Вышла новая версия системы IRP/SOAR на платформе Security Vision 5

Вышла новая версия системы IRP/SOAR на платформе Security Vision 5

Вышла новая версия системы IRP/SOAR на платформе Security Vision 5

В продукте реализованы уникальные методы расследования и реагирования на инциденты ИБ на основе технологии динамических плейбуков. Все этапы обработки инцидентов максимально автоматизированы.

Наиболее значимые возможности:

Классификация инцидента

Security Vision IRP/SOAR автоматически классифицирует инцидент, связывая его с техниками и тактиками матрицы MITRE ATT&CK. Система может классифицировать более 250 типов инцидентов и событий ИБ, присваивая им более 110 различных техник и тактик. Встроенный в систему пакет экспертизы подробно описывает набор рекомендаций для аналитика ИБ по анализу, сдерживанию и реагированию по каждой выявленной технике.

Реагирование

Security Vision IRP/SOAR на основе технологии динамических плейбуков «на лету» собирает процесс реагирования, адаптированный под выявленную атаку и задействованную инфраструктуру. На основе техник и тактик MITRE, «сырых» данных в окрестностях инцидента, результата ретроспективного анализа, данных внешних аналитических сервисов и внутренней экспертизы система выстраивает динамический плейбук. Он собирается из более чем 150 различных действий и атомарных сценариев реагирования. При этом Security Vision IRP/SOAR умеет контролировать легитимность выполнения автоматизированных действий, учитывая специфику инфраструктуры заказчика: его конфиденциальность, разрешения, сегментацию и топологию.

Kill chain

Экспертный движок Security Vision IRP/SOAR автоматически выстраивает kill chain атаки из событий и инцидентов за счет анализа скрытых взаимосвязей. Анализируемые события и инциденты могут быть получены как от SIEM систем и Data Lake (Kafka, Hadoop, Elasticsearch и др.), так и напрямую от конечных устройств инфраструктуры заказчика с применением встроенных в продукт механизмов корреляции и группировки данных. Дополнительно в продукт встроен пакет экспертизы на основе sigma-правил, который позволяет обнаружить все затронутые элементы инфраструктуры, расширить и определить ландшафт атаки.

Граф расследования и реагирования

Security Vision IRP/SOAR умеет представлять инциденты и события в виде графа, функционал которого позволяет выстроить неочевидные связи, напрямую провести глубокую аналитику (через обогащение и sigma запросы), выполнить расследование и реагирование, выбирая конкретные действия. Исходя из необходимости, применяются контрмеры, меры сдерживания и цифровая криминалистика. На каждом шаге расследования пользователь видит ключевые связи и атрибуты, что позволяет выстроить полную картину инцидента.

 

Интеграции

В Security Vision IRP/SOAR реализовано большое количество (более 150) встроенных коннекторов для интеграции со всеми популярными SIEM системами (MaxPatrol SIEM, KUMA, Pangeo RADAR, RuSIEM, NEURODAT SIEM, ArcSight SIEM, QRadar, Splunk и др.), с инфраструктурой заказчика, в том числе с конечными устройствами (Windows/Linux системы), СЗИ (NGFW, DLP, Антивирусы, EDR, песочницы). Кроме того, Security Vision IRP/SOAR предлагает расширенное количество (более 30) встроенных интеграций с аналитическими сервисами (как внешними, так и внутренними), которые позволяют собрать всю необходимую информацию по атрибутам инцидента, требуемую для расследования. Security Vision IRP/SOAR умеет работать с разнообразными типами данных, унифицируя их и получая нормализованный результат.

Встроенные в платформу конструкторы интеграций позволяют в режиме no-code быстро реализовывать дополнительные интеграции с любыми новыми или уникальными системами заказчиков, расширяя возможности расследования, реагирования и действий, которые можно производить над объектами инфраструктуры заказчика.

Также в продукте есть встроенные механизмы интеграции с НКЦКИ и ФинЦЕРТ.

При сборе данных об инциденте и задействованной инфраструктуре, проведении реагирования на инцидент и события ИБ продукт использует безагентский метод работы, не требующий установки каких-либо дополнительных компонент на конечные устройства, Windows/Linux сервера и рабочие станции.

Гибкая ролевая модель

Для управления процессом расследования инцидентов в продукте реализована гибкая ролевая модель, позволяющая при проведении расследования разграничивать доступ к каждому полю и атрибуту инцидента и события ИБ. Процесс расследования содержит большое количество настроек, позволяющих адаптировать его как для небольших групп, работающих над расследованием инцидентов, так и для крупных SOC центров, с гибкой настройкой применяемых уровней реагирования (L1, L2, L3), эскалации, post-анализа и интеграции с внешними Service Desk’ами заказчика. Продукт поддерживает работу в режиме multitenancy, а также может применяться по модели MSSPP.

Нативная интеграция с линейкой продуктов Security Vision

Продукт работает еще эффективнее за счет нативной интеграции с линейкой продуктов Security Vision и совместного использования с модулями TIP, UEBA, CMDB, Vulnerability management, SGRC. Экосистема продуктов Security Vision позволяет комплексно закрыть все направления информационной безопасности в организации.

Процесс и автоматизация

Суммарно в продукте реализованы и максимально автоматизированы все этапы обработки инцидентов:

86% крупных компаний в России используют LLM, ИИ-агенты застряли в пилотах

86% крупных российских компаний уже используют или пилотируют большие языковые модели (LLM), однако до промышленной эксплуатации автономных ИИ-агентов дело пока дошло лишь у 8% организаций. К такому выводу пришли «Инфосистемы Джет» и Smart Ranking, изучившие уровень ИИ-зрелости российского крупного бизнеса. Исследование показывает: основным препятствием для масштабирования ИИ становятся не сами модели, а готовность корпоративных процессов, данных и инфраструктуры.

Исследование основано на опросе 52 крупных российских компаний, в которых в совокупности работает около 450 тыс. человек, семи глубинных интервью и кабинетном анализе. В опросе участвовали ИТ- и технические директора, а также руководители, отвечающие за цифровизацию и внедрение ИИ.

Большой языковой моделью сегодня пользуется или экспериментирует с ней большинство крупных российских компаний. 86% организаций уже внедряют LLM, причем 53% из них вывели решения на базе генеративного ИИ в промышленную эксплуатацию. Для значительной части бизнеса технология уже перешла из стадии экспериментов в рабочий инструмент.

При этом с ростом автономности решений их распространенность заметно снижается. Проекты с полуавтономными ИИ-агентами есть у 59% компаний, полностью автономные решения внедряют 25%, а мультиагентные системы — 23%. Однако в промышленной эксплуатации эти показатели значительно ниже: полуавтономные агенты работают в проде только у 15% компаний, автономные и мультиагентные системы — у 8% в каждой категории.

Интерес к агентным технологиям уже сформировался: более 60% компаний изучают возможности автономных и мультиагентных систем. Однако переход от экспериментов к массовому внедрению упирается в готовность корпоративной среды.

Почти половина компаний — 44% — отказывается от внедрения ИИ-агентов из-за недостаточной зрелости процессов, инфраструктуры данных и сложностей интеграции с корпоративными системами. Как отмечает глава Дирекции по разработке и внедрению ПО «Инфосистемы Джет» Максим Андрианов, ценность агентных решений напрямую зависит от качества данных, цифровизации процессов и наличия необходимых интеграций. 

Он добавил, что последние наблюдения показывают, что аппаратное обеспечение стало выполнять меньше вычислительной работы работы. Вследствие этого, производительность моделей ИИ выросла. Однако стоимость вычислительной инфраструктуры остается одним из главных ограничений: 58% респондентов назвали стоимость серверов барьером для внедрения ИИ.Еще 56% указали на юридические риски, 42% — на ограничения инвестиционных бюджетов, а 40% — на дефицит специалистов. В 17% компаний препятствием становится отсутствие ИИ-лидеров, способных отвечать за внедрение технологии.

Даже после запуска пилотов компании сталкиваются с проблемой экономической эффективности. Устойчивого финансового эффекта от ИИ не видят 46% участников исследования. Еще 40% не могут масштабировать проекты из-за отсутствия владельца продукта или процесса, а столько же респондентов отмечают нестабильное качество ИИ-систем, включая галлюцинации и другие сбои. 

Таким образом, крупный российский бизнес уже освоил генеративный ИИ, но внедряет агентные технологии значительно осторожнее. Почти половина компаний планирует увеличить инвестиции в ИИ, однако в ближайшие годы приоритетом, вероятно, останутся проекты с понятной экономикой и контролируемыми рисками.

Для перехода к следующему этапу компаниям потребуется не только доступ к более мощным моделям. Необходимы качественные данные, цифровизированные процессы, интеграция с корпоративными системами и механизмы контроля. Поэтому дальнейшее развитие корпоративного ИИ может сместить акцент с выбора самой модели на создание инфраструктуры, способной обеспечить измеримый бизнес-эффект.

RSS: Новости на портале Anti-Malware.ru