CISO необходима стратегия агентного SOC, поскольку традиционные модели укомплектования персоналом не могут масштабироваться в условиях угроз, действующих на машинной скорости, глобальной нехватки талантов и растущего объема оповещений.
Агентный SOC объединяет ИИ-агентов, которые собирают доказательства и проводят расследования на машинной скорости, с аналитиками, обеспечивающими суждение, контекст и подотчетность. Exabeam сочетает в себе аналитику поведения агентов (ABA), Exabeam Nova AI и автоматизированное расследование, чтобы расширить покрытие и ускорить реагирование без увеличения штата.
Основные выводы
- Глобальный дефицит кадров в сфере кибербезопасности превышает 4,8 миллиона позиций, поэтому большинство SOC не могут решить проблему нехватки мощностей за счет найма.
- Государственная группировка, о которой сообщила компания Anthropic, провела 80–90% кибершпионской кампании автономно с помощью ИИ-агентов, выполняя несколько операций в секунду.
- Агентный SOC использует ИИ-агентов для сбора доказательств и расследования, а аналитиков — для оценки, что расширяет покрытие без увеличения численности персонала.
- ABA и Nova AI сокращают объем ручной работы по расследованию, освобождая аналитиков для принятия решений, требующих человеческого опыта.
- Стратегия агентного SOC может дать CISO больше гибкости для масштабирования покрытия и управления бюджетным давлением в условиях сохраняющегося кадрового дефицита.
Почему это стало проблемой уровня совета директоров
CISO сталкиваются с растущим разрывом между скоростью атаки и возможностями аналитиков. Глобальный дефицит кадров в сфере кибербезопасности составляет 4,8 млн человек, и 94% руководителей теперь называют ИИ главным фактором изменений в развитии атак.
Масштабирование покрытия только за счет найма людей — это дорого и сложно. Стратегия агентного SOC помогает командам справляться с большими объемами и сложностью без пропорционального увеличения штата. Этот сдвиг меняет как состояние безопасности, так и обсуждение бюджета, которое CISO выносит на рассмотрение совета директоров.
Почему только найм персонала не может решить проблему нехватки мощностей SOC
Организации продолжают решать проблемы SOC путем найма, но эта математика больше не работает. ISC2 оценивает глобальный дефицит кадров в сфере кибербезопасности в 4,8 миллиона позиций, и 67% команд безопасности сообщают о постоянной нехватке персонала. В то же время облачные сервисы, ИИ-агенты и нечеловеческие идентификаторы генерируют больше активности, чем могут просмотреть команды людей строка за строкой.
Добавление аналитиков может помочь, но это не меняет базовое соотношение: один человек может просмотреть лишь ограниченное количество оповещений за смену. Этот предел не изменился, в то время как поверхность атаки выросла. Руководители служб безопасности, которые планируют работу только исходя из численности персонала, зависят от рынка труда, который остается ограниченным. Стратегия агентного SOC создает возможности за пределами процесса найма.
Почему угрозы на машинной скорости опережают традиционные операции безопасности
Традиционные рабочие процессы безопасности предполагают, что у аналитика есть время заметить оповещение, открыть кейс и провести расследование до следующего шага злоумышленника. Это предположение перестает работать. Время прорыва (интервал между первоначальным доступом и горизонтальным перемещением) сокращается по всей отрасли, поскольку злоумышленники сами внедряют ИИ-агентов. Anthropic раскрыла кампанию, в которой государственная группировка использовала ИИ-агентов для автономного выполнения 80–90% кибершпионской операции, совершая несколько операций в секунду против примерно 30 целей, при этом люди вмешивались только в стратегических точках принятия решений.
Ручная сортировка не может превзойти этот темп, но ИИ-агенты могут. Они могут сопоставлять сигналы, оценивать риск и выявлять оповещения, требующие решения человека, пока атака находится на ранней стадии. Чтобы противостоять угрозам на машинной скорости, требуется первичная обработка на машинной скорости, при которой аналитики занимаются принятием решений.
Как агентный SOC расширяет покрытие без расширения штата
Агентный SOC объединяет ИИ-агентов с уже существующей командой аналитиков. ABA расширяет поведенческое профилирование, которое Exabeam создала для пользователей-людей, на ИИ-агентов, сервисные учетные записи и другие нечеловеческие идентификаторы. Этот подход помогает командам контролировать растущую популяцию цифровых работников, не создавая пробелов в видимости.
Nova AI помогает в расследованиях, составляя заголовки дел, временные шкалы, резюме и рекомендуемые следующие шаги, чтобы аналитик мог закрыть дело за минуты, а не за часы. Nova AI также может вести диалог с аналитиком по любому аспекту дела, писать электронные письма или заметки к делу, а также консультировать CISO по вопросам покрытия безопасности в различных сценариях использования, TTP MITRE ATT&CK и нормативных базах. Плагин Exabeam Agentic SOC для Anthropic Claude Code и OpenAI Codex расширяет возможности Nova AI с помощью специализированных навыков для таких задач, как обобщение дел и сбор доказательств. По мере роста количества идентификаторов, источников журналов и типов оповещений каждый из них проходит одну и ту же автоматизированную первичную проверку без соответствующего увеличения штата аналитиков.
Что меняет агентный SOC для эффективности и удержания аналитиков
Выгорание аналитиков создает бизнес-риски. Исследования SANS показывают, что средний срок работы аналитика SOC составляет от трех до пяти лет, при этом повторяющаяся низкоценная сортировка способствует текучести кадров. Агентный SOC сокращает количество переключений между инструментами, ручной сбор доказательств и время, затрачиваемое на оповещения, которые оказываются ложными.
Функция Exabeam Related Cases автоматически группирует связанные оповещения, поэтому аналитикам не приходится повторно расследовать один и тот же инцидент с разных сторон. В результате команда может охватить больше активности, тратя больше времени на решения, требующие человеческого понимания.
Что это значит для вашей команды
Для руководителей служб безопасности
Стратегия агентного SOC расширяет покрытие и ускоряет реагирование без пропорционального увеличения затрат на персонал. Она напрямую решает проблему нехватки кадров, которая влияет на ваш бюджет и планы найма. Она также укрепляет управление, распространяя поведенческую аналитику, используемую для пользователей-людей, на ИИ-агентов, которых развертывает ваша организация.
Для архитекторов безопасности
ABA и Nova AI работают в рамках New-Scale Fusion, распространяя поведенческое профилирование на нечеловеческие идентификаторы без использования отдельного набора инструментов. Общая модель поведенческого риска снижает необходимость управления логикой обнаружения для людей и ИИ-агентов как для несвязанных проблем, упрощая вашу архитектуру и аудиторский след.
Для аналитиков безопасности
Агентный SOC автоматизирует повторяющуюся первичную обработку, сортировку оповещений, сбор доказательств и обобщение дел. Согласно проверочному тестированию Exabeam, Related Cases и Nova AI сокращают ручную работу по сбору контекста из разрозненных инструментов до 80%, поэтому меньше вашего времени уходит на рутину и больше — на дела, требующие участия человека.
Итог
Традиционные модели укомплектования SOC не могут идти в ногу с нехваткой кадров, угрозами на машинной скорости и растущим объемом оповещений. Покрытие должно обеспечиваться моделью, которая объединяет ИИ-агентов с аналитиками-людьми. Стратегия агентного SOC дает CISO способ масштабировать операции безопасности без масштабирования затрат с той же скоростью.
Ключевые термины
Агентный SOC: модель операций безопасности, в которой ИИ-агенты занимаются расследованием и сортировкой на машинной скорости, в то время как аналитики-люди сохраняют за собой суждение, подотчетность и принятие решений по реагированию.
Аналитика поведения агентов (ABA): технология Exabeam, которая применяет поведенческое профилирование и динамическую оценку рисков к ИИ-агентам и другим нечеловеческим идентификаторам, подобно тому, как аналитика поведения пользователей и сущностей (UEBA) делает это для пользователей-людей.
Nova AI: встроенный набор агентов ИИ, который помогает аналитикам в проведении расследований, составляя хронологию событий, обобщая контекст и рекомендуя дальнейшие шаги.
Время прорыва (Breakout time): время между получением злоумышленником первоначального доступа к сети и его первым горизонтальным перемещением; показатель того, насколько быстро группа безопасности должна отреагировать на инцидент.
Нечеловеческая учетная запись (Non-human identity): учетная запись или субъект, выполняющий действия в системе без прямого участия человека в момент совершения действия, включая агентов ИИ, сервисные учетные записи и автоматизированные рабочие процессы.
Получите структуру для совместного управления идентификацией людей и агентов ИИ в техническом документе «Обеспечение безопасности агентного предприятия» (Securing the Agentic Enterprise).
