تطوير وكيل فرز التنبيهات الأمنية بالذكاء الاصطناعي
التنبيه الحقيقي أولاً، والضجيج مفسَّر
وكيل لقائمة التنبيهات لدى الفريق الأمني. يثري كل تنبيه بالسياق الذي كان المحلل سيبحث عنه، ويجمع الإشارات المترابطة في حالة واحدة، ويجهّز خطوات الاستجابة من دليلك ليعتمدها المحلل.
وكيل لقائمة التنبيهات لدى الفريق الأمني. يثري كل تنبيه بالسياق الذي كان المحلل سيبحث عنه، ويجمع الإشارات المترابطة في حالة واحدة، ويجهّز خطوات الاستجابة من دليلك ليعتمدها المحلل. ولا يتخذ أي إجراء بنفسه.
يغرق الفريق الأمني في التنبيهات، ومعظمها غير مؤذٍ. يفتح المحلل كل تنبيه، ويبحث عن المستخدم والجهاز والعنوان، ثم يغلقه. ويُغلق الأربعون بالسرعة التي أُغلق بها الأول، وهو الذي كان مهماً. فالعمل الذي يحتاج إلى خبير هو تقرير ما يجب فعله، أما ما يملأ اليوم فجمع ما يحتاج إليه الخبير ليقرر.
تصف هذه الصفحة مسار عمل نقترح بناءه مشروعاً مخصصاً، وهو غير موجود بعد في صورة برنامج. سيعيد استخدام توجيه الموافقات من عرضنا العملي لمكتب الدعم التقني، حيث تُفتح الطلبات الحساسة للموافقة ولا تُنفَّذ أبداً، ومعالجة النصوص التي تحاول إصدار تعليمات إلى الوكيل. أما الربط بالأدوات الأمنية، والإثراء، وتجميع الحالات، فلم تُبنَ بعد.
كيف يُنجز العمل اليوم
تنبيهات أكثر من اللازم
يغلق المحللون المئات يومياً، ومعظمها بلا أثر.
البحث نفسه يدوياً
يُراجع المستخدم والجهاز والموقع والتاريخ واحداً تلو الآخر.
إشارات مترابطة تُرى منفصلة
خمسة تنبيهات هي حادثة واحدة، وتُعالج على أنها خمس.
الإرهاق
يبدو التنبيه الحقيقي مثل الأربعين الكاذبة التي سبقته.
أتمتة بصلاحيات مفرطة
تعطل أداة حساب أحد كبار المسؤولين بسبب إنذار كاذب.
لا سجل للسبب
أُغلق التنبيه، ولم يدوّن أحد المبررات.
من أول إشارة إلى التسجيل
مثال على حالة واحدة في 6 خطوات، وهي الخطوات نفسها التي تظهر في الصورة أعلى هذه الصفحة.
وصول التنبيهات
تصل ثلاثة تنبيهات خلال عشر دقائق عن حساب مستخدم واحد.
إضافة السياق
المستخدم في المالية، وتسجيل الدخول جاء من بلد جديد، وحاسوبه محدَّث.
تجميع الإشارات
تُضم التنبيهات الثلاثة في حالة واحدة مع تسلسل زمني.
تحديد الخطورة
تصنّف قواعدك حساباً مالياً بتسجيل دخول غير معتاد على أنه عالي الخطورة.
تجهيز الاستجابة
تُجهَّز خطوات الدليل، مع تسمية الحساب والجلسة المطلوب إلغاؤها.
قرار المحلل
يتأكد المحلل مع مدير المستخدم، ويعتمد خطوتين، ويسجّل السبب.
ست مهام ينجزها كاملة
01إثراء التنبيهات
يضيف السياق الذي يحتاج إليه المحلل.
- المستخدم ودوره ونشاطه الأخير
- الجهاز وحالة تحديثاته
- العنوان وسمعته من مصادرك
- تنبيهات سابقة مشابهة ونتائجها
02التجميع
يضم الإشارات المترابطة في حالة واحدة.
- المستخدم أو الجهاز أو العنوان نفسه
- ضمن نافذة زمنية تحددها
- تسلسل زمني لما حدث
- ما لا ينتمي إليها يبقى منفصلاً
03الخطورة وفق قواعدك
يطبق معاييرك للاستعجال.
- تعريفاتك لدرجات الخطورة
- أهمية الأصول والمستخدمين
- الأنماط السليمة المعروفة التي حددتها
- القاعدة وراء كل تصنيف
04تجهيز الاستجابة
يجهّز الخطوات من دليلك.
- دليل هذا النوع من التنبيهات
- الحسابات والأجهزة المحددة
- ما تفعله كل خطوة
- انتظار المحلل
05اعتماد المحلل
يضع القرار أمام شخص.
- عرض للحالة مع الأدلة
- اعتماد أو تعديل أو صرف
- تسجيل مبررات المحلل
- تصعيد عند تجاوز مهلتك
06سجل الإغلاق
يوثق ما تقرر.
- القرار ومن اتخذه
- الأدلة التي نُظر فيها
- الإجراءات التي نفذها الفريق
- أنماط لضبط الكشف لديك
جرّب عليه حالة حقيقية واحدة
ثلاثون دقيقة وحالة واحدة من عملك الفعلي. نطابقها مع سير العمل في هذه الصفحة، ونخبرك بوضوح بما يمكن إعادة استخدامه من عروضنا العملية وما يجب بناؤه لأنظمتك.
الوكيل يجهّز الحالة، والإجراء يتخذه المحلل
الإجراءات الأمنية تعطل الناس: يُقفل حساب، ويُعزل جهاز. وقد يوقف إنذار كاذب عولج آلياً عمل الشركة. لذلك لا يملك هذا الوكيل إلا صلاحية القراءة للإثراء، ولا يستطيع الاحتواء أو الحظر أو التعطيل. يجهّز الخطوات من دليلك، ويعتمد المحلل كلاً منها.
وقد يتضمن محتوى التنبيه نصاً كتبه مهاجم. لذلك يعامل الوكيل كل ما داخل التنبيه على أنه بيانات، ولا يعامله أبداً على أنه تعليمات.
- إثراء بالقراءة فقط
- لا احتواء دون محلل
- الخطورة من قواعدك المكتوبة
- تجميع ظاهر وقابل للتراجع
- محتوى التنبيه بيانات
- سبب مسجل لكل إغلاق
الأنظمة من حوله
الأنظمة المذكورة هنا أمثلة على ما يعمل معه هذا الوكيل، أما ما يتصل به في حالتك فيتحدد عند وضع النطاق.
أدوات الكشف
- أدوات SIEM وأمن الأجهزة والبريد الإلكتروني لديك
الهوية
- دليلك الوظيفي وسجلات تسجيل الدخول
جرد الأصول
- الأجهزة وأصحابها وأهميتها
معلومات التهديدات
- مصادر السمعة المرخصة لديك
أدلة الاستجابة
- إجراءات الاستجابة لديك
إدارة الحالات
- حيث يعمل المحللون ويقررون
إجابات مباشرة
هل يستطيع احتواء التهديد تلقائياً؟
ليس في هذا التصميم. يجهّز خطوات الاحتواء ويعتمدها المحلل. وتسمح بعض الفرق لاحقاً بإجراء آلي في حالات ضيقة ومفهومة جيداً. وهذا قرار قيادتك الأمنية، حالة بحالة.
ما الفرق بينه وبين وكيل مكتب الدعم التقني؟
يخدم مكتب الدعم الموظفين في مشكلاتهم اليومية، ويحوّل كل ما يبدو مسألة أمنية إلى جهة أخرى. وهذا الوكيل هو حيث تصل تلك المسائل: يعمل للمحللين الأمنيين على تنبيهات أدوات الكشف.
ما الفرق بينه وبين وكيل تنسيق الاستجابة للحوادث؟
يحدد الفرز هل التنبيه حقيقي، ويجهّز الاستجابة الأولى. فإن كان حقيقياً وخطيراً أُعلنت حادثة وبدأ التنسيق بين الفرق، وذلك عمل الوكيل الآخر.
ما الموجود اليوم؟
لا شيء منه في صورة برنامج بعد. تصف هذه الصفحة مسار عمل مقترحاً، يعيد استخدام توجيه الموافقات من عرضنا العملي لمكتب الدعم التقني، حيث تُفتح الطلبات الحساسة للموافقة ولا تُنفَّذ أبداً، ومعالجة النصوص التي تحاول إصدار تعليمات إلى الوكيل. أما الربط بالأدوات الأمنية، والإثراء، وتجميع الحالات، فلم تُبنَ بعد. يبدأ المشروع برسم عملياتك، ثم نثبت الخطوات الأولى على بيانات اختبار قبل أن يمس أي شيء نظاماً فعلياً.
حدّثنا عن مشروعك
صف لنا ما تريد بناءه والأنظمة التي سيعمل معها. نرد عليك بطريقة تعاملنا مع المشروع وبالقرارات التي تأتي أولاً. جلسة تحديد النطاق مجانية.