От реактивного к проактивному: расширение возможностей SOC-команд с помощью Wiz Red и Blue Agents

Большинство SOC-команд начинают расследование при срабатывании оповещения об угрозе. Аналитики проводят триаж оповещения, собирают воедино контекст и начинают расследование — и все это после того, как что-то уже произошло. Эта модель была создана для мира, где злоумышленники действовали с человеческой скоростью и полагались в основном на известные эксплойты.

Сегодня это уже не так. Одновременно происходят два сдвига, и оба они меняют повседневную работу SOC:

• Организации выпускают все больше кастомного кода: разработка с поддержкой ИИ означает, что команды создают пользовательские ИИ-приложения с беспрецедентной скоростью. Эти приложения могут содержать уязвимости, обусловленные логикой, такие как нарушение авторизации и обход аутентификации, которые невозможно обнаружить с помощью сканеров на основе сигнатур.

• Злоумышленники используют ИИ для ускорения атак: противники используют передовые ИИ-модели для сканирования периметров, поиска незащищенных приложений и превращения уязвимостей в оружие за считанные часы, а не месяцы. ИИ также снижает порог входа, поэтому все больше злоумышленников могут исследовать кастомные приложения на предмет уязвимостей в большем масштабе, чем когда-либо прежде.

Для SOC это означает, что первым признаком логической ошибки часто является сам взлом. К моменту срабатывания детектора злоумышленник уже успел выстроить цепочку проникновения.

Защита с человеческой скоростью не успевает за нападением с использованием ИИ. Единственный способ не отставать — использовать ИИ для борьбы с ИИ: находить открытую дверь до того, как в нее войдет злоумышленник, и расследовать инциденты со скоростью ИИ, когда это все же происходит. Это критически важно для реагирования на инциденты в эпоху ИИ и гарантирует, что SOC сможет действовать со скоростью, необходимой для защиты предприятия.

Проактивная безопасность — задача для SOC

Компания Gartner® четко определяет приоритеты:

Проактивное непрерывное управление воздействием угроз (CTEM) с наступательным тестированием будет доминировать в операциях SOC, поскольку реактивное обнаружение приводит к экспоненциальному росту убывающей отдачи. Отчет Gartner: «Дорожная карта операционной безопасности до 2030 года» (авторы: Кевин Шмидт, Алекс Титаренко и др., октябрь 2026 г.). Gartner является товарным знаком компании Gartner, Inc. и/или ее филиалов.

Проактивное непрерывное управление воздействием угроз (CTEM) с наступательным тестированием будет доминировать в операциях SOC, поскольку реактивное обнаружение приводит к экспоненциальному росту убывающей отдачи.

Отчет Gartner: «Дорожная карта операционной безопасности до 2030 года» (авторы: Кевин Шмидт, Алекс Титаренко и др., октябрь 2026 г.). Gartner является товарным знаком компании Gartner, Inc. и/или ее филиалов.

Для SOC это означает отношение к проверенным, эксплуатируемым уязвимостям как к тому, чем они являются на самом деле: путям атак, эксплуатация которых доказана. Они заслуживают такой же срочности, как и активная угроза, потому что в эпоху ИИ злоумышленники найдут их лишь через определенное время.

Такова задача двух агентов Wiz, работающих в паре:

• Red Agent — наш атакующий инструмент на базе ИИ, который непрерывно находит и проверяет эксплуатируемые риски на вашей поверхности атаки, передавая их в виде предварительных оповещений уровня SOC до момента взлома.

• Blue Agent — наш ИИ-следователь, который работает бок о бок с аналитиками, расследуя активные угрозы с полным контекстом облака, кода и среды выполнения, и быстро выносит обоснованный вердикт.

Red Agent: оповещения до взлома, которым ваш SOC может доверять

Red Agent — это инструмент для пентестинга на базе ИИ, который позволяет командам выявлять сложные, проверенные эксплуатируемые риски и устранять их до того, как их найдут злоумышленники, со скоростью машин. Он работает в паре с Wiz ASM, охватывая все типы рисков — от известных, таких как CVE и неправильные конфигурации, до неизвестных логических рисков в приложениях собственной разработки, например обходов авторизации, которые пропускают сканеры на основе сигнатур.

Каждый проверенный эксплуатируемый риск, обнаруженный Red Agent — это бомба замедленного действия. Red Agent уже доказал работоспособность эксплойта, поэтому остается единственный открытый вопрос: кто доберется туда первым — ваша команда или злоумышленник. Это требует оперативности еще до момента взлома, а не отправки в бэклог уязвимостей.

Каждое обнаружение сопровождается доказательством эксплуатируемости, шагами воспроизведения, контекстом радиуса поражения из Security Graph, а также четким ответственным за устранение и рекомендациями по исправлению от Green Agent. Вместо ожидания срабатывания детектора команды могут сначала перекрыть путь атаки и реагировать на меньшее число инцидентов.

Самое удивительное в Red Agent — это то, как мы можем отслеживать эндпоинты, которые могут быть атакованы или подвергнуты манипуляциям извне, получая по ним оповещения и видимость. Он говорит мне: «У вас здесь эндпоинт, у вас отсутствует аутентификация, у вас есть уязвимость». Все эти аналитические данные действительно очень помогают мне быстро устранять пробелы. Рой Вайс (Roy Weiss), ведущий специалист по DevSecOps, Fireblocks

Самое удивительное в Red Agent — это то, как мы можем отслеживать эндпоинты, которые могут быть атакованы или подвергнуты манипуляциям извне, получая по ним оповещения и видимость. Он говорит мне: «У вас здесь эндпоинт, у вас отсутствует аутентификация, у вас есть уязвимость». Все эти аналитические данные действительно очень помогают мне быстро устранять пробелы.

Рой Вайс (Roy Weiss), ведущий специалист по DevSecOps, Fireblocks

Как выглядит предупреждающее оповещение SOC до момента взлома

В ходе одного из сценариев серии Red Agent POV Red Agent обнаружил способ проникновения в производственный облачный API финансовой компании без аутентификации, что привело к раскрытию действующих облачных учетных данных и полного исходного кода приложения.

Без Red Agent SOC мог бы впервые узнать об этом риске только тогда, когда эти учетные данные будут использоваться из незнакомого места, и только после этого начать расследование того, к чему прикасался злоумышленник. С помощью Red Agent SOC может действовать до того, как злоумышленник обнаружит уязвимость, и закрыть потенциальный взлом до его начала.

План действий до взлома

Когда Red Agent находит проверенный эксплуатируемый риск, SOC может следовать следующему порядку действий. Эти шаги покажутся знакомыми по процессу реагирования на инциденты, но они выполняются до взлома, а не после него. Вот как это работает на данном примере:

1. Триаж: уже выполнен. Red Agent доказал, что путь эксплуатируем, и предоставил шаги воспроизведения. Нет споров в стиле «реально ли это?».

2. Определение области (Scope): использовал ли кто-нибудь этот путь раньше? Охотники за угрозами проверяют, не добрался ли реальный злоумышленник туда первым. В данном случае это означает предположение и поиск любого использования раскрытых учетных данных из неожиданных источников.

3. Сдерживание (Contain): внедрение временного решения. Смените учетные данные и ограничьте доступ к эндпоинту. Это выигрывает время до постоянного исправления.

4. Передача (Hand off): Green Agent направляет исправление. Green Agent определяет владельца затронутого приложения и отправляет ему конкретные рекомендации по исправлению, поэтому никому не нужно искать владельца вручную.

5. Проверка (Verify): подтверждение того, что путь закрыт. Как только владелец выпускает исправление, Red Agent заново тестирует тот же эксплуатируемый риск, чтобы убедиться, что он больше не работает.

Blue Agent: расследование активных уязвимостей с помощью ИИ

Проактивные оповещения сокращают поверхность атаки, но ни один SOC не может мгновенно закрыть каждую дверь. Когда угроза активна, Blue Agent берет на себя ручные этапы расследования, которые обычно отнимают у аналитика весь день: является ли эта активность легитимной, проверкой безопасности или атакой? Каков радиус поражения? Сработали ли наши меры сдерживания?

Синий агент выходит за рамки поверхностной приоритизации. Он объединяет контекст из графа безопасности (Security Graph), средств видимости от кода до облака и сигналов среды выполнения, а также проводит расследование так, как это сделал бы опытный специалист по реагированию на инциденты. Специализированные субагенты отвечают на вопросы, на которые аналитики в противном случае отвечали бы вручную. Например, субагент криминалистики анализирует цифровые доказательства, собранные в момент обнаружения с помощью датчика Wiz Sensor, чтобы выявить первопричину подозрительной активности и проанализировать, что именно выполнялось на машине.

Синий агент демонстрирует ход своей работы: заданные вопросы, полученные данные и то, как каждый сигнал повлиял на вынесенный вердикт. Это гарантирует, что аналитики смогут сохранять контроль и доверять полученному вердикту. С помощью Wiz Workflows команды могут преобразовывать вердикты в действия, автоматически эскалируя инциденты, уведомляя группы реагирования или задействуя сценарии локализации на основе вердикта и уровня уверенности.

Автономная безопасность для SOC: сначала проактивность, всегда защита

Обнаружение по-прежнему важно, но оно не должно быть первым моментом, когда вы узнаете о критическом, подтвержденном и эксплуатируемом риске. Благодаря Красному и Синему агентам ваш SOC получает ИИ по обе стороны противостояния.

Начните работу с Красным и Синим агентами, прочитайте цикл статей в блоге Red Agentand Blue Agent POV или запишитесь на демонстрацию в реальном времени с нашей командой.