SentinelOne: анализ вредоносного ПО за часы вместо недель
С OpenAI Daybreak SentinelOne сокращает анализ вредоносного ПО с недель до часов, что позволяет исследовать больше угроз.
8
Часов на обратную разработку вредоносного ПО вместо 4–6 недель
Обратная разработка сложной вредоносной программы может занять у ведущего исследователя в области безопасности от четырех до шести недель. Это кропотливая работа: исследователи разбирают программу, чтобы понять, как она себя ведет, и часто возвращаются к уже пройденным этапам по мере появления новых сведений. По словам Грегора Стюарта, директора по ИИ в SentinelOne, OpenAI Daybreak уже позволяет получать результаты обратной разработки на уровне работы человека примерно за восемь часов.
Сокращая время глубокого анализа, OpenAI дает исследователям SentinelOne возможность изучать больше вредоносных программ и сопоставлять результаты анализа разных образцов. Такой широкий охват часто выявляет связи, которые можно упустить при изучении отдельных образцов. Стюарт описывает эту возможность как «такой уровень понимания угроз, который мы раньше просто не могли себе позволить».
«То, на что у первоклассного исследователя ушло бы от четырех до шести недель, ИИ теперь делает примерно за восемь часов — с качеством на уровне человека».
Daybreak дает специалистам по защите доступ к моделям OpenAI для задач кибербезопасности. SentinelOne использует эти возможности для обратной разработки вредоносного ПО: специалисты изучают программы, чтобы понять их поведение. Ускоренный анализ позволяет исследователям компании изучать больше образцов.
Стюарт подчеркивает, что ответственность за результат по-прежнему несет его команда. «Единственное, что нельзя автоматизировать, — это ответственность», — говорит он. «Возьмем решение об изменении архитектуры. Здесь все же нужен контроль человека, а вот точечные исправления или изменения, которые не затрагивают фундаментальные принципы работы программы, могут лучше подходить для автоматизации», — добавляет он.
Раньше исследовательским командам SentinelOne приходилось ограничивать глубокий анализ самыми интересными или важными из обнаруженных угроз. «Мы могли проводить обратную разработку лишь очень небольшого числа программ», — говорит Стюарт. Чем меньше было образцов для сравнения, тем меньше было и возможностей заметить связи между угрозами.
«Ускорение обратной разработки позволяет нам изучать гораздо больше вредоносных программ и успевать отслеживать их изменения. Благодаря этому наши исследователи лучше понимают, как угрозы связаны между собой и как эти связи меняются».
Ускоренный анализ с помощью Daybreak дает исследователям больше возможностей сравнивать образцы вредоносного ПО и искать общие компоненты. Например, компонент, найденный в двух на первый взгляд не связанных образцах, может стать зацепкой при расследовании инцидента у клиента.
Сопоставление результатов анализа большего числа образцов также позволяет выявлять более широкие связи между угрозами. По словам Стюарта, понимание этих связей «помогло бы защищаться на более дальних подступах и чаще действовать на опережение».
По словам Стюарта, доступ к возможностям OpenAI в области кибербезопасности позволяет большему числу сотрудников SentinelOne брать на себя задачи по обеспечению безопасности. «Теперь почти всем доступны экспертные знания, которых остро не хватало, возможно, еще несколько месяцев назад», — говорит он. Больше сотрудников могут самостоятельно разбираться в проблемах, не полагаясь на узкий круг специалистов.
Стюарт хочет внедрить возможности OpenAI в области кибербезопасности в процесс написания кода, чтобы разработчики SentinelOne могли решать проблемы безопасности прямо в ходе разработки.
«OpenAI дает преимущество защитникам, предоставляя каждому в команде разработки экспертные возможности в области кибербезопасности».
