Автоматизация SecOps – это общая категория, описывающая инструменты, которые используются командами в центрах мониторинга безопасности (SOC) для анализа, расследования и реагирования на угрозы с минимальными вовлечением человека. Это, пожалуй, лучший объект для автоматизации на основе LLM, что проявилось в появлении на рынке десятков новых решений на базе искусственного интеллекта.

Этот отчет является естественным продолжением наших четырех предыдущих исследований по оркестрации, автоматизации и реагированию в области безопасности (SOAR). Он включает в себя большинство возможностей и поставщиков, описанных в предыдущих отчетах SOAR, а также описывает отдельный набор возможностей на базе искусственного интеллекта в разделе "Новые функции". Его цель – предоставить исчерпывающий обзор всех автономных инструментов, которые автоматизируют процессы анализа, расследования и реагирования в центре мониторинга безопасности.

Разница между подходом, похожим на SOAR, и новыми инструментами на базе LLM может быть описана следующим образом:

Детерминированная автоматизация, которая обычно реализуется с помощью рабочих процессов и скриптов с Low Code/No Code или, реже, с помощью роботизированной автоматизации процессов (RPA). Они следуют заранее определенному логическому потоку, который предполагает, что логику описывает оператор-человек.

Недетерминированная автоматизация, которая обычно (возможно, исключительно для данного отчета) реализуется с помощью LLM или DSLM. Стоит отметить, что LLM считаются полностью детерминированными системами авторитетными фигурами в области ИИ. Однако мы просто называем их недетерминированными, учитывая, что модель может давать разные ответы при повторном вводе одного и того же запроса. Поставщики обычно встраивают LLM в агенты ИИ, которые отвечают за отдельные части процессов SecOps.

Практически все поставщики, упомянутые в отчете, так или иначе внедряют автоматизацию на основе LLM. Некоторые из гибридных подходов включают:
– LLM на этапе проектирования, то есть ИИ используется для написания детерминированной автоматизации, такой как скрипты и плейбуки.
– Детерминированные оболочки, в которых LLM являются частью детерминированных рабочих процессов.
– Написание ИИ-агентов, при котором инструмент позволяет клиентам писать свои собственные ИИ-агенты, а не использовать заранее разработанные агенты, предоставляемые поставщиком.

Это наш первый год оценки сферы автоматизации SecOps в контексте наших отчетов «Ключевые критерии» и «Радар».