Почему расследования в сфере безопасности должны проводиться быстрее?
- Время между обнаружением уязвимости и её эксплуатацией сокращается. Девон Роллинс, руководитель направления реагирования на инциденты безопасности и безопасности ИИ в Morgan Stanley, отметил, что злоумышленники могут воспроизводить успешные методы в тысячах организаций, тогда как защитникам прежде было сложнее обмениваться опытом в больших масштабах.
- ИИ может ускорить сбор доказательств и распознавание закономерностей, а также одновременно исследовать несколько возможных объяснений инцидента. Защитники также хотят обмениваться данными о поведении угроз и материалами для их обнаружения, пригодными для использования людьми и машинами, чтобы организации с разными системами безопасности могли учиться друг у друга.
- Исследовательская группа Morgan Stanley считает, что продукты для автоматизации операций по обеспечению безопасности, способные сократить информационный разрыв между атакующими и защитниками, имеют шансы на внедрение, но конкуренция на этом рынке высока.
Почему в эпоху ИИ по-прежнему необходимо укреплять основы безопасности?
- По мере сокращения времени на реагирование компаниям всё равно необходимо постоянно знать, какими активами они располагают, какие из них доступны извне и как распределены права доступа, а также обеспечивать возможность изоляции и восстановления после инцидента.
- Принцип минимальных привилегий распространяется на рабочие нагрузки и агентов; при определении приоритетности уязвимостей также необходимо учитывать их связь с важными системами. Для компаний с долгой историей и накопленным техническим долгом устранить все угрозы нереалистично, поэтому заранее разрешённые меры изоляции особенно важны.
Вытеснит ли собственная разработка поставщиков программного обеспечения для безопасности?
- Сейчас компании сочетают собственные разработки с закупками: поставщики предоставляют сенсоры, модели и средства применения мер контроля, а внутренние команды подключают инструменты к собственным данным, связям между активами и процессам принятия решений.
- Инструменты программирования на основе ИИ ускорили внутреннюю разработку, но Роллинс подчеркнул отличительную ценность знаний самой компании. Поэтому исследовательская группа Morgan Stanley считает, что сейчас собственная разработка скорее дополняет закупки. Хотя модели с открытыми весами дают больше контроля, они также возлагают на компании ответственность за безопасность, оценку, развёртывание и сопровождение.
Какие инструменты и возможности представляют большую ценность?
- Системы управления информацией о безопасности и событиями безопасности (SIEM) по-прежнему ценны: они объединяют упорядоченные данные безопасности с контекстом об идентификационных данных, поведении, угрозах и активах, помогая быстрее принимать решения. Но если данные содержат много шума, неполны или ненадёжны, ИИ также может быстрее прийти к ошибочным выводам.
- Инструменты оркестрации, автоматизации и реагирования в сфере безопасности (SOAR) по-прежнему подходят для повторяющихся процессов с чёткими правилами; автоматизация под управлением ИИ применяется к другим задачам. Ценность дополнительных данных зависит от того, какие выводы можно из них извлечь, а не от самого объёма сбора.
- При выборе поставщика также следует учитывать качество интерфейсов и управление агентами: откуда поступают доказательства, какими правами обладают агенты и можно ли остановить или отменить действия. Morgan Stanley считает, что платформы, способные извлекать полезные сведения из данных, выигрывают от этих потребностей.
Какую коммерческую ценность принесёт расширение автоматизации?
- Роллинс заявил, что команды всё охотнее поручают ИИ содержательные расследования и выработку рекомендаций о дальнейших шагах благодаря улучшению контекстной информации, оценки и контроля доступа вокруг моделей. Действия с чёткими границами автоматизировать проще; решения в неоднозначных ситуациях или с серьёзными последствиями по-прежнему принимают люди, которые несут за них ответственность.
- По его мнению, в долгосрочной перспективе могут появиться более компактные наборы инструментов и измеримые улучшения операционной эффективности, но эти выгоды пока остаются перспективой. Исследовательская группа Morgan Stanley оптимистично оценивает расходы на программное обеспечение для кибербезопасности, одновременно ставя ключевой вопрос: после сокращения общего числа инструментов смогут ли gains эффективности привести к увеличению обязательств клиентов по закупкам у поставщиков?