🤩 Каскад ИИ-моделей в MaxPatrol O2 помогает закрыть две трети инцидентов и обрабатывает их в 60 раз быстрее человека

У него нет задачи заменить настоящих аналитиков SOC, но наш продукт способен быстро и качественно делать за них рутинную работу: разбирать события ИБ и выносить вердикты по ним. Сейчас расскажем подробнее.

Как работает обычный SOC

Как диспетчерская, куда каждые сутки валится примерно 3000 алертов. При этом перелопатить вручную такой поток аналитики не успевают, ведь на каждый инцидент им надо потратить не меньше 15-20 минут. В итоге почти две трети (63%) так и остаются неразобранными. Самое неприятное — среди них вполне могут прятаться те, которые сообщают о начале кибератаки.

Как работает SOC с MaxPatrol O2

Как та же диспетчерская, но первичную обработку заявок в ней берет на себя каскад ИИ-моделей. При этом работают они по схеме аналитиков первой и второй линий.

Сначала ML-модели оценивают каждый инцидент и автоматически закрывают ложные срабатывания. Те, за которыми могут скрываться действия злоумышленников, передают ИИ-агенту. А он уже выдвигает гипотезу, проверяет ее по событиям из разных источников, выдает вердикт и формирует понятный и хорошо структурированный отчет для SOC.

Он содержит перечень событий ИБ, собранных агентом, а также похожие инциденты с вердиктами, по которым можно проверить его решение. Аналитик может проследить каждый факт в отчете до исходного события.

Обработка рядового инцидента (а таких примерно две трети) занимает 15-20 секунд, а в случаях посложнее, где человеку пришлось бы копаться в логах полдня, у ИИ уйдет на вердикт с подробными объяснениями не более 15 минут.

Технологии MaxPatrol O2 уже используются в PT X — нашем облачном решении для мониторинга и реагирования на киберугрозы. При этом точность сверхвысокая: вердикты MaxPatrol O2 более чем на 98% совпадают с вердиктами PT X, сверенными с решениями аналитиков.

Как это меняет подход к кибербезу

Кардинально — с реактивного на проактивный. Раньше первый ход делали злоумышленники, а защитники в ответ усиливали ИБ-продукты. Теперь же ИИ в MaxPatrol O2 не только реагирует на вредоносные действия быстрее, чем человек, но и строит гипотезы о поведении злоумышленников, давая SOC возможность действовать превентивно.

На пути к автопилоту

В планах команды разработки — добавить продукту автономности и сократить долю инцидентов, требующих ручной работы, с трети до 10% случаев.

Но уже сейчас он способен существенно разгрузить SOC и дать аналитикам возможность быстрее реагировать на инциденты и предупреждать их. Попробовать MaxPatrol O2 можно, оставив заявку на пилот на нашем сайте.

#MaxPatrolO2
@Positive_Technologies