Sophos: 96% по-малко време за разследване с OpenAI Daybreak
С OpenAI Daybreak Sophos съчетава авангарден ИИ с експертни познания по киберсигурност, за да разследва заплахи по-бързо и да защитава клиентите си в голям мащаб.
89 секунди
средно време за реакция при случаи, обработвани с ИИ агенти
96%
намаление на времето за разследване с модели на OpenAI
52%
от случаите по MDR се разрешават от начало до край от ИИ
Авангардният ИИ променя киберсигурността и за двете страни(отваря се в нов прозорец). Усъвършенстваните модели могат да помогнат на защитниците да откриват и разследват заплахи по-бързо. Но тези възможности навлизат и в моделите с отворени тегла, като дават на нападателите нови начини да откриват уязвимости и да ги използват по-бързо за атаки.
Sophos(отваря се в нов прозорец) е една от компаниите, които им противодействат, защитавайки над 625 000 организации в различни сектори и региони. „Наблюдаваме огромно разнообразие от атаки“, казва Джон Питърсън, главен технологичен директор на компанията. „За четири десетилетия работа в киберсигурността натрупахме задълбочени експертни познания за борбата с тях.“
Чрез OpenAI Daybreak Sophos съчетава моделите на OpenAI със собствените си разузнавателни данни за заплахи, процедури за реакция и експертни познания в областта на сигурността. Целта не е просто да се даде още един инструмент на анализаторите. Тя е експертните познания на Sophos да носят още по-голяма полза на всеки клиент, който компанията защитава.
„Sophos осигурява специализираните познания и практическия опит за борба с атаките в голям мащаб. Програми като Daybreak и компании като OpenAI осигуряват авангарден ИИ, който ни позволява да прилагаме тези специализирани познания в по-голям мащаб, за да подкрепяме всички наши клиенти.“
В основата е Sophos Fusion — системата за киберзащита на Sophos, изградена изцяло около ИИ, която включва услугата за управлявано откриване и реагиране Sophos Managed Detection and Response (MDR). Тя обединява данни от сензори чрез над 500 интеграции с външни решения, както и от собствените продукти на Sophos. Заедно тези сензори генерират трилиони събития всеки ден, които Sophos отсява и обобщава в приблизително 1000 до 2000 случая за разследване от деветте си центъра за операции по сигурността.
Агентите, изградени чрез Daybreak, промениха начина, по който се обработват тези случаи. Агент за разследване събира за всеки случай контекст за клиента, засечени заплахи, индикатори за компрометиране (IoC) и относими разузнавателни данни за заплахи. След това модел за планиране създава цикъл „планиране–изпълнение–преглед“: изготвя план за разследване, изпълнява стъпките и съставя обобщение с препоръчани мерки за реакция, които анализаторите да прегледат. Други агенти могат да изпълняват част от мерките за реакция.
Преди Daybreak разследването и реакцията по даден случай зависеха предимно от експертните познания на хората. Дотогава процесът в Sophos отнемаше средно около 38 минути — резултат, който според Питърсън е по-добър от този на 96% от професионалните центрове за операции по сигурността.
„Сега, благодарение на агентите, които успяхме да изградим чрез програмата Daybreak, средното време за реакция при случаите, обработвани с тях, спадна до около 89 секунди. Обработката на около половината от случаите ни вече е автоматизирана чрез агенти, които разработихме с моделите на Daybreak.“
Sophos дава на клиентите контрол върху услугата си MDR чрез три режима на работа:
Уведомяване: Sophos разследва случая и препоръчва мерки, но клиентът предприема действията.
Сътрудничество: Sophos и клиентът работят заедно, преди да бъдат предприети действия.
Упълномощаване: Sophos може да реагира директно от името на клиента.
Същите ограничения важат независимо дали работата се извършва от човек, или от агент. Sophos използва автоматизация, за да действа бързо и да оползотворява по-добре времето на анализаторите, но потенциално разрушителните действия все така изискват подходящо ниво на човешки надзор.
„Всичко, което не сме спокойни да поверим на агент, се предава за човешка преценка“, потвърждава Питърсън.
Средното време за реакция при случаи, обработвани с агенти, е намалено от около 38 минути на 89 секунди.
Sophos вече може да разрешава 52% от случаите по MDR от начало до край с ИИ, в рамките на ограничения, прецизирани от анализаторите на компанията.
Клиентите получават по-бързи разследвания с по-постоянно качество.
Sophos може да увеличава изчислителните си ресурси, вместо да разчита на съответен ръст на броя на дефицитните специалисти по киберсигурност.
Вниманието на анализаторите отново е насочено към заплахите, изключенията и решенията, при които експертните им познания са най-важни.
Питърсън казва, че Sophos ще продължи да разширява възможностите на своите агенти. „Възможностите за реакция ще продължат да се усъвършенстват, а ние ще разширяваме кръга от задачи, които решаваме с изградените от нас агенти.“
„Програми като Daybreak ни дават възможност да останем крачка пред нападателите.“
Съветът му към другите ръководители по сигурността е прост: „Ако трябва да направят едно нещо още утре, то е отново да се съсредоточат върху основите на сигурността в своята организация“, казва той. „Това, разбира се, включва прилагане на корекции. Но корекциите винаги ще отстраняват само уязвимости, които са известни на доставчика.“
Решението е да се поддържа „многослоен подход към сигурността“, който включва защита на крайните устройства, многофакторно удостоверяване (MFA), сегментиране на мрежата и ефективни операции по сигурността. „Уязвимостите се откриват с тревожна скорост и се използват за атаки в невиждан досега мащаб. Затова смятам, че днес е по-важно от всякога да прилагаме добре основните мерки за сигурност.“
