Агентский SOAR — это технология оркестрации, автоматизации и реагирования на угрозы безопасности, которая использует ИИ для автономной оценки угроз, принятия обоснованных решений и реагирования в реальном времени без привлечения человека.
Содержание
Традиционная система SOAR была разработана для снижения нагрузки на центры операций безопасности (SOC). Она интегрируется с решениями SIEM (информация о безопасности и управление событиями безопасности), безопасности конечных точек и другими инструментами безопасности, используя автоматизацию для запуска реагирования на основе предварительно созданных плейбуков. Несмотря на то, что автоматизация, достигаемая с помощью SOAR, действительно повысила эффективность работы, она также создала некоторые сложности для специалистов по безопасности, например:
- Большое количество предупреждений, ложноположительные результаты и требования к сортировке, на которые аналитики тратили очень много времени.
- Трудоемкое обслуживание плейбуков.
- Неспособность динамически реагировать на новые атаки.
Агентский SOAR выходит за рамки традиционной системы SOAR. Он позволяет организациям перейти от статических плейбуков к динамичной автономной системе, которая принимает интеллектуальные решения на основе контекста. Он исследует угрозы, сортирует их и выбирает подходящие меры реагирования без участия человека.
Как агентский SOAR трансформирует операции безопасности
Как уже упоминалось, одним из ограничений традиционных систем SOAR являются статические плейбуки, которые приходится обновлять вручную для реагирования на новые угрозы. Это снижает эффективность в сложных сценариях, требующих обдумывания или принятия решений. При использовании традиционной системы SOAR аналитики принимали активное участие в процессе, особенно при расследовании, сортировке или решении особо сложных случаев.
Агентский SOAR проводит расследования на основе рассуждений, анализируя и сортируя угрозы, принимая решения и адаптируясь к новым сценариям без участия человека. Оповещения сначала поступают ИИ-агентам, а не аналитикам. Агенты используют большие языковые модели (Large Language Model, LLM), исторический и поведенческий контекст, внешние данные, такие как каналы аналитики угроз, и ряд тестов для классификации серьезности предупреждения. Затем они составляют удобочитаемый подробный отчет о своих выводах и рассуждениях. Только на этом этапе подключается аналитик. В некоторых случаях агентский SOAR принимает корректирующие меры без участия аналитика.
Ключевые характеристики агентского SOAR
Главные особенности агентского SOAR — его автономность и сложные рассуждения. Основные преимущества:
- Обучение и рассуждение. Система непрерывно обучается на каждом событии, пополняя свою контекстную память. Она использует машинное обучение и LLM для построения своей логики и объяснения процесса принятия решений.
- Автономная сортировка. ИИ анализирует и приоритизирует угрозы, применяя контекстное понимание, проводя динамические исследования и синтезируя данные из нескольких источников, чтобы делать выводы и реализовать или рекомендовать действия.
- Реагирование на угрозы в реальном времени. Агентский SOAR динамически создает и меняет протоколы реагирования в реальном времени на основе обнаруживаемых данных.
- Интеграция. Агентский SOAR интегрируется с существующими решениями по безопасности организации, взаимодействуя с такими инструментами, как обнаружение и реагирование для конечных (EDR), SIEM и облачные платформы.
- Множество агентов. Каждый ИИ-агент обучается для конкретного этапа расследования, сортировки или реагирования, начиная со сбора данных и оценки рисков и заканчивая обменом информацией и сотрудничеством.
- Удобный интерфейс. Благодаря обработке естественного языка аналитики легко составляют промпты для агентов и понимают их рассуждения.
Преимущества агентского SOAR
Хотя традиционная система SOAR является большим шагом вперед для SOC, она имеет свои ограничения. Агентский SOAR обладает дополнительными преимуществами:
- Быстрое время отклика. Среднее время до обнаружения и среднее время до реагирования значительно сократились.
- Снижение рисков. Повысилась точность выявления и классификации угроз, а также степень обнаружения потенциальных угроз, которые традиционная система могла бы упустить.
- Повышение продуктивности и морального духа. Оптимизированы операции и кадровые ресурсы, и теперь аналитики могут не отвлекаться на оповещения, а уделять больше времени стратегическим задачам.
- Масштабируемость. Система реагирует на возникающие атаки и управляет растущей поверхностью атаки без привлечения новых ресурсов.
- Непрерывное обучение. Система пополняет свои знания, создавая базу знаний для конкретной организации и отрасли.
Рекомендации по реализации агентского SOAR
Как и в случае с любой новой технологией, реализация агентского SOAR представляет некоторые сложности. Решения, действия, управление, надзор и надежность контролируются ИИ. Безопасность и конфиденциальность также вызывают опасения, поскольку ИИ требуется доступ к большим объемам чувствительных данных. Кроме того, агентский SOAR может быть несовместим с устаревшими системами.
Учитывая эти проблемы, мы можем дать несколько рекомендаций по реализации агентского SOAR:
- Оценка. Определите текущие потребности и уровень зрелости SOAR. Рассматривайте варианты на основе потребностей организации и решения с проверенными результатами. Попробуйте реализовать пилотную программу.
- Управление. Продумайте процедуры надзора за автономными решениями. Опишите роли, обязанности и этические принципы.
- Участие человека. Аналитики должны участвовать в процессе в качестве проверяющих и наблюдателей.
- Безопасность и комплаенс. Внедрите надежное шифрование, контроль доступа и регулярные оценки уязвимостей.
- Тестирование и валидация. Задайте метрики успешной реализации для оценки эффективности. Регулярно проводите тщательное тестирование и проверку.
Подготовьтесь к будущему с помощью агентского SOAR
Поскольку киберпреступники используют ИИ для создания более сложных атак, организациям необходимо использовать возможности агентских технологий в SOC. Агентский SOAR преобразует операции безопасности, повышая точность обнаружения угроз, ускоряя их сдерживание и снижая нагрузку на людей. У аналитиков появляется больше времени и возможностей сосредоточиться на стратегических действиях, таких как активный поиск угроз, анализ тенденций рисков и развитие навыков в смежных сферах.
Не стоит думать, что все сводится к выбору между решениями ИИ-агентов и людей-специалистов. Большего успеха добьются организации, которые применяют гибридный подход, — ИИ может применяться для улучшенного управления событиями, но именно за людьми остается принятие окончательных решений.
Где получить помощь с агентским SOAR?
Выбор правильной технологии имеет решающее значение. Агентский SOAR от Trend Vision One™ позволяет отказаться от статических плейбуков в пользу SOC, управляемого ИИ, который исследует и сортирует угрозы, а затем реагирует на них в реальном времени. Сочетая исследования на базе ИИ, комплексную автоматизацию SOC, подключенную экосистему и создание плейбуков на естественном языке, вы можете сократить задачи, выполняемые вручную, и позволить специалистам по безопасности сосредоточиться на стратегических приоритетах, не отвлекаясь на бесконечные оповещения.
Джейси Чан (Jayce Chang)
Вице-президент по управлению продуктами
Джейси Чанг занимает должность вице-президента по управлению продуктами, специализируясь на SecOps, XDR и агентских решениях SIEM/SOAR.
Часто задаваемые вопросы
Что означает «агентский»?
«Агентский» — это прилагательное от слово «агент», которое означает «способный действовать». Таким образом, агентский SOAR — это система, которая может действовать независимо.
Что такое агентское поведение?
Агентское поведение описывает способность ИИ-систем принимать решения, действовать и адаптироваться к изменениям условий без участия человека.
Что такое SOAR?
SOAR расшифровывается как Security Orchestration, Automation and Response и переводится как «оркестрация, автоматизация и реагирование на угрозы безопасности». Это решение, которое интегрирует инструменты безопасности и автоматизирует задачи, повышая эффективность операций безопасности.
Как расшифровывается SOAR?
Аббревиатура SOAR расшифровывается как Security Orchestration, Automation and Response и переводится как «оркестрация, автоматизация и реагирование на угрозы безопасности».
Приведите пример агентского поведения.
Примеры агентского поведения: цифровой помощник, планирующий оповещения без запроса пользователя, беспилотный автомобиль, выбирающий маршрут поездки, или ИТ-система, перенаправляющая трафик.
Приведите пример агентского обучения.
Примером агентского обучения является виртуальный помощник, который замечает повторяющиеся действия, встречи и местоположения пользователя и автоматически устанавливает для них оповещения.
Назовите три самых популярных агентских фреймворка.
Существует множество агентских фреймворков. Самыми популярными являются Microsoft AutoGen, CrewAI и LangGraph.
Что такое агентский рабочий процесс?
Агентский рабочий процесс включает действия ИИ-агента для автономного сбора информации, выбора между вариантами и запуска задач без участия человека.
Приведите пример агентского рабочего процесса.
Примером агентского рабочего процесса в области кибербезопасности может служить автономная проверка ИИ-агентом предупреждения о безопасности, сопоставление данных из различных источников, а затем выбор и выполнение действия по сдерживанию угрозы.
В чем разница между рабочим процессом и агентской системой?
Рабочий процесс — это предварительно заданная серия задач. Агентская система состоит из автономного ИИ, который может выбрать, какие действия лучше всего соответствуют контексту.
Статьи по теме
10 основных рисков и мер по их снижению для LLM и генеративного ИИ в 2025 году
Управление возникающими рисками для общественной безопасности
Как далеко заведут нас международные стандарты?
Как написать политику кибербезопасности для генеративного ИИ
Атаки с использованием ИИ — один из самых серьезных рисков
Распространение угроз, связанных с дипфейками