Agentikus SOC-ot épített a Confluent a biztonsági riasztásokhoz
Agentikus biztonsági műveleti központot, vagyis SOC-ot épített a Confluent, amely minden riasztást kivizsgál, mielőtt eldöntené, szükséges-e eszkaláció. A vállalat szerint a rendszer 30 nap alatt több mint 250 valódi pozitív esetet talált, nagyjából 5 százalékos eszkalációs arány mellett.
- A Confluent agentikus SOC-ot épített AI-ügynökökkel.
- A rendszer 30 nap alatt nagyjából 4700 riasztást elemzett.
- Több mint 250 valódi pozitív esetet talált körülbelül 5 százalékos eszkalációs arány mellett.
- A magas súlyosságú riasztások lezárásához mindig emberi jóváhagyás kell.
- A streaming architektúra prioritási sávokkal védi a kritikus riasztásokat a torlódástól.
A riasztások tömege okozza a vakfoltot
A Confluent szeptember 10-i blogbejegyzése szerint a modern biztonsági műveleti központok egyre inkább agentikus, vagyis önállóan vizsgáló és cselekvő AI-ügynökökre épülő architektúrák felé mozdulnak. A hagyományos SOC-ok merev, szabályalapú automatizálást és jelentős emberi munkát használnak.
A vállalat saját rendszerében a riasztások észlelése nem jelentett szűk keresztmetszetet. A problémát a nagy mennyiségű, többnyire alacsony értékű jel jelentette, amelynek manuális átvizsgálása túl sok időt igényel. A biztonsági csapatok jellemzően súlyosság szerint rendezik a sort, majd a legalacsonyabb prioritású tételek egy része feldolgozatlan marad. A Confluent szerint a Data Loss Prevention, vagyis adatveszteség-megelőzési riasztások is gyakran ebbe a háttérbe kerülnek.
Kivizsgálás több, együttműködő ügynökkel
A Confluent nem egyszerű osztályozót épített, amely csak azt próbálja megjósolni, hogy egy riasztás rosszindulatú-e. A rendszer először kiszűri a duplikált riasztásokat, majd a csapat korábbi tudásával egészíti ki a megmaradt eseteket. Ezután egy központi triázskoordinátor dönti el, hogy az ügy lezárható-e, vagy további vizsgálatra van szükség.
Ha mélyebb elemzés kell, specializált ügynökök gyűjtenek bizonyítékokat különböző területekről, például végponti forenzikából és felhőauditnaplókból. Egy külön értékelő ügynök keresi a nem ellenőrzött feltételezéseket és a bizonyítékokkal alá nem támasztott következtetéseket. Hiányosság esetén az ügy visszakerül további vizsgálatra.
A rendszer a korábbi eredményeket tudásbázisban rögzíti. A visszakeresés hibrid, vektoros és kulcsszavas keresést használ, így a korábbi vizsgálatok jelentésük alapján is előkerülhetnek. A Confluent szerint a bejegyzések félautomatikus ellenőrzésen mennek át, mielőtt későbbi döntéseket befolyásolhatnának.
Streaming architektúra és emberi kontroll
A Confluent kezdetben sorból olvasó alkalmazásként kezelte az AI-ügynököt, később azonban streaming architektúrára állította át a folyamatot. A vállalat prioritási sávokat alakított ki, hogy a kritikus riasztások akkor is továbbhaladjanak, ha az alacsony prioritású esetekből nagy mennyiség érkezik. A determinisztikus útválasztás a Confluent Cloudra és az Apache Flinkre épül, míg a komplex döntési feladatokat az AI-ügynökök végzik.
A rendszer csak teljesen ártalmatlannak minősített, alacsony vagy közepes súlyosságú riasztásokat zárhat le automatikusan. Magas súlyosságú riasztást nem némíthat el, még akkor sem, ha téves pozitívnak tartja. Ezekhez minden esetben emberi jóváhagyás szükséges.
A Confluent közlése szerint egy 30 napos időszakban a detektálási rendszer nagyjából 4700 riasztást állított elő. A prioritásalapú útválasztás körülbelül 3 százalékukat küldte az ügyeletes csapathoz, az automatizált folyamat viszont mindegyiket elemezte, nagyjából 5 százalékukat eszkalálta, és több mint 250 valódi pozitív esetet adott át az elemzőknek.
A vállalat szerint a megoldás nem változtatott a létszámon, viszont átrendezte az elemzők idejének felhasználását. A szakemberek a kritikus, emberi döntést igénylő vizsgálatokra koncentrálhatnak, miközben az alacsony prioritású riasztások sem maradnak automatikusan ellenőrizetlenül.
Confluent: Building an Agentic SOC on a Stream
