ИИ-расследование встроено непосредственно в работу с инцидентом
В Security Capsule SIEM реализована функция расследования инцидента с помощью искусственного интеллекта. Оператор запускает проверку из карточки инцидента, а ИИ-агент последовательно анализирует правило корреляции, индикаторы компрометации, связанные события и инциденты.
Результаты проверки сохраняются в хронологии расследования, а по завершении формируется структурированное заключение с описанием, вердиктом, обоснованием и рекомендациями для специалиста.
Не отдельный диалог, а встроенный этап расследования
Во многих сценариях применения искусственного интеллекта специалисту приходится переносить сведения об инциденте во внешнюю систему, вручную собирать исходные данные и затем возвращать полученные выводы в рабочий процесс.
В Security Capsule SIEM расследование запускается непосредственно из карточки инцидента. Оператор продолжает работать в привычном интерфейсе, а ИИ-агент получает доступ к подключённым источникам контекста внутри системы.
Благодаря этому сохраняется связь между исходным инцидентом, правилом корреляции, найденными событиями, индикаторами компрометации и выводами, сформированными в ходе проверки.
Что отличает ИИ-расследование в SC SIEM
В карточке инцидента
Оператор запускает расследование из текущего рабочего пространства, без переноса технических данных в отдельное приложение.
С учётом связанного контекста
ИИ-агент проверяет не только исходное сообщение, но и правило корреляции, индикаторы, события и другие инциденты.
Со структурированным результатом
По завершении проверки система формирует заключение с описанием, вердиктом, обоснованием и рекомендациями.
Как проходит проверка инцидента
Функция доступна во вкладке «Расследование» карточки инцидента. Оператор выбирает действие «Провести расследование», после чего SC SIEM направляет запрос подключённому ИИ-агенту.
- 01 Запуск Оператор инициирует расследование из карточки инцидента
- 02 Правило корреляции Проверяется логика выявления и условия, приведшие к срабатыванию
- 03 Индикаторы Сведения сопоставляются с локальной базой IoC
- 04 Киберразведка При настроенном подключении используется контекст CRATU Threat Intelligence
- 05 Поиск связей Анализируются накопленные события и инциденты
- 06 Заключение Результаты добавляются в хронологию и формируется итоговый вывод
Какой контекст может использовать ИИ-агент
Состав доступных данных определяется настройками и подключёнными сервисами Security Capsule SIEM.
Правило корреляции
Проверяется логика правила, сформировавшего исходный инцидент, и учитываются условия его срабатывания.
Индикаторы компрометации
Значения из инцидента сопоставляются с локальной базой индикаторов, загруженных в SC SIEM.
Киберразведка CRATU
При настроенном подключении выполняется дополнительная проверка сетевых адресов, хеш-сумм, путей и других сведений.
События и инциденты
ИИ-агент выполняет поиск по накопленным данным, оценивает масштаб активности и выявляет связанные записи.
Результаты становятся частью хронологии
В процессе проверки ИИ-агент не ограничивается формированием текстового ответа. Он добавляет в хронологию расследования найденные события, связанные инциденты, индикаторы компрометации и заметки.
Оператор получает последовательную картину работы: от исходного срабатывания и правила корреляции до найденных связей и итогового вывода. Этот контекст можно использовать при дальнейшей проверке гипотез, эскалации и передаче инцидента другому специалисту.
Что произошло
Краткое описание выявленной активности и собранного контекста.
Вердикт
Итоговая оценка инцидента на основании проведённой проверки.
Обоснование
Факты, события, связи и индикаторы, на которых основан вывод.
Рекомендации
Предлагаемые действия для дальнейшей проверки и реагирования.
ИИ помогает аналитику, но не подменяет его решение
Итоговое заключение ИИ-агента используется как дополнительный аналитический материал. Специалист по информационной безопасности проверяет выводы, определяет фактическую значимость инцидента и выбирает меры реагирования.
Такой подход сочетает автоматизацию трудоёмкой первичной проверки с сохранением человеческого контроля над решениями, способными повлиять на информационную инфраструктуру.
ИИ-помощник и ИИ-расследование решают разные задачи
В Security Capsule SIEM искусственный интеллект применяется в двух взаимодополняющих сценариях: от быстрого объяснения отдельного события до последовательной проверки инцидента.
- 01 ИИ-помощник — оперативное объяснение события или инцидента: краткое и подробное описание, ключевые факты, рекомендации и оценка вероятности ложного срабатывания.
- 02 ИИ-расследование — последовательная проверка правила корреляции, индикаторов, киберразведки и накопленных данных SC SIEM с формированием связанного контекста и итогового заключения.
От демонстрационного сценария — к функции в составе продукта
Первая версия сценария ИИ-расследования была представлена командой Security Capsule SIEM на финале программы Sber500 × GigaChat. В демонстрации ИИ анализировал правило корреляции, выделял индикаторы компрометации, искал связанный контекст и предлагал дальнейшие действия аналитику.
После развития сценария функция была включена в рабочий процесс Security Capsule SIEM и описана в актуальной редакции Руководства оператора.
1 час → 20 минут
В демонстрационном сценарии сократилось время первичного разбора события или инцидента за счёт готового контекста.
До трёх раз за смену
Расчёт демонстрационного сценария показал возможность обработать больше инцидентов той же командой.
Структурированная проверка
Новый специалист получает последовательный результат, который можно проверить и использовать для дальнейшей работы.
Показатели относятся к сценарию, представленному в рамках Sber500 × GigaChat. Фактический результат зависит от состава подключённых источников, качества событий, правил корреляции и внутренних процессов организации.
Что получает оператор в одном рабочем пространстве
ИИ-расследование объединяет исходное срабатывание, правило корреляции, связанные события, индикаторы компрометации, сведения киберразведки и итоговые выводы.
- контекст правила, сформировавшего инцидент;
- проверку индикаторов компрометации;
- поиск связанных событий и инцидентов;
- дополнительный контекст киберразведки при настроенном подключении;
- последовательную хронологию расследования;
- структурированное итоговое заключение;
- материал для проверки гипотез и эскалации;
- сохранённый контекст для передачи между специалистами и сменами.
Посмотрите ИИ-расследование инцидента в работе
Покажем, как ИИ-агент анализирует правило корреляции, проверяет индикаторы компрометации, находит связанные события и формирует заключение с вердиктом, обоснованием и рекомендациями.
Скачать презентацию Выступление на Sber500