Positive Technologies перевела обработку киберинцидентов на каскад ИИ-моделей MaxPatrol O2. Нейросети автоматически закрывают 68% инцидентов, тратя на разбор каждого инцидента около 15–20 секунд. По оставшейся трети аналитики центра мониторинга (SOC) получают вердикт ИИ-агента с объяснением менее чем за 15 минут. Об этом CNews сообщили представители Positive Technologies.

Типичный SOC обрабатывает около 3000 инцидентов в сутки, при этом 63% инцидентов остаются неразобранными. Аналитики SOC не могут вручную обработать все инциденты. При этом среди неразобранных инцидентов могут скрываться те, которые указывают на начало кибератаки. MaxPatrol O2 берет на себя рутинную работу — разбор событий ИБ, вынесение вердиктов по ним — и тем самым повышает результативность центра мониторинга.

Каждая модель внутри MaxPatrol О2 стремится повысить точность всего каскада. Их работу можно сопоставить с работой аналитиков SOC уровней L1 и L2. Сначала ML-модели за секунды оценивают каждый инцидент и автоматически закрывают ложные срабатывания. Инциденты, за которыми могут скрываться действия злоумышленников, передаются ИИ-агенту: он выдвигает гипотезу, проверяет ее по событиям из разных источников, после чего выдает вердикт и формирует отчет для аналитика SOC.

Отчет содержит перечень событий ИБ, собранных агентом, и похожие инциденты с вердиктами, по которым можно проверить его решение. Каждый факт в отчете прослеживается до исходного события. Уровень автономности можно задать: например, включить автоматическое закрытие по отдельным классам инцидентов.

«Специалистам по информационной безопасности ранее был привычен реактивный подход: сначала злоумышленники успешно реализовывали новые подходы, а уже затем в ответ защитники усиливали ИБ-продукты. Теперь же мы переходим к проактивному подходу: ИИ в MaxPatrol O2 не только реагирует на вредоносные действия быстрее, чем человек, но и строит гипотезы о поведении злоумышленников», — отметил руководитель продукта MaxPatrol O2 Дмитрий Васильев.

Команда разработки планирует увеличивать уровень автономности, который обеспечивает MaxPatrol O2. В перспективе — сократить долю инцидентов, требующих ручной работы аналитиков, до 10%. Точность вердиктов подтверждается тем, что технологии MaxPatrol O2 уже используются в PT X — облачном решении Positive Technologies для мониторинга и реагирования на киберугрозы. Вердикты MaxPatrol O2 более чем на 98% совпадают с вердиктами PT X, сверенными с решениями аналитиков.

MaxPatrol O2 поставляется в облачной и в on-prem-редакции. При этом работа в защищенном облаке Positive Technologies может гарантировать, что модели смогут быстро и стабильно обрабатывать весь поток инцидентов.

MaxPatrol O2 интегрируется с инфраструктурными ИБ-продуктами, что позволяет усилить возможности SOC. В связке со средствами обнаружения угроз MaxPatrol O2 помогает автоматически анализировать поступающие инциденты, отличать реальные атаки от ложных срабатываний и принимать решения по результатам расследования.

• CNews Forum 2026: Информационные технологии завтра