Umelá inteligencia je oveľa bližšie ku každodennej práci analytikov – pri vyhľadávaní informácií, práci s bezpečnostnými platformami, spracovaní technických výstupov či tvorbe vlastných nástrojov. Útočníci používajú AI a my chceme bojovať rovnakou zbraňou aj na druhej strane barikády. Sú rýchli a my musíme byť rýchlejší.
O konkrétnych skúsenostiach z Alanata SOC hovoril nedávno na konferencii EPI Peter Voroňák z Alanata. Namiesto prehľadu AI produktov ukázal, kde už dnes umelá inteligencia reálne pomáha jeho bezpečnostnému tímu a čo sa pri jej nasadení ukazuje ako prakticky použiteľné. AI nenahrádza bezpečnostné platformy ani človeka. Naopak dopĺňa vrstvu medzi človekom a nástrojmi, ktoré organizácia už používa.
Analytik nemusí vedieť, kde hľadať. Musí vedieť, čo hľadá
Jednou zo zmien je spôsob práce so samotnými bezpečnostnými platformami. Analytik dnes potrebuje poznať nielen bezpečnostnú problematiku, ale aj konkrétne rozhranie produktu, jeho filtre, syntax a spôsob vyhľadávania. Ak pracuje s viacerými nástrojmi, rovnaký problém sa opakuje v každom z nich.
AI túto vrstvu dokáže zjednodušiť. Namiesto hľadania v konzole alebo zaškrtávania zložitého filtra či písania query môže analytik formulovať požiadavku prirodzeným jazykom. A ani nemusí byť úplne presný. Napríklad:
„Vylistuj rizikové účty a sprav mi z tých bez dvojfaktora tabuľku.“
Výsledkom jednoduchej požiadavky nie je surový export, ale prehľadná tabuľka aktívnych a neaktívnych účtov s rizikovým skóre a ďalšími indikátormi. A ako bonus k tomu môžete dostať nájdené korelácie, analýzy či odporúčania.
AI pritom nevytvorila nový bezpečnostný poznatok. Pomohla jednoduchšie nájsť a spracovať informáciu, ktorá už v existujúcich dátach bola.
Menej preklikávania medzi nástrojmi
Pri vyšetrovaní bezpečnostných udalostí bývajú informácie potrebné na analýzu rozdelené medzi XDR, SIEM, SOAR, threat intelligence platformy, internú dokumentáciu alebo históriu predchádzajúcich prípadov. Analytik preto časť práce venuje samotnému získavaniu a skladaniu informácií. AI v tomto robí výbornú prácu a napomáha rýchlejšiemu získaniu celkového obrazu o tom, čo sa deje alebo stalo.
V Alanata SOC sa aj preto rozvíjajú integrácie, pri ktorých deterministickú časť práce vykonávajú API a existujúce systémy. Odtiaľ sa získavajú presné hodnoty. To prevezme AI model. Pomáha získané informácie poskladať, interpretovať a pripraviť s vysvetlením do zrozumiteľnej podoby. Analytik tak nemusí otvárať niekoľko konzol a ručne z nich skladať výsledný obraz. Informácie už má servírované a ďalej s nimi pracuje.
Chcete vedieť, ako vám môže náš SOC tím pomôcť? Kontaktujte našich špecialistov
Chcete vedieť, ako vám môže náš SOC tím pomôcť? Kontaktujte našich špecialistov
AI pomáha najmä tam, kde je veľa mechanickej práce
Analytik je neustále zahltený opakovanou prácou. Hovoríme napríklad o prvotnej triáži alertov, sumarizácii rozsiahlych sandbox reportov, rozboroch obfuskovaného kódu, práci so znalostnou databázou, dokumentácii či zákazníckych reportoch.
Alanata SOC si tieto opakované činnosti prispôsobil. Notifikácie a monitoring bežia automaticky na niekoľkých nezávislých zdrojoch aj pre prípad výpadku. Zoznamy sa zlučujú, duplicity odstránia a udalosti s verdiktom sa preskakujú. Takto sa nič neanalyzuje dvakrát. Ak už nastane udalosť, nasleduje základná analýza so zhrnutím, kľúčovými indikátormi, časovou osou a návrhom verdiktu. Pri závažnej udalosti sa doplní hlbšia analýza so sieťovými logmi, prihlasovacími záznamami, príkazmi, koreláciami naprieč zdrojmi a mapovaním na známe taktiky.
Z desiatok strán technického výstupu sa takto pomocou AI pripraví zrozumiteľné zhrnutie. Výstupom je vždy jeden z troch verdiktov: false positive, vyžaduje skúmanie, alebo potvrdený incident. Vždy s odôvodnením a konkrétnym odporúčaním.
Platia pritom tri pravidlá, ktorými sa AI riadi. Nič sa nedomýšľa:
- Čo nie je v logoch, sa označí ako chýbajúce.
- Verdikt nikdy nestojí bez zdôvodnenia.
- Rozhodnutie o zásahu do prostredia zostáva na človeku.
Výsledkom je analytik, ktorý menej času venuje mechanickému spracovaniu informácií.
AI ako formovateľný kolega
SOC v Alanate nie je len o nástrojoch, je hlavne o postupoch a skúsenostiach jeho ľudí: Čo preveriť pri konkrétnom type udalosti? Ktoré zdroje použiť? Aké informácie doplniť? Kedy analýzu rozšíriť? Takéto know-how postupne prenášame aj do AI prostredníctvom vlastných „skillov“. Takto si AI formujeme a školíme na skúsenejšieho kolegu.
AI skill možno prirovnať k onboardingovému dokumentu pre nového kolegu alebo presne popísaný pracovný postup, podľa ktorého pracuje model na konkrétnej úlohe. Raz definovaný postup sa následne môže aplikovať konzistentne pri opakovaných úlohách a zároveň je možné spätne dohľadať, podľa čoho bola analýza vykonaná.
A tak ako s reálnym kolegom tak aj s AI si pravidelne „sadneme” a revidujeme jej pracovné postupy a výsledky. Na základe revízie jej skilly podľa potreby upravujeme.
Keď vhodný nástroj neexistuje, SOC si ho môže vytvoriť
Nie každá potreba SOC je dostatočne veľká na obstaranie samostatného produktu alebo na vznik klasického vývojového projektu. Môže to byť úloha, ktorá sa opakuje každý deň a analytikom zbytočne berie čas: preverovanie indikátorov kompromitácie. Analytici potrebujú overovať IP adresy, URL, domény či hashe v rôznych threat intelligence zdrojoch. Manuálne preklikávanie, kopírovanie a porovnávanie výsledkov sa pri väčšom množstve indikátorov rýchlo stáva neefektívnym.
Priamo v Alanata SOC preto vznikol vlastný IOC Reputation Checker, ktorého autorom je analytik Dominik Kúdela. Nástroj automaticky rozpozná typ indikátora, vyberie relevantné zdroje, umožňuje pasívne overenie reputácie aj aktívny sken, podporuje hromadné spracovanie a dopĺňa DNS či WHOIS kontext.
Presvedčivá odpoveď však ešte nemusí byť správna
Jazykový model dokáže nesprávnu alebo zastaranú technickú informáciu podať mimoriadne presvedčivo. Problémom preto nie sú iba očividné nezmysly. Rizikovejšia môže byť odpoveď, ktorá vyzerá odborne, používa správnu terminológiu a na prvý pohľad dáva zmysel, no obsahuje chybný detail.
V odbornom prostredí preto musí byť výstup AI overiteľný. Najlepšie človekom, ktorý jej výstupy kontroluje.
