Основные выводы
- Varonis Triage Agent — это ИИ-агент для реагирования на инциденты, который расследует оповещения подобно аналитику: собирает доказательства и проверяет различные версии.
- С помощью Triage Agent аналитики MDDR реагируют на вредоносную активность гораздо быстрее.
- Агент поддерживает рабочий показатель полноты (recall rate) на уровне выше 96%, надежно выявляя реальные угрозы без зашумления ложноположительными срабатываниями.
У среднестатистического специалиста по безопасности есть всего несколько минут, чтобы определить, является ли попытка входа действиями легитимного сотрудника или злоумышленника, уже находящегося внутри сети. Каждая секунда, потраченная на сбор контекста (проверку истории учетных записей, сопоставление данных о доступе, исключение ложных срабатываний), — это секунда, которую злоумышленник может использовать для латерального перемещения и расширения зоны поражения.
Сервис Varonis Managed Data Detection and Response (MDDR) создан для того, чтобы сократить этот разрыв благодаря команде преданных своему делу экспертов по безопасности, которые круглосуточно мониторят инфраструктуру клиентов, расследуют оповещения и реагируют на реальные угрозы до того, как они перерастут в масштабный инцидент.
Чтобы опережать угрозы, включая злоумышленников, вооруженных искусственным интеллектом, команда MDDR продолжает внедрять инновации в области ИИ, последней из которых стал Varonis Triage Agent.
Что такое Varonis Triage Agent?
Varonis Triage Agent — это автоматизированный ИИ-агент, обученный действовать как специалист по реагированию на инциденты и усиливающий возможности MDDR по решительному противодействию угрозам. Разработанный исследователями безопасности и специалистами по работе с данными в Varonis, агент сопоставляет множество сигналов — включая поведение учетных записей, конфиденциальность данных и шаблоны входов — с контекстом обширного хранилища инцидентов безопасности Varonis. В результате команда MDDR получает возможность действовать еще быстрее.
Аналитики Varonis MDDR используют агентский ИИ с начала 2025 года для помощи в приоритезации оповещений, что позволяет соответствовать скорости и масштабам автоматизированных атак. Подобно специалисту по реагированию на инциденты, Triage Agent собирает доказательства, рассматривает альтернативные объяснения и анализирует сигналы на предмет соответствия шаблонам для более чем 300 сценариев угроз.
Это лишь одна из инноваций, благодаря которым Varonis MDDR является одним из наиболее эффективных способов обеспечения постоянной защиты ваших данных.
Насколько быстрее Triage Agent осуществляет обнаружение и реагирование?
Triage Agent работает бок о бок с аналитиками MDDR: он начинает расследование раньше, связывает воедино улики по всей инфраструктуре и предоставляет аналитикам готовую отправную точку вместо чистого листа. Это означает, что аналитики тратят меньше времени на сбор улик и выстраивание связей и больше времени — на принятие мер.
С помощью Triage Agent аналитики MDDR могут реагировать на вредоносную активность в два раза быстрее.
В реальных условиях эксплуатации Varonis зафиксировала следующие показатели:
- Улучшение эффективности работы аналитиков до 100%.
Улучшение эффективности работы аналитиков до 100%.
- Рабочий показатель полноты (recall rate) выше 96%, что означает, что агент надежно выявляет реальные угрозы, а не топит их в информационном шуме.
Рабочий показатель полноты (recall rate) выше 96%, что означает, что агент надежно выявляет реальные угрозы, а не топит их в информационном шуме.
Для клиентов практическим результатом является более быстрый путь от сигнала до устранения проблемы.
Как Triage Agent расследует оповещения
Вместо того чтобы оценивать оповещение изолированно, Triage Agent проводит расследование так, как это сделал бы опытный аналитик: формирует гипотезу, собирает доказательства, проверяет версии об отсутствии угрозы и меняет направление, если факты им противоречат.
В одном из недавних случаев такой подход позволил агенту связать умеренное, легко упускаемое из виду оповещение с двумя связанными оповещениями того же дня, реконструировав то, что казалось тремя разрозненными всплесками, в единую эскалирующую попытку эксфильтрации, охватывающую более 17 000 скачиваний файлов. Узнайте больше о том, как агент пришел к такому выводу, в нашем техническом обзоре.
Почему Triage Agent можно доверять в продакшене
Это никогда не было просто проектом по написанию промптов. Оркестрация, инструменты и фундамент данных имели значение, но система стала полезной только тогда, когда эти элементы были подкреплены методами расследования опытных исследователей безопасности и протестированы на реальных результатах.
Исследователи безопасности определили вопросы и связи, которые человек-следователь проверяет рефлекторно. Специалисты по работе с данными перевели эти уроки в инструменты, контекст, руководства и повторяемые рабочие процессы оценки. Непрерывный цикл взаимодействия между этими дисциплинами — запуск, проверка, исправление, измерение — двигал агента вперед.
Цель состоит не в том, чтобы заменить человеческое суждение. Цель в том, чтобы избавить аналитиков от ручного сбора контекста и переключить их внимание на изучение доказательств, принятие важных решений и локализацию угроз до того, как ущерб распространится дальше.
Что ждет Varonis MDDR в будущем
Объемы оповещений не уменьшаются. Более того, злоумышленники, использующие собственные технологии ИИ, заставляют их расти еще быстрее. Triage Agent дает экспертам Varonis MDDR возможность создавать более широкие и чувствительные правила обнаружения, не перегружая аналитиков, поскольку агент берет на себя дополнительный объем и фильтрует только то, что действительно важно.
Это часть постоянной работы Varonis поспевать за этими изменениями, и клиенты MDDR получают это автоматически в рамках сервиса.
Нолан Некоэчеа (Nolan Necoechea) — стратег по продуктовому маркетингу в Varonis. Он более десяти лет работает с данными и инновациями в сфере искусственного интеллекта.
