Elastic пропонує автоматизувати обробку тисяч сповіщень про кіберзагрозиКомпанія Elastic розширює можливості своєї платформи Elastic Security, інтегруючи до неї систему автономних ШІ-агентів AlertZero, покликану зменшити навантаження на фахівців із кібербезпеки.
Нова технологія орієнтована на одну з головних проблем сучасних центрів моніторингу безпеки — стрімке збільшення кількості автоматичних сповіщень про підозрілу активність.
Корпоративні системи захисту щодня генерують значні обсяги повідомлень про потенційні загрози, однак далеко не кожне з них свідчить про реальну атаку. Через велику кількість хибнопозитивних спрацьовувань аналітики змушені витрачати час на перевірку інцидентів, які не становлять небезпеки.
Ситуацію ускладнює те, що кількість повідомлень зростає швидше, ніж можливості компаній збільшувати штат спеціалістів. Водночас кіберзлочинці дедалі активніше використовують штучний інтелект для автоматизації атак.
AlertZero має змінити підхід до опрацювання таких даних. Замість самостійного перегляду тисяч необроблених сповіщень аналітики отримуватимуть коротший перелік потенційно важливих інцидентів із рекомендаціями щодо подальших дій.
Кожен висновок ШІ-агентів супроводжуватиметься доказами, на підставі яких система визначила рівень загрози.
Чотири типи ШІ-агентів відповідатимуть за різні етапи кіберзахистуВ основі AlertZero лежить архітектура, побудована навколо спеціалізованих груп агентів, які компанія називає Watches.
Кожна група виконує визначений набір завдань і може запускатися за певними подіями або відповідно до встановленого розкладу.
TriageWatch — первинна перевірка загроз. Аналізує сповіщення, збирає додаткові дані, оцінює достовірність інцидентів та відокремлює хибні спрацьовування від реальних загроз. Підозрілі випадки передаються для подальшого розслідування.
Hunt Watch — активний пошук атак. Постійно аналізує інформацію про безпеку, щоб знаходити приховані загрози та підозрілу активність, яку могли не виявити стандартні механізми захисту.
DetectionWatch — вдосконалення правил виявлення. Аналізує результати роботи інших агентів і пропонує коригування надто чутливих правил, а також створення нових механізмів виявлення загроз. Зміни до правил не вносяться без погодження людини.
ForensicsWatch — цифрова криміналістика. Допомагає проводити поглиблені розслідування, аналізувати шкідливе програмне забезпечення та встановлювати можливі шляхи експлуатації вразливостей.
Результати роботи всіх чотирьох груп об’єднуються у спільному файлі розслідування, що дозволяє аналітикам отримувати цілісну картину інциденту.
Такий підхід має зменшити дублювання роботи та прискорити ухвалення рішень під час реагування на потенційні кібератаки.
Аналітики зможуть самостійно визначати рівень автономності ШІОднією з особливостей AlertZero стане можливість налаштовувати рівень самостійності кожної групи агентів.
Організації зможуть визначати, які завдання система виконуватиме автоматично, а які вимагатимуть перевірки або погодження спеціалістів.
Генеральний менеджер напряму безпеки Elastic Майк Ніколс наголосив, що розробники враховували практичний досвід роботи аналітиків центрів моніторингу кібербезпеки.
За його словами, фахівці, які створювали AlertZero, добре знайомі з повсякденними завданнями SOC, тому система розроблялася з урахуванням реальних робочих процесів.
ШІ-агенти також зможуть адаптуватися до практик конкретної команди, враховуючи її підходи до перевірки сповіщень і розслідування інцидентів.
Водночас остаточний контроль за критичними рішеннями залишатиметься за спеціалістами. Зокрема, DetectionWatch не змінюватиме правила виявлення загроз без відповідного дозволу.
AlertZero працюватиме з різними ШІ-моделями та в ізольованих мережахНа відміну від рішень, орієнтованих на використання однієї конкретної мовної моделі, AlertZero підтримуватиме різні системи штучного інтелекту.
Аналітики зможуть змінювати модель навіть під час розслідування, обираючи інструмент відповідно до характеру завдання та наявних доказів.
Це дозволить організаціям використовувати різні моделі для первинного аналізу сповіщень, складніших розслідувань або роботи з технічною документацією.
Elastic також передбачила кілька варіантів розгортання системи.
AlertZero підтримуватиме роботу в хмарній інфраструктурі Elastic Cloud, у середовищах, якими організації керують самостійно, а також у повністю ізольованих мережах без прямого підключення до інтернету.
Останній варіант особливо важливий для підприємств і державних установ, які працюють із конфіденційною інформацією та мають підвищені вимоги до захисту даних.
Компанії зможуть створювати власних агентів для кібербезпекиAlertZero побудована на технологіях, які вже використовуються в екосистемі Elastic, зокрема Attack Discovery та мові запитів ES|QL.
Крім того, компанія дозволить клієнтам розширювати функціональність платформи за допомогою Elastic Workflows та Agent Builder.
Agent Builder — це набір інструментів для створення власних ШІ-агентів на базі Elasticsearch, який дозволяє організаціям адаптувати автоматизовані процеси до специфіки своїх інформаційних систем.
Завдяки цьому підприємства зможуть розробляти додаткові сценарії реагування, інтегрувати власні джерела даних і створювати спеціалізовані механізми аналізу загроз.
Розробники розраховують, що впровадження агентної автоматизації дозволить аналітикам зосередитися на складних інцидентах, замість того щоб витрачати більшу частину робочого часу на перевірку однотипних повідомлень.
Водночас компанія поки не оприлюднила кількісних результатів щодо скорочення часу реагування або зменшення частки хибних спрацьовувань після використання AlertZero.
