Cyware tuo markkinoille Last Mile AI Agents -agentit, jotka muuttavat jaetun uhkatiedustelun päivittäisiksi prioriteeteiksi

Uhkatiedote voi tavoittaa pienen yleishyödyllisen palveluntarjoajan sekunneissa. Sen arvioiminen, onko tiedote merkityksellinen – ja mitä sen perusteella pitäisi tehdä – voi viedä paljon kauemmin. Cyware pyrkii kuromaan tämän kuilun umpeen Last Mile Agents -agenttien avulla. Kyseessä on uusi tekoälyagenttien kokonaisuus, joka on suunniteltu muuntamaan jaettu kyberturvallisuustieto pienempien organisaatioiden päivittäisiksi prioriteeteiksi.

Agentit julkistettiin 22. lokakuuta. Ne on suunnattu uhkatietoa jakavien verkostojen jäsenille, jotka saavat tiedotteita yhteisöjen tai osavaltioiden keskuksilta mutta joilla ei ole omaa uhkatiedustelutiimiä. Sen sijaan, että kaikille vastaanottajille tarjottaisiin sama lukulista, Cyware kertoo agenttien arvioivan saapuvaa tietoa kunkin organisaation toimialan, teknologian ja toimintaympäristön perusteella.

Ensimmäiseen julkaisuversioon kuuluvat haavoittuvuuksien seuranta ja uhkakatsaukset, joita molempia tukee tiedustelun prioriteettivaatimuksia käsittelevä agentti. Välitön tuotos on priorisoitu ohjeistus; automaattiset toimenpiteet kuuluvat Cywaren myöhempää kehitystä koskeviin suunnitelmiin.

Jaettujen tiedotteiden muuntaminen paikallisiksi prioriteeteiksi

Uhkatietoa jakavat verkostot auttavat organisaatioita kokoamaan yhteen tietoa haavoittuvuuksista, hyökkääjistä ja uusista kampanjoista. Verkostojen arvo riippuu kuitenkin siitä, mitä tapahtuu tiedotteen saavuttua. Suurella yrityksellä voi olla analyytikkoja, jotka vertaavat tiedustelutietoa sen järjestelmiin. Pieni yritys tai osuuskuntamuotoinen yleishyödyllinen palveluntarjoaja voi puolestaan olla yhden tietoturvan yleisasiantuntijan varassa; tämä huolehtii samalla myös tavanomaisista IT-tehtävistä.

Cywaren lähestymistavassa tiedustelukeskuksen työ erotetaan sen jäsenten työstä. Keskus käyttää Cyware-alustaa ja kokoaa sekä kuratoi tiedustelutiedon. Tiedotteen mukaan verkostoon liittyneet jäsenorganisaatiot käyttävät omiin prioriteetteihinsa räätälöityjä Last Mile Agents -agentteja ilman, että niiden tarvitsee ottaa alustaa itse käyttöön.

Tämä ero on tärkeä käyttöönoton kannalta. Tavoitteena on tehdä jo olemassa olevasta tiedonjakoyhteistyöstä hyödyllisempää vastaanottajille sen sijaan, että jokaisen pienen organisaation edellytettäisiin perustavan täysimittainen uhkatiedustelutoiminto.

”Yhteinen puolustus on vain niin vahva kuin sen viimeinen lenkki, ja näin teemme siitä vahvan”, sanoi Cywaren teknologiajohtaja ja toinen perustaja Akshat Jain tiedotteessa. Hänen mukaansa agentit aloittavat tiedustelun prioriteettivaatimuksista selvittääkseen, mikä on kunkin organisaation toimintaympäristössä olennaista, ja soveltavat tätä kontekstia saapuviin tiedotteisiin ja haavoittuvuuksiin.

Kolme agenttia, joiden keskiössä on organisaation toimintaympäristö

Tiedustelun prioriteettivaatimuksia käsittelevä agentti eli PIR-agentti luo perustan. Se selvittää, mikä on jäsenorganisaatiolle tärkeää, ja vertaa saapuvaa tiedustelutietoa jatkuvasti näihin vaatimuksiin. Käytännössä tämän on tarkoitus antaa järjestelmälle toimiva määritelmä sille, mikä on olennaista, ennen uhkien asettamista tärkeysjärjestykseen.

• PIR-agentti: Määrittää jäsenen tiedustelun painopisteet ja käyttää niitä saapuvien tiedotteiden ja haavoittuvuustietojen arviointiin.
• Haavoittuvuuksien seuranta-agentti: Laatii päivittäisen prioriteettilistan, jonka luokat ovat ”toimi”, ”huomioi” ja ”seuraa”. Se punnitsee haavoittuvuuksien hyödyntämiseen liittyvää toimintaa ja vakavuutta jäsenen toimintaympäristöä vasten.
• Uhkakatsausagentti: Laatii päivittäin tärkeysjärjestykseen asetetun katsauksen, jossa kerrotaan, mitkä kehityskulut ansaitsevat huomiota ja miksi ne ovat kyseiselle jäsenelle merkityksellisiä.

Vakavuuden ja merkityksellisyyden erottaminen on suunnittelun keskeinen lähtökohta. Vakava haavoittuvuus ei ole yhtä kiireellinen kaikille tiedotteen vastaanottajille. Organisaation on ymmärrettävä, kuuluuko haavoittuvuuden kohteena oleva teknologia sen toimintaympäristöön, hyödynnetäänkö haavoittuvuutta parhaillaan ja miten asia vertautuu muihin sen ajasta kilpaileviin vaatimuksiin.

Miten Last Mile Agents sopii Cywaren teknologiaan

Julkaisu laajentaa Cywaren nykyistä tekoälyagenttivalikoimaa tiedustelukeskuksissa työskentelevien analyytikkojen ulkopuolelle. Yhtiön laajempi Agent Hub kokoaa agentit sen tietoturvatuotteisiin ja sisältää kuvauksen hallintakeinoista, joilla säädellään autonomian tasoa, ihmisen valvontaa, valtuutuksia ja auditointilokeja. Nämä alustatason ominaisuudet antavat taustaa Cywaren strategialle; uudessa julkaisussa keskitytään nimenomaan jäsenille suunnattuun priorisointiin ja katsauksiin.

Strategian taustalla on haaste saada hajanaisesta uhkatiedosta käyttökelpoista. Cyware Intel Exchange tukee tiedon vastaanottoa, kaksoiskappaleiden poistoa, rikastamista ja muuntamista normalisoituun STIX 2.1 -muotoon, joka on uhkatiedon vaihtamiseen tarkoitettu rakenteinen formaatti. Se myös yhdistää indikaattoreita, haittaohjelmia, kampanjoita ja uhkatoimijoita sekä kartoittaa vastustajien toimintaa MITRE ATT&CK -viitekehykseen. Nämä ominaisuudet selittävät tiedustelukeskuksen roolia: se järjestää tiedustelutiedon ennen kuin jäsenorganisaatiot tulkitsevat sitä omien prioriteettiensa kautta.

Yhtiön erillinen Cyware Orchestrate -tuote yhdistää tietoturvatyönkulkuja rajapintojen, webhookien ja valmiiden integraatioiden avulla. Siihen sisältyy tekoälyavusteisia toimintoja toimintasuunnitelmien luomiseen ja vianmääritykseen. Tämä kuuluu Cywaren laajempaan automaatiotarjontaan, mutta sitä ei pidä sekoittaa Last Mile Agents -agenttien julkaisun sisältöön: Cyware suunnittelee tuovansa automaattiset toimenpiteet uusille agenteille myöhemmin.

Ratkaisevaa on, muuttaako ohjeistus työpäivän kulkua

Pienemmille tietoturvatiimeille hyödyllisen tekoälytilannekatsauksen on tehtävä muutakin kuin tiivistettävä pitkä uhkatiedote lyhyeksi kappaleeksi. Sen on osoitettava, mikä on olennaista, selitettävä priorisointinsa ja helpotettava seuraavan päätöksen tekemistä. Organisaation ilmoittamien vaatimusten laatu – ja se, kuinka hyvin ne pysyvät linjassa muuttuvan toimintaympäristön kanssa – on siksi tärkeää agenttien käytännön arvon kannalta.

Cywaren ilmoituksessa ei esitetä suorituskyvyn vertailuarvoja, hinnoittelua eikä mitattuja asiakastuloksia Last Mile Agents -ratkaisulle. Sen alustava lupaus on rajatumpi ja konkreettinen: tarjota resurssipulasta kärsiville jäsenille päivittäinen katsaus tärkeimpiin asioihin hyödyntäen tiedustelutietoa, jota niiden verkostot jo jakavat.

Vulnerability Watch ja Threat Briefing ovat ensimmäiset saatavilla olevat agentit, ja ne toimivat PIR Agentin avulla. Cyware tarjoaa myös tekoälyagenttejaan käsittelevän webinaarin. Laajempi mahdollisuus on tehdä yhteisestä puolustuksesta hyödyllistä myös niille organisaatioille, joilla ei jo ennestään ole riittävästi analyytikkoja tiedustelutiedon tulkitsemiseen.