ИИ-помощник PT Naira в MaxPatrol SIEM: почему аналитик перестал искать и начал спрашивать
Аналитики SOC — неважно, работают ли они в большой команде или в маленькой — регулярно говорят мне, что видят все срабатывания корреляционных правил, но не успевают в них ра не значит, что они плохо работают. SOC в крупной организации фиксирует более 10 000 срабатываний в день, и физически невозможно для каждого из них вручную поднять контекст, свериться с базой знаний и принять решких условиях нерасследованными остаются почти две трети срабатываний, в большинстве своем — те, которым присвоены невысокие уровни значимости. Это позволяет злоумышленнику «замаскироваться под фон». Когда мы в Positive Technologies моделировали поведение инсайдера в корпоративной инфраструктуре, традиционная система, построенная на сигнатурах и корреляционных правилах, выдала лишь три алерта с уровнями значимости medium и low. Чтобы в подобных ситуациях не упускать важные события и корректно присваивать им уровни риска, в MaxPatrol SIEM встроен модуль поведенческого анализа MaxPatrol BAD. Но сам факт того, что событие не затерялось в потоке, ещё не снимает с аналитика необходимость разобраться в нём. Вот в этой точке — между «система что-то нашла» и «специалист понял, что перед ним» — и лежит разрыв, который мы решили закрывать с помощью ИИ.
