A Sophos OpenAI Daybreak-modelleket épített be a saját biztonsági folyamatába, hogy gyorsabban vizsgálja a fenyegetéseket és széles körben védje ügyfeleit. A cég John Peterson technológiai igazgató szerint több mint 625 000 szervezetet véd különböző ágazatokban és térségekben, és négy évtizedes tapasztalatot hasznosít a támadások elleni védekezésben.
Miből áll a megoldás?
A megközelítés középpontjában a Sophos Fusion áll, a vállalat AI-native kiberbiztonsági rendszere, amelybe beletartozik a Sophos Managed Detection and Response (MDR) szolgáltatás is. A Fusion több mint 500 külső integráció és saját termékek szenzoradatait egyesíti; ezek a szenzorok naponta trilliónyi eseményt generálnak, amelyeket a Sophos körülbelül 1 000–2 000 esetre sűrít össze kilenc biztonsági műveleti központ (SOC) számára.
OpenAI Daybreak segítségével a Sophos olyan ügynököket (agenteket) épített, amelyek automatikusan összegyűjtik az ügyfélkontextust, észleléseket, kompromittálódási indikátorokat (IoC-kat) és releváns fenyegetésintelligenciát az egyes esetekhez. Egy tervező modell létrehozza a „terv–végrehajtás–felülvizsgálat” ciklust: összeállítja a vizsgálati tervet, végrehajtja a lépéseket, majd összefoglalót készít válaszlépés-javaslatokkal az elemzők számára. Egyes ügynökök a válaszlépések egy részét is végrehajthatják.
Mire volt hatással a Daybreak?
- Az emberi alapú, hagyományos vizsgálati folyamatok átlagos ideje a Sophos szerint korábban körülbelül 38 perc volt — ez a teljesítmény jobb volt, mint a szakmai SOC-ok 96%-a. A Daybreak-modelleken alapuló ügynököket használó esetek átlagos válaszideje azonban mintegy 89 másodpercre csökkent.
- A Sophos megoldásai mostanra lehetővé tették, hogy az MDR-ügyek 52%-át végponttól végpontig AI segítségével oldják meg, a Sophos elemzői által beállított határokon belül.
Ügyfélkontroll és kockázatkezelés
Az MDR szolgáltatásban a Sophos három üzemmódot kínál az ügyfélkontroll érdekében:
- Notify: a Sophos kivizsgálja az esetet és javaslatot tesz, az ügyfél hajtja végre a beavatkozást.
- Collaborate: a Sophos és az ügyfél együtt dolgozik, mielőtt lépéseket tennének.
- Authorise: a Sophos az ügyfél nevében közvetlenül reagálhat.
Ezek a határok érvényesek akkor is, ha a munkát ember végzi, vagy egy automatizált ügynök. A potenciálisan káros, visszafordíthatatlan műveletek végrehajtása emberi felügyeletet igényel — minden olyan lépést, amelyet az ügynökök nem kezelnek biztonságosnak, átadnak emberi döntésre.
Miért fontos ez?
A Sophos megoldása gyorsabb és következetesebb vizsgálati élményt ad az ügyfeleknek, és lehetővé teszi, hogy a vállalat számítási kapacitást skálázzon ahelyett, hogy ritka kiberbiztonsági munkaerő növekedésére támaszkodna. Emellett az elemzők figyelmét visszavezeti azokra a kivételekre, döntésekre és fenyegetésekre, amelyeknél az emberi szakértelem a legnagyobb értéket adja.
John Peterson azt mondja, a Sophos tovább bővíti az ügynökök képességeit és a támogatott használati esetek körét: a válaszlépések összetettebbé válnak, és többféle helyzetre terjesztik ki a megoldást. Peterson megjegyezte, hogy a Daybreakhez hasonló programokkal lehetőségük nyílik egy lépéssel a támadók előtt maradni.
Ajánlás a biztonsági vezetőknek
Peterson egyszerű tanácsa: a biztonsági vezetőknek vissza kell térniük a biztonság alapjaihoz, amelyek közé a javítások (patching) is tartoznak. Ugyanakkor hangsúlyozta, hogy a javítások csak a gyártó által ismert sebezhetőségekre adnak megoldást; ezért elengedhetetlen a rétegezett védelem — végpontvédelem, többtényezős hitelesítés (MFA), hálózati szeparáció és erős biztonsági műveletek. A sebezhetőségek felfedezési és kihasználási üteme rendkívül gyors, így az alapok jól végrehajtott alkalmazása mára fontosabb, mint valaha.
