Sophos: 96% minder onderzoekstijd dankzij OpenAI Daybreak

Grensverleggende AI verandert cybersecurity aan beide kanten⁠(opent in een nieuw venster). Geavanceerde modellen kunnen verdedigers helpen dreigingen sneller op te sporen en te onderzoeken. Maar die mogelijkheden komen ook beschikbaar in modellen met open gewichten, waardoor aanvallers nieuwe manieren krijgen om kwetsbaarheden te ontdekken en sneller uit te buiten.

Sophos⁠(opent in een nieuw venster) is een van de bedrijven die hen tegenhouden. Het beschermt meer dan 625.000 organisaties in uiteenlopende sectoren en regio's. "We zien een enorme verscheidenheid aan aanvallen", zegt John Peterson, Chief Technology Officer van het bedrijf. "In de vier decennia dat we actief zijn in cybersecurity, hebben we een schat aan expertise opgebouwd om die te bestrijden."

Via OpenAI Daybreak combineert Sophos OpenAI-modellen met zijn eigen dreigingsinformatie, draaiboeken voor incidentrespons en beveiligingsexpertise. Het doel is niet simpelweg om analisten nog een hulpmiddel te geven. Het gaat erom de expertise van Sophos meer te laten betekenen voor elke klant die het bedrijf beschermt.

Centraal staat Sophos Fusion: het van de grond af op AI gebouwde cyberverdedigingssysteem van Sophos, waarvan Sophos Managed Detection and Response (MDR) deel uitmaakt. Het brengt sensorgegevens uit meer dan 500 integraties met externe systemen samen met gegevens uit de eigen producten van Sophos. Samen genereren die sensoren elke dag biljoenen gebeurtenissen. Daaruit destilleert Sophos zo'n 1.000 tot 2.000 incidenten die zijn negen security operations centers onderzoeken.

Agents die via Daybreak zijn gebouwd, hebben de afhandeling van die incidenten veranderd. Een onderzoeksagent verzamelt voor elk incident de klantcontext, detecties, indicatoren van compromittering (IoC's) en relevante dreigingsinformatie. Een planningsmodel zet vervolgens een cyclus van plannen, uitvoeren en beoordelen in gang: het stelt een onderzoeksplan op, voert de stappen uit en maakt een samenvatting met aanbevolen responsacties die analisten kunnen beoordelen. Andere agents kunnen delen van de respons uitvoeren.

Vóór Daybreak waren het onderzoek naar en de respons op een incident voornamelijk afhankelijk van menselijke expertise. Het bestaande proces van Sophos duurde gemiddeld ongeveer 38 minuten. Volgens Peterson presteerde het daarmee beter dan 96% van de professionele security operations centers.

Sophos geeft klanten zeggenschap over zijn MDR-dienst via drie werkwijzen:

• Informeren: Sophos onderzoekt het incident en adviseert over de aanpak, maar de klant onderneemt actie.

• Samenwerken: Sophos en de klant overleggen voordat er actie wordt ondernomen.

• Autoriseren: Sophos kan rechtstreeks namens de klant ingrijpen.

Dezelfde grenzen gelden, ongeacht of het werk door een mens of een agent wordt uitgevoerd. Sophos gebruikt automatisering om snel te handelen en de tijd van analisten beter te benutten. Maar acties die schade kunnen aanrichten, vereisen nog steeds passend menselijk toezicht.

"Alles wat we niet met een gerust hart aan een agent kunnen overlaten, wordt doorgestuurd voor menselijke beoordeling", bevestigt Peterson.

• De gemiddelde responstijd voor incidenten waarbij agents worden ingezet, is teruggebracht van circa 38 minuten naar 89 seconden.

• Sophos kan 52% van de MDR-incidenten volledig met AI afhandelen, binnen grenzen die door Sophos-analisten zijn afgestemd.

• Klanten profiteren van sneller en consistenter onderzoek.

• Sophos kan de rekencapaciteit opschalen zonder afhankelijk te zijn van een evenredige toename van schaars cybersecuritypersoneel.

• Analisten kunnen zich weer richten op de dreigingen, uitzonderingen en beslissingen waarbij hun expertise het meeste verschil maakt.

Volgens Peterson blijft Sophos de mogelijkheden van zijn agents uitbreiden. "De mogelijkheden om in te grijpen worden steeds geavanceerder, en we gaan de agents die we hebben gebouwd voor meer toepassingen inzetten."

Zijn advies aan andere beveiligingsverantwoordelijken is eenvoudig: "Als zij morgen één ding zouden moeten doen, is het de aandacht echt weer richten op de basis van de beveiliging van hun organisatie", zegt hij. "Daar hoort natuurlijk ook het installeren van patches bij. Maar patches verhelpen alleen kwetsbaarheden die bij de leverancier bekend zijn."

Het antwoord is vasthouden aan "een gelaagde beveiligingsaanpak", met endpointbeveiliging, multifactorauthenticatie (MFA), netwerksegmentatie en een sterke operationele beveiliging. "Kwetsbaarheden worden in een alarmerend tempo ontdekt en op ongekende schaal uitgebuit. Daarom denk ik dat het nu belangrijker is dan ooit om de basis goed op orde te hebben."