Cyware запускає агентів ШІ Last Mile, які перетворюють спільну розвідувальну інформацію про загрози на щоденні пріоритети

Попередження про загрозу може за лічені секунди дійти до невеликого комунального підприємства. З’ясувати, чи воно важливе, і що з ним робити, може бути значно довше. Cyware прагне усунути цю прогалину за допомогою Last Mile Agents — нового набору агентів ШІ, призначених для перетворення спільної розвідувальної інформації про кіберзагрози на щоденні пріоритети для невеликих організацій.

Про запуск агентів оголосили 22 жовтня. Вони призначені для учасників мереж обміну інформацією про загрози, які отримують попередження від спільнотних або державних центрів, але не мають окремої команди з кіберрозвідки. Замість того щоб надавати всім отримувачам однаковий список матеріалів для ознайомлення, Cyware, за її словами, оцінює отриману інформацію з огляду на сектор, технології та умови роботи кожної організації.

До початкового випуску входять Vulnerability Watch і Threat Briefing, роботу яких підтримує агент Priority Intelligence Requirements. Безпосередній результат — рекомендації, упорядковані за пріоритетністю; автоматизоване виконання дій передбачене планами Cyware на наступні етапи розробки.

Перетворення спільних попереджень на локальні пріоритети

Мережі обміну інформацією про загрози допомагають організаціям об’єднувати відомості про вразливості, зловмисників і нові кампанії. Однак їхня цінність залежить від того, що відбувається після надходження попередження. У великому підприємстві можуть бути аналітики, які зіставляють цю інформацію з його системами. Невеликий бізнес або кооперативне комунальне підприємство може покладатися на одного фахівця із загальної безпеки, який водночас займається звичайною ІТ-підтримкою.

Підхід Cyware розмежовує роботу центру кіберрозвідки та його учасників. Центр використовує платформу Cyware і добирає та впорядковує розвідувальну інформацію. Як зазначено в повідомленні про запуск, підключені організації-учасниці користуються Last Mile Agents, налаштованими відповідно до їхніх пріоритетів, і їм не потрібно самостійно розгортати платформу.

Це розмежування важливе для впровадження. Ідея полягає в тому, щоб підвищити практичну цінність уже наявних відносин обміну інформацією для тих, хто її отримує, а не вимагати від кожної невеликої організації створення повноцінної системи кіберрозвідки.

«Колективний захист настільки сильний, наскільки сильна його остання ланка, і саме так ми її зміцнюємо», — сказав у повідомленні про запуск Аксхат Джейн, технічний директор і співзасновник Cyware. За його словами, агенти починають із Priority Intelligence Requirements, щоб визначити, що важливо з огляду на умови роботи кожної організації, і застосовують цей контекст до отриманих попереджень і відомостей про вразливості.

Три агенти, у центрі уваги яких — контекст організації

Основу системи становить агент Priority Intelligence Requirements, або PIR. Він визначає, що важливо для організації-учасниці, і постійно зіставляє отриману розвідувальну інформацію з цими вимогами. На практиці це має дати системі робоче визначення релевантності ще до того, як вона визначатиме пріоритетність загрози.

• Агент PIR: визначає пріоритети організації-учасниці щодо розвідувальної інформації та використовує їх для оцінювання отриманих попереджень і відомостей про вразливості.
• Агент Vulnerability Watch: формує щоденний перелік пріоритетів із категоріями «діяти», «звернути увагу» та «відстежувати», зіставляючи активність експлуатації вразливостей і їхню серйозність з умовами роботи організації-учасниці.
• Агент Threat Briefing: готує щоденний брифінг із ранжованим переліком подій, пояснюючи, на які з них варто звернути увагу та чому вони важливі для цієї організації-учасниці.

Розмежування серйозності та релевантності є ключовим для цієї розробки. Серйозна вразливість не однаково термінова для кожного отримувача попередження. Організації потрібно з’ясувати, чи належить уражена технологія до її середовища, чи відбувається її експлуатація і як ця проблема співвідноситься з іншими нагальними завданнями.

Як Last Mile Agents вписуються в технологічну екосистему Cyware

Запуск розширює наявний портфель агентів ШІ Cyware за межі аналітиків, які працюють у центрах кіберрозвідки. Ширша платформа Agent Hub об’єднує агентів у продуктах компанії для кібербезпеки та описує засоби керування для налаштування рівня автономності, людського контролю, авторизації й аудиту дій. Ці можливості платформи дають контекст для розуміння стратегії Cyware; у новому випуску йдеться саме про визначення пріоритетів і підготовку брифінгів для учасників мереж.

В основі цієї стратегії лежить завдання зробити різнорідну інформацію про загрози придатною до використання. Cyware Intel Exchange забезпечує збирання, усунення дублікатів, збагачення та нормалізацію даних у форматі STIX 2.1 — структурованому форматі обміну розвідувальною інформацією про загрози. Платформа також пов’язує індикатори, шкідливе програмне забезпечення, кампанії та зловмисників, а поведінку противників зіставляє з MITRE ATT&CK. Ці можливості пояснюють роль центру: впорядковувати розвідувальну інформацію, перш ніж організації-учасниці тлумачитимуть її відповідно до власних пріоритетів.

Окремий продукт компанії Cyware Orchestrate поєднує робочі процеси з безпеки за допомогою API, вебхуків і готових інтеграцій. Він також містить функції ШІ для створення сценаріїв реагування та пошуку й усунення проблем у них. Це частина ширшої пропозиції Cyware у сфері автоматизації, однак її не слід плутати з можливостями, передбаченими в межах запуску Last Mile Agents: Cyware планує додати автоматизоване виконання дій для цих нових агентів у майбутньому.

Перевірка — чи змінюють рекомендації робочий день

Для невеликих команд із кібербезпеки корисне зведення від ШІ має не просто стискати довгу рекомендацію до короткого абзацу. Воно має показувати, чому інформація важлива, пояснювати її місце в рейтингу та допомагати ухвалити наступне рішення. Тому практична цінність агентів залежатиме від якості вимог, визначених організацією, і від того, наскільки вони відповідають мінливому середовищу.

В анонсі Cyware не наведено показників продуктивності, цін чи виміряних результатів для клієнтів Last Mile Agents. Початкова обіцянка скромніша й конкретна: щодня показувати учасникам з обмеженими ресурсами, що найважливіше, використовуючи розвіддані, які вже поширюють їхні мережі.

Vulnerability Watch і Threat Briefing — перші доступні агенти, що працюють на базі PIR Agent. Cyware також проводить вебінар про своїх агентів ШІ. Ширша можливість полягає в тому, щоб колективний захист приносив користь не лише організаціям, які вже мають достатньо аналітиків для опрацювання таких даних.