Почему риски, возникающие со скоростью работы машин, требуют SOC с поддержкой ИИ

Традиционно аналитики безопасности переходят от оповещения к переключению между инструментами, поиску, корреляции, новым переключениям и, наконец, документированию, прежде чем смогут решить, что делать. Рабочий процесс с поддержкой ИИ объединяет поведенческий контекст, приоритетные расследования, временные шкалы поиска и автоматизацию, чтобы аналитики могли проверять, подтверждать, принимать решения и реагировать с гораздо меньшими ручными усилиями. Exabeam Nova AI способствует этому переходу, при этом аналитик сохраняет ответственность за проверку и принятие мер.

Основные выводы

• В традиционном SOC аналитики вручную собирают контекст из оповещений, результатов поиска, переключений между инструментами и заметок по расследованию.
• SOC с поддержкой ИИ использует поведенческий контекст и ИИ, чтобы помочь аналитикам перейти от сбора информации к ее проверке и принятию решений.
• Exabeam Nova AI, Threat Center, временные шкалы поиска, приоритизация и автоматизация работают вместе, чтобы сократить путь от расследования до реагирования.
• Поведение — это сигнал, за которым нужно следить, потому что современные риски скрываются внутри легитимной активности людей, сервисных учетных записей и агентов ИИ.
• ИИ помогает в рабочем процессе. Аналитики сохраняют ответственность за проверку выводов, оценку рисков и руководство реагированием.

Расследование с поддержкой ИИ меняет рабочий процесс аналитика безопасности

Расследование с поддержкой ИИ меняет рабочий процесс аналитика, сокращая ручную работу, необходимую для сбора контекста. Вместо того чтобы переходить от инструмента к инструменту, аналитики начинают с доказательств, основанных на поведении, проверяют риск, решают, что делать, и реагируют. Суждение аналитика остается центральным элементом. ИИ сокращает путь к обоснованному решению.

Почему этот сдвиг нельзя откладывать

Люди, сервисные учетные записи и агенты ИИ работают с легитимным доступом, а автоматизированные субъекты генерируют активность со скоростью машин. Ручное расследование не может масштабироваться до такого объема и сложности. Командам безопасности нужен рабочий процесс, который сохраняет контекст и человеческое суждение, сокращая при этом повторяющуюся работу по расследованию, чтобы обнаружение угроз, расследование и реагирование (TDIR) могли происходить быстрее.

Почему традиционный рабочий процесс аналитика создает усталость от оповещений?

Традиционный рабочий процесс создает усталость от оповещений, делая аналитика уровнем интеграции. Каждое оповещение запускает ручной поиск контекста, и эта работа повторяется для каждого оповещения в очереди.

Очередь выросла за одну ночь. Аналитик открывает верхнее оповещение: пользователь финансового отдела вошел в систему из незнакомого места. Одно только оповещение не может сказать, является ли это поездкой, украденным паролем или первым шагом более крупного инцидента. Поэтому аналитик переключается на журналы аутентификации. Затем ищет данные конечной точки для того же хоста. Затем сопоставляет результаты с записями VPN, переключается на облачную консоль и запускает еще один поиск, чтобы увидеть, к чему учетная запись обращалась дальше. К тому времени, когда история складывается воедино, аналитик описывает ее, передает тикет и открывает следующее оповещение. Цикл начинается снова.

В этой модели инструменты хранят доказательства, но человеку приходится собирать их воедино по одному запросу за раз.

Объем — это лишь часть проблемы

Винят объем оповещений, но фрагментированный контекст создает большую часть нагрузки при расследовании. Длинная очередь оповещений, которые приходят с полным контекстом, управляема. Короткая очередь, где каждое оповещение требует десятка переключений, — нет.

Ручная корреляция задерживает принятие решений

Каждое переключение означает новую консоль, новый синтаксис запроса или новое временное окно, которое нужно выровнять. Каждая минута, потраченная на сопоставление доказательств, задерживает принятие решения, в то время как активность продолжается.

Документирование в последнюю очередь

Расследования требуют строгих контрольных журналов, передачи дел и анализа после инцидентов. В старом рабочем процессе документирование следует за долгим процессом сбора доказательств, часто когда аналитик уже отстает от графика по следующему делу.

Риск разворачивается как паттерн

Расследование «событие за событием» рассматривает каждое оповещение как отдельный вопрос. Современные риски редко работают так. Они могут развиваться как паттерн в течение дней или недель: медленный рост доступа к данным, новый инструмент, используемый в нерабочее время, сервисная учетная запись, вызывающая незнакомый API. Ни одно отдельное событие не выглядит тревожным. Но последовательность — да.

Почему расследование со скоростью человека не может угнаться за рисками со скоростью машин?

Расследование со скоростью человека не может угнаться за ними, потому что предприятие теперь работает со скоростью машин. Агенты ИИ и сервисные учетные записи действуют в системах и рабочих процессах быстрее, чем аналитик может переключаться между доказательствами, которые они оставляют после себя.

Рабочая сила изменилась. Наряду с сотрудниками и подрядчиками организации работают на сервисных учетных записях, машинах и агентах ИИ. Эти субъекты читают данные, вызывают API, запускают рабочие процессы и выполняют задачи, не дожидаясь, пока человек одобрит каждый шаг. Агент ИИ может связать серию вызовов инструментов и действий через несколько систем, прежде чем аналитик закончит один запрос. Риск может скрываться внутри этой легитимной активности, и ручные процессы не могут отследить его.

Доступ выходит за рамки людей

Сервисные учетные записи и агенты ИИ обладают учетными данными, разрешениями и постоянным доступом к конфиденциальным системам. Расследования, построенные вокруг пользователей-людей, упускают большую часть активности, которая сейчас перемещается по предприятию.

Валидный доступ не гарантирует доверенное поведение

Большинство рискованных действий используют легитимные учетные данные. Скомпрометированная учетная запись, неправильно настроенный агент или инсайдер, злоупотребляющий ролью, могут пройти проверки аутентификации. Вопрос в том, соответствует ли поведение субъекту.

Статические правила и изолированные события упускают полную картину

Правило срабатывает, когда выполняется условие. Оно не может сказать вам, является ли действие нормальным для этой учетной записи, как оно соотносится с активностью вчерашнего дня или принадлежит ли оно к более крупной цепочке, проходящей через другие системы и рабочие процессы.

Поведенческая аналитика раскрывает то, что не могут отдельные оповещения

Базовые показатели для каждого пользователя, устройства, сервисной учетной записи и агента ИИ делают отклонения видимыми. Оценка риска на основе паттернов с течением времени выявляет последовательности, которые не может объяснить ни одно отдельное оповещение.

Как Exabeam Nova AI меняет рабочий процесс аналитика

Современному SOC нужен более быстрый путь от сигнала к пониманию. Следующий рабочий процесс показывает, как работает этот путь.

С Exabeam Nova AI рабочий процесс аналитика меняется с «оповещение -> переключение -> поиск -> корреляция -> документирование» на четыре шага: «просмотр -> проверка -> решение -> реагирование». Nova AI и связанные с ним возможности Exabeam собирают контекст заранее, поэтому аналитик тратит время на суждение, а не на сбор данных.

Просмотр

Рабочий процесс открывается с ориентированного на риск представления активности, а не с одного необработанного оповещения. Поведенческая аналитика в New-Scale Analytics, включая аналитику поведения пользователей и сущностей (UEBA) и аналитику поведения агентов (ABA), устанавливает базовый уровень нормальной активности для пользователей, устройств, сервисных учетных записей и агентов ИИ. Динамическая оценка риска повышает балл учетной записи по мере накопления аномалий, выводя самую рискованную активность наверх. Группировка обнаружений в Threat Center собирает связанные обнаружения в одно расследование, а приоритизация упорядочивает очередь по риску. Аналитик открывает дело, которое уже отражает паттерн, вместо серии отдельных оповещений, каждое из которых раскрывает только фрагмент истории.

Проверка

Затем аналитик подтверждает, что именно произошло и почему это рискованно. Nova AI берет на себя самую трудоемкую часть работы: обобщает результаты расследования, объясняет причины присвоения высокого уровня риска и помогает аналитику искать связанные действия. Временные шкалы поиска (Search timelines) выстраивают действия учетной записи в хронологическом порядке с привязкой контекста, чтобы аналитик мог видеть, как одно событие привело к другому. Threat Center объединяет все доказательства в рамках одного расследования, а функция поиска (Search) позволяет аналитику углубиться в детали, когда для ответа на вопрос требуются прямые данные.

ИИ снижает нагрузку на этом этапе, но не выносит окончательный вердикт. Аналитик изучает доказательства, проверяет объяснение и подтверждает или отклоняет полученный результат.

Принятие решения

После сбора доказательств аналитик может сосредоточиться на принятии решения. Является ли это реальной угрозой, нарушением политики, неправильной конфигурацией или безобидной аномалией? Требуется ли сдерживание, эскалация или настройка правил обнаружения? Эти решения зависят от бизнес-контекста, допустимого уровня риска и опыта, которыми обладает только человек. Расследование с поддержкой ИИ дает аналитику больше времени для принятия качественных решений.

Реагирование

Как только аналитик принимает решение, реагирование происходит быстро. Automation Management, плейбуки и SOAR превращают подтвержденное решение в действие, например, блокировку учетной записи, изоляцию хоста, создание тикета или уведомление владельца учетной записи. Реагирование на основе рисков сопоставляет действие со степенью серьезности выявленной проблемы. Аналитик сохраняет контроль, выбирая, когда использовать автоматизацию, а когда ситуация требует реагирования под руководством человека. Не каждое расследование должно проходить от начала до конца без участия человека, и данный рабочий процесс не предполагает обратного.

Что меняется для аналитика

Аналитик переходит от погони за разрозненными оповещениями и сбора доказательств к анализу приоритетных рисков и принятию решений. Каждая строка ниже отражает один из аспектов этих изменений.

Почему этот рабочий процесс необходим для «агентного» предприятия

На «агентном» предприятии (agentic enterprise) службы безопасности должны управлять рисками, исходящими от людей, сервисных учетных записей и ИИ-агентов, действующих на машинной скорости. Работа с каждым оповещением по отдельности не масштабируется при таком уровне активности. Рабочий процесс, основанный на анализе поведения и поддерживаемый ИИ, — масштабируется.

Exabeam объединяет возможности визуализации, поведенческой аналитики, контекста расследования, приоритизации и реагирования, чтобы аналитики могли исследовать действия любого субъекта, не возвращаясь к работе с каждым оповещением по отдельности. Вот как эти уровни сочетаются друг с другом:

• New-Scale Fusion и New-Scale SIEM: централизуют данные безопасности и предоставляют аналитикам возможность видеть действия людей, сервисных учетных записей и ИИ-агентов.
• New-Scale Analytics: применяет UEBA, ABA, поведенческое моделирование, динамическую оценку рисков и обнаружение закономерностей для выявления рисков, которые накапливаются с течением времени.
• Threat Center: группирует связанные обнаружения, приоритизирует их по уровню риска и объединяет доказательства в рамках одного расследования.
• Временные шкалы поиска (Search timelines): организуют действия в хронологическом порядке и добавляют контекст, чтобы аналитики могли просматривать и подтверждать произошедшее.
• Nova AI: помогает в расследовании, обобщая результаты, объясняя риски и ускоряя поиск.
• Automation Management, плейбуки и SOAR: ускоряют переход от подтвержденного результата к реагированию.

Каждый уровень дополняет следующий. Поведенческая аналитика создает сигнал. Threat Center и временные шкалы поиска формируют из него расследование. Nova AI ускоряет проверку. Автоматизация претворяет решение аналитика в действие.

Как это применимо к разным ролям

Для руководителей служб безопасности

Переход к рабочему процессу с поддержкой ИИ меняет вашу операционную модель. Аналитики тратят меньше времени на сбор контекста, расследования проходят быстрее, приоритизация улучшается, а реагирование становится более последовательным независимо от того, кто из аналитиков им занимается. Именно так команда фиксированного размера остается готовой к активности, генерируемой на машинной скорости. Отраслевые данные указывают на то же самое: организации, использующие ИИ и автоматизацию в операциях безопасности, сообщают о $1.93 million lower average breach cost and 65 fewer days to resolve a breach по сравнению с организациями, которые их не используют.

Для архитекторов безопасности

Ваш фокус — это то, как соединяются компоненты. Одна поведенческая модель охватывает пользователей, устройства, сервисные учетные записи и ИИ-агентов, поэтому обнаружения UEBA и ABA попадают в одну и ту же среду расследования. Threat Center, временные шкалы поиска, Nova AI и автоматизация работают на основе этого общего контекста, а не как изолированные точечные инструменты. Результат — меньше переключений между инструментами, меньше дублирующейся логики корреляции и запись расследования, охватывающая весь путь от обнаружения до реагирования.

Для аналитиков безопасности

Ваш рабочий день меняется больше всего. Контекст поступает раньше, часто еще до того, как вы откроете дело. Повторяющиеся рутинные действия исчезают. Вместо того чтобы восстанавливать историю для каждого оповещения, вы проверяете доказательства, решаете, какие действия представляют реальный риск, и направляете соответствующее реагирование. Вы по-прежнему принимаете решения. Вы просто тратите гораздо меньше времени своей смены на сбор контекста.

От погони за оповещениями к суждениям аналитика

Вчерашний SOC был создан для управления оповещениями. Сегодняшний SOC должен управлять рисками на машинной скорости.

Вернемся к тому аналитику и ночной очереди. Благодаря поведенческому контексту, Nova AI, приоритизированным расследованиям, временным шкалам поиска и автоматизации, первое дело утром поступает уже оцененным, сгруппированным и выстроенным в хронологическом порядке. Аналитик просматривает его, подтверждает результат, принимает решение и реагирует, прежде чем перейти к следующему делу. Тот же аналитик, те же суждения и более простой рабочий процесс: просмотр -> проверка -> решение -> реагирование.

• Усталость от оповещений (Alert fatigue): потеря времени и внимания аналитика, вызванная большим объемом оповещений, повторяющейся сортировкой и недостаточным контекстом.
• Расследование с поддержкой ИИ (AI-assisted investigation): использование ИИ для снижения сложности расследования и помощи аналитикам в изучении доказательств, проверке рисков, принятии решений и реагировании, при этом аналитик несет ответственность за каждый этап.
• Поведенческая аналитика (Behavioral intelligence): контекст, полученный на основе закономерностей активности пользователей, устройств, сервисных учетных записей и ИИ-агентов в системах и рабочих процессах с течением времени.
• Аналитика поведения пользователей и сущностей (UEBA): аналитика, которая моделирует активность пользователей и сущностей, таких как устройства и хосты, для выявления отклонений и моделей риска.
• Аналитика поведения агентов (ABA): поведенческая аналитика, применяемая к ИИ-агентам и другой автономной активности, устанавливающая базовые показатели поведения агентов и отмечающая значимые отклонения.
• Динамическая оценка рисков (Dynamic risk scoring): приоритизация рисков, которая обновляется по мере изменения поведения и контекстных доказательств, благодаря чему действия с самым высоким уровнем риска первыми попадают к аналитикам.
• Временные шкалы поиска (Search timelines): хронологические представления активности для учетной записи или расследования, которые помогают аналитикам просматривать и подтверждать произошедшее.

Посмотрите на рабочий процесс с поддержкой ИИ в действии

Узнайте, как Exabeam Nova AI, Threat Center, поведенческая аналитика, временные шкалы поиска и автоматизация обеспечивают более быстрое расследование на основе анализа поведения в современном SOC. Читайте «Агентный SOC: операции безопасности на машинной скорости».