През по-голямата част от кариерата си наблюдавах как новите платформи за сигурност навлизат бавно в корпоративните програми, така че когато изкуственият интелект започна да се появява в инструментите за оперативно управление на сигурността, предположих, че ще последва същия път. Очаквах внедряването на ИИ в SOC (центровете за оперативна сигурност) да изостане от почти всяка друга категория технологии за сигурност, тъй като винаги бях разглеждал напрежението между бързото внедряване на иновации и спазването на строгите изисквания за съответствие като пречка.

В крайна сметка ИИ навлезе в SOC много по-бързо, отколкото очаквах, и причината е свързана най-вече с това как ИИ намали времето между откриването на заплахата и нейното въздействие. През последната година организациите, с които разговарях, направиха честна оценка на опашките си от сигнали за тревога, моделите си за осигуряване на персонал и часовете, които техните аналитици губят в повтаряща се работа по разследване. Те стигнаха до извода, че изчакването означава сигналите да останат неразследвани, а натрупването на необработени задачи да расте, докато атаsettingкуващите използват ИИ, за да действат все по-бързо.

Предположението, че ИИ не може да предприема действия

Едно от най-широко разпространените схващания в сферата на сигурността в момента е, че ИИ е полезен за обобщаване на сигнали и подпомагане на първоначалното сортиране (триаж), но не може да му се гласува доверие да предприема действия по реагиране в рамките на SOC. Това вярване имаше смисъл, когато първите инструменти даваха категорични отговори, без да показват доказателствата зад тях. Днес разговарям с все по-голям брой организации, които позволяват на ИИ да поеме по-голяма отговорност през целия жизнен цикъл на SOC. Най-ясно изразената разлика между тези екипи и скептиците се състои в стабилността и надеждността на данните, стоящи в основата на техния ИИ.

Екипите, които успяват да постигнат резултати, не предоставят пълна автономия от първия ден. Повечето започват с ИИ, действащ като асистент, който разследва сигнал, събира подкрепящите доказателства и препоръчва действие, което аналитикът да прегледа и одобри. Всяка стъпка се записва, така че процесът на вземане на решение да може да бъде одитиран впоследствие. С натрупването на поредица от точни заключения за категориите сигнали, които отнемат най-много време на аналитиците, тези екипи постепенно му позволяват да действа самостоятелно в рамките на предварително дефинирани от тях граници.

Invisible Technologies показва как се развива това доверие на практика. Техният свит екип по сигурност покрива откриването на измами, корпоративната сигурност и мониторинга на продукционната среда, като с добавянето на нови инструменти разследването на активността става все по-трудно за поддържане. Invisible внедрява Exaforce за денонощно покритие и сега платформата сортира сигналите на екипа, като свързва активността между тези системи и представя доказателствата зад всяко заключение, така че аналитиците да могат да проверят обосновката, вместо да я възстановяват сами.

В един от случаите Exaforce проследява подозрителна активност в един от машинните акаунти на Invisible в AWS до домашен IP адрес, принадлежащ на споделено работно пространство на служител — безобидно обяснение, което екипът успява да потвърди бързо, вместо да губи часове в разследване. Откакто приема Exaforce, Invisible съкращава средното време за разследване с 95 процента и освобождава ресурс, равняващ се на над шест служители на пълен работен ден всеки месец. Опитът на компанията отразява разбирането, че доверието произтича от системно точни, обясними констатации, които екипът може да валидира, позволявайки на малък екип да поеме много по-голям обем работа без увеличаване на щата.

Защо доверието зависи от основата на данните

Второто предположение, което бих оспорил, е, че специализираните модели на ИИ за сигурност са изградени по приблизително еднакъв начин. Основите под тях варират изключително много дори сред инструменти, които претендират, че решават абсолютно един и същ проблем. Някои продукти поставят голям езиков модел върху традиционен слой данни, проектиран за търсене и съхранение, а не за логически разсъждения, което принуждава модела да пресъздава връзките между идентичности, облачни ресурси, конфигурации и активност всеки път, когато разследва сигнал за тревога. Именно при тази реконструкция обикновено възникват грешки и непоследователни отговори.

Подходите, които печелят доверието на екипите по сигурност, са изградени върху основа от данни, проектирана специално да допълва ИИ — със семантичен граф на знанието (knowledge graph), който вече разбира как обектите в средата са свързани помежду си, заедно с бизнес контекста, позволяващ на модела да разсъждава върху факти, вместо да гадае. Графът на знанието е един от начините за предоставяне на такъв контекст, но общото изискване остава непроменено: ИИ се нуждае от достъп до надеждни, взаимосвързани и достатъчно актуални данни, за да подкрепи своите заключения. Сложната архитектура на данните сама по себе си не е гаранция за правилни решения.

За ръководителите по информационна сигурност (CISO), които оценяват ИИ за своя SOC, най-показателните въпроси са дали системата може да покаже доказателствата зад всяко заключение, до което достига, дали корелира непрекъснато данни за идентичност, облачни услуги, SaaS и крайни точки, и как се запазва качеството на отговорите ѝ, когато някой от източниците на данни липсва. Те трябва също така да попитат какво прави системата при противоречиви доказателства, как сигнализира за несигурност и дали липсващите данни я карат да спре действието, или да продължи въпреки това.

Какво трябва да направят CISO през следващите 12 до 18 месеца

Неотложността идва от атакуващите, които нямат ограничения за регулаторно съответствие и вече използват ИИ, за да съкратят времето между откриването на слабост и нейното експлоатиране. При неотдавнашна атака срещу държавни агенции в Азиатско-тихоокеанския регион изследователите откриха единичен оператор, управляващ няколко ИИ агента едновременно. Оттогава десетки технологични компании и компании за киберсигурност предупредиха в отворено писмо, че защитниците може да разполагат само с месеци, за да укрепят своите основи.

През следващите 12 до 18 месеца очаквам пренебрегването на ролята на софтуерните агенти в основите на сигурността да стане още по-рискован залог, тъй като работата в опашките за сигнали и натрупаните заявки ще трябва да се извършва със скорост и мащаб, отговарящи на темпото на киберпрестъпниците. Бих насърчил лидерите в сигурността да дадат приоритет на следното:

1. Разглеждайте известните уязвимости като активна изложеност на риск. Третирайте натрупването на известни софтуерни уязвимости и неправилно конфигурирани настройки като реална заплаха, а не като отложена поддръжка, тъй като прозорецът, необходим на атакуващ да ги открие и експлоатира, намалява с всяко ново поколение модели на ИИ.

2. Измервайте реалното време за реакция. Проследявайте колко време всъщност отнема на екипа да реагира на потвърдена заплаха в реално време, включително през нощта и през уикендите, и идентифицирайте кои стъпки от този процес могат безопасно да бъдат поверени на ИИ под човешки надзор.

3. Планирайте целенасочено търсене на заплахи (threat hunting). Превърнете проактивното търсене на заплахи в регулярно планирана практика, а не в дейност, която се случва само когато в опашката случайно няма натоварване — нещо, което става реалистично, когато рутинното сортиране и разследване спрат да поглъщат по-голямата част от времето на аналитиците.

4. Отстранете пропуските в данните. Направете одит на данните, постъпващи в SOC, и премахнете дефицитите във видимостта спрямо идентичности, облачни ресурси и SaaS, които биха оставили всяка ИИ система — или всеки човешки аналитик — да прави изводи въз основа на непълен контекст.

Да се окажа в грешка беше добрата новина

Да сгреша за темпото на внедряване на ИИ в оперативната сигурност се оказа една от по-окуражаващите изненади в моята кариера, защото отразява готовността на екипите по сигурност да признаят собствените си пропуски. Организациите, които ще извлекат най-голяма полза от тази промяна, са тези, които изграждат доверие целенасочено — чрез стъпване на ИИ върху солидна основа от данни, запазване на човешкия контрол върху решенията с най-големи последствия и разширяване на автономията единствено когато доказателствата я подкрепят.

За ръководителите по сигурността ИИ ускорява промените по-бързо от всяка друга технология преди него. Организациите, които ще запазят преднина, ще бъдат онези, които приемат ИИ в SOC, като същевременно задават правилните въпроси, изследват внимателно основите от данни зад всяка платформа и разграничават реалния оперативен ефект от медийния шум около изкуствения интелект. Правилният подход изисква целенасоченост: започване със солидни основи от данни, задаване на точните въпроси за контекст и оценяване на ИИ според крайните резултати, които предоставя.

Това е подходът, който изградихме около Exaforce, и това е подходът, който бих препоръчал на всеки CISO, който все още решава докъде и колко бързо да позволи на ИИ да действа в неговия SOC.