За пределами оповещений: как ESET учит ИИ понимать инциденты безопасности

Защитники сегодня обрабатывают колоссальный объем необработанных данных, которые необходимо свести к понятному инциденту кибербезопасности. Вместо того чтобы просто повторять выводы аналитиков и создавать дополнительный шум, технологии кибербезопасности должны помогать им, определяя то, что действительно важно, и помогая действовать до того, как злоумышленники достигнут своих целей. Эту задачу призваны решить механизм корреляции ESET — ESET LiveCortex — и его специализированная модель кибербезопасности ESET NeoCortex.

Проблема заключается не в нехватке данных

Современные среды безопасности генерируют невероятный объем событий. Конечные точки, учетные записи, облачные рабочие нагрузки, сети и приложения — все они предоставляют улики. Самая сложная задача — разобраться во всем этом и решить, какие сигналы связаны между собой, какие из них увеличивают риск и какие действия (если они нужны) должны последовать за этим.

Для аналитика безопасности тысяча технически верных оповещений все равно может означать низкую эффективность, так как каждое оповещение требует внимания, контекста и принятия решений, что приводит к утомлению от оповещений. Для покупателя та же проблема проявляется в росте операционных расходов, поскольку требуется передавать, хранить и искать больший объем телеметрии, настраивать больше инструментов, а аналитики тратят больше времени на восстановление картины атаки по уликам, разбросанным по всей среде.

Мы создали ESET LiveCortex, чтобы изменить эту логику. Вместо того чтобы предоставлять клиенту очередной поток необработанных данных наблюдения, эта система сопоставляет и обогащает данные по защищенным периметрам, превращая их в инциденты, расставляет приоритеты, принимает меры там, где это уместно, или предлагает четкие рекомендации, когда требуется участие и решение человека.

ESET LiveCortex — это технология, с которой сталкиваются клиенты

Простым языком, ESET LiveCortex — это нервный центр защиты для бизнес-сред. Он связывает слабые сигналы, которые по отдельности могут казаться безобидными, объединяет их в единый инцидент и расставляет приоритеты, отделяя срочные задачи от информационного шума.

Это важно, потому что многие атаки не ограничиваются одним очевидно вредоносным событием. Они представляют собой цепочки зачастую безобидных действий, распределенных во времени, включая аномалии входа в систему, запуск подозрительного процесса, необычное соединение, изменения конфигурации и последующую попытку доступа к данным. Каждая из этих точек сама по себе недостаточно значима, чтобы привлечь внимание, но вместе они могут сформировать катастрофический инцидент. Защитник понимает взаимосвязь этих событий, но может пропустить атаку из-за потока других оповещений.

В рамках нашей платформы XDR ESET PROTECT система ESET LiveCortex сокращает объем ручного поиска, необходимого для понимания инцидента. Специалисты по безопасности получают более структурированное и удобное для принятия мер представление информации, в то время как бизнес-пользователи реже отвлекаются на ненужные расследования и повторяющиеся оповещения.

На данный момент это решение ориентировано на сегмент B2B: эта функция разработана для организаций, а также для специалистов по безопасности или сервисных команд, которые их защищают.

ESET NeoCortex: специализированная модель мира, которая никогда не выйдет из-под контроля

Одна из технологий, помогающих реализовать этот подход в рамках ESET LiveCortex, — ESET NeoCortex, наша собственная специализированная проприетарная модель кибербезопасности. Она объединяет возможности языковой модели с подходом модели мира, ориентированной на инциденты безопасности.

Если большая языковая модель хорошо умеет представлять и воспроизводить язык, то модель мира изучает, как ведет себя система, какие состояния возможны, как связаны события и что может произойти после определенной последовательности или действия. В кибербезопасности этим «миром» является не физическое помещение, а непрерывно меняющаяся цифровая среда, в которую пытаются проникнуть злоумышленники.

В сочетании модель мира и языковая модель позволяют не просто полностью понимать то, что уже произошло, но и прогнозировать, что может произойти в дальнейшем, а также симулировать эффект от защитных мер до их применения.

В мире, где агенты ИИ могут представлять угрозу как для их создателей, так и для ни в чем не повинных третьих лиц, NeoCortex спроектирована так, чтобы никогда не выходить из-под контроля и всегда оставаться управляемой. Она использует инструменты только для чтения, работает в жестко ограниченных песочницах и регистрирует активность на уровне источника, назначения и сети. В дополнение к этому постоянный мониторинг, строгие лимиты на токены и аварийный выключатель сдерживают ее работу, а критические решения всегда принимаются с участием эксперта-человека.

Почему бы просто не отправить данные в универсальную языковую модель (LLM)?

Потому что оперативное понимание гораздо важнее беглости в любой конкретной теме.

• Во-первых, универсальная LLM оптимизирована для создания правдоподобных последовательностей текста практически в любой предметной области. Но для операций безопасности требуются последовательные решения на основе структурированных, зависящих от времени и враждебных данных.
• Что еще более важно, необработанная телеметрия — это не обычный разговор, состоящий только из легко понимаемого языка и связей. Она содержит сущности, метки времени, индикаторы, связи процессов и частичные наблюдения, которые необходимо сопоставить и интерпретировать в совокупности.
• Кроме того, злоумышленники могут намеренно манипулировать контентом, который будет обрабатываться LLM. Исследователи ESET уже фиксировали подобное поведение, в частности в случае с GuardBreaker, где вредоносный комментарий в коде пытался активировать защитные механизмы LLM и остановить анализ до того, как система доберется до вредоносного кода.
• Самого по себе вызова модели недостаточно для защиты от большинства атак. Это лишь один уровень, и, как показывают 40 лет работы ESET в сфере кибербезопасности, надежная защита требует гораздо большего, включая детерминированные элементы управления, специализированные модели, логику корреляции, валидацию, проверяемость, надзор со стороны экспертов-человека и ограниченные механизмы реагирования. Универсального средства не существует.
• Передача широкого спектра телеметрии и потенциально конфиденциальной проприетарной информации внешней универсальной службе может породить вопросы стоимости, управления данными и зависимости, которые кардинально отличаются от запуска специализированной модели под контролем ESET.

Конечно, общедоступные LLM имеют свои сферы применения, но ESET использует такие передовые модели только там, где они приносят реальную пользу. Суть в том, что критически важные задачи обнаружения и корреляции не должны зависеть от одной универсальной модели или одного внешнего провайдера. Многоуровневая архитектура позволяет каждому компоненту выполнять ту работу, для которой он подходит лучше всего, особенно когда речь идет о защите бизнес-сред.

Почему специализированные модели точнее

Точность модели кибербезопасности зависит от контекста. Общая модель может распознавать терминологию безопасности, но она необязательно знает, какие именно комбинации событий на конечных точках, в учетных записях, облаке и сети образуют значимый инцидент в среде, защищенной ESET. ESET NeoCortex обучена пониманию инцидентов с использованием специфичной для кибербезопасности лексики, данных и целей.

Модель является специализированной благодаря ее способности:

• реконструировать недостающие части контекста инцидента
• создавать компактные представления инцидентов, называемые вложениями (embeddings)
• и определять, какие события выглядят неожиданными по сравнению с остальной частью инцидента.

Это гораздо ближе к реальной операционной задаче, чем вопрос к общей модели вроде открытого вопроса «Является ли это инцидентом?».

Эмбеддинг можно представить в виде регистрационной карточки инцидента. Это не книга целиком, но она отражает достаточно смысла и структуры, чтобы располагать похожие инциденты близко друг к другу. Это обеспечивает поиск, поиск сходства, группировку и кластеризацию без необходимости повторного чтения каждого исходного события сначала.

От снижения затрат на модель к ценности для клиента

Внутренние исследования ESET показывают, что обучение такой мировой модели (world model), как ESET NeoCortex, требует значительно меньших вычислительных ресурсов, чем обучение большой универсальной модели рассуждений, но как это трансформируется в какую-либо пользу для клиента? Дьявол кроется в деталях того, что позволяет делать меньшая, специализированная и автономная модель:

• Быстрые и частые циклы улучшений по мере появления новых паттернов инцидентов и потребностей продуктов.
• Снижение инфраструктурных накладных расходов на масштабную эксплуатацию необходимого функционала.
• Предсказуемая обработка и отсутствие зависимости оплаты от токенов для базовой модели.
• Контроль развертывания для сред, чувствительных к вопросам суверенитета и регулирования.
• Возможность направить вычислительные мощности на контекст безопасности, который меняет решение, вместо их расхода на широкие и порой избыточные возможности ведения диалога.
• Независимость от сторонних вендоров.

Могут ли синтетические данные заменить реальные данные ESET?

Синтетические данные полезны. Они могут расширить редкие сценарии, поддержать эксперименты с реальными данными с сохранением конфиденциальности и протестировать модель на намеренно разнообразных кейсах, однако они не являются полноценной заменой реальным данным об инцидентах.

Сгенерированные примеры наследуют допущения и «слепые зоны» процесса, который их создал. Они могут убедительно воспроизводить известные паттерны атак, упуская при этом запутанные, неполные и постоянно меняющиеся взаимосвязи, которые возникают в реальных средах. Им также трудно воспроизвести добросовестную активность и ее распределение, что является ключевым фактором для предотвращения ложных срабатываний.

Кроме того, преимущество ESET заключается не только в объеме данных. Это сочетание десятилетий глобальной телеметрии, аналитики угроз, исследований вредоносного ПО, тщательно классифицированных образцов, контекста инцидентов, отзывов о продуктах и опытных защитников, способных оценить решения модели. Защищенность кроется в цикле обратной связи между данными, экспертизой, развернутой защитой и результатами работы продуктов.

От времени реагирования ко времени до наступления ущерба

Большинство метрик безопасности запускают отсчет времени после того, как что-то произошло, например «время обнаружения» (time to detect), «время расследования» (time to investigate) и «время реагирования» (time to respond). Подход на основе мировой модели предлагает более амбициозную цель: выявлять вероятное продолжение цепочки атаки пока еще есть время ее прервать.

Мы описываем это направление как «защита за день до минус один» (minus-one-day defense). Это не означает предсказание неизвестной уязвимости до ее появления. Это означает использование частичного инцидента, уже заметного в среде клиента, вместе с паттернами, извлеченными из предыдущих инцидентов, для оценки следующих возможных шагов злоумышленников до того, как они их предпримут.

Например, если последовательность напоминает инциденты, в которых за получением учетных данных следовало боковое перемещение (lateral movement), а затем сбор данных, система может повысить релевантность индикаторов, указывающих на эти переходы. Предсказание представляет собой ранжированный набор возможных следующих состояний, а не заявление о стопроцентной уверенности. Оно должно подкрепляться степенью уверенности, доказательствами и безопасными элементами управления реагированием.

Ценность для клиента заключается в возможности сместить точку принятия решения на более ранний этап. Вместо того чтобы реагировать только после стадии нанесения ущерба, защитники могут подготовить, проверить или заблокировать вероятный следующий шаг злоумышленников прямо во время развития атаки.

Действенная безопасность без превращения в еще одно хранилище данных

Платформы SIEM по-прежнему важны для масштабного поиска, соблюдения требований, проектирования обнаружения и расследований. ESET LiveCortex не является заменой SIEM. Его роль иная: создавать высокоточные контекстные инциденты и автоматизировать локализацию угроз там, у ESET есть достаточно уверенности и контроля.

Это различие имеет экономическое значение. Многие коммерческие модели SIEM масштабируются в зависимости от объема поступающих данных и сроков их хранения. Отправка каждого низкоценного события на дорогой уровень аналитики может увеличить затраты без улучшения качества решений аналитика. Коррелируя и уменьшая количество шума на более раннем этапе, ESET LiveCortex помогает клиентам работать с меньшим набором действенных объектов безопасности, сохраняя при этом необходимые базовые доказательства для расследований и выполнения политик.

Воронка внутренней телеметрии иллюстрирует цель проектирования: лишь малая доля из десятков миллиардов сырых событий должна превращаться в видимые для клиента инциденты.

Что ESET NeoCortex открывает в дальнейшем

Немедленная ценность заключается в лучшем понимании и представлении инцидентов — меньше шума, больше легкодоступного контекста. Долгосрочная перспектива — это набор продуктовых возможностей, которые сокращают повторяющуюся работу и делают экспертные знания пригодными для повторного использования:Почему ESET может это создать

Стартап может нанять отличных исследователей и генерировать большие объемы синтетических данных. Создание надежной мировой модели кибербезопасности по-прежнему требует более широкой системы:

• Данные о реальных угрозах и инцидентах, собираемые с помощью развернутой защиты с соблюдением надлежащей конфиденциальности и управления.
• Цикл обратной связи, который показывает, улучшила ли модель реальные результаты безопасности, а не опирается на лабораторный бенчмарк.
• Люди-эксперты, которые понимают вредоносное ПО, поведение злоумышленников, аналитику угроз, реагирование на инциденты и эксплуатацию продуктов на основе многолетнего опыта.
• Инфраструктура для конвейеров данных, обучения, оценки, безопасного развертывания, мониторинга и непрерывного улучшения.
• Продуктовая платформа, где результаты работы модели могут стать контекстом для расследования, рекомендациями и ограниченными действиями по реагированию.
• Долгосрочный контроль над критическими зависимостями от моделей, данных и инфраструктуры.

Именно поэтому команда, стоящая за моделью, шире, чем просто группа исследователей ИИ. Исследователи ИИ и инженеры по машинному обучению необходимы, но точно так же необходимы инженеры по данным, специалисты по инфраструктуре и сетям, исследователи безопасности, операционные команды, менеджеры по продукту, UX-дизайнеры, эксперты по конфиденциальности и правовым вопросам, инженеры по качеству и владельцы продуктов.

Почему ESET может это создать

Стартап может нанять отличных исследователей и генерировать большие объемы синтетических данных. Создание надежной мировой модели кибербезопасности по-прежнему требует более широкой системы:

• Данные о реальных угрозах и инцидентах, собираемые с помощью развернутой защиты с соблюдением надлежащей конфиденциальности и управления.
• Цикл обратной связи, который показывает, улучшила ли модель реальные результаты безопасности, а не опирается на лабораторный бенчмарк.
• Люди-эксперты, которые понимают вредоносное ПО, поведение злоумышленников, аналитику угроз, реагирование на инциденты и эксплуатацию продуктов на основе многолетнего опыта.
• Инфраструктура для конвейеров данных, обучения, оценки, безопасного развертывания, мониторинга и непрерывного улучшения.
• Продуктовая платформа, где результаты работы модели могут стать контекстом для расследования, рекомендациями и ограниченными действиями по реагированию.
• Долгосрочный контроль над критическими зависимостями от моделей, данных и инфраструктуры.

Именно поэтому команда, стоящая за разработкой модели, выходит за рамки обычной группы исследователей искусственного интеллекта. Исследователи ИИ и специалисты по машинному обучению крайне важны, но не менее важны дата-инженеры, специалисты по инфраструктуре и сетям, исследователи в области безопасности, операционные команды, продакт-менеджеры, UX-дизайнеры, эксперты по конфиденциальности и правовым вопросам, инженеры по качеству и владельцы продуктов.

Суверенитет — это операционная устойчивость

ESET продолжит использовать передовые модели там, где они являются подходящим инструментом. Быть суверенным не означает отвергать глобальную экосистему ИИ или утверждать, что каждая зависимость остается в регионе клиента. Это означает определение того, какие рабочие нагрузки являются слишком критическими, чтобы оставлять их полностью вне нашего контроля, и последующее проектирование с учетом непрерывности, прозрачного управления и практических альтернатив.

Для ESET NeoCortex и критически важных рабочих нагрузок безопасности контроль над моделью и средой обработки снижает подверженность рискам внезапных изменений со стороны провайдеров, а также в коммерческой или геополитической сферах. Это также дает ESET большую прозрачность и контроль над тем, как технология обучается, оценивается, обновляется и ограничивается.

Непрерывные и долгосрочные инвестиции ESET в искусственный интеллект проложили путь к независимым базовым моделям, ориентированным на безопасность, многоуровневому стеку безопасности на базе ИИ и SOC нового поколения на основе ИИ. Цель состоит не в независимости ради независимости, а в том, чтобы обеспечить клиентам надежную защиту, когда обстоятельства вне их контроля внезапно меняются.

Иная единица измерения прогресса

Гонку ИИ часто описывают через размер моделей, результаты бенчмарков и количество параметров. В кибербезопасности более полезным критерием является качество результата, предоставляемого защитнику.

ESET LiveCortex и ESET NeoCortex созданы с учетом именно этого результата: меньше несвязанных сигналов, более целостные инциденты, более раннее понимание того, что злоумышленник может предпринять дальше, и более безопасные пути от улик к действию. Цель состоит не в том, чтобы заменить аналитика чат-ботом. Цель — сделать экспертные решения по безопасности доступными в масштабе и со скоростью защищаемой среды.