Каскад ИИ-моделей MaxPatrol O2 автоматически закрывает 68% киберинцидентов
Positive Technologies перевела обработку киберинцидентов на каскад ИИ-моделей MaxPatrol O2. Нейросети автоматически закрывают 68% инцидентов, затрачивая на разбор каждого около 15–20 секунд. По оставшейся трети инцидентов аналитики центра мониторинга (SOC) получают вердикт ИИ-агента с объяснением менее чем за 15 минут. Об этом SecPost сообщили в компании.
Типичный SOC обрабатывает около 3000 инцидентов в сутки, при этом 63% инцидентов остаются неразобранными. Среди неразобранных инцидентов могут скрываться те, которые указывают на начало кибератаки. MaxPatrol O2 берет на себя разбор событий ИБ и вынесение вердиктов по ним.
Каждая модель внутри MaxPatrol O2 повышает точность всего каскада, их работу в компании сопоставляют с работой аналитиков SOC уровней L1 и L2. Сначала ML-модели за секунды оценивают каждый инцидент и автоматически закрывают ложные срабатывания. Инциденты, за которыми могут скрываться действия злоумышленников, передаются ИИ-агенту: он выдвигает гипотезу, проверяет ее по событиям из разных источников, после чего выдает вердикт и формирует отчет для аналитика SOC. Отчет содержит перечень событий ИБ, собранных агентом, и похожие инциденты с вердиктами. Каждый факт в отчете прослеживается до исходного события. Уровень автономности можно задать, в том числе включить автоматическое закрытие по отдельным классам инцидентов.
В компании отметили, что команда разработки планирует увеличивать уровень автономности MaxPatrol O2 и в перспективе сократить долю инцидентов, требующих ручной работы аналитиков, до 10%. Технологии MaxPatrol O2 уже используются в PT X — облачном решении Positive Technologies для мониторинга и реагирования на киберугрозы. Вердикты MaxPatrol O2 более чем на 98% совпадают с вердиктами PT X, сверенными с решениями аналитиков.
MaxPatrol O2 поставляется в облачной и в on-prem-редакции. Продукт интегрируется с инфраструктурными ИБ-продуктами и в связке со средствами обнаружения угроз позволяет автоматически анализировать поступающие инциденты, отличать реальные атаки от ложных срабатываний и принимать решения по результатам расследования.
Читайте также
