukan berubah menjadi aturan dan pedoman dalam putaran umpan balik. Otomatisasi mempercepat tanggung jawab, bukan menghilangkannya; Pengendalian diri menjaga keamanan tetap hidup.

Tugas aplikasi

Tuliskan siklus hidup insiden organisasi Anda (atau contoh SOC). Klasifikasikan setiap langkah sebagai A/B/C dengan templat “Pemisahan Risiko Otomatisasi” dan dapatkan desain otomatisasi yang aman dengan templat “Desain Rollback” untuk setidaknya satu langkah “berdampak besar”. Kemudian buatlah daftar periksa triwulanan dengan templat “Daftar Periksa Audit Mandiri” dan tentukan bagaimana Anda akan mengukur setiap metrik di lingkungan Anda.

daftar periksa

[ ] Saya membagi setiap langkah siklus hidup insiden ke dalam kelas risiko A/B/C.
[ ] Saya melakukan langkah-langkah yang berisiko tinggi dan tidak dapat diubah di depan pintu manusia.
[ ] Saya merancang kriteria sempit dan membatalkan jalur untuk setiap tindakan otomatis.
[ ] Saya telah merencanakan untuk memantau tingkat positif palsu dan terutama negatif palsu.
[ ] Saya berencana mengukur akurasi keluaran MTTD/MTTR dan AI secara teratur.
[ ] Saya membuat daftar periksa pemantauan mandiri triwulanan untuk penyimpangan pola.
[ ] Saya menghubungkan peristiwa yang ditemukan dan melemparkan alarm ke loop umpan balik.

Ujian Modul

1. Triase SIEM AI menandai alarm sebagai 'prioritas rendah, kemungkinan positif palsu' dan menempatkannya di urutan terbawah. Apa yang harus dilakukan analis terhadap alarm ini?

A) Masih secara mandiri memeriksa alarm dan memverifikasinya dengan bukti mentah; Analis membuat keputusan penutupan dan mencatatnya ✔
B) Kecerdasan buatan secara otomatis mematikan alarm tanpa memeriksanya karena dikatakan prioritasnya rendah.
C) Mentransfer alarm ke shift berikutnya apa adanya.
D) Lihat saja ringkasan yang diberikan oleh kecerdasan buatan dan sampaikan laporannya

Penjelasan: Prioritas AI adalah sebuah rekomendasi, bukan diagnosis; Bendera 'prioritas rendah' mungkin mencakup serangan nyata (negatif palsu). Analis masih harus memeriksa peringatan secara independen, memverifikasinya dengan bukti mentah, dan membuat keputusan sendiri untuk menutupnya. Hasil AI yang negatif bukanlah jaminan 'tidak ada ancaman'.

2. Kombinasi risiko apa yang AI beri label serangan nyata sebagai 'normal' dan analis memercayai hal ini dan melonggarkan analisisnya sendiri?

A) Positif palsu dan hanya kelelahan alarm
B) Negatif palsu dan bias otomatisasi (ketergantungan berlebihan pada AI) ✔
C) Kurangnya sumber log saja
D) Hanya kesalahan aturan SIEM

Penjelasan: Merupakan negatif palsu jika model tidak memperhitungkan ancaman sebenarnya; Bias otomasi terjadi ketika analis terlalu mempercayai kecerdasan buatan dan mengabaikan tinjauan independen. Ketika keduanya digabungkan, alasan utama kendali manusia hilang dan serangan dapat dilewati sepenuhnya. Itu sebabnya area yang disebut 'bersih' oleh kecerdasan buatan juga diperiksa.

3. AI mengatakan 'CVE-2024-88888, CVSS 9.8, segera patch' selama triase. Apa yang pertama kali harus dilakukan analis?

A) Menganggap CVE dapat dipercaya dan segera memulai rencana patching
B) Hanya karena CVSS adalah 9.8, ia menempatkannya di urutan pertama tanpa melihat kerentanan lainnya
C) Memverifikasi nomor dan skor CVE dalam catatan NVD/vendor; ✔ Jika tidak ada catatan maka tidak akan dicantumkan karena mungkin saja palsu.
D) Tanpa memverifikasi CVE, administrator menuliskannya dalam laporan sebagai 'ancaman kritis'

Deskripsi: Model bahasa dapat dengan lancar menyesuaikan nomor dan skor CVE yang tidak ada (berhalusinasi). Analis harus memverifikasi CVE di log NVD/vendor dan mengonfirmasi keaslian serta skornya sebelum melakukan jadwal patching. CVE yang belum terverifikasi pertama-tama terhubung ke sumber daya; Jika tidak, tim akan membuang waktu untuk mengejar patch yang tidak ada.

4. Untuk mempercepat penyelidikan insiden, seorang ahli menempelkan log firewall mentah bersama dengan IP internal aktual, nama pengguna, dan nama server VPN ke dalam alat AI yang tersedia untuk umum. Apa masalah utama di sini?

A) AI tidak dapat membaca format log, jadi analisis tidak ada gunanya
B) Jika log terlalu panjang, model akan melambat.
C) Log firewall tidak cocok untuk analisis
D) IP asli, nama pengguna dan server dibagikan tanpa anonimisasi; Ini merupakan pelanggaran terhadap KVKK dan kebocoran peta jaringan organisasi ✔

Deskripsi: Data keamanan adalah data pribadi (pengguna, IP) dan intelijen perusahaan yang mengungkap permukaan serangan organisasi (topologi jaringan, nama server). Memberikan ini ke alat eksternal tanpa menganonimkannya merupakan pelanggaran KVKK dan mengungkapkan peta jaringan yang akan berguna bagi penyerang. Pertama, nilai sebenarnya ditutupi dengan placeholder yang konsisten.

5. Apa yang membuat perburuan ancaman dianggap dirancang dengan baik?

A) Dimulai dengan hipotesis yang konkrit dan dapat diuji, dan jejak yang ditemukan dikonfirmasi oleh bukti mentah ✔
B) Ini dimulai dengan memberi tahu kecerdasan buatan 'temukan apakah ada penyerang di jaringan saya'
C) Secara otomatis menyatakan setiap kejadian abnormal/jarang ditemukan sebagai serangan
D) Hanya berfungsi ketika alarm tiba, tidak proaktif

Penjelasan: Perburuan ancaman yang baik tidak dimulai dengan alarm, namun dengan hipotesis konkret dan dapat diuji yang mungkin benar atau tidak (misalnya, 'Apakah akun X terhubung ke lebih dari 50 IP internal selama di luar jam kerja'). Pertanyaan samar seperti 'Apakah ada sesuatu yang buruk di jaringan saya' tidak dapat diuji dan membuat AI menebak-nebak. Jejak yang ditemukan tidak dianggap sebagai ancaman sampai diverifikasi dengan bukti mentah.

6. Kerentanan memiliki skor CVSS 9,1 pada server pengujian terisolasi di jaringan internal; Dalam daftar yang sama, CVSS 7.5 di server terbuka ke internet, tetapi ada kerentanan lain dalam daftar KEV (yang sebenarnya dieksploitasi). Apa prioritas yang benar?

A) Yang memiliki CVSS tertinggi (9.1) selalu di-patch terlebih dahulu
B) Kerentanan 7.5 pada Internet dan daftar KEV dimajukan; CVSS bukan satu-satunya kriteria, keterpaparan dan penyalahgunaan yang sebenarnya sangat menentukan ✔
C) Keduanya ditambal pada waktu yang sama dan dengan prioritas yang sama, perbedaan tidak diperlukan
D) Tidak ada satupun yang ditambal karena ada kerentanan di server pengujian

Penjelasan: CVSS tidak menetapkan prioritas saja; risiko aktual ditentukan oleh EPSS (probabilitas eksploitasi), KEV (eksploitasi aktual) dan konteks organisasi (eksposur, kekritisan, kontrol kompensasi). Kerentanan yang terekspos dan benar-benar dieksploitasi (KEV) di Internet mencegah kerentanan CVSS tinggi yang terisolasi dan berpeluang rendah.

7. Dalam respons insiden, kecerdasan buatan mengatakan 'Lalu lintas yang berasal dari IC_HOST_7 mencurigakan, isolasi server ini'. IC_HOST_7 adalah server otentikasi utama institusi. Apa yang harus dilakukan analis?

A) Kecerdasan buatan segera mengisolasi server karena dikatakan demikian
B) Menyerahkan keputusan isolasi sepenuhnya pada kecerdasan buatan
C) Pertama mengevaluasi dampak bisnis dan penyebab lalu lintas; Ia tidak mengisolasi infrastruktur penting tanpa mengukur dampaknya dan membuat keputusan sebagai analis ✔
D) Mengisolasi server dan kemudian menghapus semua log

Deskripsi: Isolasi adalah keputusan penting yang sulit dibatalkan dan dapat mengakibatkan gangguan bisnis; tidak dapat ditransfer ke kecerdasan buatan. Mengisolasi server otentikasi dapat menghentikan semua karyawan untuk masuk. Analis harus terlebih dahulu mengevaluasi dampak bisnis dan penyebab lalu lintas (mungkin transaksi yang sah), membuat keputusan sendiri; Saran mengenai kecerdasan buatan tidak boleh dilaksanakan sebagai sebuah perintah.

8. Dalam insiden ransomware, tim ingin membangun kembali mesin yang terkena dampak agar segera membersihkannya; namun terdapat bukti forensik (memori dump, alat penyerang) pada mesin yang belum dikumpulkan. Apa pendekatan yang tepat?

A) Mesin segera dipasang ulang; bukti tidak relevan
B) Kecerdasan buatan diminta untuk 'pembersihan tercepat' dan instruksi diterapkan secara membabi buta.
C) Mesin dimatikan dan dibuang karena barang bukti sudah ada di log.
D) Pertama, gambar forensik dan dump memori diambil dan bukti disimpan, kemudian dilakukan pembersihan/pemulihan ✔

Penjelasan: Kecepatan pemulihan tidak bisa mengalahkan pelestarian bukti. Memasang kembali mesin tanpa mengumpulkan bukti akan menghancurkan rantai pengawasan dan melumpuhkan proses peradilan. Pertama, gambar forensik dan dump memori diambil, kemudian pembersihan/pemulihan dilakukan. Langkah-langkah forensik tidak didelegasikan kepada AI.

9. Lapisan verifikasi teknis apa yang paling andal saat menganalisis email yang dicurigai sebagai phishing dan bagaimana cara mengonfirmasinya?

A) SPF/DKIM/DMARC menghasilkan header email; Dikonfirmasi dari judul aslinya, bukan dari ringkasan AI ✔
B) Warna dan font email; ditentukan oleh desain visual
C) Klik link mencurigakan di sistem live dan lihat halaman yang terbuka.
D) Kecerdasan buatan yang mengatakan 'phishing' saja sudah cukup sebagai bukti

Penjelasan: Hasil SPF/DKIM/DMARC pada header email merupakan indikator kuat apakah email tersebut benar-benar berasal dari domain yang diklaimnya; Jika ketiganya gagal dan pengirim memalsukan domainnya, kecurigaan menjadi lebih kuat. Namun, hal ini harus dikonfirmasi dari judul mentahnya dan bukan dari ringkasan AI. Selain itu, tautan mencurigakan tidak pernah diklik di sistem langsung.

10. Dalam tinjauan kode, AI menyarankan perbaikan kerentanan XSS dan mengatakan 'itu menutup kerentanan'. Apa yang harus dilakukan analis/pengembang?

A) Menganggap perbaikan tersebut dapat diandalkan dan langsung memproduksinya
B) Meninjau perbaikan, mengonfirmasi bahwa perbaikan benar-benar menutup kerentanan dan tidak menimbulkan kerentanan/bug baru, dan menulis pengujian; Baru kemudian masuk ke penyimpanan ✔
C) Karena dia tidak yakin, dia menulis ulang seluruh file ke kecerdasan buatan dan menggunakannya.
D) Menerapkan perbaikan tetapi lulus tanpa menulis tes apa pun

Penjelasan: Perbaikan yang disarankan oleh AI tidak secara otomatis aman; Ini mungkin tidak menutup kerentanan sepenuhnya, mungkin membersihkan lapisan yang salah, atau mungkin menimbulkan kerentanan/kesalahan fungsional baru. Setiap patch ditinjau, dievaluasi apakah patch tersebut benar-benar menutup kerentanan dan apakah patch tersebut menimbulkan masalah baru, dan kasus uji positif dan negatif ditulis; Baru setelah itu masuk ke gudang.

11. Saat menganalisis sebuah serangan, kecerdasan buatan mengatakan 'ini jelas merupakan pekerjaan kelompok APT-Dark Eagle'. Apa pendekatan yang tepat dalam hal intelijen ancaman?

A) Menerima referensi apa adanya dan menuliskannya dalam laporan sebagai 'pelaku pasti'
B) Dia membangun seluruh pertahanannya berdasarkan grup itu tanpa pernah mempertanyakan nama grup.
C) Menggunakan bahasa yang 'konsisten dengan teknik' daripada atribusi yang tepat, memverifikasi kelompok dalam sumber yang diketahui dan mempertimbangkan kemungkinan pemalsuan ✔
D) Kutipan selalu tidak diperlukan, tidak dipertimbangkan sama sekali

Penjelasan: Atribusi kelompok adalah bidang intelijen yang paling sulit dan paling tidak akurat; AI bahkan bisa membuat nama band yang tidak ada. Alih-alih referensi yang tepat, bahasa yang digunakan 'sesuai dengan teknik ini' dan nama kelompok dikonfirmasi dalam sumber intelijen yang diketahui. Selain itu, pertahanannya tidak didasarkan pada IOC yang berumur pendek namun pada deteksi TTP permanen.

12. Dalam draf laporan insiden, AI menuliskan kalimat 'penyerang kemungkinan besar berada di dalam selama tiga minggu dan mengambil data pelanggan'; padahal tidak ada bukti log konklusif yang mendukung klaim ini. Apa yang harus dilakukan analis?

A) Membiarkan kalimat apa adanya karena dramatis dan mengesankan
B) Meninggalkan kalimat tetapi menambahkan 'kecerdasan buatan tulis' di akhir
C) Mencetak ulang seluruh laporan ke kecerdasan buatan dan menandatanganinya tanpa memverifikasinya.
D) Mengoreksi klaim berdasarkan bukti; Membuat perbedaan antara 'mungkin/terbukti/sedang diselidiki' dan mengekstrak pernyataan pasti tanpa bukti ✔

Komentar: Dalam laporan keamanan formal, setiap klaim harus dibuktikan dan 'kemungkinan' tidak boleh disamakan dengan 'terbukti'. Klaim tanpa bukti mempunyai konsekuensi hukum, finansial, dan reputasi. Analis harus mengoreksi kalimat sesuai dengan bukti (misalnya, tulis tanggal akses pertama terdeteksi dan katakan 'tidak ditemukan bukti konklusif, penyelidikan sedang berlangsung' untuk kebocoran data).

13. Seorang manajer ingin membuat profil semua aktivitas seorang karyawan dari log keamanan dengan kecerdasan buatan untuk memahami apakah dia 'setia' atau tidak. Apa yang harus dilakukan oleh seorang profesional keamanan?

A) Menolak permintaan dan merujuknya ke saluran yang sesuai (HR/hukum/investigasi yang ditentukan); data keamanan bukan sarana pengawasan pribadi ✔
B) Membuat dan mengirimkan profil karena manajer memintanya
C) Ini hanya mengekstrak beberapa log dan memberikan sebagian profil
D) Memiliki profil yang dibuat oleh kecerdasan buatan karena tanggung jawabnya diserahkan kepada kecerdasan buatan

Deskripsi: Data keamanan dikumpulkan untuk tujuan keamanan; Pelacakan/profiling seseorang merupakan penyalahgunaan, berubah menjadi pengawasan pribadi dan melanggar KVKK. Pakar harus menolak permintaan ini dan merujuknya ke saluran yang sesuai (SDM, hukum, kerangka investigasi yang jelas dan sah). Niat baik atau keinginan manajer tidak membenarkan batasan ini.

14. SOC memutuskan langkah alur kerja keamanan mana yang akan diotomatisasi. Manakah prinsip terbaik untuk otomatisasi?

A) Keputusan dengan risiko tertinggi harus diotomatisasi terlebih dahulu sehingga tidak ada keterlibatan manusia
B) Langkah-langkah berisiko rendah/dapat dibatalkan dilakukan secara otomatis; langkah-langkah berisiko tinggi/yang tidak dapat diubah tetap ada di depan mata manusia dan setiap otomatisasi memiliki cara untuk membatalkannya ✔
C) Semua SOC harus sepenuhnya otomatis dan audit mandiri tidak diperlukan
D) Tindakan otomatis tidak perlu dibatalkan karena AI tidak melakukan kesalahan

Penjelasan: Langkah-langkah berisiko rendah, berulang, dan dapat dibalik (pengumpulan log, pengayaan alarm) dapat diotomatisasi; Langkah-langkah berisiko tinggi, tidak dapat diubah, dan memerlukan penilaian (isolasi server, patching produksi, pemberitahuan resmi) melewati pintu manusia. Selain itu, setiap tindakan otomatis harus memiliki kriteria yang sempit dan cara untuk membatalkannya. Otomatisasi tidak menghilangkan tanggung jawab, namun hanya mempercepatnya.