Abstract обяви нови възможности за центрове за сигурност (AI SOC) в своята автономна SIEM система: разследване, претърсване за заплахи (threat hunting) и триаж, задвижвани от комбинация от собствени обучени и фино настроени модели на Abstract и водещи базови модели, както и възможности за SOAR реагиране с действия, присвоени директно към правилата за откриване. Тези функционалности са вградени в платформата, която вече събира, маршрутизира и извършва засичане върху поточни данни за сигурност в реално време.

Екипите по сигурност са изправени пред автономни атаки, които се развиват с машинна скорост, докато техните собствени инструменти разпръскват реакцията между доставчик на конвейер за данни, SIEM, SOAR, поток за разузнаване на заплахи (threat intelligence) и добавен модул за триаж с изкуствен интелект. Десетки доставчици на AI SOC продават агенти, които работят върху предупрежденията на чужди системи и добавят още един договор към технологичния стек.

Abstract управлява целия цикъл на една платформа: над 400 интеграции захранват поточното засичане, работещо в реално време, преди данните да бъдат записани, констатациите се обединяват в аналитични прозрения на база субекти, а самият SIEM вече разследва, класифицира и реагира в същата равнина на данните.

Повечето AI решения, добавени към SOC, обогатяват едно и също предупреждение от нулата всеки път, когато го анализират. Конвейерът на Abstract изгражда слой от корпоративен контекст, който подготвя данните за AI още преди предупреждението да се задейства: събитията се нормализират и обогатяват в потока с контекст за самоличност, разузнаване на заплахи и активи. Тази нормализация предоставя на изкуствения интелект семантичния слой за сигурност, от който се нуждае, така че поле като „src“ никога да не се бърка между подателя на данните, хоста, отворил връзката, или вътрешния хост, който друг източник има предвид, а всяко разследване започва от контекст, на който платформата вече има доверие.

Автономната SIEM система обработва всяко предупреждение в опашката. Сигналите, които преди изтичаха по давност или бяха затваряни групово, за да се разчиства опашката, сега получават индивидуално разследване с приложени доказателства, а аналитиците преглеждат заключения вместо сурови предупреждения.

„Атакуващите използват изкуствен интелект, а прозорецът между първия сигнал и реалните щети продължава да намалява. Клиентите задават прост въпрос: какво беше обработено, какво беше спряно и мога ли да видя доказателствата“, заяви Колби Деродеф, главен изпълнителен директор на Abstract.

„Нашите модели съществуват, за да направят разследванията по-бързи и по-точни. Изкуственият интелект, прикрепен към SOC, обогатява всяко предупреждение от нулата по време на разследването; нашите започват от контекст за идентичност, разузнаване на заплахи и активи, който вече е в платформата. Експертизата на нашите изследователи по сигурността живее в моделите, моделите са в платформата, а платформата обработва всяко предупреждение в опашката. Това е, което доставяме.“

Новите възможности обхващат пълния цикъл на оперативната дейност по сигурност:

  • Разследване и триаж работят чрез комбинация от собствени патентовани, обучени и фино настроени модели на Abstract и водещи базови модели. Екипът за изследване на заплахи ASTRO обучава моделите на Abstract, вграждайки разузнавателните данни от реалния свят в изкуствения интелект на платформата и поддържайки разследванията актуални с най-новите заплахи, които екипът проследява на терен.
  • Класификация в реално време. Моделите на Abstract връщат решения за триаж в реално време, поддържайки темпото на анализа равно на това на потока от данни и задействайки действия за реагиране, докато активността все още е в ход.
  • Претърсване за заплахи (threat hunting) работи на същата равнина на данните като откриването и разследването, обхващайки данни за идентичност, облачни среди, крайни точки, SaaS и мрежови данни, които вече преминават през платформата.
  • SOAR възможности. Автоматизираното реагиране е вградено в платформата, като действията по изолиране, обогатяване и известяване се задействат в момента, в който дадено правило за засичане съвпадне.
  • Разследванията, които Astro изпълнява, включват засичане чрез данни за заплахи, анализ на агенти на крайни точки, анализ на вътрешни рискове, триаж на фишинг и подозрителна поща, както и анализ на облачни атаки.

„Нашите аналитици прекарваха дните си в потвърждаване, че нормалните събития са нормални“, каза директорът по операции по сигурността във водеща здравноосигурителна компания. „Разследванията на Abstract вече правят този преглед на цялата опашка с ясно изложени доказателства, а екипът отделя времето си за малкото случаи, които изискват намеса на човек.“

Докато базовите модели, обучени върху отворения интернет, носят широки познания и непотвърдена увереност, моделите на Abstract основават всяка оценка на валидирания опит на екипа на ASTRO в областта на заплахите, така че заключенията отразяват начина, по който атаките действително протичат, а не как се описват в публични публикации. Базовите модели поемат задълбочения анализ на случаите, които го изискват, като се запазва пълната следа от доказателства.

„Когато преминахме към автономната SIEM на Abstract, успяхме да автоматизираме над 60% от нашите работни процеси в SOC, включително 100% от триажа на ниво 1“, заяви CISO на глобална организация за финансови услуги.

„Повечето договори за SIEM са като токсична връзка, която екипите на SOC искат да прекратят, но, както се казва, „сложно е“. Обемът на данните се тарифира, сметката расте, а сигналите все още чакат с часове за аналитик, докато машина би могла да ги обработи“, каза Джон Елър, главен директор по приходите в Abstract.

„Abstract покрива процеса от край до край: конвейер, засичане, хранилище за данни (data lake), SIEM и вече самото разследване. За следващите ни 100 клиенти правим раздялата лесна. Изпратете ни текущата си сметка за SIEM, ние ще предложим по-ниска цена, ще я фиксираме за три години и ще ви предоставим 30 дни в реална работна среда, преди да подпишете.“