Ślady złośliwego oprogramowania połączone w plan dochodzenia
Koreluje próbki, wskaźniki i telemetrię między urządzeniami oraz przygotowuje konkretne zapytania do dalszego badania.
Na czym polega ten pomysł
Koreluje próbki, wskaźniki i telemetrię między urządzeniami oraz przygotowuje konkretne zapytania do dalszego badania. Oddziela obserwowane fakty od wniosków, pokazuje sprzeczne dowody i dostarcza zestaw ustaleń gotowy do przeglądu zamiast nieprzejrzystej odpowiedzi.
Co zyskujesz
Raport malware hunt po review analityka
Co zmienia agent AI
Jak wyglądało to wcześniej
Tradycyjna automatyzacja potrafiła zebrać rekordy, ale człowiek nadal musiał porównać źródła, rozstrzygnąć sprzeczności i opisać wnioski.
Co zmienia agent AI
Agent planuje research, sprawdza wiele źródeł, oddziela fakty od wniosków i zwraca raport z odnośnikami.
Kiedy agent zaczyna działać
Nowa próbka, indicator lub hipoteza zagrożenia zostaje zatwierdzona do badania.
Dane wejściowe
- Kontekst procesu: próbkę, telemetrię, indicators, kontekst assetów i wcześniejsze detekcje
- Zatwierdzone zasady, odpowiedzialność i reguły wyjątków
Jak agent działa krok po kroku
- 1
Zbiera materiały z zatwierdzonych systemów i zapisuje czas ich pozyskania.
- 2
Porównuje sprzeczne sygnały i oddziela fakty od wniosków.
- 3
Przygotowuje cytowaną hipotezę, zakres wpływu i zapytania hunt z cytowaniami, niewiadomymi i poziomem pewności.
- 4
Dostarcza zatwierdzony raport i zachowuje jego zestaw dowodów.
Decyzje człowieka
Po kroku 3
Osoba odpowiedzialna za proces zatwierdza cytowaną hipotezę, zakres wpływu i zapytania hunt.
Rezultat
- Raport malware hunt po review analityka
- Dowody, wyjątki i ślad audytowy
Zasady bezpieczeństwa
- Oznaczaj wnioski oddzielnie od obserwowanych faktów.
- Nie zamykaj dochodzenia, gdy wymagane źródła są niedostępne.
Ryzyka i zabezpieczenia
Brakujące lub nieaktualne dowody mogą dać pewne, ale niepełne ustalenie.
Pokazuj wykorzystane źródła, sprzeczności, daty danych i pytania bez odpowiedzi.
Na czym opieramy ten pomysł
Źródła pokazują, że taki scenariusz jest wykonalny. Podany zakres poprawy to punkt odniesienia, a nie obietnica wyniku.