Sophos і OpenAI Daybreak: на 96% менше часу на розслідування
З OpenAI Daybreak Sophos поєднує передовий ШІ зі знаннями й досвідом у кібербезпеці, щоб швидше розслідувати загрози та масштабувати захист клієнтів.
89 секунд
середній час реагування на інциденти із залученням ШІ-агентів
96%
скорочення часу розслідування завдяки моделям OpenAI
52%
інцидентів MDR повністю опрацьовує ШІ
Передовий ШІ змінює кібербезпеку по обидва боки протистояння(відкривається у новому вікні). Потужні моделі допомагають фахівцям із захисту швидше виявляти й розслідувати загрози. Але ці можливості з’являються й у моделях із відкритими вагами, даючи зловмисникам нові способи виявляти вразливості та швидше їх експлуатувати.
Sophos(відкривається у новому вікні) — одна з компаній, що протистоять їм, захищаючи понад 625 000 організацій у різних галузях і регіонах. «Ми спостерігаємо величезне розмаїття атак», — каже Джон Пітерсон, технічний директор компанії. «За чотири десятиліття роботи в галузі кібербезпеки ми накопичили великий досвід протидії їм».
Завдяки OpenAI Daybreak Sophos поєднує моделі OpenAI з власними даними кіберрозвідки, сценаріями реагування та знаннями й досвідом у сфері безпеки. Мета — не просто дати аналітикам ще один інструмент. Йдеться про те, щоб знання й досвід Sophos приносили більше користі кожному клієнту, якого компанія захищає.
«Sophos надає галузеві знання та практичний досвід для масштабної протидії атакам. Такі програми, як Daybreak, і такі компанії, як OpenAI, надають передовий ШІ, який дає нам змогу застосовувати ці знання в масштабах, потрібних для підтримки всіх наших клієнтів».
В основі цієї роботи — Sophos Fusion, система кіберзахисту Sophos, від початку побудована на ШІ, до складу якої входить Sophos Managed Detection and Response (MDR). Вона об’єднує дані сенсорів із понад 500 сторонніх інтеграцій і власних продуктів Sophos. Разом ці сенсори щодня генерують трильйони подій, з яких Sophos виділяє приблизно 1000–2000 інцидентів для розслідування у своїх дев’яти центрах операційної безпеки.
Агенти, створені в межах Daybreak, змінили підхід до опрацювання цих інцидентів. Агент із розслідування збирає для кожного інциденту контекстні дані про клієнта, спрацювання систем виявлення, індикатори компрометації (IoC) та відповідні дані кіберрозвідки. Потім модель планування запускає цикл «планування — виконання — перевірка»: складає план розслідування, виконує його кроки й готує підсумок із рекомендованими заходами реагування для перевірки аналітиками. Інші агенти можуть виконувати окремі заходи реагування.
До Daybreak розслідування інцидентів і реагування на них залежали переважно від знань і досвіду людей. За наявного процесу Sophos це займало в середньому близько 38 хвилин — за словами Пітерсона, цей результат був кращим, ніж у 96% професійних центрів операційної безпеки.
«Тепер завдяки агентам, яких ми змогли створити в межах програми Daybreak, середній час реагування на інциденти з їх залученням скоротився приблизно до 89 секунд. Близько половини наших інцидентів тепер автоматично опрацьовують агенти, розроблені нами на основі моделей Daybreak».
Sophos забезпечує клієнтам контроль над сервісом MDR завдяки трьом режимам роботи:
Сповіщення: Sophos розслідує інцидент і рекомендує заходи реагування, але діє сам клієнт.
Співпраця: Sophos і клієнт спільно узгоджують дії, перш ніж їх виконувати.
Делегування: Sophos може самостійно реагувати від імені клієнта.
Ці обмеження діють незалежно від того, хто виконує роботу — людина чи агент. Sophos використовує автоматизацію, щоб діяти швидко й ефективніше використовувати час аналітиків, але потенційно руйнівні дії й надалі потребують належного людського нагляду.
«Усе, що ми не наважуємося доручити агенту, передаємо на розгляд людині», — підтверджує Пітерсон.
Середній час реагування на інциденти із залученням агентів скоротився з приблизно 38 хвилин до 89 секунд.
Sophos отримала змогу повністю опрацьовувати 52% інцидентів MDR за допомогою ШІ в межах, визначених аналітиками компанії.
Клієнти отримують швидші розслідування зі стабільнішою якістю.
Sophos може нарощувати обчислювальні ресурси замість пропорційного розширення штату дефіцитних фахівців із кібербезпеки.
Аналітики знову зосереджуються на загрозах, виняткових ситуаціях і рішеннях, де їхні знання та досвід найважливіші.
За словами Пітерсона, Sophos і надалі розширюватиме можливості своїх агентів. «Можливості реагування ставатимуть дедалі досконалішими, а ми розширюватимемо коло завдань, які вирішуємо за допомогою створених нами агентів».
«Завдяки таким програмам, як Daybreak, ми маємо змогу залишатися на крок попереду зловмисників».
Його порада іншим керівникам із безпеки проста: «Якщо є щось, що керівникам із безпеки варто зробити вже завтра, — це знову зосередитися на базових заходах безпеки своєї організації», — каже він. «Звісно, це включає встановлення виправлень. Але виправлення завжди усуватимуть лише ті вразливості, про які відомо постачальнику».
Рішення — дотримуватися «багаторівневого підходу до безпеки», що охоплює захист кінцевих пристроїв, багатофакторну автентифікацію (MFA), сегментацію мережі та ефективну роботу служб безпеки. «Вразливості виявляють із тривожною швидкістю, а експлуатують їх у небачених раніше масштабах. Тож, на мою думку, сьогодні як ніколи важливо якісно виконувати базові заходи безпеки».
