AI Təhlükəsizlik və Kiber Müdafiə İdarəetmə

Giriş: Təhlükəsizlik niyə artıq «reaksiya» deyil, idarəetmə

Hücumlar sürətli, paylanmış və avtomatlaşdırılmışdır. Log və alert analizinin insan sürəti artıq yetişmir. Təhlükəsizlik AI konturu xam telemetriya axınını idarə olunan həllərə çevirir: anomaliyaları aşkar edir, mühitlər arasında siqnalları birləşdirir (bulud/enpoints/identity/network), səbəbləri izah edir və avtomatik olaraq cavab tədbirlərini yerinə yetirir - qovşağın təcrid olunmasından tutmuş siyasət və SOC bildirişlərinin yenilənməsinə qədər.

1) Məlumatlar: AI-kiber müdafiə təməli

Kimlik və giriş: autentifikasiya, MFA, imtiyazların dəyişdirilməsi, provizinq, giriş uğursuzluqları, davranış izləri.

Son nöqtələr (EDR/XDR): proseslər, başlanğıc ağacları, şəbəkə/disk əlaqələri, inyeksiyalar, antivirus verdict.

Şəbəkə və perimetri: NetFlow/PCAP, DNS/HTTP, proxy, WAF/CDN, telemetri VPN/ZTNA.

Buludlar və SaaS: API zəng nəzarət, IAM rolları, konfiqurasiya (CSPM), serverless/konteynerlər (K8s audit), saxlama.

Kod və təchizat zənciri: anbarlar, CI/CD log, SCA/SAST/DAST nəticələri, artefaktların imzaları.

Poçt və kollab alətləri: məktublar, əlavələr, linklər, reaksiyalar, chat hadisələri (razılıqla).

Intel TiFeed/Threat: güzəşt göstəriciləri, taktika/texnika (TTP matrisi), kampaniyalar.

Prinsipləri: vahid event bus, normallaşma və deuplikasiya, sərt sxemlər (OpenTelemetry/OTEL-oxşar), PII minimallaşdırılması, heşləmə/tokenizasiya.

2) Fici: «şübhə» kodlamaq üçün necə

UEBA əlamətləri: istifadəçi/host/xidmət üçün «normal» sapma (vaxt, geo, cihaz, giriş qrafiki).

Proses zəncirləri: uyğun olmayan başlanğıc ağacları, «living off the land», qəfil şifrələyicilər.

Şəbəkə şablonları: gec hərəkətlər (lateral), beacons, birdəfəlik domenlər, TSL anomaliyaları, DNS tunelləşdirmə.

Kimlik və hüquqlar: eskalasiyalar, interaktiv girişli xidmət hesabları, «normadan daha geniş» icazələr.

Cloud/DevOps: açıq baketlər, təhlükəli sirlər, IaC sürüklənməsi, manifestlərdə şübhəli dəyişikliklər.

Poçt/sosial mühəndislik: BEC-patternlər, «reply chain», domen look-alikes, spear-fişinq.

Əlaqələr qrafiki: kim kiminlə/nə ilə ünsiyyət qurur, hadisələrdə hansı artefaktlar təkrarlanır, hansı düyünlər - «körpülər».

3) Model təhlükəsizlik yığını

Qaydalar və əlamətlər: determinik qadağalar, tənzimləyici siyasətlər, IOC uyğunluqları - birinci xətt.

Unsupervised anomalizm: isolation forest, autoencoder, One-Class SVM UEBA/şəbəkə/buludlar - «bilinməyən» tutmaq üçün.

Supervised-scoring: BEC/ATO-keys (əsas hədəf - PR-AUC, precision @k) və alert prioritetləşdirilməsi üçün gücləndiricilər/logreq/ağaclar.

Sıra: Müvəqqəti nümunələr üçün RNN/Transformer (lateral movement, C2-beacons, kill chain).

Qrafik-analitika: komponentlər/qeydlər/proseslər icmaları, mərkəzlər, link prediction - təchizat zəncirləri və gizli əlaqələr üçün.

Generative Assist: Alert/Timeline zənginləşdirmək üçün GPT ipuçları (yalnız «kopilot» kimi, «həlledici» kimi deyil).

XAI: SHAP/sürroqat qaydaları → «nə/harada/niyə/nə etməli» ilə izah edilə bilən səbəblər.

4) Orchestration & Response: SOAR «zel ./sarı ./qırmızı.»

Yaşıl (aşağı risk/yanlış müsbət): səbəblər log ilə avtomatik bağlanması, filtrlərin öyrənilməsi.

Sarı (şübhə): avtomatik zənginləşdirmə (VirusTotal-oxşar, TI-fayllar), karantin faylı/əlavələr, MFA-çağırış, SOC-də bilet.

Qırmızı (yüksək risk/təsdiqlənmiş): qovşaq/sessiyaların izolyasiyası, məcburi şifrə-reset, tokenlərin geri çağırılması, WAF/IDS bloku, sirlərin rotasiyası, CSIRT/komplayens bildirişi, «ransomware/BEC/ATO» playbukunun işə salınması.

Bütün hərəkətlər və giriş məlumatları audit trail-ə yerləşdirilir (giriş → fiçlər → skorinqlər → siyasət → fəaliyyət).

5) AI ilə Zero Trust: kimlik - yeni perimetr

Kontekst giriş: istifadəçinin/cihazın risk sürəti ZTNA həllərinə qarışır: haradasa işə salırıq, haradasa MFA istəyirik, haradasa bloklayırıq.

Siyasət-kimi-kod: məlumatlara/sirlərə/daxili xidmətlərə çıxışı deklarativ şəkildə təsvir edirik; CI/CD-də validasiya.

Mikroseqmentasiya: kommunikasiya qraflarına əsaslanan şəbəkə siyasətlərinin avtomatik təklifi.

6) Buludlar və konteynerlər: «konfiqurasiya kimi təhlükəsizlik»

CSPM/CIEM: Modellər konfiqurasiyaların sürüklənməsini, IAM-ın «həddindən artıq» rollarını, ictimai resursları tapır.

Kubernetes/Serverless: anormal imtiyazlar, şübhəli sidecar 'lar, imzasız şəkillər, pod şəbəkə fəaliyyətində sıçrayışlar.

Supply Chain: SBOM-a nəzarət, artefaktların imzası, asılılıq zəifliklərinin izlənməsi, həssas yola daxil olduqda xəbərdarlıq.

7) E-mail və sosial mühəndislik: ÇƏKI/fişinq/ATO

NLP radarı: ton, anormal ödəniş sorğu şablonları/rekvizitləri, domen/göstərilən adın dəyişdirilməsi.

Kontekstlə yoxlama: CRM/ERP ilə yoxlama (kontragent/məbləğ/valyuta icazə verilir), inam zəncirinin sürəti.

Avtomatik hərəkətlər: «sıxmaq» yazışmalar, out-of-band təsdiq sorğusu, oxşar məktubları qeyd etmək, linki geri götürmək.

8) Hadisələr ransomware və lateral movement

Erkən əlamətlər: kütləvi rename/şifrələmə, CPU/IO sıçrayışı, qonşuların skan edilməsi, şübhəli AD hesabları.

Cavab: seqmentin izolyasiyası, SMB/WinRM-in bağlanması, snapshotların geri çəkilməsi, açarların geri çəkilməsi, IR komandasına bildiriş, bərpa üçün «qızıl görüntü» hazırlanması.

XAI-taymline: başa düşülən hekayə «ilkin giriş → eskalasiya → yan hərəkət → şifrələmə».

9) Yetkinlik və keyfiyyət metrikası

TTD/MTTD: aşkar vaxt; MTTR: cavab vaxtı; TTK: «qətl» zəncirindən əvvəl vaxt.

Qeyd olunan hadisələrdə Precision/Recall/PR-AUC; «Yaşıl» profillərdə FPR (saxta həyəcanlar).

Attack Path Coverage: TTP ilə əhatə olunmuş ssenari kitabxanası payı.

Patch/Config Hygiene: kritik boşluqlar/drift bağlanmasına qədər orta vaxt.

User Trust/NPS: hərəkətlərə etimad (xüsusilə kilidlərə və MFA çağırışlarına).

Cost to Defend: avtomatik zənginləşdirmə/playbook hesabına hadisə üçün azaldılmış SOC saatı.

10) AI-kiber müdafiə arxitekturası

Ingest & Normalize (log-kollektorlar, agentlər, API) → Data Lake + Feature Store (online/oflayn) → Detection Layer (rules + ML + sequences + graph) → XDR/UEBA → SOAR Decision Engine (zel ./sarı ./qırmızı.) → Action Fabric (EDR/WAF/IAM/K8s/Email/Proxy) → Audit & XAI → Dashboards & Reports

Paralel: Threat Intel Hub, Compliance Hub (siyasətlər/hesabatlar), Observability (metriklər/treyslər), Secret/SBOM Service.

11) Gizlilik, etika və uyğunluq

Data Minimization: məqsəd üçün lazım olduğu qədər yığırıq; güclü təxəllüs.

Şəffaflıq: fich/model/eşik sənədləşdirilməsi, versiya nəzarəti, həllərin təkrarlanabilirliyi.

Fairness: geo/cihazlar/rollar üzrə sistematik yerdəyişmənin olmaması; müntəzəm bias auditləri.

Yurisdiksiyalar: regionlar üçün fiç bayraqları və müxtəlif hesabat formatları; bölgədə məlumatların saxlanması.

12) MLOps/DevSecOps: AI olmadan intizam «dağılır»

Dataset/fich/model/eşik və onların lineage versiyası.

Paylama və kalibrləmə driftinin monitorinqi; kölgə qaçışları; sürətli rollback.

Infrastruktur testləri: log/itki/gecikmələrin xaos mühəndisliyi.

CI/CD-də codice siyasəti, kritik təhlükəsizlik reqressiyalarında stop qapıları.

Sintetik hücumlar və qırmızı komandalar üçün «Qum qutuları».

13) Yol xəritəsi (90 gün → MVP; 6-9 ay → yetkinlik)

Həftələr 1-4: vahid ingest, normallaşma, əsas qaydalar və UEBA v1, top 5 ssenarilər üçün SOAR playbook, XAI izahatları.

5-8 həftələr: qrafik konturlar (qovşaqlar: hesablar/hostlar/proseslər/xidmətlər), sequence-detektorlar lateral movement, IAM/EDR/WAF ilə inteqrasiya.

Həftələr 9-12: XDR-çapraz bulud end point, BEC/ATO modelləri, avtomatik izolyasiya, uyğunluq reportasiyaları.

6-9 ay: CSPM/CIEM, SBOM/Supply-chain, astanaların avtomatik kalibrlənməsi, qırmızı timinqlər və XAI-taymlar üzrə post-mortemlər.

14) Tipik səhvlər və onlardan necə qaçmaq olar

LLM-dən «sehr» gözləmək. Generativ modellər detektorlar deyil, köməkçilərdir. Onları XDR/UEBA-nın arxasına qoyun.

Modellərin kor həssaslığı. Kalibrləmə və guard metrik olmadan səs-küylə boğulacaqsınız.

Qrafik yoxdur. Fərdi siqnallar zəncir və kampaniyaları qaçırır.

XAI olmadan təhlükəsizlik və UX qarışdırın. İzahat olmadan kilidləmə etimadı sarsıdır.

DevSecOps yoxdur. Heç bir siyasət-kimi-kod və rollback hər hansı bir düzəliş istehsal pozur.

«Hər şeyi» yığın. Əlavə məlumatlar = risk və xərclər; minimal-enough seçin.

15) Cases «əvvəl/sonra»

BEC-cəhd: NLP anormal ödəniş sorğusunu qeyd edir, qrafik simulyator domenini məşhur kampaniya ilə əlaqələndirir → SOAR yazışmaları hold-a qoyur, out-of-band təsdiqini tələb edir, poçt şlüzündə domeni bloklayır.

Ransomware-erkən detal: surge rename + qeyri-standart proseslər + beacon → seqmentin izolyasiyası, SMB-nin bağlanması, snapşotların geri çəkilməsi, IR bildirişi, hücum addımları haqqında XAI hesabatı.

Şəxsiyyətə görə ATO: cihaz dəyişdirilməsi + geo, qəribə tokenlər → bütün sessiyaların məcburi logout, MFA-reset, son hərəkətlərin təhlili, sahibinə bildiriş.

Bulud sürüklənməsi: Terraform patch ilə IAM → avto-PR həddindən artıq rolunun ortaya çıxması, xidmət sahibinə xəbərdarlıq, kod kimi siyasət vasitəsilə yoxlama.

AI-təhlükəsizlik idarəetmə bir məhsul deyil, bir sistemdir: məlumat intizamı, izah edilə bilən modellər, avtomatlaşdırılmış playbook və Zero Trust prinsipləri. Aşkar sürəti, dəqiqlik və kalibrləmə, həllərin şəffaflığı və əməliyyat hazırlığını birləşdirə bilənlər qalib gəlirlər. Sonra kiber müdafiə reaktiv funksiyadan təşkilatın proqnozlaşdırıla bilən, yoxlanıla bilən bacarığına çevrilir.