Η Swimlane προσθέτει προσαρμοσμένες ανιχνεύσεις απειλών μέσω ΤΝ και αμφίδρομη υποστήριξη MCP στο Turbine

Ένας αναλυτής ασφάλειας με ΤΝ μπορεί να διερευνήσει γρήγορα μια ειδοποίηση, αλλά δεν μπορεί να διερευνήσει μια προειδοποίηση που δεν δημιουργήθηκε ποτέ. Η Swimlane επιχειρεί να καλύψει αυτό το κενό με νέες δυνατότητες ανίχνευσης που ορίζονται από τους πελάτες στην πλατφόρμα Turbine, επιτρέποντας στις ομάδες ασφάλειας να εφαρμόζουν τη δική τους λογική σε επιχειρησιακά δεδομένα και να προωθούν τις ειδοποιήσεις που προκύπτουν απευθείας στο Swimlane AI SOC.

Η έκδοση της 28ης Οκτωβρίου εισάγει επίσης αμφίδρομη υποστήριξη για το Πρωτόκολλο Πλαισίου Μοντέλου (MCP) και έναν Hero AI Application Builder Agent. Μαζί, οι νέες δυνατότητες επεκτείνουν την πλατφόρμα αυτοματισμού της εταιρείας σε τρεις αλληλένδετες λειτουργίες: να καθορίζει ποιες δραστηριότητες αξίζουν διερεύνηση, να συνδέει πράκτορες με εργαλεία και να δημιουργεί τις εφαρμογές που υποστηρίζουν μια ροή εργασιών ασφάλειας.

Η Swimlane αναφέρει ότι οι δυνατότητες είναι πλέον γενικά διαθέσιμες. Η ανακοίνωση τις παρουσιάζει ως προσθήκες σε υφιστάμενες υποδομές ασφάλειας, συμπεριλαμβανομένων των συστημάτων διαχείρισης πληροφοριών και συμβάντων ασφάλειας (SIEM), ανίχνευσης και απόκρισης σε τερματικά σημεία (EDR) και των εργαλείων ασφάλειας cloud.

Δίνοντας στις ομάδες ασφάλειας τον έλεγχο του τι γίνεται ειδοποίηση

Πολλά προϊόντα AI SOC επικεντρώνονται στην ταξινόμηση, τη διερεύνηση και την απόκριση αφού ένα σύστημα ανίχνευσης εντοπίσει ύποπτη συμπεριφορά. Αυτός ο καταμερισμός γίνεται πιο δύσκολος όταν οι οργανισμοί αναπτύσσουν νέους πράκτορες, βοηθούς ΤΝ, τοπικά μοντέλα και διακομιστές MCP ταχύτερα απ’ όσο μπορούν να τους υποστηρίξουν τα καθιερωμένα προϊόντα ανίχνευσης.

Μια εταιρεία μπορεί να χρειαστεί να διερευνήσει ευαίσθητες πληροφορίες που υποβλήθηκαν σε μη εγκεκριμένη υπηρεσία ΤΝ, απρόσμενη χρήση ενός τοπικού μοντέλου, απενεργοποίηση ενός μηχανισμού προστασίας ή έναν πράκτορα που καταναλώνει πόρους πολύ πέρα από τον προβλεπόμενο προϋπολογισμό του. Ορισμένες από αυτές τις συνθήκες εξαρτώνται από τις πολιτικές και το περιβάλλον του συγκεκριμένου οργανισμού, αντί να αποτελούν καθολικά μοτίβα που μπορεί να ορίσει εκ των προτέρων ένας προμηθευτής.

Οι νέες δυνατότητες του Turbine επιτρέπουν στις ομάδες να εφαρμόζουν τη δική τους λογική ανίχνευσης στα δεδομένα που έχει στη διάθεσή της η πλατφόρμα. Η Swimlane αναφέρει ότι μία μόνο ενέργεια επεξεργασίας μεγάλων δεδομένων μπορεί να αξιολογήσει δεκάδες χιλιάδες εγγραφές σε παράλληλους υπολογιστικούς κόμβους και στη συνέχεια να προωθήσει μια ειδοποίηση στο AI SOC για διερεύνηση και ελεγχόμενη απόκριση.

Αυτή η αρχιτεκτονική φέρνει τη λογική ανίχνευσης πιο κοντά στον αυτοματισμό που ενεργεί βάσει των αποτελεσμάτων της. Αντί να εντοπίζει χωριστά μια συνθήκη και να οργανώνει χειροκίνητα τα επόμενα βήματα, μια ομάδα μπορεί να συνδέσει τον ειδικό για τον οργανισμό κανόνα της με μια υφιστάμενη ροή διερεύνησης. Η χρησιμότητα κάθε ανίχνευσης εξακολουθεί να εξαρτάται από το αν η σχετική δραστηριότητα αποτυπώνεται στα δεδομένα στα οποία έχει πρόσβαση το Turbine.

«Τα τελευταία δύο χρόνια, ο κλάδος της ασφάλειας συζητά πόσο αυτόνομα μπορεί η ΤΝ να χειρίζεται μια ειδοποίηση, αλλά έτσι παρακάμπτει ένα πιο βασικό ερώτημα: από πού προήλθε η ειδοποίηση;» δήλωσε ο Cody Cornell, συνιδρυτής και διευθύνων σύμβουλος της Swimlane.

Η έκδοση περιγράφει επίσης τη δημιουργία ανιχνεύσεων με τη βοήθεια της ΤΝ. Οι ομάδες μπορούν να εξηγήσουν ποια ανίχνευση θέλουν και να αξιοποιήσουν τις δυνατότητες του Turbine για τη δημιουργία σχεδίων ενεργειών, ώστε να τις βοηθήσουν να την κατασκευάσουν. Η δημιουργία αυτής της λογικής και η επιβεβαίωση ότι εντοπίζει αξιόπιστα την επιδιωκόμενη συμπεριφορά παραμένουν ξεχωριστές εργασίες: οι ειδικοί για κάθε οργανισμό κανόνες πρέπει να λαμβάνουν υπόψη τα δεδομένα, τα δικαιώματα και τις συνθήκες του περιβάλλοντος στο οποίο εκτελούνται.

Διερεύνηση συστημάτων ΤΝ ως πιθανών πηγών περιστατικών

Η Swimlane περιγράφει αυτά τα σενάρια ως ανίχνευση και απόκριση σε συστήματα ΤΝ (AIDR): το ίδιο το σύστημα ΤΝ γίνεται το αντικείμενο του περιστατικού. Αυτό διαφέρει από την απλή χρήση ενός μοντέλου ΤΝ για τη σύνοψη μιας συμβατικής ειδοποίησης ηλεκτρονικού ψαρέματος ή μιας ειδοποίησης για τερματικό σημείο.

Η έγχυση προτροπών αναδεικνύει τη διαφορά. Ένας πράκτορας μπορεί να συναντήσει οδηγίες ενσωματωμένες στο περιεχόμενο που επεξεργάζεται, δημιουργώντας τον κίνδυνο να επηρεάσει τη συμπεριφορά του εξωτερικό υλικό. Για μια χρήσιμη διερεύνηση μπορεί να χρειαστεί να εξεταστούν οι εισροές του πράκτορα, η δραστηριότητά του με τα εργαλεία και οι ενέργειες που προκύπτουν, αντί να αναζητηθεί μόνο μια γνωστή ένδειξη κακόβουλου λογισμικού.

Παρομοίως, μια απρόσμενη απότομη αύξηση των δαπανών θα μπορούσε να υποδηλώνει δυσλειτουργία ή εσφαλμένη κατεύθυνση ενός πράκτορα, χωρίς να μοιάζει με παραδοσιακή εισβολή. Η λογική που ορίζουν οι πελάτες δίνει στις ομάδες τη δυνατότητα να καθορίσουν τι θεωρείται μη φυσιολογικό στη δική τους υλοποίηση, εφόσον είναι διαθέσιμα τα απαραίτητα σήματα χρήσης και λειτουργίας.

Η κλίμακα επεξεργασίας που ανακοινώθηκε αποτελεί προδιαγραφή της εταιρείας και όχι δημοσιευμένο σημείο αναφοράς για την ανίχνευση κάθε μορφής έγχυσης προτροπών ή μη εξουσιοδοτημένης χρήσης ΤΝ. Η πρακτική αλλαγή είναι ότι οι ομάδες αποκτούν έναν ακόμη τρόπο να μετατρέπουν τις δικές τους παρατηρήσεις σε αξιοποιήσιμες υποθέσεις, παράλληλα με τις ειδοποιήσεις που παρέχουν καθιερωμένα προϊόντα ασφάλειας.

Το MCP συνδέει πράκτορες και αυτοματισμούς αμφίδρομα

Το MCP παρέχει μια κοινή διεπαφή μέσω της οποίας οι εφαρμογές ΤΝ μπορούν να χρησιμοποιούν εργαλεία. Η έκδοση του Οκτωβρίου της Swimlane υποστηρίζει και τις δύο πλευρές αυτής της σύνδεσης.

Ως κόμβος MCP, το Turbine επιτρέπει στο Hero AI να συνδέεται με διακομιστές MCP τρίτων και να χρησιμοποιεί τα εργαλεία τους κατά τη διάρκεια διερευνήσεων και ροών εργασιών, με κεντρική διαχείριση της ταυτοποίησης και των ελέγχων πρόσβασης. Έτσι, μια ροή εργασιών ασφάλειας μπορεί να καλεί μια εξωτερική δυνατότητα συμβατή με το MCP, παράλληλα με τις διασυνδέσεις API που ήδη χρησιμοποιεί.

Ως διακομιστής MCP, το Turbine διαθέτει ελεγχόμενες δυνατότητες αυτοματισμού σε εξωτερικές εφαρμογές ΤΝ. Η ανακοίνωση κατονομάζει τα Claude, ChatGPT, Cursor, Gemini CLI και Microsoft Copilot ως παραδείγματα εφαρμογών που μπορούν να καλούν στοιχεία του Turbine, συμπεριλαμβανομένων πολυβηματικών ροών εργασιών, στο πλαίσιο των υφιστάμενων ελέγχων πρόσβασης βάσει ρόλων.

Η διάκριση έχει ουσιαστική σημασία. Στην πρώτη περίπτωση, ο πράκτορας του Swimlane επικοινωνεί με ένα άλλο σύστημα. Στη δεύτερη, ένας εξωτερικός βοηθός μπορεί να εκκινήσει μια εγκεκριμένη ροή εργασιών του Turbine. Η σύνδεση ενός βοηθού με ένα ήδη καθιερωμένο playbook δίνει σε μια επιχείρηση τη δυνατότητα να επαναχρησιμοποιήσει τον υπάρχοντα αυτοματισμό και τα δικαιώματα πρόσβασης, αντί να αναδημιουργήσει την επιχειρησιακή διαδικασία μέσα σε κάθε πελάτη ΤΝ.

Το Swimlane αναφέρει ότι το Turbine μπορεί να συνδυάζει εργαλεία MCP με συμβατικά API. Αυτό καθιστά την ανακοίνωση σχετική με περιβάλλοντα όπου μόνο ορισμένα συστήματα υποστηρίζουν το MCP: οι ομάδες μπορούν να ενσωματώσουν το πρωτόκολλο σε μια ευρύτερη ροή εργασιών, χωρίς να χρειαστεί να αλλάξουν ταυτόχρονα όλες οι υπάρχουσες διασυνδέσεις.

Δημιουργία εφαρμογών ασφάλειας με ανθρώπινο έλεγχο

Το Hero AI Application Builder Agent αντιμετωπίζει μια άλλη πηγή εργασίας: τη διαμόρφωση των δομών εγγραφών, των διατάξεων και των ροών εργασιών που απαιτεί μια νέα περίπτωση χρήσης στον τομέα της ασφάλειας. Οι χρήστες περιγράφουν σε φυσική γλώσσα τι χρειάζονται και ο πράκτορας δημιουργεί ή τροποποιεί την αντίστοιχη εφαρμογή.

Σύμφωνα με την ανακοίνωση, οι αλλαγές που δημιουργούνται δεν αποθηκεύονται μέχρι να τις ελέγξει κάποιο άτομο. Οι αλλαγές επισημαίνονται και οι χρήστες μπορούν να τις αποδεχτούν ή να τις απορρίψουν προτού οριστικοποιηθούν. Αυτό το σημείο έγκρισης έχει σημασία, επειδή η δομή μιας εφαρμογής μπορεί να επηρεάσει τον τρόπο με τον οποίο οι αναλυτές καταγράφουν τα αποδεικτικά στοιχεία, μετακινούν τις υποθέσεις μεταξύ σταδίων και υλοποιούν την απόκριση.

Ο νέος πράκτορας επεκτείνει το ευρύτερο χαρτοφυλάκιο του Hero AI. Το υλικό προϊόντων του Swimlane περιγράφει τους υπάρχοντες πράκτορες για την εισαγωγή δεδομένων, τη δημιουργία playbook, τις οπτικοποιήσεις και τη διερεύνηση, καθώς και τη δυνατότητα επιλογής μοντέλων για μεμονωμένους πράκτορες. Η δημιουργία εφαρμογών επεκτείνει αυτή την υποστήριξη στον επιχειρησιακό χώρο εργασίας που περιβάλλει αυτές τις εργασίες.

Συνδυασμός συλλογιστικής ΤΝ με προβλέψιμο αυτοματισμό

Οι προσθήκες εντάσσονται στο μοντέλο δρομολόγησης του Swimlane AI SOC, το οποίο κατευθύνει τις εργασίες μεταξύ ντετερμινιστικού αυτοματισμού, διερεύνησης με υποβοήθηση ΤΝ και πλήρως αυτόνομης διερεύνησης με πράκτορες, ανάλογα με το είδος συλλογιστικής που απαιτείται. Τα υπάρχοντα playbook μπορούν να αναλάβουν οικεία βήματα, ενώ οι πιο σύνθετες υποθέσεις μπορούν να αξιοποιήσουν τη διερεύνηση με πράκτορες και τον ανθρώπινο έλεγχο.

Αυτό αποτελεί σημαντικό στοιχείο του σχεδιασμού του προϊόντος: μια ροή εργασιών δεν χρειάζεται να περνά κάθε εργασία από ένα μοντέλο. Μια γνωστή ακολουθία απόκρισης μπορεί να παραμείνει συμβατικός αυτοματισμός, ενώ ένας πράκτορας βοηθά στην ερμηνεία άγνωστων αποδεικτικών στοιχείων ή στην κατάρτιση σχεδίου διερεύνησης.

Η δυνατότητα ορισμού ανιχνεύσεων από τους πελάτες προσθέτει ένα προγενέστερο ερώτημα σε αυτό το λειτουργικό μοντέλο: τι θα πρέπει να ενεργοποιεί εξαρχής τη διαδικασία; Για τις ομάδες ασφάλειας που υιοθετούν την ΤΝ σε ολόκληρο τον οργανισμό τους, η έκδοση του Οκτωβρίου προσφέρει έναν τρόπο να συνδέσουν τη δική τους γνώση σχετικά με την αποδεκτή συμπεριφορά με τα εργαλεία που διερευνούν και αντιμετωπίζουν δραστηριότητες οι οποίες αποκλίνουν από αυτήν.