ИИ меняет экономику киберобмана

При поддержке Splunk

Искусственный интеллект изменил экономику кибердезинформации.

Теперь злоумышленник может сгенерировать тысячи убедительных фишинговых приманок, фальшивых удостоверений личности и персонализированных предлогов быстрее, чем защитник успеет завершить хотя бы один цикл управления изменениями. В этом и заключается новая проблема безопасности: дезинформация стала быстрее и дешевле, а верификация — нет.

Значительная часть дискуссий об использовании ИИ для обороны сосредоточена на моделях обнаружения. Обнаружение важна, но это не единственное узкое место. Более глубокое ограничение — это данные: где они хранятся, доступны ли они в нужный момент, как быстро их можно сопоставить, как долго они сохраняются и могут ли аналитики или агенты доверять тому, что они извлекают.

Обеспечение безопасности в эпоху искусственного интеллекта — это прежде всего проблема данных, а уже потом проблема обнаружения.

Преимущество защитника — правда

Злоумышленники могут позволить себе лгать в масштабах предприятия. Они могут тестировать бесконечные комбинации сообщений, личных данных, доменов и путей атак, и большинство из них могут потерпеть неудачу практически без каких-либо затрат.

У защитников нет такой роскоши. Их преимущество — это правда: быстрое понимание того, что произошло, где, когда, какая учетная запись была задействована, какие активы пострадали, что изменилось и какому бизнес-процессу может угрожать опасность.

Эта правда должна быть задокументирована, управляема, проверяема и защитима. Злоумышленники используют ИИ для масштабирования обмана, выдачи себя за других людей, социальной инженерии и ускорения атак. Защитникам необходим ИИ для масштабирования верификации.

Цель состоит не просто в том, чтобы действовать быстрее злоумышленника. Цель — предпринимать действия, которым люди и машины могут доверять.

Фрагментированные данные разрушают современную защиту

Рассмотрим подозрительный вход в систему с учетной записи подрядчика. Сама по себе это лишь очередная аномалия аутентификации. Чтобы понять, имеет ли это значение, службе безопасности может потребоваться история учетных записей, активность конечных точек, журналы облачного доступа, архивные записи тикетов, сведения о владельцах активов, изменения конфигурации, сетевая телеметрия и бизнес-контекст.

Если эти записи хранятся в разных инструментах, истекают в разное время или требуют привлечения нескольких команд для их извлечения, защитники вовсе не расследуют инцидент. Они ведут переговоры с собственным массивом данных.

Когда к сигналам можно получить доступ на месте и быстро сопоставить их, вопрос заключается уже не просто в том, выглядит ли вход в систему необычно. Вопрос в том, обладает ли предприятие достаточным количеством доказательств и в достаточном контексте, чтобы предпринять действия, которые оно сможет обосновать.

Эта проблема становится все более актуальной с появлением ИИ-ассистентов и агентов. ИИ может рассуждать только на основе того, что он успевает извлечь, пока это имеет значение. Если данные неполные, устаревшие, фрагментированные, недоступные или лишенные контекста, ИИ не создает правду. Он лишь усиливает неопределенность.

Система учета должна стать оборонительной плоскостью управления

В течение многих лет предприятия относились к платформам безопасности, SIEM и озерам данных как к пассивным хранилищам: местам для сохранения данных с целью их последующего поиска и анализа. Эта модель больше не работает.

То, в чем организации нуждаются сегодня, — это оборонительная плоскость управления: уровень, который связывает воедино то, что произошло, что это значит и что предприятию разрешено с этим делать. С архитектурной точки зрения она объединяет «сырые» машинные данные, бизнес-контекст и политики. Она не просто хранит доказательства. Она делает доказательства пригодными для принятия решений и действий, которые должны быть объяснимы и заслуживать доверия.

На практике это означает качественное выполнение четырех задач: сохранение улик, доступ к данным там, где они находятся, добавление бизнес-контекста и управление действиями. Подробнее о каждом из этих пунктов рассказано ниже.

Старая система учета отвечала на один вопрос: какова официальная запись?

Оборонительная плоскость управления отвечает на вопросы, имеющие операционное значение: Что произошло? Что это значит? Какие доказательства подтверждают этот вывод? И каким действиям мы можем доверять?

ИИ не снижает потребность в авторитетных записях. Он повышает требования к тому, что эти записи должны собой представлять.

Оборонительная плоскость управления должна выполнять четыре функции

1. Сохранение улик. Журналы, метрики, трассировки, события, учетные записи, изменения конфигурации, тикеты и состояние активов — все это помогает восстановить картину произошедшего. Ценность этих данных часто становится очевидной только после начала инцидента.

2. Обеспечение доступности данных там, где они находятся. Данные, имеющие отношение к безопасности, уже распределены по объектным хранилищам, облачным платформам, операционным инструментам и бизнес-системам. Перемещение каждого байта в единое хранилище часто оказывается слишком медленным, слишком дорогим и трудноуправляемым процессом. Лучшая модель — привносить аналитику к самим данным.

3. Добавление бизнес-контекста. Сопоставление машинных данных с бизнес-информацией превращает событие «аномалия на хосте X» в «идет зондирование системы, обеспечивающей платежные сервисы для ключевых клиентов». Именно это позволяет организациям правильно расставлять приоритеты.

4. Управление действиями. В эпоху агентских систем ИИ будет не просто суммировать информацию об инцидентах. Они будут обогащать оповещения, открывать дела, запускать рабочие процессы, изолировать активы, обновлять политики и эскалировать принятие решений. Предприятиям необходимо знать, какими данными воспользовался агент, какая политика регулировала его действия, не вышел ли он за рамки дозволенного и каким образом принятое решение может быть пересмотрено впоследствии.

Настоящая проблема SOC — не дефицит данных

Современные SOC (центры мониторинга информационной безопасности) страдают не от нехватки данных. Они страдают от нехватки применимого контекста.

Согласно отчету Splunk «Состояние безопасности в 2025 году» (Splunk State of Security 2025), аналитики SOC по-прежнему сталкиваются с избытком оповещений (59%), большим количеством ложных срабатываний (55%) и оповещениями, лишенными контекста (46%). Проблема заключается не в объеме данных. Проблема заключается в сложности превращения фрагментированных сигналов в заслуживающие доверия решения.

Сегодня аналитикам приходится вручную собирать контекст, переключаться между несвязанными инструментами и принимать судьбоносные решения в условиях нехватки полной картины происходящего. Даже по мере совершенствования ИИ результаты по-прежнему зависят от того, готовы ли люди утверждать изменения в фрагментированных средах.

Это порождает ежедневный кризис контекста. Команды вынуждены принимать важные решения на основе данных, которые они не могут легко увидеть, сопоставить или которым не могут доверять. В результате возникают задержки, несогласованность, упущенные возможности и избыточные риски.

Надежные действия — долгосрочное преимущество

Архитектура на основе «ткани данных» (data fabric) предлагает путь вперед за счет создания единого интеллектуального уровня поверх источников данных, охватывающих SecOps, ITOps и NetOps. Цель состоит не в централизации ради самой централизации. Цель заключается в разрушении разрозненных хранилищ (силосов) и предоставлении насыщенного контекстом понимания на той скорости, которой требуют операции на базе ИИ.

Это операционная модель, предшествующая продукту. Безопасность на базе ИИ опирается на фундамент, способный сохранять улики, получать доступ к данным в местах их хранения, добавлять контекст и поддерживать проверяемую связь между данными, решением и действием. Именно этот архитектурный сдвиг лежит в основе Cisco Data Fabric на платформе Splunk Platform, которая объединяет машинные данные, федерализацию, бизнес-контекст, управление и происхождение данных (provenance), помогая командам переходить от сигнала к надежным действиям.

Злоумышленники будут и дальше делать обман более дешевым, быстрым и персонализированным. Защитники не выиграют эту гонку за счет создания большего количества шума. Они побеждают, делая правду доступной быстрее и обосновывая каждое действие уликами, которым люди и машины могут доверять.

Узнайте больше о платформе Cisco Data Fabric на базе Splunk Platform.

Сет Брикман (Seth Brickman), вице-президент по глобальным продуктам направления Splunk Platform в Cisco.

Спонсорские материалы — это контент, подготовленный компанией, которая либо платит за публикацию, либо имеет деловые отношения с VentureBeat, и такие материалы всегда четко маркируются. Для получения дополнительной информации обращайтесь по адресу sales@venturebeat.com.