Искусственный интеллект может ускорять для злоумышленников поиск уязвимостей, создание кода эксплойтов и использование слабых мест. Для защитников это означает сокращение времени, доступного для оценки риска и принятия мер.
От оповещений — к контексту
Проблема не сводится к обнаружению очередной уязвимости или выпуску ещё одного предупреждения. Ключевой вопрос — какие из выявленных проблем действительно важны: к чему сможет получить доступ атакующий, насколько уязвимый ресурс связан с критичными системами и что следует устранять в первую очередь.
У ИБ-команд, как правило, уже есть значительный массив данных: сведения об уязвимостях, облачные оповещения, сигналы, связанные с идентификацией, телеметрия приложений и данные средств обнаружения угроз. Сложность состоит в том, чтобы быстро сопоставить эти сигналы и получить ответы, необходимые для действий.
При оценке новой проблемы требуется установить:
- доступна ли уязвимость для эксплуатации;
- есть ли на затронутом ресурсе конфиденциальные данные;
- может ли атакующий использовать ресурс как точку перехода к более важным системам;
- кто отвечает за затронутую систему;
- какая проблема должна быть устранена первой.
Эти вопросы относятся не только к техническим характеристикам CVE. Даже известная уязвимость требует другой приоритизации, если затронутый ресурс недоступен атакующему, не содержит значимых данных и не ведёт к критичным системам. И наоборот, сочетание достижимости, доступа к данным и возможности дальнейшего перемещения меняет оценку риска.
Если ответы распределены между разными инструментами и командами, расследование затягивается. При автоматизации части этапов поиска и эксплуатации уязвимостей со стороны атакующих такая задержка становится заметнее.
Видимость среды и пути атаки
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Для оценки риска недостаточно рассматривать отдельный хост, учётную запись или CVE изолированно. Нужен контекст, охватывающий облачную инфраструктуру, исходный код, учётные записи, SaaS, сервисы ИИ и цепочку поставок программного обеспечения.
Он необходим, чтобы выявлять уязвимые пути, расследовать подозрительную активность и передавать задачи по устранению владельцам систем без повторного сбора одних и тех же данных при каждом инциденте. Такой подход помогает отделять срочные проблемы от фонового шума, понимать возможные сценарии развития атаки и связывать расследование с процессом устранения.
Для SOC это может сократить объём ручной сборки контекста. В процессах управления уязвимостями — помочь определить, какие из обнаруженных проблем требуют немедленного внимания. Облачным и инженерным командам контекст позволяет привязать риск к людям и системам, способным его устранить.
Не автоматизировать всё, а устранять задержки
Цель не обязательно состоит в автоматизации каждого решения по безопасности. Более практичная задача — уменьшить задержки, возникающие из-за разрозненных инструментов, повторяющихся расследований и неясного распределения ответственности.
Готовность операций безопасности к более быстрым атакам можно оценить по нескольким вопросам:
- достаточно ли данных о среде, чтобы понять возможный путь атаки;
- можно ли оперативно определить, затрагивает ли новая проблема ресурсы, доступные злоумышленнику;
- удаётся ли без задержки перевести подтверждённый риск из стадии обнаружения в стадию устранения.
Ответы на эти вопросы важнее самого количества поступающих сигналов. Новый алерт не даёт приоритета сам по себе: его нужно связать с конкретным ресурсом, данными, учётными записями, соседними системами и ответственным владельцем. Если для этого каждый раз требуется вручную собирать сведения из нескольких источников, время реакции зависит не только от тяжести проблемы, но и от устройства внутренних процессов.
Практический вывод для российских организаций: приоритетом должно быть не увеличение числа оповещений, а сокращение времени на связывание уязвимости с её реальной достижимостью, данными, путями дальнейшего перемещения и ответственным владельцем. Чем быстрее атакующие получают возможности для поиска и использования слабых мест, тем важнее полнота контекста и отсутствие задержек между обнаружением и устранением.