Центърът за операции по сигурността (SOC), който винаги сме познавали, е изграден около модел, който гарантира, че по-голямата част от опашката с предупреждения никога няма да бъде прегледана от анализатор. Никога няма време. В традиционния SOC типичното развитие следва добре познат модел: пристига предупреждение; системата за откриване му присвоява степен на сериозност. След това проблемът чака човек да реши дали той трябва да бъде ескалиран до разследване.
Предвид обема на мрежовата телеметрия в стека за сигурност, опашката е неизбежен резултат от използването на хора като разследващо ниво. Дългите опашки с предупреждения също така принуждават екипите за сигурност да решават кои сигнали да анализират, още преди да знаят какво всъщност представляват тези сигнали.
Търсенето на заплахи (threat hunting) винаги е адресирало въпросите за сигурността чрез алтернативен подход: започва се с хипотеза за поведението на атакуващия, претърсват се наличните доказателства и след това тя се доказва или опровергава. Тази последователност е мощна, но се сблъсква със същата стена: човешкия капацитет.
Операциите по сигурността, базирани на автономни агенти (agentic security operations), променят тази парадигма.
Центровете SOC, които се изграждат в момента, се основават на агенти с изкуствен интелект и могат да провеждат разследвания по-бързо – за секунди или минути, вместо за часове. Но повишената скорост не е единствената промяна. Последователността на разследването също получава надграждане. Тъй като агентите бързо анализират телеметрия в голям обем, те могат да обърнат модела на опашката от предупреждения: първо разследват, а след това ескалират въз основа на доказателства.
Разследването, водено от хипотези и улеснено от AI агенти, е навлизащ подход за подобряване на откриването на заплахи и намаляване на повърхността за атака. SOC, управляван от хипотези (вместо от опашки), е мащабируем, когато е достатъчно евтин за непрекъснато изпълнение, премествайки хората от извършване на разследването към оценяване на неговия резултат.
Агентите могат да разследват веднага щом се появи сигнал: да валидират откриването, да изследват съпътстващата мрежова активност, да профилират засегнатия обект, да вземат предвид историческото поведение, да съпоставят свързана активност и да съберат допълнителни доказателства от данните.
Разследването вече не трябва да се бори за вниманието на анализатора. Агентите могат да работят асинхронно, да провеждат множество разследвания паралелно и да връщат резултати, подкрепени с доказателства.
Работните процесове за триаж, базирани на агенти, използват структурирани сценарии за разследване (playbooks) за изследване на дълбока мрежова телеметрия и издаване на вердикти, подкрепени от данни. Този работен процес не води само до по-бърз триаж; това означава, че повече сигнали могат да бъдат разследвани, без да се консумират човешки ресурси. Агентът премахва стъпката на ръчно разследване, използвайки по-широк набор от мрежови данни, преди случаят да достигне до анализатор.
Търсене на заплахи в машинен мащаб
По-интересната възможност е това, което се случва преди и отвъд предупреждението.
Търсенето на заплахи не трябва да започва с „какво беше открито?“. То може да започне с „какво прави атакуващият?“.
Разгледайте следните хипотези. Един атакуващ може да:
- Използва необичаен протокол за командване и управление (C2)
- Се придвижва странично (lateral movement) чрез услуги за отдалечено администриране
- Комуникира със системи, които нямат легитимна причина за комуникация
- Използва техника, проектирана да остане под съществуващите прагове за откриване
Всяко от тези действия предполага забележимо поведение. Мрежовият трафик предоставя доказателства, които могат да подкрепят или опровергаят хипотезата и да установят дали откритият сигнал има реално значение.
Задвижваното от AI търсене на заплахи, водено от хипотези, не замества откриването на заплахи; то използва мрежови доказателства, за да тества и разшири проверимите открития. Мрежовата телеметрия се превръща в основа на разследването.
Ето как изглежда търсенето на заплахи, когато агентите могат да стартират много разследвания паралелно.
Агентите могат да разследват, преди да има сигурност
Реалното предимство на разследването с агенти е, че агентът не се нуждае от сигурност, преди да започне.
Разследването с агенти може да проследи слаб сигнал, да тества хипотеза и да спре, когато доказателствата не я подкрепят. Бизнес предимството: то може да коригира своята хипотеза и да повтори цикъла, по-бързо от всеки човешки анализатор.
- Кои взаимовръзки заслужават проучване?
- Какви доказателства подкрепят хипотезата?
- Какви допълнителни доказателства биха намалили несигурността?
- Кога доказателствата са заслужили вниманието на човек?
Резултатът е допълнително разследващо ниво между мрежовата активност, откриването и потвърдените заплахи. Повечето разследвания могат да приключат без човешка намеса; случаите, които заслужават ескалация, пристигат с приложени доказателства и контекст.
Моделът на SOC с изкуствен интелект изглежда различно от управлявания от хора SOC. Вместо:
Предупреждение → опашка → анализатор → разследване → решение
Моделът за валидиране на предупреждения с агенти става:
Предупреждение → опашка → машинно разследване → доказателства → човешка преценка
Традиционният модел за търсене на заплахи изглежда така:
Телеметрия → сигнал → анализатор → хипотеза → разследване → решение
Моделът с агенти, базиран на хипотези, вече е:
Телеметрия → сигнал → хипотеза → машинно разследване → доказателства → човешка преценка
В рамките на тези нови модели резултатът е по-голям обхват на разследванията без пропорционално увеличение на капацитета на анализаторите:
- По-ниска цена на разследване: агентите поемат събирането и анализа на доказателства
- По-голямо покритие на заплахите: SOC може да разследва повече потенциални атаки