Штучний інтелект дедалі активніше використовується в роботі SOC (Security Operations Center) і MDR-команд: допомагає корелювати телеметрію, пріоритезувати сповіщення, скорочувати час на аналіз інцидентів і автоматизувати окремі дії реагування.
Однак сам по собі AI не вирішує базових проблем кібербезпеки. Якщо в організації є прогалини в телеметрії, некеровані кінцеві точки або недостатнє охоплення багатофакторною автентифікацією, AI працюватиме лише з тією інформацією, яку отримує.
Тому не варто очікувати, що AI повністю замінить SOC-аналітиків. Його ефективність залежить від того, наскільки якісні дані він отримує, чи має достатньо контексту та як його використовують фахівці.
Найбільшу користь від AI у SOC отримують організації, які вже мають необхідний фундамент: повну телеметрію, превентивний захист, контроль ідентичностей і налагоджені процеси реагування.
Компанії, які намагаються спочатку впровадити AI, не усунувши проблеми з видимістю, ризикують отримати лише швидшу обробку неповних даних.
Які завдання AI виконує в SOC?
AI уже суттєво змінив операційну роботу MDR-команд.
Раніше аналітикам доводилося вручну зіставляти події з десятків джерел. Тепер AI може швидко аналізувати ці дані, визначати пріоритетні сповіщення та за секунди формувати короткий опис інциденту, робота, яка раніше могла займати близько години.
AI також допомагає відсіювати зайві сповіщення, щоб аналітики могли зосередитися на подіях, які справді потребують їхньої уваги. Це особливо важливо для команд, які одночасно контролюють сотні середовищ.
У деяких чітко визначених ситуаціях AI може автоматично виконувати дії для стримування загрози, не очікуючи рішення аналітика.
Наприклад:
- ізолювати відому скомпрометовану кінцеву точку на основі конкретних поведінкових тригерів;
- ініціювати скидання пароля для скомпрометованого облікового запису;
- заблокувати виконання процесу, який відповідає встановленому поведінковому шаблону.
Такі дії підходять для автоматизації, оскільки вони виконуються за чітко визначеними правилами, а можливі наслідки помилки можна контролювати.
AI найкраще працює там, де є зрозумілий сценарій дій і не потрібно приймати складне рішення в умовах невизначеності.
Тому сьогодні AI у сучасному SOC найчастіше використовують для аналізу й доповнення даних, їх зіставлення, визначення пріоритетів та автоматичного реагування за наперед заданими сценаріями.
Чому ransomware важливо виявити ще до його запуску?
Запуск ransomware – це вже один із завершальних етапів атаки. До цього моменту зловмисник може годинами або навіть днями перебувати в корпоративному середовищі та поступово готувати атаку.
До запуску ransomware він може:
- отримати доступ до мережі;
- просканувати внутрішню інфраструктуру;
- знайти дані для доступу до облікових записів;
- отримати облікові дані;
- переміщуватися між системами;
- підготувати середовище до запуску ransomware.
Тому важливо виявити атаку якомога раніше, а не чекати моменту, коли шкідливий файл уже почне працювати та шифрувати дані.
Як це працює на практиці
В одному з інцидентів команда Bitdefender MDR виявила підозрілий запуск Advanced IP Scanner із тимчасового каталогу користувача.
Сам по собі Advanced IP Scanner не є шкідливою програмою. Його використовують і звичайні мережеві адміністратори. Тому окремо така подія могла не виглядати небезпечною.
Але команда SOC уже бачила подібний сценарій у попередніх ransomware-атаках: спочатку зловмисник отримував доступ через VPN, а потім запускав внутрішнє сканування мережі з нетипового розташування.
Саме така послідовність раніше зустрічалася під час атак Akira ransomware:
- доступ через VPN;
- сканування внутрішньої мережі;
- використання Remote Registry для доступу до областей системи, пов’язаних з обліковими даними;
- отримання облікових даних;
- переміщення між системами через RDP;
- запуск ransomware.
У цьому випадку атаку вдалося виявити вже на другому етапі під час внутрішнього сканування.
Початковий доступ був пов’язаний з експлуатацією SonicWall VPN. На основі досвіду попередніх розслідувань команда Bitdefender MDR ізолювала уражений хост і рекомендувала клієнту відключити зовнішній VPN-доступ, перевірити оновлення та змінити привілейовані облікові дані.
У результаті ransomware не було розгорнуто, а шкідливий файл взагалі не запустився.
Цей приклад показує, чому для SOC важливо бачити не лише окрему подію, а весь ланцюжок поведінки.
Коли аналітики багаторазово розслідують схожі атаки в різних середовищах, вони починають розпізнавати характерні ознаки ще до завершення атаки.
Такий самий принцип працює і з новішими методами соціальної інженерії, наприклад ClickFix, коли користувача спонукають самостійно виконати шкідливу команду.
Способи проведення атак можуть змінюватися, але окремі моделі поведінки зловмисників повторюються. Саме тому досвід попередніх інцидентів допомагає швидше розпізнавати нові атаки.
Чому сигнатурного виявлення недостатньо?
Сигнатурний захист працює на основі вже відомих ознак загроз. Проблема в тому, що зловмисники можуть почати активно використовувати нову вразливість раніше, ніж з’являться оновлені сигнатури та рекомендації від постачальників засобів безпеки.
Саме в таких ситуаціях особливо важливе поведінкове виявлення, аналіз не лише відомих сигнатур, а й підозрілих дій у системі.
18 липня 2025 року команда Bitdefender MDR виявила підозрілу активність на локальному сервері SharePoint. Йшлося про закодовані команди PowerShell, які використовувалися для спроби розгорнути шкідливий код у вебкаталозі SharePoint.
Пов’язані з цією активністю вразливості вже були відомі. Microsoft опублікувала інформацію про CVE-2025-49706 та CVE-2025-49704 ще 8 липня.
Однак на 18 липня ще не було поширеної інформації про те, що зловмисники вже активно використовують ці вразливості в атаках.
CISA оновила свої рекомендації 20 липня, а 22 липня Microsoft опублікувала матеріал про активну експлуатацію вразливостей локальних серверів SharePoint.
Пізніше Microsoft пов’язала ширшу кампанію з групами Linen Typhoon, Violet Typhoon і Storm-2603. У публічних матеріалах ця активність згодом отримала назву ToolShell.
Тобто Bitdefender MDR виявила підозрілу активність ще до того, як інформація про масштабну активну експлуатацію стала широко відомою.
У цьому і полягає перевага поведінкового підходу. Він дозволяє реагувати на підозрілі дії навіть тоді, коли для конкретної атаки ще немає готової сигнатури або детальних рекомендацій.
Такий період між появою інформації про вразливість і широким підтвердженням її активної експлуатації може тривати дні або тижні. Саме цим проміжком можуть користуватися зловмисники.
Коли рішення має приймати аналітик
AI може автоматизувати багато завдань у SOC, але не всі рішення варто передавати системі.
Якщо ситуація зрозуміла, а ризик помилки невисокий, AI може діяти автоматично. Але коли даних недостатньо або неправильне рішення може мати серйозні наслідки, потрібна участь аналітика.
Один із кейсів Bitdefender добре показує, чому це важливо.
AI проаналізував активність у системі та спочатку визначив її як імовірно звичайну адміністративну роботу. Використовувалися підписані файли Windows, а явних ознак запуску шкідливого ПЗ не було.
Проте аналітик звернув увагу на віддалений доступ до чутливих областей реєстру, пов’язаних з обліковими даними.
Такі дії можуть бути частиною звичайного адміністрування. Водночас вони можуть свідчити про спробу отримати облікові дані на ранньому етапі ransomware-атаки.
Ключовим стало питання: чи є така активність нормальною саме для цього середовища?
AI не мав достатньо інформації, щоб відповісти на нього. Аналітик, який знав особливості середовища клієнта, визначив, що така поведінка нетипова.
Інцидент було ескаловано, хост ізольовано, а ситуацію почали розглядати як активну спробу отримання облікових даних.
Цей приклад показує, як мають доповнювати один одного AI та фахівці SOC.
AI може швидко проаналізувати великий обсяг даних, відсіяти зайві сповіщення та провести початкову оцінку. Але коли для рішення потрібно розуміти контекст конкретного середовища, остаточне рішення має залишатися за аналітиком.
Тому майбутнє SOC – це не повна заміна фахівців штучним інтелектом, а використання AI як інструмента, який допомагає аналітикам працювати швидше та ефективніше.
Коли AI у SOC працює найефективніше?
Найбільшу користь від AI отримують організації, у яких уже налагоджені базові процеси кіберзахисту:
- збирається достатньо даних про події в інфраструктурі;
- використовується MFA;
- працюють превентивні засоби захисту;
- є налагоджені процеси реагування на інциденти;
- забезпечена видимість кінцевих точок.
У такому середовищі AI отримує достатньо даних для аналізу.
Це допомагає швидше обробляти події, визначати пріоритетні загрози та звільняє час аналітиків для ситуацій, де потрібні їхній досвід і оцінка.
Коли AI у SOC може бути менш ефективним?
AI складніше працювати ефективно, якщо в компанії ще не налагоджені базові процеси кіберзахисту.
Наприклад, якщо:
- частина систем не передає дані про події;
- MFA використовується не всюди;
- на кінцевих точках немає необхідних агентів захисту;
- не визначено, хто і як має реагувати на інциденти.
AI не може самостійно компенсувати відсутність цих даних або процесів.
Він аналізує лише ту інформацію, яку отримує. Якщо даних недостатньо, висновки теж можуть бути неповними, а аналітику доведеться приймати рішення без повного розуміння ситуації.
Кому AI допомагає більше, захисникам чи зловмисникам?
Однозначної відповіді на це питання поки немає.
У межах Bitdefender Cybersecurity Assessment 2026 було опитано 1 200 IT-фахівців і спеціалістів із кібербезпеки у шести країнах. 52,6% респондентів вважають, що AI сьогодні більше допомагає зловмисникам, ніж захисникам.
Водночас AI прискорює роботу з обох сторін.
Перевага MDR-команд полягає не лише в технологіях, а й у досвіді, який накопичується під час розслідування атак у різних середовищах.
Якщо команда вже бачила певний сценарій атаки в одного клієнта, ці знання можуть допомогти швидше розпізнати схожі ознаки в іншого.
Саме так попередній досвід допомагає виявляти атаку на ранніх етапах, ще до запуску ransomware.
AI у цьому процесі допомагає швидше аналізувати дані та знаходити схожі сценарії, але не замінює накопичений досвід команди.
Щоб AI у SOC працював ефективно, компанії все одно потрібна базова система захисту:
- достатній обсяг телеметрії;
- превентивний захист;
- послідовне використання MFA та контролю доступу;
- чітко визначені процеси реагування.
У такому середовищі AI справді може прискорити роботу SOC і допомогти аналітикам швидше реагувати на загрози.
Наприклад, під час атак Akira превентивні засоби захисту можуть ускладнити розвиток атаки ще на ранніх етапах. Якісна телеметрія дає AI та аналітикам більше інформації для аналізу, а MFA і контроль доступу ускладнюють подальше просування зловмисника в інфраструктурі.
Тому SOC і превентивний захист краще розглядати як частини однієї системи. SOC допомагає виявляти та аналізувати загрози, а превентивні засоби зменшувати можливості для розвитку атаки.
Потрібно оцінити, наскільки ваш SOC готовий до ransomware?
Фахівці Bitdefender допоможуть перевірити покриття телеметрією та кінцевими точками, оцінити превентивні рівні захисту й підібрати модель MDR під процеси вашої команди безпеки.
Залишити заявкуПершоджерело: Your AI SOC Won’t Catch Ransomware by Itself — Cristina Anghel, Senior Security Analyst & Team Lead, Bitdefender, 6 липня 2026 року.