Positive Technologies: MaxPatrol O2 автоматически закрывает 68% инцидентов в SOC

По заявлению Positive Technologies, платформа автоматически обрабатывает и закрывает 68% поступающих инцидентов, затрачивая на каждый от 15 до 20 секунд. Это освобождает команду SOC от большого объёма однотипных оповещений и позволяет сосредоточиться на реальных атаках.

Аналитик получает готовый вердикт с объяснением по оставшимся инцидентам менее чем за 15 минут. Процесс разделён на два этапа. Сначала ML-модели анализируют инциденты и отсеивают ложные срабатывания. Если инцидент требует внимания, в дело вступает ИИ-агент. Он формирует гипотезу, сопоставляет её с данными из различных источников и подготавливает отчёт. В документе собраны исходные данные и дана ссылка на похожие инциденты с уже вынесенными решениями. Любой приведённый факт имеет ссылку на исходное событие в инфраструктуре.

Степень самостоятельности системы настраивается. Например, можно разрешить автоматическое закрытие только для отдельных классов инцидентов, сохранив ручной контроль над критичными зонами. Разработчик заявляет о планах сократить долю кейсов, требующих участия человека, до 10%. Как заявляет разработчик, сейчас совпадение вердиктов MaxPatrol O2 с вердиктами облачного сервиса PT X превышает 98%. Вердикты PT X, в свою очередь, сверены с решениями живых аналитиков.

Востребованность автоматизации SOC

Инструменты автоматизации для центров мониторинга безопасности становятся стандартом на фоне растущего потока событий. MaxPatrol O2 решает задачу, знакомую многим руководителям ИБ: снижение времени реакции с часов до секунд на массовых инцидентах. Объяснение вердикта делает работу системы прозрачной для специалистов.

Настройка и варианты развёртывания

Система позволяет гибко регулировать уровень самостоятельности: можно ограничить автоматическое закрытие проверенными классами событий. Продукт доступен как в облачной версии, так и для развёртывания в инфраструктуре заказчика. Каждый факт в отчёте можно проследить до исходного события.