Elastic представила AlertZero: ИИ-агенты будут автоматизировать анализ кибератак и проверку угроз

Elastic предлагает автоматизировать обработку тысяч уведомлений о киберугрозах

Компания Elastic расширяет возможности своей платформы Elastic Security, интегрируя в нее систему автономных ИИ-агентов AlertZero, призванную снизить нагрузку на специалистов по кибербезопасности.

Новая технология ориентирована на одну из главных проблем современных центров мониторинга безопасности – стремительное увеличение количества автоматических уведомлений о подозрительной активности.

Корпоративные системы защиты ежедневно генерируют значительные объемы сообщений о потенциальных угрозах, однако далеко не каждое из них свидетельствует о реальной атаке. Из-за большого количества ложноположительных срабатываний аналитики вынуждены тратить время на проверку инцидентов, не представляющих опасности.

Ситуацию усложняет то, что количество сообщений растет быстрее, чем возможности компаний увеличивать штат специалистов. В то же время киберпреступники все активнее используют искусственный интеллект для автоматизации атак.

AlertZero должен изменить подход к обработке таких данных. Вместо самостоятельного пересмотра тысяч необработанных уведомлений аналитики будут получать более короткий перечень потенциально важных инцидентов с рекомендациями по дальнейшим действиям.

Каждое заключение ИИ-агентов будет сопровождаться доказательствами, на основании которых система определила уровень угрозы.

Четыре типа ИИ-агентов будут отвечать за разные этапы киберзащиты

В основе AlertZero лежит архитектура, построенная вокруг специализированных групп агентов, которые компания называет Watches.

Каждая группа выполняет определенный набор задач и может запускаться по определенным событиям или в соответствии с установленным расписанием.

TriageWatch – первичная проверка угроз. Анализирует оповещения, собирает дополнительные данные, оценивает достоверность инцидентов и отделяет ложные срабатывания реальных угроз. Подозрительные случаи передаются для дальнейшего расследования.

Hunt Watch – активный поиск атак. Постоянно анализирует информацию о безопасности, чтобы найти скрытые угрозы и подозрительную активность, которую могли не выявить стандартные механизмы защиты.

DetectionWatch – совершенствование правил обнаружения. Анализирует результаты работы других агентов и предлагает корректировку слишком чувствительных правил, а также создание новых механизмов обнаружения угроз. Изменения в правила не вносятся без согласования человека.

ForensicsWatch – цифровая криминалистика. Помогает проводить углубленные расследования, анализировать вредоносное ПО и устанавливать возможные пути эксплуатации уязвимостей.

Результаты работы всех четырех групп объединяются в совместном расследовательском файле, что позволяет аналитикам получать целостную картину инцидента.

Такой подход должен снизить дублирование работы и ускорить принятие решений при реагировании на потенциальные кибератаки.

Аналитики смогут самостоятельно определять уровень автономности ИИ

Одной из особенностей AlertZero станет возможность настраивать уровень самостоятельности каждой группы агентов.

Организации смогут определять, какие задачи система будет выполнять автоматически, а какие потребуют проверки или согласования специалистов.

Генеральный менеджер по направлению безопасности Elastic Майк Николс подчеркнул, что разработчики учитывали практический опыт работы аналитиков центров мониторинга кибербезопасности.

По его словам, специалисты, создававшие AlertZero, хорошо знакомы с повседневными задачами SOC, поэтому система разрабатывалась с учетом реальных рабочих процессов.

ИИ-агенты также смогут адаптироваться к практикам конкретной команды, учитывая ее подходы к проверке уведомлений и расследованию инцидентов.

В то же время, окончательный контроль за критическими решениями будет оставаться за специалистами. В частности, DetectionWatch не изменит правила обнаружения угроз без соответствующего разрешения.

AlertZero будет работать с разными ИИ-моделями и в изолированных сетях

В отличие от решений, ориентированных на использование одной конкретной языковой модели, AlertZero будет поддерживать разные системы искусственного интеллекта.

Аналитики смогут изменять модель даже при расследовании, выбирая инструмент в соответствии с характером задачи и имеющимися доказательствами.

Это позволит организациям использовать разные модели для первичного анализа уведомлений, более сложных расследований или работы с технической документацией.

Elastic также предусмотрела несколько вариантов развертывания системы.

AlertZero будет поддерживать работу в облачной инфраструктуре Elastic Cloud, в средах, которыми организации управляют самостоятельно, а также полностью изолированных сетях без прямого подключения к интернету.

Последний вариант особенно важен для предприятий и государственных учреждений, работающих с конфиденциальной информацией и повышенных требований к защите данных.

Компании смогут создавать собственных агентов для кибербезопасности

AlertZero построена на технологиях, уже используемых в экосистеме Elastic, в частности Attack Discovery и языке запросов ES|QL.

Кроме того компания позволит клиентам расширять функциональность платформы с помощью Elastic Workflows и Agent Builder.

Agent Builder – это набор инструментов для создания собственных ИИ-агентов на базе Elasticsearch, позволяющий организациям адаптировать автоматизированные процессы к специфике своих информационных систем.

Благодаря этому, предприятия смогут разрабатывать дополнительные сценарии реагирования, интегрировать собственные источники данных и создавать специализированные механизмы анализа угроз.

Разработчики рассчитывают, что использование агентной автоматизации позволит аналитикам сосредоточиться на сложных инцидентах, вместо того чтобы тратить большую часть рабочего времени на проверку однотипных сообщений.

В то же время компания пока не обнародовала количественные результаты по сокращению времени реагирования или уменьшению доли ложных срабатываний после использования AlertZero.