Prophet Security: SOC нужно подготовить к внедрению ИИ-агентов
Prophet Security опубликовала результаты опроса более 250 CISO, руководителей и специалистов SOC: 40% команд уже используют ИИ ежедневно, ещё 56% тестируют его. При этом 28% алертов, по ответам респондентов, вовсе не расследуются, а 60% участников сталкивались со случаем, когда пропущенный или проигнорированный сигнал впоследствии привёл к серьёзному инциденту, включая взлом или простой.
В компании предлагают оценивать готовность SOC к ИИ-агентам по двум направлениям. Первое — наличие задач, для которых такие агенты предназначены: обработка очереди алертов, сбор контекста и первичная проверка угроз. Второе — техническая и организационная основа: доступ к данным, описанные стандарты расследования, правила автономных действий и контроль со стороны людей.
Какие проблемы должны решать ИИ-агенты
Наибольшую пользу, согласно материалу Prophet Security, могут получить команды, которые долго ждут эскалаций от MDR- или MSSP-провайдера, получают обратно алерты без достаточного контекста либо не видят, на каких доказательствах основано закрытие кейса. Ограничения контрактного покрытия также оставляют внутренней команде сигналы из SaaS-сервисов, второго облака и других неподдерживаемых источников.
Для собственных SOC типичны другие симптомы: ответ на вопрос о затронутости новой уязвимостью занимает дни, алерты низкой и средней критичности откладываются, а шумные правила отключаются из-за нехватки времени на настройку. Расследование требует переходов между SIEM, EDR, поставщиком идентификации, облачной консолью и почтовыми системами, поэтому сложные кейсы часто остаются у нескольких старших аналитиков.
Агенты должны начинать обработку по мере поступления сигнала, запрашивать контекст во внутренних системах и фиксировать доказательства, на которых основан вывод. Это не отменяет проверки аналитиком: запись вопросов, запросов и полученных данных нужна, чтобы команда могла воспроизвести ход расследования.
Что проверить перед пилотом
ИИ-агент способен расследовать только то, к чему имеет доступ через API. Prophet Security рекомендует обеспечить запросы к SIEM, EDR, системам идентификации, облачным платформам, почте и ключевым SaaS-приложениям. Ему также требуется машиночитаемый контекст: критичность активов, роли пользователей, списки VIP, подразделения и сведения о легитимной активности, например плановых сканированиях и административных скриптах.
Практическая проверка — взять пять недавних инцидентов и выписать все запросы, которые выполнял старший аналитик для их закрытия. Каждый запрос, недоступный агенту, указывает на пробел, который следует устранить до запуска пилота. Отдельно необходимо контролировать поступление журналов: запаздывающий или молчащий источник может создать ложное ощущение полноты расследования.
Для оценки пилота нужен письменный стандарт завершённого расследования хотя бы для наиболее частых типов алертов. В нём можно определить, какие доказательства закрывают фишинговый кейс, когда сигнал о невозможном перемещении требует обращения к руководителю пользователя и что достаточно для признания алерта безопасным. Компания также советует зафиксировать исходные показатели: долю расследованных алертов, среднее время расследования, время до первого просмотра и частоту повторного открытия закрытых кейсов.
Автономность требует заранее заданных границ
В опросе 57% команд потребовали проверки человеком каждого решения ИИ перед закрытием алерта. Для реагирования 44% используют рекомендации ИИ, которые выполняют сотрудники, а 30% разрешают самостоятельное низкорисковое устранение. Респондентов, предоставивших ИИ полную автономность без надзора, не оказалось.
До пилота следует записать действия, которые всегда требуют одобрения, например изоляцию хоста, отключение учётной записи или блокировку домена. Нужно определить, кто и при каких результатах может расширять полномочия агента, а его выводы направлять в уже используемую систему управления кейсами или тикетов. Начало с режима чтения и постепенное расширение прав повторяет подход к адаптации нового аналитика.
Для бизнеса практический вывод состоит в том, что внедрение ИИ в SOC начинается не с выбора модели, а с инвентаризации данных, доступа и процедур. Параллельный запуск с аналитиками, фиксация базовых метрик и разбор каждого исправления позволяют проверять агента на реальных задачах, не передавая ему критические действия без установленного контроля.