Cyware เปิดตัว Last Mile AI Agents เปลี่ยนข่าวกรองภัยคุกคามที่แบ่งปันกันให้เป็นลำดับความสำคัญประจำวัน

คำแนะนำเตือนภัยคุกคามอาจส่งถึงหน่วยงานสาธารณูปโภคขนาดเล็กได้ภายในไม่กี่วินาที แต่การตัดสินใจว่าข้อมูลนั้นสำคัญหรือไม่ และควรทำอย่างไร อาจใช้เวลานานกว่านั้นมาก Cyware มุ่งแก้ปัญหาช่องว่างนี้ด้วย Last Mile Agents ซึ่งเป็นชุดเอเจนต์ AI ใหม่ที่ออกแบบมาเพื่อเปลี่ยนข่าวกรองความมั่นคงปลอดภัยไซเบอร์ที่แบ่งปันกันให้เป็นลำดับความสำคัญประจำวันสำหรับองค์กรขนาดเล็ก

เอเจนต์เหล่านี้ประกาศเปิดตัวเมื่อวันที่ 22 ตุลาคม โดยมุ่งให้บริการสมาชิกเครือข่ายแบ่งปันข้อมูลภัยคุกคามที่ได้รับคำแนะนำเตือนภัยจากศูนย์กลางระดับชุมชนหรือระดับรัฐ แต่ไม่มีทีมข่าวกรองภัยคุกคามโดยเฉพาะ แทนที่จะแจกจ่ายรายการเรื่องที่ต้องอ่านชุดเดียวกันให้ผู้รับทุกแห่ง Cyware ระบุว่าเอเจนต์จะประเมินข้อมูลที่ได้รับโดยพิจารณาจากภาคส่วน เทคโนโลยี และสภาพแวดล้อมการดำเนินงานของแต่ละองค์กร

รุ่นแรกประกอบด้วย Vulnerability Watch และ Threat Briefing ซึ่งทั้งสองรายการมีเอเจนต์ Priority Intelligence Requirements คอยสนับสนุน ผลลัพธ์ที่ส่งมอบในทันทีคือแนวทางปฏิบัติที่จัดลำดับความสำคัญแล้ว ส่วนการดำเนินการอัตโนมัติเป็นแผนที่ Cyware จะพัฒนาต่อไปในระยะถัดไป

เปลี่ยนคำแนะนำเตือนภัยที่แบ่งปันกันให้เป็นลำดับความสำคัญเฉพาะองค์กร

เครือข่ายแบ่งปันข้อมูลภัยคุกคามช่วยให้องค์กรรวบรวมข้อมูลเกี่ยวกับช่องโหว่ ผู้โจมตี และแคมเปญที่กำลังเกิดขึ้นไว้ด้วยกัน อย่างไรก็ตาม คุณค่าของเครือข่ายเหล่านี้ขึ้นอยู่กับสิ่งที่เกิดขึ้นหลังจากได้รับคำแนะนำเตือนภัย องค์กรขนาดใหญ่อาจมีนักวิเคราะห์คอยเปรียบเทียบข้อมูลข่าวกรองกับระบบของตน ส่วนธุรกิจขนาดเล็กหรือสหกรณ์สาธารณูปโภคอาจต้องพึ่งพาผู้ดูแลความมั่นคงปลอดภัยเพียงคนเดียว ซึ่งต้องจัดการงานไอทีประจำวันควบคู่ไปด้วย

แนวทางของ Cyware แยกงานของศูนย์กลางข่าวกรองออกจากงานของสมาชิก ศูนย์กลางเป็นผู้ดำเนินงานบนแพลตฟอร์ม Cyware และคัดสรรข้อมูลข่าวกรอง ส่วนองค์กรสมาชิกที่เชื่อมต่อกันจะใช้ Last Mile Agents ซึ่งปรับให้เหมาะกับลำดับความสำคัญของตน โดยไม่ต้องติดตั้งแพลตฟอร์มเอง ตามที่ระบุในการประกาศ

ความแตกต่างนี้มีความสำคัญต่อการนำไปใช้ แนวคิดคือการทำให้ความสัมพันธ์ในการแบ่งปันข้อมูลที่มีอยู่แล้วเกิดประโยชน์มากขึ้นสำหรับผู้รับ แทนที่จะกำหนดให้องค์กรขนาดเล็กแต่ละแห่งต้องจัดตั้งหน่วยงานข่าวกรองภัยคุกคามเต็มรูปแบบ

“การป้องกันร่วมกันจะแข็งแกร่งได้เท่ากับจุดเชื่อมต่อสุดท้ายเท่านั้น และนี่คือวิธีที่เราทำให้จุดนั้นแข็งแกร่ง” Akshat Jain ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีและผู้ร่วมก่อตั้ง Cyware กล่าวในประกาศ เขาระบุว่าเอเจนต์เริ่มต้นด้วย Priority Intelligence Requirements เพื่อรวบรวมข้อมูลที่เกี่ยวข้องกับสภาพแวดล้อมของแต่ละองค์กร และนำบริบทดังกล่าวไปใช้กับคำแนะนำเตือนภัยและข้อมูลช่องโหว่ที่ได้รับ

เอเจนต์สามประเภท โดยมีบริบทขององค์กรเป็นหัวใจสำคัญ

เอเจนต์ Priority Intelligence Requirements หรือ PIR เป็นรากฐานของระบบ โดยรวบรวมสิ่งที่สำคัญต่อองค์กรสมาชิกและตรวจสอบข้อมูลข่าวกรองที่เข้ามาอย่างต่อเนื่องให้สอดคล้องกับข้อกำหนดเหล่านั้น ในทางปฏิบัติ ระบบจึงมีกรอบนิยามความเกี่ยวข้องไว้ใช้ก่อนจัดลำดับความสำคัญของภัยคุกคาม

• เอเจนต์ PIR: กำหนดลำดับความสำคัญด้านข่าวกรองของสมาชิก และใช้ข้อมูลดังกล่าวประเมินคำแนะนำเตือนภัยและข้อมูลช่องโหว่ที่ได้รับ
• เอเจนต์ Vulnerability Watch: จัดทำรายการลำดับความสำคัญประจำวัน โดยแบ่งเป็น “ดำเนินการ” “ให้ความสนใจ” และ “ติดตาม” พร้อมประเมินกิจกรรมการโจมตีที่อาศัยช่องโหว่และระดับความรุนแรงเทียบกับสภาพแวดล้อมของสมาชิก
• เอเจนต์ Threat Briefing: จัดทำสรุปข่าวประจำวันแบบจัดอันดับ พร้อมอธิบายว่าพัฒนาการใดควรได้รับความสนใจ และเหตุใดจึงสำคัญต่อสมาชิกแต่ละราย

การแยกความแตกต่างระหว่างระดับความรุนแรงกับความเกี่ยวข้องเป็นหัวใจสำคัญของการออกแบบ ช่องโหว่ที่ร้ายแรงไม่ได้เร่งด่วนเท่ากันสำหรับผู้รับคำแนะนำเตือนภัยทุกราย องค์กรจำเป็นต้องเข้าใจว่าเทคโนโลยีที่ได้รับผลกระทบเป็นส่วนหนึ่งของสภาพแวดล้อมของตนหรือไม่ มีการโจมตีโดยอาศัยช่องโหว่นั้นเกิดขึ้นหรือไม่ และประเด็นดังกล่าวมีความสำคัญเพียงใดเมื่อเทียบกับภารกิจอื่นที่ต้องใช้เวลา

Last Mile Agents เข้ากับเทคโนโลยีของ Cyware อย่างไร

การเปิดตัวครั้งนี้ต่อยอด กลุ่มเอเจนต์ AI ที่ Cyware มีอยู่เดิม ให้ครอบคลุมมากกว่านักวิเคราะห์ที่ทำงานในศูนย์กลางข่าวกรอง Agent Hub ซึ่งมีขอบเขตกว้างกว่านั้นรวบรวมเอเจนต์ไว้ในผลิตภัณฑ์ด้านความปลอดภัยของบริษัท และมีการอธิบายถึงการควบคุมระดับการทำงานอัตโนมัติที่ปรับตั้งค่าได้ การกำกับดูแลโดยมนุษย์ การกำหนดสิทธิ์อนุมัติ และการบันทึกการตรวจสอบ ความสามารถของแพลตฟอร์มเหล่านี้ช่วยให้เข้าใจกลยุทธ์ของ Cyware แต่ผลิตภัณฑ์รุ่นใหม่ที่เปิดตัวนี้มุ่งเน้นการจัดลำดับความสำคัญและการสรุปข้อมูลสำหรับสมาชิกโดยเฉพาะ

เบื้องหลังกลยุทธ์ดังกล่าวคือโจทย์ในการทำให้ข้อมูลภัยคุกคามที่กระจัดกระจายสามารถนำไปใช้ได้ Cyware Intel Exchange รองรับการนำเข้าข้อมูล การลบข้อมูลซ้ำ การเพิ่มข้อมูลประกอบ และการปรับข้อมูลให้อยู่ในรูปแบบมาตรฐาน STIX 2.1 ซึ่งเป็นรูปแบบมีโครงสร้างสำหรับแลกเปลี่ยนข่าวกรองภัยคุกคาม นอกจากนี้ยังเชื่อมโยงตัวบ่งชี้ มัลแวร์ แคมเปญ และผู้ก่อภัยคุกคามเข้าด้วยกัน รวมทั้งจับคู่พฤติกรรมของฝ่ายตรงข้ามกับ MITRE ATT&CK ความสามารถเหล่านี้ช่วยอธิบายบทบาทของศูนย์กลาง นั่นคือการจัดระเบียบข้อมูลข่าวกรองก่อนที่องค์กรสมาชิกจะนำไปตีความตามลำดับความสำคัญของตนเอง

ผลิตภัณฑ์อีกตัวของบริษัทคือ Cyware Orchestrate ซึ่งเชื่อมโยงเวิร์กโฟลว์ด้านความปลอดภัยผ่าน API, webhook และการผสานรวมที่สร้างไว้ล่วงหน้า นอกจากนี้ยังมี AI ช่วยสร้างและแก้ไขปัญหาในเพลย์บุ๊ก ผลิตภัณฑ์นี้เป็นส่วนหนึ่งของข้อเสนอด้านระบบอัตโนมัติในภาพรวมของ Cyware แต่ไม่ควรสับสนกับขอบเขตการเปิดตัว Last Mile Agents โดย Cyware ระบุว่าการดำเนินการอัตโนมัติสำหรับเอเจนต์ใหม่เหล่านี้ยังอยู่ในแผนพัฒนา

บททดสอบคือแนวทางที่ให้มาช่วยเปลี่ยนแปลงงานประจำวันได้หรือไม่

สำหรับทีมรักษาความปลอดภัยขนาดเล็ก การสรุปข้อมูลข่าวกรองด้วย AI ที่เป็นประโยชน์ต้องทำได้มากกว่าแค่ย่อคำแนะนำฉบับยาวให้เหลือย่อหน้าสั้น ๆ โดยต้องชี้ให้เห็นว่าเรื่องใดเกี่ยวข้อง อธิบายเหตุผลในการจัดลำดับความสำคัญ และช่วยให้ตัดสินใจขั้นต่อไปได้ง่ายขึ้น ดังนั้น คุณภาพของข้อกำหนดที่องค์กรระบุไว้ รวมถึงความสามารถในการปรับข้อกำหนดให้สอดคล้องกับสภาพแวดล้อมที่เปลี่ยนแปลงอยู่เสมอ จึงมีความสำคัญต่อคุณค่าในการใช้งานจริงของเอเจนต์

ประกาศของ Cyware ไม่ได้ระบุเกณฑ์มาตรฐานด้านประสิทธิภาพ ราคา หรือผลลัพธ์ที่วัดได้จากลูกค้าสำหรับ Last Mile Agents คำมั่นในระยะแรกนั้นมีขอบเขตแคบกว่าและเป็นรูปธรรม กล่าวคือ ช่วยให้สมาชิกที่มีทรัพยากรจำกัดเห็นภาพรวมรายวันว่าเรื่องใดสำคัญที่สุด โดยใช้ข่าวกรองที่เครือข่ายของตนเผยแพร่อยู่แล้ว

Vulnerability Watch และ Threat Briefing เป็นเอเจนต์กลุ่มแรกที่เปิดให้ใช้งาน โดยขับเคลื่อนด้วย PIR Agent นอกจากนี้ Cyware ยังเปิดให้เข้าร่วมเว็บบินาร์เกี่ยวกับเอเจนต์ AIด้วย โอกาสในภาพกว้างคือการทำให้การป้องกันร่วมกันเกิดประโยชน์ได้กับองค์กรที่มีนักวิเคราะห์ไม่เพียงพอจะแปลความข้อมูลดังกล่าวด้วย