Cyware запускает ИИ-агентов последней мили, чтобы превращать общие данные об угрозах в повседневные приоритеты

Предупреждение об угрозе может за считаные секунды дойти до небольшой коммунальной организации. Но понять, насколько оно важно и что с ним делать, может быть гораздо сложнее и дольше. Cyware намерена устранить этот разрыв с помощью Last Mile Agents — нового набора ИИ-агентов, призванных превращать общие данные о киберугрозах в повседневные приоритеты для небольших организаций.

Об агентах объявили 22 октября. Они предназначены для участников сетей обмена данными об угрозах, которые получают предупреждения от общественных или государственных центров, но не располагают собственной командой по анализу киберугроз. Вместо того чтобы предлагать всем получателям один и тот же список материалов для изучения, агенты, по словам Cyware, оценивают поступающую информацию с учетом отрасли каждой организации, используемых технологий и условий ее работы.

В первоначальный выпуск вошли Vulnerability Watch и Threat Briefing; оба агента используют данные агента Priority Intelligence Requirements. На первом этапе система предоставляет рекомендации, расставленные по приоритету; автоматическое выполнение действий входит в планы Cyware по дальнейшему развитию продукта.

Как превратить общие предупреждения в приоритеты для конкретной организации

Сети обмена данными об угрозах помогают организациям объединять сведения об уязвимостях, злоумышленниках и новых кампаниях. Однако их ценность зависит от того, что происходит после получения предупреждения. В крупной компании могут работать аналитики, способные сопоставить эти сведения с ее системами. Небольшой бизнес или коммунальная организация кооперативного типа может полагаться на одного специалиста по безопасности, которому также приходится заниматься повседневными ИТ-задачами.

В подходе Cyware работа центра анализа данных об угрозах отделена от работы его участников. Центр использует платформу Cyware и отбирает и систематизирует данные об угрозах. Как говорится в сообщении, подключенные организации-участники используют Last Mile Agents, настроенных с учетом их приоритетов, и при этом им не нужно самостоятельно развертывать платформу.

Это различие важно для внедрения решения. Его задача — повысить практическую пользу уже существующего обмена данными для тех, кто их получает, а не требовать от каждой небольшой организации создавать полноценную службу анализа киберугроз.

«Коллективная защита настолько эффективна, насколько эффективно ее последнее звено, и именно так мы помогаем его укрепить», — заявил в сообщении Аксхат Джайн, технический директор и сооснователь Cyware. По его словам, агенты начинают с Priority Intelligence Requirements, чтобы определить, что актуально для среды каждой организации, а затем учитывать этот контекст при анализе поступающих предупреждений и сведений об уязвимостях.

Три агента, в центре работы которых — контекст организации

Агент Priority Intelligence Requirements, или PIR, служит основой системы. Он определяет, что важно для организации-участника, и постоянно сопоставляет поступающие данные об угрозах с ее требованиями. На практике это должно дать системе рабочее определение актуальности еще до того, как она расставит угрозы по приоритету.

• Агент PIR: определяет приоритеты организации-участника в области анализа данных об угрозах и использует их для оценки поступающих предупреждений и сведений об уязвимостях.
• Агент Vulnerability Watch: ежедневно формирует список приоритетов с категориями «действовать», «обратить внимание» и «отслеживать», сопоставляя активность по эксплуатации уязвимостей и их серьезность с особенностями среды организации-участника.
• Агент Threat Briefing: ежедневно готовит ранжированную сводку, объясняя, какие события заслуживают внимания и чем они важны для конкретной организации-участника.

Различие между серьезностью и актуальностью — ключевой принцип этой системы. Серьезная уязвимость не одинаково срочна для всех получателей предупреждения. Организации необходимо понимать, используется ли затронутая технология в ее среде, ведется ли эксплуатация уязвимости и как эта проблема соотносится с другими задачами, требующими ее внимания.

Как Last Mile Agents вписываются в технологическую экосистему Cyware

Запуск расширяет существующий портфель ИИ-агентов Cyware, который прежде был ориентирован на аналитиков в центрах анализа данных об угрозах. Более широкая платформа Agent Hub объединяет агентов в продуктах компании для обеспечения безопасности и предусматривает средства настройки автономности, контроля со стороны человека, управления разрешениями и ведения журналов аудита. Эти возможности платформы помогают понять стратегию Cyware, тогда как в описании нового выпуска основное внимание уделено расстановке приоритетов и подготовке сводок для организаций-участников.

В основе этой стратегии лежит задача сделать разрозненные сведения об угрозах пригодными для практического использования. Cyware Intel Exchange поддерживает сбор данных, удаление дубликатов, обогащение и приведение к формату STIX 2.1 — структурированному стандарту обмена данными об угрозах. Платформа также связывает индикаторы, вредоносное ПО, кампании и субъекты угроз, а поведение противников соотносит с MITRE ATT&CK. Эти возможности помогают понять роль центра: он организует данные об угрозах, прежде чем организации-участники интерпретируют их с учетом собственных приоритетов.

Отдельный продукт компании — Cyware Orchestrate — связывает процессы обеспечения безопасности с помощью API, вебхуков и готовых интеграций. Он включает ИИ-помощник для создания сценариев реагирования и устранения неполадок в них. Это часть более широкого предложения Cyware в области автоматизации, однако не следует путать его с масштабом запуска Last Mile Agents: автоматическое выполнение действий в рамках этих новых агентов Cyware относит к планам дальнейшего развития.

Главный критерий — меняют ли рекомендации повседневную работу

Для небольших команд по информационной безопасности полезная сводка, подготовленная с помощью ИИ, должна не просто сжимать длинное предупреждение до короткого абзаца. Она должна показывать, насколько информация актуальна, объяснять, почему ей присвоен такой приоритет, и помогать принять следующее решение. Поэтому практическая ценность агентов будет зависеть от качества требований, сформулированных организацией, и от того, насколько хорошо они соответствуют меняющейся обстановке.

В объявлении Cyware не приводятся показатели производительности, цены или измеримые результаты для клиентов, использующих Last Mile Agents. Первоначальное обещание этих решений скромнее и конкретнее: предоставлять участникам с ограниченными ресурсами ежедневную сводку о самом важном на основе данных, которыми уже обмениваются их сети.

Vulnerability Watch и Threat Briefing — первые доступные агенты, работающие на базе PIR Agent. Cyware также проводит вебинар о своих ИИ-агентах. Более широкая возможность состоит в том, чтобы сделать коллективную защиту полезной не только для организаций, в которых уже достаточно аналитиков, способных интерпретировать такие данные.