Организациите разполагат с повече видимост и инструменти от всякога, но все по-трудно успяват да превърнат сигналите в навременна реакция
Дълго време киберсигурността се развиваше около една основна цел – да се вижда повече, да се открива по-бързо и да се внедряват все по-сложни инструменти. Днес този модел вече не описва напълно реалността.
Организациите разполагат с огромни обеми данни за своята инфраструктура, идентичности, приложения и облачни среди. Проблемът е, че самото откриване на заплаха вече не е достатъчно. Истинското предизвикателство започва след това – разследване, валидиране, корелация, приоритизиране и реакция в рамките на все по-кратък времеви прозорец.
Повече видимост не означава автоматично по-добра защита
Всеки нов краен потребител, SaaS приложение или облачна услуга добавя нови източници на данни и нови процеси за управление. Същевременно всяка допълнителна платформа за сигурност може да подобри откриването, но и да фрагментира операциите.
Сигналът сам по себе си не намалява риска. Той трябва да бъде превърнат в решение.
Това изисква събиране на доказателства от различни системи, анализ на контекста и преценка дали дадено събитие представлява реална заплаха. Когато броят на сигналите расте по-бързо от капацитета на екипа, дори добрите инструменти могат да доведат до претоварване.
ИИ ускорява натиска върху SecOps екипите
ИИ допълнително променя баланса. Атаките могат да се развиват по-бързо и да генерират повече събития за анализ, докато защитниците разполагат с все по-малко време за реакция.
Това вече не е основно проблем на точността на откриване. Това е проблем на капацитета.
Всеки инцидент изисква координация между множество инструменти и екипи. Анализаторите прекарват значителна част от времето си в събиране на информация, обогатяване на контекста и отстраняване на фалшиви положителни резултати – задачи, които са важни, но ограничават времето за сложни инциденти.
ИИ като постоянен оперативен капацитет
Затова ролята на ИИ постепенно се променя. Той вече не трябва да се разглежда само като инструмент за автоматизация или повишаване на продуктивността.
По-важната му функция е да осигурява постоянен оперативен капацитет.
ИИ може да поеме първоначалния триаж, корелацията на данни, обогатяването на контекста и непрекъснатия мониторинг. Човешките специалисти запазват контрола върху експертната преценка, надзора и решенията с висок риск.
Това е особено важно за MSP и MSSP доставчиците, които трябва да защитават повече среди, без всяко разширяване на бизнеса да изисква пропорционално увеличаване на екипа.
Бъдещето на SecOps няма да се определя само от това кой открива заплахите най-точно. Предимство ще имат организациите, които могат устойчиво да разследват и реагират, дори когато инфраструктурата, данните и атаките продължават да се разрастват.
