(Blog) Kunstmatige intelligentie is een hot topic onder IT-beveiligingsprofessionals. Maar de vraag is wanneer AI eerder een obstakel dan een hulpmiddel wordt in een druk Security Operations Center (SOC). Voor veel SOC-analisten is dat het moment waarop chatgebaseerde AI hen ervan weerhoudt om dieper in de data van een mogelijk incident te duiken en snel het probleem bloot te leggen en op te lossen.
Door: Arthur Eyckerman, Director Solutions Architecture EMEA North
Met toegang tot logs, signalen en waarschuwingen, kunnen beveiligingsanalisten hun vaardigheden en ervaring optimaal inzetten. Wanneer zij echter alleen een chatvenster tot hun beschikking hebben, zijn ze afhankelijk van het formuleren van de juiste vragen en het doornemen van uitgebreide, gegenereerde antwoorden. Dat is frustrerend en kan de reactietijd vertragen bij een mogelijk tijdkritisch incident. Daarnaast kan het hoge kosten met zich meebrengen vanwege het aantal tokens die nodig zijn.
Een betere aanpak combineert antwoorden in tekstvorm met een live-interface. Hierin kunnen beveiligingsanalisten data verkennen, zonder dat zij een aparte API-laag, een ander tabblad of een nieuwe authenticatiestap nodig hebben. Het Model Context Protocol (MCP) kan deze koppeling ondersteunen door AI toegang te geven tot relevante tools en context. In plaats van voortdurend tussen verschillende tools te moeten schakelen, krijgen analisten hiermee een interactieve werkomgeving waarin zij rechtstreeks vanuit het gesprek data kunnen onderzoeken. Een goed geïntegreerde MCP-toepassing biedt verschillende interactieve dashboards die zich richten op verschillende functies van de SOC-werkstroom, zoals het prioriteren van waarschuwingen, het uitvoeren van ES|QL-query’s, het onderzoeken van bedreigingen en het beheren van cases.
In de dagelijkse praktijk kan een analist verdachte activiteit op een host onderzoeken, ook wanneer geen standaardwaarschuwing is geactiveerd. Na een vraag in het gesprek klikt de analist vanuit de tekstuele samenvatting door naar een interactief dashboard. Daar analyseert hij gerelateerde signalen en gedragingen tussen systemen, zonder opnieuw een prompt in te voeren. Zo kan afwijkend gedrag sneller worden geïdentificeerd en aangepakt.
Dit is een duidelijke verbetering ten opzichte van traditionele Security Information and Event Management (SIEM)-tools, die werken op basis van voorwaardelijke logica: als X wordt waargenomen, wordt eerst naar Y gezocht en vervolgens naar Z. Deze rigide structuur heeft moeite met aanvallen die zich over meerdere systemen verspreiden. Aanvalsdetectie via een MCP-app werkt fundamenteel anders. Een specifieke entiteit wordt geanalyseerd over een bepaalde periode en over meerdere databronnen heen. De bevindingen worden met elkaar gekoppeld, zonder dat voor elk mogelijk scenario vooraf een aparte regel hoeft te worden opgesteld.
Een gecombineerde aanpak
Nu de toepassing van AI binnen SOC’s steeds verder toeneemt, breidt ook het aantal verschillende aanpakken door analisten snel uit. Het gebruik van AI-copilots nam jaar-op-jaar met 145% toe en dat van AI-agents met 118%, zo blijkt uit het 2026 Maturity Report van SOC-CMM.
Bijna zes op de tien respondenten (57%) geven aan dat ze inmiddels een AI-strategie voor hun SOC hebben. Daarbij verschuift de nadruk van uitsluitend generatieve AI naar een meer gebalanceerde combinatie van LLM’s, copilots en geïntegreerde AI-mogelijkheden die samenwerken.
Om succesvol te zijn met deze gecombineerde aanpak, moeten organisaties bewust afstappen van omvangrijke omgevingen met losstaande IT-beveiligingstools. De volgende stap is één uniform platform, waarop alle logs, signalen en waarschuwingen samenkomen. Op deze manier ontstaat er een volledig en realtime beeld van alle activiteiten, gedragingen en meldingen binnen een IT-architectuur.
Als de aangeleverde data onvolledig of niet relevant zijn, kunnen de tools nog steeds functioneren, maar zullen ze waarschijnlijk gebrekkige resultaten opleveren. In plaats van betrouwbare en nauwkeurige antwoorden op basis van rijke contextuele reacties, kunnen de resultaten geloofwaardig lijken terwijl ze in werkelijkheid onvolledig of irrelevant blijken te zijn.
Wanneer organisaties de agent ook toegang geven tot hun eigen historische incidentdata, verandert de situatie. Het LLM kan dan op basis van eerdere succesvolle of mislukte pogingen redeneren over de beste manier om een probleem op te lossen. Deze aanpak maakt gebruik van Retrieval Augmented Generation (RAG), een techniek om de output van LLM’s te optimaliseren op basis van de historische gegevens van een organisatie, in plaats van op basis van een algemene interpretatie van wat bepaalde problemen doorgaans betekenen.
Optimaal gebruikmaken van SOC-vaardigheden en tijd
Het belangrijkste hierbij is dat het niet gaat om het volledig overdragen van de controle aan de machines, maar om het optimaal benutten van de tijd en vaardigheden van analisten. Met andere woorden, bij een MCP-app wordt de IT-beveiligingsanalist niet buiten het proces gehaald, maar juist in een leidende positie gebracht.
Hun werk is van nature visueel en interactief. Daarom is het logisch om SOC-analisten te beschikken over een dashboard dat zowel toegang biedt tot tekstgebaseerde prompts als tot mogelijkheden om correlaties, bevindingen en suggesties op een meer datagedreven manier te analyseren. Een goed geïntegreerde MCP-toepassing combineert informatie en advies met directe mogelijkheden om data verder te onderzoeken. Hierdoor ondersteunen de antwoorden een volledige workflow in plaats van alleen een tekstuele samenvatting te bieden. Zo kunnen analisten hun onderzoekswerk aanzienlijk versterken.