Cyware wprowadza agentów AI Last Mile, którzy zamieniają wspólne informacje o zagrożeniach w codzienne priorytety

Ostrzeżenie o zagrożeniu może dotrzeć do małego przedsiębiorstwa użyteczności publicznej w ciągu kilku sekund. Ustalenie, czy jest ono istotne — i co należy w związku z nim zrobić — może zająć znacznie więcej czasu. Cyware chce wypełnić tę lukę, wprowadzając Last Mile Agents — nowy zestaw agentów AI, które mają przekształcać wspólne informacje o zagrożeniach cybernetycznych w codzienne priorytety mniejszych organizacji.

Agenci, których wprowadzenie ogłoszono 22 października, są przeznaczeni dla uczestników sieci wymiany informacji o zagrożeniach. Otrzymują oni ostrzeżenia od społecznościowych lub stanowych ośrodków, ale nie mają własnego zespołu zajmującego się analizą zagrożeń. Zamiast udostępniać wszystkim odbiorcom tę samą listę materiałów do przeczytania, agenci — jak informuje Cyware — oceniają napływające informacje pod kątem sektora, technologii i środowiska operacyjnego każdej organizacji.

Pierwsze wydanie obejmuje Vulnerability Watch i Threat Briefing, wspierane przez agenta ds. wymagań dotyczących priorytetowych informacji wywiadowczych. Bezpośrednim rezultatem działania agentów są uporządkowane według priorytetu wskazówki; automatyczne podejmowanie działań należy do planów Cyware na kolejne etapy rozwoju.

Od wspólnych ostrzeżeń do lokalnych priorytetów

Sieci wymiany informacji o zagrożeniach pomagają organizacjom gromadzić informacje o podatnościach, atakujących i nowych kampaniach. Ich wartość zależy jednak od tego, co dzieje się po otrzymaniu ostrzeżenia. Duże przedsiębiorstwo może mieć analityków, którzy porównują te informacje z używanymi przez nie systemami. Mała firma lub spółdzielcze przedsiębiorstwo użyteczności publicznej może polegać na jednym specjaliście ds. bezpieczeństwa, który jednocześnie zajmuje się bieżącymi zadaniami IT.

Podejście Cyware rozdziela zadania ośrodka analiz zagrożeń i jego uczestników. Ośrodek obsługuje platformę Cyware i selekcjonuje informacje. Zgodnie z komunikatem organizacje uczestniczące w sieci korzystają z agentów Last Mile dostosowanych do swoich priorytetów, nie musząc samodzielnie wdrażać platformy.

To rozróżnienie ma znaczenie dla wdrożenia. Chodzi o to, by zwiększyć użyteczność istniejącej współpracy w zakresie wymiany informacji po stronie jej odbiorców, zamiast wymagać od każdej małej organizacji tworzenia pełnego zespołu ds. analizy zagrożeń.

„Wspólna obrona jest tak silna, jak jej najsłabsze ogniwo, a to rozwiązanie pozwala nam je wzmocnić” — powiedział w komunikacie Akshat Jain, dyrektor ds. technologii i współzałożyciel Cyware. Dodał, że agenci zaczynają od zebrania wymagań dotyczących priorytetowych informacji wywiadowczych, aby ustalić, co jest istotne dla środowiska każdej organizacji, a następnie uwzględniają ten kontekst przy analizie napływających ostrzeżeń i informacji o podatnościach.

Trzej agenci, których podstawą jest kontekst organizacji

Podstawę stanowi agent ds. wymagań dotyczących priorytetowych informacji wywiadowczych, czyli agent PIR. Ustala on, co jest ważne dla organizacji uczestniczącej w sieci, i na bieżąco porównuje napływające informacje z jej wymaganiami. W praktyce ma to zapewnić systemowi roboczą definicję istotności, zanim uszereguje on zagrożenia.

• Agent PIR: Ustala priorytety organizacji w zakresie informacji wywiadowczych i wykorzystuje je do oceny otrzymywanych ostrzeżeń oraz informacji o podatnościach.
• Agent Vulnerability Watch: Tworzy codzienną listę priorytetów z kategoriami „działaj”, „zwróć uwagę” i „monitoruj”, uwzględniając aktywność związaną z wykorzystywaniem podatności oraz ich poziom zagrożenia w kontekście środowiska danej organizacji.
• Agent Threat Briefing: Przygotowuje codzienny briefing z uszeregowanymi informacjami, wyjaśniając, które wydarzenia wymagają uwagi i dlaczego są istotne dla danej organizacji.

Kluczowe dla tego rozwiązania jest rozróżnienie między poziomem zagrożenia a istotnością. Poważna podatność nie jest równie pilna dla każdego odbiorcy ostrzeżenia. Organizacja musi wiedzieć, czy dotyczy ona technologii wykorzystywanej w jej środowisku, czy jest aktywnie wykorzystywana oraz jak dany problem wypada na tle innych zadań konkurujących o jej czas.

Jak agenci Last Mile wpisują się w technologie Cyware

Wprowadzenie agentów rozszerza dotychczasową ofertę agentów AI Cyware poza grono analityków pracujących w ośrodkach analiz zagrożeń. Szersza platforma Agent Hub łączy agentów w ramach produktów firmy z zakresu bezpieczeństwa i zapewnia mechanizmy kontroli konfigurowalnego poziomu autonomii, nadzoru człowieka, autoryzacji oraz rejestrowania audytowego. Możliwości te stanowią kontekst dla strategii Cyware, natomiast nowe wydanie koncentruje się konkretnie na ustalaniu priorytetów i przygotowywaniu briefingów dla uczestników sieci.

Podstawą tej strategii jest rozwiązanie problemu wykorzystania rozproszonych informacji o zagrożeniach. Cyware Intel Exchange obsługuje pobieranie, usuwanie duplikatów, wzbogacanie i normalizację danych do formatu STIX 2.1 — ustrukturyzowanego formatu wymiany informacji o zagrożeniach. Łączy również wskaźniki, złośliwe oprogramowanie, kampanie i sprawców zagrożeń, a także odwzorowuje zachowania przeciwników w ramach MITRE ATT&CK. Te funkcje pomagają zrozumieć rolę ośrodka: porządkowanie informacji przed ich interpretacją przez organizacje uczestniczące w sieci z uwzględnieniem własnych priorytetów.

Osobny produkt firmy, Cyware Orchestrate, łączy procesy związane z bezpieczeństwem za pomocą interfejsów API, webhooków i gotowych integracji. Obejmuje funkcje AI wspomagające tworzenie i rozwiązywanie problemów z procedurami reagowania. Jest to element szerszej oferty Cyware w zakresie automatyzacji, ale nie należy go utożsamiać z zakresem premiery Last Mile Agents: Cyware planuje wprowadzić automatyczne podejmowanie działań w tych nowych agentach w przyszłości.

Sprawdzianem będzie to, czy wskazówki zmienią codzienną pracę

W przypadku mniejszych zespołów ds. bezpieczeństwa przydatny briefing przygotowany przez AI musi robić więcej niż tylko skracać długi komunikat do krótkiego akapitu. Powinien wskazywać, dlaczego dana kwestia jest istotna, wyjaśniać jej pozycję w rankingu i ułatwiać podjęcie kolejnej decyzji. Jakość wymagań określonych przez organizację — oraz to, jak dobrze pozostają one dostosowane do zmieniającego się otoczenia — będzie zatem istotna dla praktycznej wartości agentów.

W swoim komunikacie Cyware nie podaje wyników testów wydajności, cen ani zmierzonych efektów osiągniętych przez klientów korzystających z Last Mile Agents. Początkowa obietnica jest skromniejsza i konkretna: zapewnić członkom dysponującym ograniczonymi zasobami codzienny przegląd najważniejszych kwestii, oparty na informacjach wywiadowczych, które ich sieci już rozpowszechniają.

Vulnerability Watch i Threat Briefing to pierwsze dostępne agenty, działające w oparciu o PIR Agent. Cyware oferuje również webinar poświęcony swoim agentom AI. Szerszą szansą jest sprawienie, by wspólna obrona była użyteczna także dla organizacji, które nie mają wystarczającej liczby analityków, by interpretować te informacje.