Основные выводы
- Varonis Triage Agent — это ИИ-агент для реагирования на инциденты, который расследует оповещения подобно аналитику, собирая доказательства и проверяя различные версии.
- С помощью Triage Agent аналитики MDDR быстрее реагируют на вредоносную активность.
- Агент поддерживает уровень полноты обнаружения (recall rate) в рабочей среде выше 96%, надежно выявляя реальные угрозы и не скрывая их за шумом ложных срабатываний.
У среднего аналитика по безопасности есть всего несколько минут, чтобы определить, является ли попытка входа в систему действиями сотрудника или злоумышленника, уже находящегося внутри сети. Каждая секунда, потраченная на сбор контекста — проверку истории учетной записи, перекрестную сверку доступа к данным, исключение ложных срабатываний — это время, которое злоумышленник может использовать для горизонтального перемещения и расширения зоны поражения.
Сервис Varonis Managed Data Detection and Response (MDDR) создан для устранения этого разрыва силами команды экспертов по безопасности, которые круглосуточно следят за средами клиентов, расследуют оповещения и реагируют на реальные угрозы до того, как они перерастут в серьезные инциденты.
Чтобы опережать угрозы, включая атаки с использованием ИИ, команда MDDR продолжает внедрять инновации, последней из которых стал Varonis Triage Agent.
Что такое Varonis Triage Agent?
Varonis Triage Agent — это автоматизированный ИИ-агент, обученный работать в качестве специалиста по реагированию на инциденты и усиливать способность MDDR решительно противодействовать угрозам. Разработанный исследователями безопасности и специалистами по данным Varonis, агент сопоставляет многочисленные сигналы, включая поведение учетных записей, конфиденциальность данных и шаблоны входа в систему, с контекстом обширного репозитория инцидентов безопасности Varonis. Это позволяет команде MDDR действовать еще быстрее.
Аналитики Varonis MDDR используют агентный ИИ с начала 2025 года, чтобы приоритизировать оповещения в соответствии со скоростью и масштабом автоматизированных атак. Подобно специалисту по реагированию, Triage Agent собирает доказательства, рассматривает альтернативные объяснения и анализирует сигналы на соответствие паттернам более чем 300 сценариев угроз.
Это лишь одна из инноваций, которые делают Varonis MDDR одним из самых эффективных способов обеспечения непрерывной защиты ваших данных.
Насколько быстрее Triage Agent делает обнаружение и реагирование?
Triage Agent работает вместе с аналитиками MDDR, начиная расследование раньше, связывая доказательства по всей среде и предоставляя аналитикам готовую основу для работы вместо «чистого листа». Это означает, что аналитики тратят меньше времени на сбор доказательств и поиск связей, и больше времени — на принятие мер.
С помощью Triage Agent аналитики MDDR могут реагировать на вредоносную активность в два раза быстрее.
В рабочей среде Varonis зафиксировала:
- Повышение эффективности работы аналитиков до 100%.
Повышение эффективности работы аналитиков до 100%.
- Уровень полноты обнаружения (recall rate) в рабочей среде выше 96%, что означает, что агент надежно выявляет реальные угрозы, а не скрывает их за шумом.
Уровень полноты обнаружения (recall rate) в рабочей среде выше 96%, что означает, что агент надежно выявляет реальные угрозы, а не скрывает их за шумом.
Для клиентов практический результат заключается в более быстром пути от сигнала до устранения угрозы.
Как Triage Agent расследует оповещение
Вместо того чтобы оценивать оповещение изолированно, Triage Agent проводит расследование так, как это сделал бы опытный аналитик: формирует гипотезу, собирает доказательства, проверяет версии о доброкачественности события и меняет направление, если факты не подтверждаются.
В одном из недавних случаев такой подход позволил агенту связать умеренное, легко упускаемое из виду оповещение с двумя связанными оповещениями того же дня — реконструировав то, что выглядело как три изолированных всплеска, в единую попытку эксфильтрации данных, охватывающую более 17 000 загрузок файлов. Узнайте больше о том, как агент пришел к такому выводу, в нашем техническом обзоре.
Почему Triage Agent можно доверять в рабочей среде
Это никогда не было просто проектом по созданию промптов. Оркестрация, инструменты и фундамент данных имели значение, но система стала полезной только тогда, когда эти элементы были основаны на методах расследования опытных исследователей безопасности и протестированы на реальных результатах.
Исследователи безопасности определили вопросы и взаимосвязи, которые человек-следователь проверяет рефлекторно. Специалисты по данным перевели эти уроки в инструменты, контекст, руководства и воспроизводимые рабочие процессы оценки. Общий цикл между этими дисциплинами — запуск, проверка, исправление, измерение — позволил агенту развиваться.
Цель состоит не в том, чтобы заменить человеческое суждение. Цель — избавить аналитиков от ручного сбора контекста и переключить их внимание на анализ доказательств, принятие важных решений и локализацию угроз до того, как ущерб распространится.
Что дальше для Varonis MDDR
Объем оповещений не снижается. Более того, злоумышленники, использующие собственный ИИ, только увеличивают его. Triage Agent дает экспертам Varonis MDDR возможность создавать более широкие и чувствительные правила обнаружения, не перегружая аналитиков, поскольку агент поглощает дополнительный объем данных и фильтрует только то, что действительно важно.
Это часть постоянной работы Varonis по адаптации к изменениям, и клиенты MDDR получают эти возможности автоматически как часть сервиса.
Нолан Некочеа — стратег по маркетингу продуктов в Varonis. Он более десяти лет работает с инноваторами в области данных и ИИ.
