من أفضل ممارسات البحث إلى عمليات الأمن الذكية: كيف يعيد Google Security Operations تشكيل نموذج تحليل SOC

في العمل اليومي لمركز عمليات الأمن (SOC)، كثيرًا ما يُنظر إلى البحث على أنه عملية أساسية — حيث يُدخل المحلل كلمات مفتاحية، ويصفّي السجلات، وينتقل بين السياقات. ولكن عندما تنمو كميات البيانات بمعدلات أسية وتتغير نواقل التهديد باستمرار، لم يعد البحث مجرد أداة استعلام، بل أصبح قدرة جوهرية تحدد ما إذا كان فريق الأمن قادرًا على اكتشاف الحالات الشاذة في مرحلة مبكرة من سلسلة الهجوم.

حدّثت Google Security Operations (المعروفة سابقًا باسم Chronicle) مؤخرًا وثيقة "Search best practices" (أفضل ممارسات البحث). ورغم أنها تبدو كدليل لاستخدام المنتج، فإن وضعها في سياق موجة الأمن السيبراني وتحوّل الذكاء الاصطناعي إلى منصات يكشف عن إشارات صناعية ضمنية تتجاوز بكثير الحيل التشغيلية.

معضلة البحث وسط طوفان البيانات الأمنية

تنتج المؤسسات الحديثة يوميًا عدة تيرابايتات من السجلات الأمنية، بدءًا من أحداث نقاط النهاية ومرورًا بحركة مرور الشبكة، ومن المصادقة إلى تدقيق السحابة. تعتمد أنظمة SIEM التقليدية على الفهرسة ومطابقة الكلمات المفتاحية، ومع نمو حجم البيانات غالبًا ما تعاني من تأخر في الاستعلام، وارتفاع في التكاليف، وزيادة في معدلات النتائج الإيجابية الخاطئة. ويجد المحللون أنفسهم مضطرين للمفاضلة بين "سرعة البحث" و"عمق البيانات".

يعتمد نهج Google على إعادة بناء منطق البحث من الأساس. يتمثل جوهره في UDM (نموذج البيانات الموحد، Unified Data Model)، الذي يربط السجلات الأولية من مئات المصادر بحقول موحدة. وهذا يعني أن البحث لم يعد يعتمد على التنسيقات الخاصة بكل منتج، بل يعتمد على استعلامات دلالية تستند إلى كيانات وأحداث وخط زمني موحّد. وتوجّه أفضل الممارسات المذكورة في الوثيقة المحللين إلى كيفية استخدام هذا النموذج الموحد لبناء منطق بحث فعال ومستدام.

أما العائد المباشر من التقييس فهو قابلية إعادة استخدام البحث. فعند ظهور مؤشر اختراق (IOC) ما، يمكن للمحلل البحث فورًا عبر جميع مصادر البيانات بدلًا من التنقل بين مصادر السجلات واحدًا تلو الآخر. وهذه القدرة حاسمة في التحقيق في الحوادث — فكل دقيقة تُختصر من متوسط زمن البقاء تقلل من الخسائر المحتملة.

من "البحث" إلى "الكشف": المنطق المتقدم لـ YARA-L

في إطار Google Security Operations، لا يُعد البحث إجراءً معزولًا، بل يرتبط ارتباطًا وثيقًا بقواعد الكشف. YARA-L هي لغة قواعد كشف أطلقتها Google، وتسمح لفرق الأمن بتحويل أنماط البحث إلى منطق كشف في الوقت الفعلي. وبخلاف الاستعلامات اللاحقة المجردة، تتيح YARA-L استمرار عمل البحث على تدفقات البيانات، بحيث يُطلق التنبيه فور حدوث التهديد.

تذكّر وثيقة أفضل الممارسات المستخدمين بأن البحث لا ينبغي أن يتوقف عند التحقق من المعلومات الاستخباراتية، بل ينبغي أن يتبلور بشكل أعمق ليصبح قواعد كشف. وهذا في جوهره يدفع فرق الأمن من "الاستجابة السلبية" نحو "الاصطياد الاستباقي". فالبحث التقليدي يجيب عن سؤال "ماذا حدث؟"، بينما تجيب قواعد الكشف عن "ما الذي قد يحدث في المستقبل؟". وهذا التحول بالغ الأهمية لنضج مركز عمليات الأمن (SOC).كما يدمج محرك الكشف لدى Google معلومات التهديدات، مما يتيح للبحث الاستفادة من السياق الخارجي. على سبيل المثال، عند ظهور عنوان URL معيّن في السجلات، يستطيع النظام ربطه تلقائيًا بدرجة معلومات التهديدات. هذا التكامل يرفع البحث من مجرد استعلام بيانات معزول إلى قرار تحليلي مبني على رؤية عالمية للتهديدات.

دخول الذكاء الاصطناعي: تحول نموذج التعاون بين Gemini والمحللين

تدمج Google Security Operations الذكاء الاصطناعي Gemini بعمق في عمليات الأمن. وتحدد الوثيقة محتوى متخصصًا بعنوان “Gemini in Google SecOps”، يتضمن المساعدة داخل المنتج وأتمتة وكلاء الذكاء الاصطناعي وغير ذلك. وهذا يشير إلى أن البحث لم يعد يدويًا بالكامل؛ إذ أصبح الذكاء الاصطناعي “مساعدًا” للمحللين.

يتجلى تأثير الذكاء الاصطناعي على البحث في ثلاثة مستويات:

أولاً، البحث باللغة الطبيعية. لا يحتاج المحللون إلى إتقان صيغ استعلام معقدة؛ يمكنهم وصف المشكلة بلغة يومية، ويحوّلها الذكاء الاصطناعي إلى منطق البحث الأساسي. وهذا يخفض حاجز الدخول بشكل كبير، ويحرر المحللين الخبراء من التفاصيل المعقدة لضبط الصيغ.

ثانيًا، جعل كشف الحالات الشاذة أكثر ذكاءً. يستطيع الذكاء الاصطناعي تلقائيًا تحديد السلوكيات المنحرفة عن خط الأساس، ويقترح بشكل استباقي اتجاهات بحث على المحللين. وهذا يوسع نطاق البحث من “تأكيد التهديدات المعروفة” إلى “اكتشاف التهديدات غير المعروفة”.

ثالثًا، تنسيق الاستجابة الآلي. تذكر الوثيقة “agentic automation” — حيث يمكن لوكلاء الذكاء الاصطناعي تنفيذ عمليات البحث تلقائيًا في ظل ظروف محددة، وربط السياقات، وحتى تفعيل إجراءات الاستجابة. وهذا يعني أن بعض مسارات التحقيق لم تعد تعتمد على التعمّق اليدوي التدريجي، بل يتولى الذكاء الاصطناعي الاستدلال الأولي، ثم يتخذ المحللون البشر القرار النهائي.

هذا التحول لا يعني استبدال المحللين، بل يرتقي بأدوارهم: من باحثين يدويين إلى مشرفين على الذكاء الاصطناعي وصنّاع قرار. وسينتقل محور التنافس في عمليات الأمن من القدرة على تشغيل الأدوات إلى القدرة على الحكم على مخرجات الذكاء الاصطناعي.

التحول إلى منصة: من أدوات مستقلة إلى نظام تشغيل للبيانات الأمنية

يكشف هيكل وثائق Google Security Operations عن استراتيجية منتجاتها: ربط البيانات، وكشف التهديدات، وإدارة الحالات، وأتمتة السيناريوهات، والمساعدة بالذكاء الاصطناعي، لتغطية دورة حياة عمليات الأمن بالكامل. ومن الواضح أن هذا ليس دور أنظمة SIEM التقليدية، بل هو منصة — نظام تشغيل موحّد للبيانات الأمنية.

البحث هو مركز هذه المنصة. سواءً تعلق الأمر بقواعد الكشف أو التحقيقات في الحالات أو وكلاء الذكاء الاصطناعي، فجميعها يعتمد في النهاية على طبقة بحث موثوقة وفعالة. تدمج Google البنية التحتية للبحث مع نموذج البيانات بشكل عميق، لتجعلها قاعدة مشتركة لجميع الوظائف الأمنية. تتمثل ميزة هذا التصميم المعماري في أن البيانات تحتاج إلى ربطها مرة واحدة فقط، ثم يمكن إعادة استخدامها عبر وحدات متعددة مثل الكشف والتحقيق والاستجابة.من منظور اتجاهات الصناعة، ليست Google مثالًا معزولًا. منصات مثل Microsoft Sentinel وCrowdStrike تعزز أيضًا بحيرات البيانات وقدرات الاستعلام لديها. تشهد صناعة الأمن تحولًا من «تكديس الأدوات» إلى «تكامل المنصات». وفي ظل هذا الاتجاه، لم تعد أفضل ممارسات البحث مجرد دليل تشغيلي للمحللين، بل أصبحت معيارًا مرجعيًا مهمًا للمؤسسات عند تقييم اختيار المنصات الأمنية.

منظور طويل المدى: البحث كبنية تحتية رقمية لعمليات الأمن

عند استعراض تاريخ الحوسبة، ليس البحث مجرد بوابة للإنترنت فحسب، بل يتحول أيضًا إلى البنية التحتية الأساسية لأمن المؤسسات. أفضل ممارسات البحث في Google Security Operations، وإن بدت ظاهريًا تهدف إلى تحسين كفاءة الاستعلام، فإنها تعكس في العمق ثلاثة تغييرات طويلة المدى:

• تتحول بيانات الأمن من «تكلفة تخزين» إلى «أصل استراتيجي»، ومن يتمكن من استخراج الرؤى من البيانات بشكل أسرع، يحصل على ميزة دفاعية.
• يدفع الذكاء الاصطناعي عمليات الأمن من «كثيفة العمالة» إلى «كثيفة المعرفة»، ويتحول دور المحلل من منفذ إلى صانع قرار.
• سيشكل التحول إلى المنصات والتوحيد القياسي أساسًا للجيل القادم من البنى الأمنية، وستحدد كل من نماذج البيانات المفتوحة ولغة البحث الموحدة كفاءة التعاون في النظام البيئي.

بالنسبة لمسؤولي الأمن في المؤسسات، فإن فهم هذه التغييرات لا يساعد فقط على تحسين عمليات SOC في الوقت الحالي، بل يهيئهم أيضًا للاستعداد لتطور البنى الأمنية في المستقبل. وعندما يصبح البحث نفسه جزءًا من نظام ذكي، فإن نموذج عمليات الأمن يُعاد تعريفه أيضًا.