Sophos מקצרת חקירת איומים ב-96% בעזרת OpenAI Daybreak

frontier AI משנה את עולם הסייבר בשני צידי המתרס⁠(נפתח בחלון חדש). מודלים מתקדמים יכולים לעזור לצוותי הגנה לאתר איומים ולחקור אותם מהר יותר. אבל היכולות האלה מתפשטות גם למודלים עם משקולות פתוחות, ומעניקות לתוקפים דרכים חדשות לגלות חולשות ולנצל אותן מהר יותר.

Sophos⁠(נפתח בחלון חדש) היא אחת החברות שעומדות בדרכם, ומגינה על יותר מ-625,000 ארגונים במגזרים ובאזורים שונים. "אנחנו רואים מגוון עצום של מתקפות", אומר ג'ון פיטרסון, סמנכ"ל הטכנולוגיות של החברה. "בארבעת העשורים שבהם אנחנו פועלים בתחום אבטחת הסייבר, צברנו מומחיות נרחבת בהתמודדות איתן."

באמצעות OpenAI Daybreak, חברת Sophos משלבת את המודלים של OpenAI עם מודיעין האיומים, נוהלי התגובה ומומחיות האבטחה שלה. המטרה אינה רק לתת לאנליסטים עוד כלי. המטרה היא להפיק יותר מהמומחיות של Sophos לטובת כל לקוח שהחברה מגינה עליו.

בלב המהלך נמצאת Sophos Fusion, מערכת הגנת הסייבר של Sophos שנבנתה מלכתחילה על בסיס בינה מלאכותית וכוללת את שירות הזיהוי והתגובה המנוהלים של Sophos ‏(MDR). המערכת מרכזת נתוני חיישנים מיותר מ-500 חיבורים למערכות צד שלישי, לצד המוצרים של Sophos עצמה. יחד, החיישנים האלה מפיקים טריליוני אירועים מדי יום. Sophos מסננת ומרכזת אותם לכ-1,000 עד 2,000 אירועים לחקירה בתשעת מרכזי תפעול האבטחה שלה.

סוכנים שנבנו במסגרת Daybreak שינו את אופן הטיפול באירועים האלה. סוכן חקירה אוסף עבור כל אירוע את המידע הרלוונטי על הלקוח, ממצאי הזיהוי, סמני הפריצה (IoCs) ומודיעין האיומים הרלוונטי. לאחר מכן, מודל תכנון יוצר מחזור של תכנון–ביצוע–סקירה: הוא בונה תוכנית חקירה, מבצע את שלביה ומפיק סיכום עם פעולות תגובה מומלצות לבחינת האנליסטים. סוכנים אחרים יכולים לבצע חלק מפעולות התגובה.

לפני Daybreak, חקירת אירוע והתגובה אליו הסתמכו בעיקר על מומחיות אנושית. התהליך הקיים של Sophos ארך כ-38 דקות בממוצע — ביצועים שלדברי פיטרסון עלו על אלה של 96% ממרכזי תפעול האבטחה המקצועיים.

Sophos מעניקה ללקוחות שליטה בשירות ה-MDR שלה באמצעות שלושה מצבי פעולה:

• הודעה: Sophos חוקרת את האירוע וממליצה על תגובה, אך הלקוח הוא שמבצע אותה.

• שיתוף פעולה: Sophos והלקוח עובדים יחד לפני שננקטת פעולה.

• מתן הרשאה: Sophos יכולה להגיב ישירות בשם הלקוח.

אותן מגבלות חלות בין שהעבודה נעשית בידי אדם ובין שבידי סוכן. Sophos משתמשת באוטומציה כדי לפעול במהירות ולנצל טוב יותר את זמנם של האנליסטים, אך פעולות שעלולות לגרום נזק עדיין מחייבות פיקוח אנושי ברמה המתאימה.

"כל דבר שאנחנו לא מרגישים בנוח להפקיד בידי סוכן מועבר לשיקול דעת אנושי", מאשר פיטרסון.

• זמן התגובה הממוצע לאירועים המטופלים באמצעות סוכנים התקצר מכ-38 דקות ל-89 שניות.

• Sophos יכולה כעת לטפל ב-52% מאירועי ה-MDR מתחילתם ועד סופם באמצעות בינה מלאכותית, במסגרת מגבלות שהגדירו האנליסטים שלה.

• הלקוחות נהנים מתהליך חקירה מהיר ועקבי יותר.

• Sophos יכולה להרחיב את משאבי המחשוב במקום להסתמך על גידול מקביל בכוח האדם בתחום הסייבר, שקשה לגייסו.

• האנליסטים חוזרים להתמקד באיומים, בחריגים ובהחלטות שבהם המומחיות שלהם חשובה במיוחד.

פיטרסון אומר ש-Sophos תמשיך להרחיב את יכולות הסוכנים שלה. "יכולות התגובה ימשיכו להשתכלל, ואנחנו נרחיב את מגוון המשימות שעליהן אנחנו נותנים מענה באמצעות הסוכנים שבנינו."

העצה שלו למנהלי אבטחה אחרים פשוטה: "הדבר האחד שמנהלי אבטחה צריכים לעשות כבר מחר הוא לחזור ולהתמקד ביסודות האבטחה של הארגון שלהם", הוא אומר. "זה כולל כמובן התקנת תיקוני אבטחה. אבל תיקוני אבטחה יכולים לתת מענה רק לחולשות שמוכרות לספק."

התשובה היא לשמור על "גישת אבטחה רב-שכבתית", הכוללת הגנה על תחנות קצה, אימות רב-גורמי (MFA), חלוקת הרשת למקטעים ומערך תפעול אבטחה איתן. "חולשות מתגלות בקצב מדאיג ומנוצלות בהיקף שלא ראינו מעולם. לכן אני חושב שהקפדה על היסודות חשובה היום יותר מאי פעם."