Autonomiczne SOC: nawigacja w drodze do inteligentniejszych operacji bezpieczeństwa
- Kluczowe dania na wynos:
-
Jakie problemy rozwiązuje Autonomous SOC?
Rozwiązuje ona poważne problemy w zakresie operacji związanych z bezpieczeństwem, takie jak zmęczenie alertami, fragmentaryczna widoczność i ograniczone kwalifikacje personelu. -
Jakie są główne możliwości autonomicznego SOC?
Integruje automatyczne wykrywanie, badanie i reagowanie przy użyciu sztucznej inteligencji i analizy behawioralnej. -
Jak autonomiczny system SOC wpływa na czas reakcji?
Znacznie skraca średni czas wykrycia (MTTD) i reakcji (MTTR), co pozwala na zwiększenie efektywności operacyjnej. -
Jakiego rodzaju narzędzia są zunifikowane w autonomicznym SOC?
Systemy SIEM, SOAR, UEBA, NDR i systemy analizy zagrożeń współpracują ze sobą w ramach jednego zintegrowanego rozwiązania. -
Kto odnosi największe korzyści z autonomicznego SOC?
Przedsiębiorstwa o ograniczonych zasobach i dostawcy usług MSSP potrzebują wysoce wydajnych i bezproblemowych operacji bezpieczeństwa. -
W jaki sposób Stellar Cyber wspiera autonomiczne SOC?
Platforma Open XDR łączy ponad 300 narzędzi, centralizując widoczność i automatyzację w całej infrastrukturze.
Autonomiczne Centrum Operacji Bezpieczeństwa (SOC) już istnieje: chociaż różne organizacje pracują nad zwiększeniem dojrzałości swoich SOC i wydajności zespołów, kolejny krok w kierunku większej wydajności sztucznej inteligencji może być trudny do zidentyfikowania i trudny do zaufania.
W tym artykule zidentyfikowano główne etapy rozwoju automatyzacji SOC, wyzwania napotykane po drodze oraz wspólne partnerstwo, jakie analitycy sztucznej inteligencji i SOC muszą utworzyć, aby utorować drogę do w pełni autonomicznych operacji bezpieczeństwa.
SIEM nowej generacji
Rozwiązanie SIEM nowej generacji Stellar Cyber, jako kluczowy komponent platformy Stellar Cyber Open XDR...
Poznaj bezpieczeństwo oparte na sztucznej inteligencji w akcji!
Odkryj najnowocześniejszą sztuczną inteligencję Stellar Cyber do natychmiastowego wykrywania zagrożeń i reagowania. Zaplanuj demo już dziś!
W jaki sposób sztuczna inteligencja i automatyzacja napędzają rozwój autonomicznego SOC
Centrum Bezpieczeństwa (SOC) stanowi serce cyberbezpieczeństwa przedsiębiorstwa: za pośrednictwem różnych szczebli reagowania na incydenty i zarządzania nimi, centra SOC wykrywają, analizują i reagują na zdarzenia związane z cyberbezpieczeństwem, wykorzystując połączenie wykwalifikowanego personelu, dobrze zdefiniowanych procesów i zaawansowanych technologii.
Współczesne zespoły ds. bezpieczeństwa zmagają się z coraz większą liczbą wyzwań; obejmują one coraz bardziej wyrafinowane cyberataki, aż po przytłaczającą liczbę alertów obejmujących stale rozszerzające się powierzchnie ataków. Połącz je razem, a rzeczywisty wpływ zacznie podważać wydajność specjalistów ds. cyberbezpieczeństwa i drastycznie zwiększy liczbę wymaganych godzin.
Rezultatem jest stały niedobór talentów. Te czynniki sprawiają, że zespołom SOC trudniej niż kiedykolwiek wcześniej jest skutecznie segregować, badać i reagować na zagrożenia. W rezultacie krytyczne zadania, takie jak proaktywne zarządzanie postawą i polowanie na zagrożenia, są często odkładane na bok, ponieważ wymagają znacznej ilości czasu, specjalistycznej wiedzy i dużego wsparcia finansowego. To właśnie w tym środowisku SOC napędzany sztuczną inteligencją staje się coraz bardziej popularnym kamieniem milowym.
W miarę jak organizacje przechodzą przez autonomiczną podróż SOC, ich możliwości wykrywania zagrożeń rosną. Silniki AI mogą analizować dzienniki i zachowanie urządzeń połączone z wcześniej jednowymiarowymi alertami, przepływy pracy analityków mogą być priorytetyzowane z większą przejrzystością, a operacje bezpieczeństwa mogą być skalowane do znacznie większych możliwości niż kiedykolwiek wcześniej. Na samym szczycie modelu dojrzałości SOC organizacje są w stanie wykorzystać możliwości widoczności i reagowania znacznie przewyższające liczbę pracowników ich zespołu.
Kluczowe korzyści na różnych etapach automatyzacji SOC
#1. Ręczny SOC
Obecnie niewiele jest SOC-ów, które opierają się wyłącznie na procesach ręcznych: rozprzestrzenianie się bardziej zaawansowanych narzędzi bezpieczeństwa wepchnęło przeciętny SOC znacznie głębiej w proces automatyzacji. Jednak to poleganie na ręcznej interwencji może nadal występować w niektórych procesach bezpieczeństwa, takich jak zarządzanie poprawkami i polowanie na zagrożenia. Zajmuje to ogromnie dużo czasu i wymaga dużej liczby pracowników, aby przejść przez wymagające przepływy pracy.
#2. SOC oparty na regułach
#3. Zunifikowany SOC AI
Możliwości ujednoliconej sztucznej inteligencji przekształcają podręczniki w podręczniki lub zautomatyzowane przepływy pracy. Ujednolicone SOC-i sztucznej inteligencji dodają dodatkową warstwę analizy nad wszystkimi korelacjami logów zachodzącymi w fazie 2. Zaczyna to przesuwać ją z korelacji logów na korelację alertów – eliminując część czasu, w którym zwykle klastrowanie alertów
wymagań, co pozwala zespołowi szybciej reagować na rzeczywiste wskaźniki ryzyka.
SOAR to powszechne narzędzie widoczne w SOC-ach AI-Unified: zapewnia SOC konsolę, która obejmuje aktywność w czasie rzeczywistym podzielonego oprogramowania zabezpieczającego organizacji, takiego jak SIEM, EDR i zapory. Ta współpraca nie jest tylko widoczna: aby była zunifikowana pod kątem AI, SOAR automatycznie odsyła do alertów i danych udostępnianych między tymi różnymi narzędziami. Są one w stanie wykorzystać interfejsy programowania aplikacji (API) do przesyłania danych między odpowiednimi źródłami.
Na podstawie wszystkich tych danych platforma SOAR jest w stanie pobrać alert z jednego narzędzia – takiego jak rozwiązanie do wykrywania i reagowania na punkty końcowe (EDR) – i rozpocząć łączenie ustaleń innych narzędzi. Na przykład EDR mógł zidentyfikować nietypową aplikację działającą w tle na urządzeniu. SOAR może porównać daną aplikację z odpowiednimi dziennikami w innych narzędziach, takich jak źródła informacji o zagrożeniach i zapory sieciowe. Te dodatkowe dane umożliwiają następnie silnikowi analizy SOAR ocenę zasadności alertu EDR.
Należy zauważyć, że sam SOAR nie jest pełną sztuczną inteligencją: nadal opiera się na ogromnych zbiorach podręczników, aby reagować. Opracowanie tych podręczników SOAR wymaga dogłębnego zrozumienia każdej operacji bezpieczeństwa i tego, jak mogą wyglądać potencjalne zagrożenia. Każdy podręcznik jest tworzony poprzez wskazanie powtarzających się zadań, a następnie ustalenie jasnych metryk w celu oceny wydajności podręcznika, takich jak czasy reakcji i wskaźnik fałszywych alarmów. Oszczędza to dużo czasu w procesie reagowania na incydenty – gdy wszystko jest już uruchomione.
#4. Ludzkie SOC wspomagane przez sztuczną inteligencję
Na tym etapie możliwości automatyzacji rosną od korelacji alertów do częściowej automatycznej selekcji. Selekcja to proces, w którym odpowiada się na alerty – a do tego etapu wszystkie kroki selekcji były definiowane ręcznie. Zamiast wyzwalacza dla ustalonych podręczników, SOC wspomagany sztuczną inteligencją korzysta z badania każdego alertu jako indywidualnego punktu danych; a ich reakcja na incydent łączy zautomatyzowane sugestie z danymi wejściowymi analityka.
Konkretne wymagania każdego procesu dochodzeniowego są ustalane na podstawie analizowanych danych organizacji: dzięki bazowym danym dostępu do sieci, udostępniania danych i zachowania punktów końcowych, sztuczna inteligencja jest w stanie wykryć odchylenia od tej normy – wraz z monitorowaniem znanych wskaźników IoC, które pasują do połączonych baz danych wywiadowczych zagrożeń. Najważniejsze dla tej fazy są jednak podejmowane odpowiedzi: po powiązaniu alertu z autentyczną ścieżką ataku, silnik sztucznej inteligencji jest w stanie odpowiedzieć za pomocą narzędzi bezpieczeństwa, aby odciąć atakującego. W trakcie tego procesu generuje i priorytetyzuje alerty i strumienie do właściwego poziomu specjalistów SOC. Łączy każdy alert ze spójnymi, dobrze udokumentowanymi podsumowaniami i ustaleniami, które szybko przyspieszają komponent ludzki.
Narzędzia umożliwiające osiągnięcie tej i ostatniej fazy automatyzacji obejmują: Zautomatyzowana platforma SecOps firmy Stellar Cyber: zapewnia ludzkim ekspertom SOC możliwość szybkiego zautomatyzowania triage'u, jednocześnie zachowując ludzkich analityków jako ostatecznych decydentów w zakresie remediacji. Aby to wesprzeć, te możliwości i podstawowe informacje są udostępniane za pośrednictwem centralnej platformy.
#5. SOC sztucznej inteligencji wspomaganej przez człowieka
Ostatni etap integracji AI-SOC. W tej fazie możliwości sztucznej inteligencji rozszerzają się z wykrywania incydentów i reagowania na nie, obejmując szersze i bardziej specjalistyczne obszary.
Na przykład szczegółowe dochodzenia kryminalistyczne to jedna z dziedzin, w której SOC kierowane przez AI mogą prześcignąć swoje odpowiedniki kierowane przez ludzi. Zaczynając od znanego incydentu bezpieczeństwa, centralny silnik AI może wyodrębnić istotne wskaźniki IOC i ponownie złożyć je w prawdopodobne łańcuchy ataków – od początkowego włamania, przez ruch boczny, aż po wdrożenie złośliwego oprogramowania lub eksfiltrację danych. Te wskaźniki IoC mogą pozostać wewnętrzne lub być używane do wzbogacania możliwości wykrywania centralnego centrum udostępniania informacji i analiz (ISAC). Oprócz identyfikowania metod atakujących i ostatecznych celów, to skupienie się na wspólnej wiedzy może również pozwolić SOC kierowanemu przez AI na wskazanie potencjalnych sprawców ataku, zwłaszcza jeśli ich taktyka i techniki są zgodne z taktyką i technikami znanych grup.
W tej fazie komunikacja incydentalna może również przynieść korzyści: rozwój niszowych modeli dużego języka (LLM) pozwala liderom SOC szybko komunikować się na temat głównego problemu, ponieważ centralna autonomiczna platforma SOC kondensuje wysoce złożony atak do bardziej przystępnego języka. W ten sposób Copilot AI firmy Stellar zapewnia pomoc w trakcie złożonych dochodzeń. Zintegrowane modele LLM pozwalają również organizacjom szybko informować poszkodowanych klientów – i pozwalają analitykom SOC skupić się na remediacji kierowanej przez AI.
Oprócz analizy kryminalistycznej pełna automatyzacja SOC może proaktywnie identyfikować i automatycznie usuwać luki w obecnych kontrolach bezpieczeństwa. Może to być w pełni zautomatyzowane wykrywanie zagrożeń, łatanie, korygowanie luk w zaporze wykrytych podczas piaskownica plików; lub zintegrowanie z procesem CI/CD, aby zapobiec wewnętrznemu wdrażaniu podatnego kodu.
Wyzwania SOC na trasie podróży
Integracja danych
Łączenie różnych narzędzi i systemów z ujednoliconą platformą może być jedną z pierwszych przeszkód automatyzacji SOC. I nie jest to nawet tak proste, jak udostępnianie danych między różnymi narzędziami; autonomiczny SOC potrzebuje rozszerzalnej architektury bezpieczeństwa – takiej, która może bezproblemowo integrować się z pełnym stosem zabezpieczeń oraz pobierać, konsolidować i przekształcać dane w dowolnym formacie.
Jednocześnie nie tylko wszystkie dane dotyczące bezpieczeństwa, urządzeń i sieci muszą dotrzeć do centralnego modułu sztucznej inteligencji: muszą one również wspierać próby naprawcze i dochodzeniowe podejmowane przez analityków, co sprawia, że scentralizowana platforma i wielonarzędziowy interfejs użytkownika stają się koniecznością.
Opór kulturowy
Dostosowanie się do automatyzacji może wymagać znacznych zmian w przepływach pracy zespołu. Jeśli SOC jest zaznajomiony z ręcznym utrzymywaniem własnych reguł zapory sieciowej i SIEM, może opierać się zmianom wprowadzanym przez automatyzację. Dlatego proces przyrostowy jest często najlepszy – przeskakiwanie z fazy 1 do 5 w ciągu roku prawdopodobnie oznaczałoby zbyt duże zakłócenie.
Istnieje również pewien stopień strachu, z którym trzeba się zmierzyć: ponieważ automatyzacja może teraz powielać wszystkie 3 poziomy umiejętności analityków SOC, istnieją uzasadnione obawy, że wkład ludzki nie będzie już uważany za konieczny. Prawda jest daleka od tego: ludzki zespół SOC jest najlepszym źródłem rzeczywistego zrozumienia i inteligencji na temat architektury i luk w zabezpieczeniach organizacji. Ich obecne wyzwania muszą przewodzić integracji bezpieczeństwa opartej na sztucznej inteligencji w ramach dowolnego SOC; ich wsparcie pozostanie kluczowe nawet w całkowicie rozwiniętych konfiguracjach, ponieważ stoją u steru korygującego i etycznego podejmowania decyzji przez sztuczną inteligencję.
Ograniczenia umiejętności i budżetu
Podczas wdrażania AI kluczowe jest wykorzystanie specjalistycznej wiedzy z zakresu AI, automatyzacji i zaawansowanego wykrywania zagrożeń. Jednak znalezienie takiego połączenia umiejętności może być trudne – nie wspominając o tym, że jest ono kosztowne. Nawet najnowsi analitycy SecOps mogą kosztować 50 tys. dolarów rocznie, a odpowiednio przeszkoleni specjaliści AI-first są o rzędy wielkości drożsi. Łączy się to ściśle z innym wyzwaniem: budżetem.
SOC-i były kiedyś ograniczone do firm o najwyższych obrotach; mniejsze organizacje polegały na dostawcach usług zarządzania bezpieczeństwem (MSSP), aby pomóc zrównoważyć koszty cyberbezpieczeństwa z ryzykiem ataku. Oznacza to, że koszty są nadal jedną z największych przeszkód we wdrażaniu AI, zwłaszcza biorąc pod uwagę pochłanianie czasu i pieniędzy, jakie mogą powodować procesy ręczne.
Jak Stellar Cyber usuwa bariery dla autonomicznego SOC
Otwarta, ujednolicona platforma
Bezpieczeństwo oparte na sztucznej inteligencji wymaga intensywnego, ciągłego dostępu do danych. Niektórzy dostawcy blokują ten dostęp za szczeblami własnych narzędzi. Z drugiej strony Stellar Cyber umieszcza otwarta integracja w centrum filozofii narzędzia. Architektura oparta na API pozwala Stellar Cyber na pobieranie danych z dowolnego źródła i narzędzia bezpieczeństwa – a ponadto pozwala silnikowi AI na naprawianie incydentów za pośrednictwem tych samych dwukierunkowych połączeń.
Pełny zasięg środowiska bezpieczeństwa organizacji jest następnie ujednolicony na jednej platformie. Dzięki temu wszystkie operacje AI SOC są na wyciągnięcie ręki odpowiednich analityków. Łączy ona analizę i działania naprawcze oferowane przez SIEM, NDR i XDR – jeszcze bardziej upraszczając stos technologiczny SOC. Ponieważ Stellar może osadzić wiele różnych ram w tym szerokim zakresie możliwości reagowania, pulpit służy również do szczegółowego opisu kroków, które wchodzą w skład każdej zautomatyzowanej odpowiedzi.
Wielowarstwowa sztuczna inteligencja
Wykrywanie sztucznej inteligencji
Korelacja AI
Odpowiedź AI
Multi-Tenancy dla MSSP
Stellar Cyber wspiera to, oferując swoje możliwości w wielu dzierżawcach, jednocześnie zachowując separację danych. Zapobieganie temu mieszaniu się jest kluczowe dla zapewnienia bezpieczeństwa zaplecza, a jednocześnie zapewnia wysoko wykwalifikowanym analitykom narzędzia i widoczność platformy Stellar Cyber.
Skalowalność dla zespołów Lean
Niezależnie od tego, czy działa w ramach MSSP, czy w samej organizacji, kluczowe jest, aby AI enablement koncentrowało się na opłacalnych, skalowalnych operacjach bezpieczeństwa. Stellar Cyber pozwala szczupłym zespołom osiągnąć ten sam stopień ochrony, co większe zespoły manualne, dzięki dwóm podstawowym komponentom: zautomatyzowanemu wyszukiwaniu zagrożeń i dostępnemu podejmowaniu decyzji.
Podczas gromadzenia i analizowania danych w czasie rzeczywistym w organizacji, Stellar Cyber zestawia wszystkie możliwe niedopatrzenia dotyczące bezpieczeństwa w swojej bibliotece wykrywania zagrożeń. Ten przegląd pokazuje różne typy alertów i liczbę wykrytych alertów. Mogą być one ręcznie połączone z trwającymi przypadkami lub obsługiwane indywidualnie. Aby uzyskać inny widok, proces analizy aktywów Stellar Cyber szybko sortuje aktywa o najwyższym ryzyku, wraz z ich lokalizacjami i powiązanymi przypadkami, zapewniając analitykom obraz o wyższej rozdzielczości dla każdej potencjalnej wady.
Zautomatyzowane SOC nie powinno odbywać się kosztem zespołu. Stellar Cyber tłumaczy każdą zautomatyzowaną decyzję zgodnie z odpowiednim frameworkiem, którego używa, aby ją osiągnąć. Na przykład nie tylko jest zgodny z MITRE – dzieli się również tym, w jaki sposób każda decyzja triagingowa jest zgodna z tym frameworkiem. Dzięki temu proces triagingu pozostaje dostępny nawet podczas obsługi złożonych ataków.
Zwiększ wydajność swojego SOC dzięki Stellar Cyber
Efektem wdrożenia AI przez Stellar Cyber jest dostępna platforma, która zwiększa pewność analityka SOC co do jego własnych procesów – podnosząc zarówno możliwości ludzkie, jak i AI. To podejście stawiające człowieka na pierwszym miejscu jest również powodem, dla którego Stellar Cyber wycenia swoją platformę na podstawie jednej licencji. Obejmuje to wszystkie otwarte możliwości SecOps – specjalnie zbudowane w celu zwiększenia efektywności własnej wiedzy każdego członka SOC. Aby samemu odkryć Stellar Cyber, zaplanuj demo z jednym z doświadczonych członków naszego zespołu.
