Η Kindo λανσάρει το Deep Hat Sift για να περιορίσει τις περιττές εκτελέσεις πρακτόρων ΤΝ

Ένας πράκτορας ΤΝ που διαβάζει κάθε ειδοποίηση ασφαλείας ή καταχώριση αρχείου καταγραφής συνεπάγεται κόστος, ακόμη κι όταν καταλήγει στο συμπέρασμα ότι δεν χρειάζεται να γίνει τίποτα. Σε εταιρική κλίμακα, αυτές οι διερευνήσεις χωρίς αξιοσημείωτα ευρήματα μπορούν να αποτελέσουν από μόνες τους σημαντικό φόρτο εργασίας. Η Kindo λανσάρει το Deep Hat Sift, ένα μοντέλο σχεδιασμένο να αποφασίζει ποια εισερχόμενα συμβάντα δικαιολογούν την εκτέλεση ενός πράκτορα, προτού αρχίσει να τα επεξεργάζεται το μεγαλύτερο μοντέλο.

Το Sift ανακοινώθηκε στις 28 Οκτωβρίου. Μαθαίνει από τις κρίσεις του πράκτορα τον οποίο εξυπηρετεί και, στη συνέχεια, φιλτράρει συμβάντα που ο πράκτορας θα απέρριπτε ούτως ή άλλως. Αρχικά, το προϊόν παρακολουθεί χωρίς να αποκλείει τίποτα: κάθε συμβάν εξακολουθεί να φτάνει στον πράκτορα, μέχρι κάποιος να εξετάσει την προτεινόμενη συμπεριφορά φιλτραρίσματος και να εγκρίνει ένα όριο.

Η προσέγγιση αυτή εισάγει έναν διαφορετικό μηχανισμό ελέγχου του κόστους από την επιλογή ενός φθηνότερου γλωσσικού μοντέλου. Αντί να μειώνει το κόστος κάθε διερεύνησης, το Sift επιδιώκει να αποφεύγει διερευνήσεις που είναι απίθανο να απαιτήσουν κάποια ενέργεια. Η αποτελεσματικότητά του εξαρτάται τόσο από την ποιότητα αυτών των αποφάσεων όσο και από τους ελέγχους που διέπουν όσα παραλείπονται.

Ένα μοντέλο λήψης αποφάσεων πριν από το γλωσσικό μοντέλο

Η Kindo περιγράφει το Deep Hat Sift ως μοντέλο λήψης αποφάσεων System One: ένα γρήγορο και οικονομικό μοντέλο που απαντά σε ένα ερώτημα επιλογής, αντί να δημιουργεί απάντηση. Κάθε μοντέλο αντιστοιχίζεται σε συγκεκριμένη πηγή, πράκτορα-στόχο και εργασία φιλτραρίσματος, ώστε η μάθησή του να αντανακλά τον φόρτο εργασίας για τον οποίο προορίζεται.

Αυτή η εξειδίκευση έχει σημασία. Ένα συμβάν που σχετίζεται με μια διερεύνηση ασφαλείας μπορεί να είναι άσχετο με μια ροή εργασιών του γραφείου υποστήριξης. Το Sift μαθαίνει ποια συμβάντα απορρίπτει ο πράκτορας-στόχος του, χρησιμοποιώντας ως σήμα εκπαίδευσης τις κρίσεις που επιστρέφει ο πράκτορας. Σύμφωνα με την Kindo, έτσι αποφεύγεται η ανάγκη για ξεχωριστό έργο ανθρώπινης επισήμανσης για κάθε ροή.

Η αρχική ανάπτυξη γίνεται σε λειτουργία σκιάς. Το Sift βαθμολογεί τα εισερχόμενα συμβάντα, ενώ ο πράκτορας συνεχίζει να τα εξετάζει όλα, επιτρέποντας στο σύστημα να συγκρίνει τις προβλέψεις του με τις αποφάσεις του πράκτορα. Πριν αρχίσει το φιλτράρισμα, οι χειριστές λαμβάνουν μια προεπισκόπηση των συμβάντων που θα είχαν αποκλειστεί με βάση τα δικά τους δεδομένα.

Στη συνέχεια, κάποιος πρέπει να εγκρίνει ένα όριο και να αιτιολογήσει γραπτώς την απόφαση. Έτσι, η απόφαση για το αποδεκτό επίπεδο φιλτραρίσματος ανήκει στην ομάδα που είναι υπεύθυνη για τη ροή εργασιών, αντί η ενεργοποίηση να θεωρείται αυτόματη συνέπεια της εγκατάστασης του μοντέλου.

Η δειγματοληψία και οι δικλίδες ασφαλείας ανοικτής λειτουργίας αντιμετωπίζουν το ζήτημα των συμβάντων που διαφεύγουν

Το φιλτράρισμα δημιουργεί ένα δύσκολο πρόβλημα μέτρησης: αν ένα συμβάν δεν φτάσει ποτέ στον πράκτορα, πώς γνωρίζει η ομάδα αν θα έπρεπε να είχε φτάσει; Το Sift εξακολουθεί να προωθεί τυχαίο δείγμα συμβάντων που διαφορετικά θα απέκλειε, ώστε οι κρίσεις του πράκτορα για αυτό το δείγμα να συμβάλλουν στη συνεχή μέτρηση του ποσοστού συμβάντων που διαφεύγουν.

Η σελίδα του προϊόντος διευκρινίζει ρητά το σημείο αναφοράς: η ανάκληση και το ποσοστό συμβάντων που διαφεύγουν μετρώνται σε σύγκριση με τις κρίσεις του πράκτορα. Αυτές οι μετρικές δείχνουν πόσο πιστά αναπαράγει το Sift τις αποφάσεις του συγκεκριμένου πράκτορα. Δεν αποδεικνύουν από μόνες τους αν ο ίδιος ο πράκτορας εντοπίζει σωστά κάθε περιστατικό ασφαλείας ή λειτουργικό ζήτημα.

Η Kindo αναφέρει ότι, αν υποβαθμιστεί η ποιότητα, το Sift περνά σε ανοικτή λειτουργία και προωθεί ξανά τα συμβάντα για έλεγχο από τον πράκτορα, αντί να συνεχίσει να τα αποκλείει. Η εταιρεία περιγράφει επίσης ανώτατα όρια δραστηριότητας, τα οποία μπορούν να επαναφέρουν το σύστημα σε λειτουργία σκιάς κατά τη διάρκεια μιας αιχμής. Τα συμβάντα που φιλτράρονται και οι αποφάσεις έγκρισης καταγράφονται, ώστε οι ομάδες να μπορούν να εξετάσουν τι αποκλείστηκε και γιατί.

«Δεν φιλτράρει τίποτα μέχρι κάποιος να εγκρίνει το όριο, και αν υποβαθμιστεί η ποιότητα, περνά σε ανοικτή λειτουργία και προωθεί τα πάντα για αξιολόγηση από γλωσσικό μοντέλο», δήλωσε στην ανακοίνωση ο Troy Presley, μηχανικός του Deep Hat Sift στην Kindo.

Αυτοί οι μηχανισμοί αναδεικνύουν τον συμβιβασμό αντί να τον εξαλείφουν. Το πιο συντηρητικό φιλτράρισμα μπορεί να διατηρεί την κάλυψη, εξοικονομώντας όμως λιγότερες εκτελέσεις. Το πιο επιθετικό φιλτράρισμα μπορεί να περιορίσει περισσότερο τον φόρτο εργασίας, αλλά καθιστά ακόμη σημαντικότερη τη δειγματοληψία, τον εντοπισμό αποκλίσεων και την ποιότητα του επόμενου πράκτορα.

Σχεδιασμένο για ειδοποιήσεις, αιτήματα υποστήριξης και συνεχή ροή αρχείων καταγραφής

Η κυκλοφορία απευθύνεται σε φόρτους εργασίας με μεγάλο όγκο εισερχόμενων δεδομένων και μικρό ποσοστό συμβάντων που απαιτούν ενέργεια. Η Kindo αναφέρει ειδοποιήσεις από συστήματα SIEM και εντοπισμού απειλών σε τερματικά, ουρές αιτημάτων υποστήριξης, αναφορές ηλεκτρονικού ψαρέματος, αρχεία καταγραφής συστημάτων και δικτύων, καθώς και ροές από πλατφόρμες όπως το Kafka. Στις πηγές παρακολούθησης περιλαμβάνονται τα Splunk, Datadog και New Relic.

Το Sift λειτουργεί πριν από τον πράκτορα και όχι ως αντικαταστάτης αυτών των συστημάτων-πηγών. Μια πλατφόρμα ασφαλείας συνεχίζει να δημιουργεί ευρήματα, ένα σύστημα διαχείρισης αιτημάτων συνεχίζει να διατηρεί την ουρά του και ο πράκτορας παραμένει υπεύθυνος για τις περιπτώσεις που φτάνουν σε αυτόν. Το νέο επίπεδο αποφασίζει ποια συμβάντα θα ενεργοποιήσουν αυτή την πρόσθετη εργασία ΤΝ.

Το ίδιο μοντέλο θα μπορούσε να εφαρμοστεί σε χρηματοοικονομικές ροές εργασιών και ροές εργασιών συμμόρφωσης που εξετάζουν συναλλαγές ή ροές πολιτικών. Και σε αυτές τις περιπτώσεις, η επιλογή συμβάντων προς εξέταση είναι διαφορετική από τη λήψη απόφασης για απάτη ή συμμόρφωση. Ο πράκτορας-στόχος και η ευρύτερη επιχειρησιακή διαδικασία εξακολουθούν να αποτελούν σημαντικά μέρη του αποτελέσματος.

Πώς εντάσσεται το Sift στην πλατφόρμα διαχείρισης πρακτόρων της Kindo

Η ευρύτερη πλατφόρμα της Kindo συνδέει πράκτορες με εταιρικά συστήματα ασφάλειας, υποδομών και λειτουργιών πληροφορικής. Συνδυάζει την εκτέλεση με το πλαίσιο, τα δικαιώματα πρόσβασης και την επιχειρησιακή εποπτεία, προσφέροντας στις ομάδες ένα μέρος για να διαχειρίζονται την εργασία μετά την επιλογή ενός μοντέλου.

Ο ιστότοπος της εταιρείας περιγράφει την κυριότητα των πρακτόρων, τις πολιτικές πρόσβασης και τον επιμερισμό του κόστους ανά πράκτορα, ιδιοκτήτη και ομάδα. Το Sift προσθέτει ένα σημείο ελέγχου σε προγενέστερο στάδιο της διαδικασίας: αποφασίζει αν ένα συμβάν θα πρέπει καν να ενεργοποιήσει έναν πράκτορα. Έτσι, μια τεχνική απόφαση φιλτραρίσματος συνδέεται με το λειτουργικό ερώτημα σχετικά με το ποιοι φόρτοι εργασίας δημιουργούν κόστος συμπερασματολογίας.

Σύμφωνα με την ανακοίνωση της κυκλοφορίας, το Deep Hat Sift είναι ήδη διαθέσιμο για εγκατάσταση στις εγκαταστάσεις του πελάτη, σε νέφος με αυτοδιαχείριση, στο νέφος της Kindo και σε περιβάλλοντα απομονωμένα από δίκτυα. Η βαθμολόγηση εκτελείται εκεί όπου είναι εγκατεστημένη η Kindo, ενώ οι κλήσεις προς τα μοντέλα διαχειρίζονται μέσω της πλατφόρμας. Το προϊόν λειτουργεί με τους πράκτορες της Kindo.

Η εξοικονόμηση θα εξαρτηθεί από τη ροή συμβάντων

Η Kindo δεν έχει δώσει γενικό ποσοστό εξοικονόμησης ούτε καθολικό σημείο αναφοράς για την ακρίβεια του Sift. Αντί γι’ αυτό, στη σελίδα του προϊόντος προτείνει στις ομάδες να δουν εκ των προτέρων ποια από τα δικά τους συμβάντα θα αποκλείονταν. Αυτή είναι μια χρήσιμη διάκριση για τους αγοραστές: το οικονομικό αποτέλεσμα εξαρτάται από τον όγκο των συμβάντων, το κόστος κάθε αποτρεπόμενης εκτέλεσης, το ποσοστό των συμβάντων που απαιτούν ενέργεια και το όριο λειτουργίας που αποδέχεται η ομάδα.

Σε ροές με πολύ θόρυβο, η αποφυγή περιττών εκτελέσεων πρακτόρων θα μπορούσε να κάνει πιο προσιτή τη συνεχή ανασκόπηση με AI. Σε ροές όπου ένα συμβάν που δεν εντοπίζεται μπορεί να έχει σοβαρές συνέπειες, οι έλεγχοι δειγματοληψίας και κλιμάκωσης έχουν εξίσου μεγάλη σημασία με το κόστος συμπερασματολογίας. Το Deep Hat Sift εντάσσει αυτές τις αποφάσεις στη ροή εργασίας των πρακτόρων, μετατοπίζοντας το κεντρικό ερώτημα από το ποιο μοντέλο θα πρέπει να χειριστεί ένα συμβάν στο αν χρειάζεται καν να το χειριστεί το μοντέλο.