Sophos skraca czas analizy zagrożeń o 96% z OpenAI Daybreak

Pionierska AI zmienia cyberbezpieczeństwo po obu stronach⁠(otwiera nowe okno). Zaawansowane modele mogą pomagać zespołom obrony szybciej wykrywać i analizować zagrożenia. Te możliwości pojawiają się jednak również w modelach o otwartych wagach, dając atakującym nowe sposoby odkrywania luk i szybszego ich wykorzystywania.

Sophos⁠(otwiera nowe okno) to jedna z firm, które stają im na drodze, chroniąc ponad 625 000 organizacji z różnych sektorów i regionów. „Obserwujemy ogromną różnorodność ataków” — mówi John Peterson, dyrektor ds. technologii w firmie. „Przez cztery dekady działalności w branży cyberbezpieczeństwa zdobyliśmy rozległą wiedzę o tym, jak je zwalczać”.

W ramach OpenAI Daybreak Sophos łączy modele OpenAI z własnymi danymi o zagrożeniach, procedurami reagowania i wiedzą z zakresu bezpieczeństwa. Celem nie jest po prostu udostępnienie analitykom kolejnego narzędzia. Chodzi o to, by wiedza Sophos przekładała się na jeszcze skuteczniejszą ochronę każdego klienta.

Podstawą tych działań jest Sophos Fusion — zaprojektowany od podstaw z myślą o AI system cyberobrony Sophos, który obejmuje usługę Sophos Managed Detection and Response (MDR). Łączy on dane z czujników pochodzące z ponad 500 integracji z rozwiązaniami innych dostawców oraz z własnych produktów Sophos. Łącznie czujniki te generują biliony zdarzeń dziennie, z których Sophos wyodrębnia około 1000–2000 przypadków do analizy w swoich dziewięciu centrach operacji bezpieczeństwa.

Agenci stworzeni w ramach Daybreak zmienili sposób obsługi tych przypadków. Agent analityczny gromadzi dla każdego przypadku informacje o sytuacji klienta, wykrytych zagrożeniach, wskaźnikach naruszenia bezpieczeństwa (IoC) oraz istotne dane o zagrożeniach. Następnie model planujący uruchamia cykl planowania, wykonania i weryfikacji: tworzy plan analizy, realizuje kolejne kroki i przygotowuje podsumowanie z zalecanymi działaniami zaradczymi do oceny przez analityków. Inni agenci mogą wykonywać część działań zaradczych.

Przed wdrożeniem Daybreak analiza przypadku i reagowanie opierały się przede wszystkim na wiedzy specjalistów. Dotychczasowy proces Sophos zajmował średnio około 38 minut — według Petersona był to wynik lepszy niż w 96% profesjonalnych centrów operacji bezpieczeństwa.

Sophos zapewnia klientom kontrolę nad usługą MDR dzięki trzem trybom działania:

• Powiadamianie: Sophos analizuje przypadek i zaleca sposób reakcji, ale to klient podejmuje działania.

• Współpraca: Sophos i klient wspólnie ustalają działania przed ich podjęciem.

• Upoważnienie: Sophos może reagować bezpośrednio w imieniu klienta.

Te same ograniczenia obowiązują niezależnie od tego, czy pracę wykonuje człowiek, czy agent. Sophos wykorzystuje automatyzację, by działać szybko i lepiej wykorzystywać czas analityków, ale potencjalnie destrukcyjne działania nadal wymagają odpowiedniego nadzoru człowieka.

„Wszystko, czego nie jesteśmy gotowi powierzyć agentowi, przekazujemy do oceny człowiekowi” — potwierdza Peterson.

• Skrócenie średniego czasu reakcji w przypadkach obsługiwanych przez agentów z około 38 minut do 89 sekund.

• Możliwość rozwiązywania przez Sophos 52% przypadków MDR od początku do końca za pomocą AI, w granicach wyznaczonych przez analityków firmy.

• Szybsza i bardziej spójna analiza zagrożeń dla klientów.

• Możliwość zwiększania mocy obliczeniowej zamiast proporcjonalnego zwiększania zatrudnienia trudno dostępnych specjalistów ds. cyberbezpieczeństwa.

• Ponowne skupienie uwagi analityków na zagrożeniach, wyjątkach i decyzjach, w których ich wiedza ma największe znaczenie.

Peterson zapowiada, że Sophos będzie nadal rozszerzać możliwości swoich agentów. „Możliwości reagowania będą coraz bardziej zaawansowane, a my będziemy poszerzać zakres zastosowań stworzonych przez nas agentów”.

Jego rada dla innych liderów ds. bezpieczeństwa jest prosta: „Jedną rzeczą, którą liderzy ds. bezpieczeństwa powinni zrobić już jutro, jest ponowne skupienie się na podstawach bezpieczeństwa w swojej organizacji” — mówi. „Obejmuje to oczywiście instalowanie poprawek. Ale poprawki zawsze będą usuwać tylko te luki, które są znane dostawcy”.

Rozwiązaniem jest utrzymywanie „wielowarstwowego podejścia do bezpieczeństwa”, obejmującego ochronę urządzeń końcowych, uwierzytelnianie wieloskładnikowe, segmentację sieci i skuteczne działania operacyjne w zakresie bezpieczeństwa. „Luki są odkrywane w alarmującym tempie i wykorzystywane na niespotykaną dotąd skalę. Dlatego uważam, że solidne zadbanie o podstawy jest dziś ważniejsze niż kiedykolwiek”.