Kindo julkaisi Deep Hat Siftin vähentämään tarpeettomia tekoälyagentin käynnistyksiä

Jokaisen tietoturvahälytyksen tai lokimerkinnän läpi käyvä tekoälyagentti aiheuttaa kustannuksia, vaikka se päätyisi siihen, ettei mitään tarvitse tehdä. Yrityskäytössä tällaisista tapahtumattomista selvityksistä voi muodostua huomattava työkuorma jo itsessään. Kindo on julkaissut Deep Hat Siftin, mallin, joka päättää saapuvien tapahtumien perusteella, milloin agentti kannattaa käynnistää, ennen kuin suurempi malli alkaa käsitellä niitä.

Sift julkistettiin 28. lokakuuta. Se oppii palvelemansa agentin tekemistä päätelmistä ja suodattaa sitten tapahtumat, jotka agentti muuten sivuuttaisi. Tuote aloittaa havainnoimalla eikä suodattamalla: kaikki tapahtumat välitetään edelleen agentille, kunnes ihminen arvioi ehdotetun suodatustavan ja hyväksyy raja-arvon.

Tämä lähestymistapa tarjoaa kustannusten hallintaan muun keinon kuin halvemman kielimallin valitsemisen. Yksittäisen selvityksen hinnan alentamisen sijaan Sift pyrkii välttämään selvityksiä, jotka eivät todennäköisesti edellytä toimenpiteitä. Sen tehokkuus riippuu sekä päätösten laadusta että siitä, millaisin hallintakeinoin varmistetaan, mitä jätetään käsittelemättä.

Päätösmalli ennen kielimallia

Kindo kuvailee Deep Hat Siftiä System One -päätösmalliksi: se on nopea ja edullinen malli, joka vastaa valintakysymykseen sen sijaan, että tuottaisi vastauksen. Kukin malli määritetään tietylle lähteelle, kohdeagentille ja suodatustehtävälle, joten sen oppima vastaa sitä työkuormaa, jota sen on tarkoitus palvella.

Tarkkuudella on merkitystä. Tietoturvaselvityksen kannalta olennainen tapahtuma voi olla merkityksetön palvelupisteen työnkulussa. Sift oppii, mitkä tapahtumat sen kohdeagentti sivuuttaa, ja käyttää koulutussignaalina agentin palauttamia päätelmiä. Kindon mukaan näin vältetään erillinen ihmisten tekemä merkintätyö jokaiselle tietovirralle.

Ensimmäinen käyttöönotto tapahtuu varjotilassa. Sift pisteyttää saapuvat tapahtumat samalla, kun agentti jatkaa niiden kaikkien tarkastelua. Näin järjestelmä voi verrata ennusteitaan agentin päätöksiin. Ennen suodatuksen aloittamista operaattorit saavat omalla datallaan esikatselun siitä, mitä olisi jätetty käsittelemättä.

Ihmisen on sen jälkeen hyväksyttävä raja-arvo ja annettava hyväksynnälle kirjallinen perustelu. Näin päätös hyväksyttävästä suodatustavasta jää työnkulusta vastaavalle tiimille, eikä mallin asentaminen käynnistä suodatusta automaattisesti.

Otantaan ja avoimeen vikatilaan perustuvat hallintakeinot auttavat havaitsemaan, mitä jää huomaamatta

Suodatus aiheuttaa vaikean mittausongelman: jos tapahtuma ei koskaan päädy agentille, mistä tiimi tietää, olisiko sen pitänyt päästä? Sift lähettää edelleen satunnaisotoksen tapahtumista, jotka se muuten jättäisi käsittelemättä. Agentin otoksesta tekemät päätelmät auttavat jatkuvassa ohitusasteen mittauksessa.

Tuotesivulla vertailukohta tehdään selväksi: tarkkuus ja ohitusaste mitataan suhteessa agentin tekemiin arvioihin. Nämä mittarit kertovat, kuinka hyvin Sift jäljittelee kyseisen agentin päätöksiä. Ne eivät itsessään osoita, tunnistaako agentti oikein jokaisen tietoturvapoikkeaman tai operatiivisen ongelman.

Kindon mukaan Sift siirtyy avoimeen vikatilaan, jos laatu heikkenee: tapahtumat ohjataan takaisin agentin tarkasteltaviksi sen sijaan, että niiden suodattamista jatkettaisiin. Yhtiö kertoo myös toiminnan ylärajoista, jotka voivat palauttaa järjestelmän varjotilaan kuormituspiikin aikana. Suodatetut tapahtumat ja hyväksymispäätökset kirjataan, jotta tiimit voivat tarkastella, mitä jätettiin käsittelemättä ja miksi.

”Se ei suodata mitään ennen kuin ihminen hyväksyy raja-arvon. Jos laatu heikkenee, se siirtyy avoimeen vikatilaan ja välittää kaiken eteenpäin kielimallin arvioitavaksi”, sanoi Troy Presley, Kindon Deep Hat Sift -insinööri, julkistuksen yhteydessä.

Nämä mekanismit tuovat kompromissin esiin sen sijaan, että poistaisivat sen. Varovaisemmalla suodatuksella voidaan säilyttää kattavuus mutta säästää vähemmän agentin käynnistyksiä. Aggressiivisempi suodatus voi vähentää työtä enemmän, mutta silloin otannan, laadun heikkenemisen tunnistamisen ja jatkokäsittelystä vastaavan agentin laadun merkitys korostuu.

Suunniteltu hälytyksille, tiketeille ja jatkuville lokivirroille

Julkaisu on suunnattu työkuormiin, joissa saapuvien tapahtumien määrä on suuri mutta toimenpiteitä vaativien osuus pieni. Kindo mainitsee SIEM- ja päätelaitteiden tunnistushälytykset, tikettijonot, ilmoitukset tietojenkalasteluviesteistä, järjestelmä- ja verkkolokit sekä Kafka-tyyppisten alustojen tietovirrat. Valvontalähteisiin kuuluvat Splunk, Datadog ja New Relic.

Sift toimii näiden lähdejärjestelmien edellä, ei niiden korvaajana. Tietoturva-alusta tuottaa edelleen havaintoja, tikettijärjestelmä ylläpitää edelleen jonoaan, ja agentti vastaa edelleen tapauksista, jotka päätyvät sen käsiteltäviksi. Uusi kerros päättää, mitkä tapahtumat käynnistävät tämän ylimääräisen tekoälytyön.

Samaa toimintamallia voitaisiin soveltaa myös talous- ja vaatimustenmukaisuustyönkulkuihin, joissa tarkastellaan tapahtuma- tai käytäntötietovirtoja. Myös näissä työnkuluissa tarkasteltavien tapahtumien valitseminen on eri asia kuin petosten havaitsemista tai vaatimustenmukaisuutta koskevan arvion tekeminen. Kohdeagentti ja ympäröivä liiketoimintaprosessi ovat edelleen olennainen osa lopputulosta.

Näin Sift liittyy Kindon agenttien hallinta-alustaan

Kindon laajempi alusta yhdistää agentit tietoturvan, infrastruktuurin ja IT-toimintojen yritysjärjestelmiin. Se yhdistää suorituksen tilannetietoihin, käyttöoikeuksiin ja operatiiviseen valvontaan ja tarjoaa tiimeille paikan työn hallintaan sen jälkeen, kun malli on valittu.

Yrityksen verkkosivustolla kuvataan agenttien omistajuutta, käyttöoikeuskäytäntöjä sekä kustannusten kohdistamista agentin, omistajan ja tiimin mukaan. Sift tuo työnkulkuun ohjauskeinon jo aiempaan vaiheeseen: sen avulla päätetään, pitäisikö tapahtuman ylipäätään käynnistää agentti. Näin tekninen suodatuspäätös kytkeytyy toiminnalliseen kysymykseen siitä, mitkä työkuormat synnyttävät päättelykustannuksia.

Julkaisutiedotteen mukaan Deep Hat Sift on nyt saatavilla paikallisissa ympäristöissä, itse hallittavassa pilvessä, Kindon pilvessä ja verkosta eristetyissä ympäristöissä. Pisteytys suoritetaan siellä, missä Kindo on asennettuna, ja mallikutsuja hallitaan alustan kautta. Tuote toimii Kindo-agenttien kanssa.

Säästöt riippuvat tapahtumavirrasta

Kindo ei ole ilmoittanut Siftille yleistä säästöprosenttia tai yleispätevää tarkkuuden vertailuarvoa. Sen sijaan tuotesivulla tiimejä kehotetaan tarkastelemaan etukäteen, mitkä niiden omista tapahtumista jätettäisiin käsittelemättä. Tämä on ostajien kannalta olennainen ero: taloudellinen tulos riippuu tapahtumien määrästä, kunkin vältetyn ajon kustannuksista, toimintakelpoisten tapahtumien osuudesta sekä tiimin hyväksymästä toimintakynnyksestä.

Kohinaisissa tapahtumavirroissa tarpeettomien agenttien käynnistysten välttäminen voisi tehdä jatkuvasta tekoälypohjaisesta tarkastelusta edullisempaa. Tapahtumavirroissa, joissa yksittäisen tapahtuman huomaamatta jäämisellä voi olla vakavia seurauksia, otanta- ja eskalointiohjaukset ovat yhtä tärkeitä kuin päättelykustannukset. Deep Hat Sift tuo nämä päätökset osaksi agentin työnkulkua, jolloin keskeinen kysymys ei enää ole, minkä mallin pitäisi käsitellä tapahtuma, vaan tarvitseeko mallin käsitellä sitä lainkaan.