AI w SecureVisio 6.0: Jak uczenie maszynowe, modele językowe (LLM) i deep value learning transformują SOC

SecureVisio 6.0 wprowadza potężny, wielowarstwowy silnik sztucznej inteligencji, który fundamentalnie zmienia sposób, w jaki zespoły bezpieczeństwa wykrywają zagrożenia, reagują na incydenty i automatyzują działania SOC. To drugi artykuł z naszej serii poświęconej SecureVisio 6.0. Pierwszy tekst omawiał nowości w aplikacji webowej. Kolejne artykuły przybliżą znaczące usprawnienia wydajności, rozszerzone możliwości SIEM i SOAR oraz istotne ulepszenia silników CMDB i UEBA. Niniejszy artykuł koncentruje się wyłącznie na postępach w dziedzinie AI wbudowanych w SecureVisio 6.0.

Dlaczego AI w SIEM/SOAR nie jest już opcją

Zespoły SOC mierzą się z nieustannym zalewem zdarzeń, alertów i danych z logów. Analitycy po prostu nie są w stanie przetwarzać ich wszystkich z prędkością, jakiej wymagają współczesne zagrożenia. SecureVisio 6.0 zostało zbudowane wokół jednoznacznej odpowiedzi na to wyzwanie: inteligentna, wielowarstwowa automatyzacja, która myśli, zanim zadziała.

Cztery metody AI działające wspólnie w SecureVisio 6.0

SecureVisio 6.0 łączy cztery odrębne techniki AI w jednym, skoordynowanym silniku:

1. Uczenie maszynowe (ML) Fundament całego systemu. Modele uczenia maszynowego analizują wzorce behawioralne we wszystkich napływających danych – wykrywają anomalie, uczą się, jak wygląda „normalność” w każdym środowisku, i w czasie rzeczywistym sygnalizują odchylenia.

2. Deep Value Learning Kluczowa nowość w wersji 6.0. Deep Value Learning umożliwia systemowi poznawanie wartości określonych zachowań i procesów – na przykład tego, które procesy uruchamiają inne procesy, jakie połączenia sieciowe są typowe dla danego hosta lub jakie działania użytkowników wiążą się z konkretnymi lokalizacjami geograficznymi. Daje to SecureVisio głębokie, kontekstowe rozumienie środowiska – znacznie wykraczające poza powierzchowne dopasowywanie wzorców.

3. Duże modele językowe (LLM) LLM pełnią w SecureVisio 6.0 rolę analitycznego głosu systemu. Podsumowują incydenty, wyjaśniają przebieg zdarzeń prostym językiem, generują zapytania wyszukiwania na potrzeby threat huntingu i pomagają analitykom rozumieć złożone dane z logów – bez konieczności posiadania głębokiej wiedzy technicznej.

4. Large Reasoning Models (LRM) Tam gdzie LLM podsumowują, LRM podejmują decyzje. Duże modele rozumowania są wykorzystywane do zadań analitycznych najwyższej wagi: oceniają, czy sytuacja wymaga pogłębionego dochodzenia, i określają najlepsze kolejne działanie w zautomatyzowanym playbooku. Ponieważ LRM wymagają więcej czasu przetwarzania, SecureVisio stosuje je selektywnie – dopiero po tym, jak ML i Value Learning już przefiltrują i uszeregują dane według priorytetu.

Jak warstwy AI współpracują w sekwencji

SecureVisio 6.0 nie stosuje każdej metody AI do każdego zdarzenia. Zamiast tego dane przechodzą przez przemyślany, wieloetapowy potok zaprojektowany z myślą o szybkości i dokładności:

• Uczenie maszynowe działa jako pierwsze – wykrywa anomalie w tysiącach zdarzeń na sekundę bez żadnych opóźnień.
• Deep Value Learning ocenia, czy spodziewane zachowania wystąpiły, i oznacza brakującą lub nieoczekiwaną aktywność (predykcyjna analiza wartości).
• Analiza LLM jest stosowana w kolejnym kroku – podsumowuje sytuację i generuje zapytania dochodzeniowe.
• Rozumowanie LRM wkracza jako ostatnie – wyłącznie gdy sytuacja jest wystarczająco złożona – i decyduje, jakie działanie playbook powinien podjąć w następnej kolejności.

Takie stopniowe podejście gwarantuje, że kosztowne, czasochłonne rozumowanie AI jest zarezerwowane wyłącznie dla sytuacji, które tego naprawdę wymagają – zachowując wysoką wydajność nawet w środowiskach korporacyjnych.

Playbooki wspierane przez AI: Od statycznych scenariuszy do dynamicznego podejmowania decyzji

Jedną z najważniejszych zmian w SecureVisio 6.0 jest głęboka integracja AI z playbookami. Podczas gdy wcześniejsze wersje opierały się na statycznych scenariuszach opartych na warunkach, wersja 6.0 pozwala AI aktywnie kierować wykonaniem playbooka.

W praktyce oznacza to:

• Krok playbooka może zawierać żądanie AI – system prosi AI o ocenę sytuacji i podjęcie decyzji.
• Odpowiedź AI jest zapisywana w zmiennej, a playbook rozgałęzia się w zależności od wniosków AI.
• Jeśli AI stwierdzi, że prawdopodobnie obecne są złośliwe pliki, playbook przechodzi do weryfikacji skrótów i głębokiej analizy plików. W przeciwnym razie te kroki są pomijane – oszczędzając czas i zasoby.

Eliminuje to potrzebę tworzenia dziesiątek wstępnie napisanych scenariuszy statycznych. SecureVisio zawsze działało w oparciu o jeden, zunifikowany model scenariusza – teraz jest on dynamicznie kierowany przez rozumowanie AI, a nie sztywne, z góry ustalone warunki.

Threat hunting i analiza logów wspierane przez AI

SecureVisio 6.0 udostępnia AI bezpośrednio analitykom za pośrednictwem Asystenta AI dostępnego w całym interfejsie. Asystent jest świadomy kontekstu: jeśli pracujesz w parserze logów, asystent o tym wie i dostosowuje swoją pomoc do zadań parsowania. Jeśli przeglądasz alert, analizuje to konkretne zdarzenie.

Kluczowe możliwości obejmują:

• Podsumowanie incydentu – AI wyjaśnia, co wydarzyło się podczas zdarzenia bezpieczeństwa, w jasnym, przystępnym języku.

• Generowanie zapytań wyszukiwania – analitycy mogą poprosić AI o napisanie zapytań służących do znajdowania podobnych zdarzeń lub powiązanych wskaźników w bazie danych logów, znacznie obniżając próg wejścia do threat huntingu; zapytania można następnie szybko skopiować i wkleić do przeglądarki logów w celu natychmiastowego użycia.

• Wsparcie parsowania logów – AI może analizować próbki surowych logów i generować konfiguracje parserów, redukując jeden z najbardziej żmudnych elementów wdrożenia SIEM.

Deep Value Learning: Uczenie systemu, co naprawdę ma znaczenie

Deep Value Learning zasługuje na szczególną uwagę, ponieważ reprezentuje nowy wymiar inteligencji wykraczający poza tradycyjne wykrywanie anomalii.

W SecureVisio 6.0 administratorzy mogą definiować, w jakich obszarach system ma uczyć się wartości. Na przykład:

• Z jakich krajów łączą się użytkownicy (kontekst źródłowy)
• Do jakich zasobów jest uzyskiwany dostęp i przez kogo (kontekst docelowy)
• Które procesy uruchamiają inne procesy (aktywność procesów)
• Jakie działania użytkowników są powiązane z jakimi kategoriami zachowań

Ten konfigurowalny zakres uczenia oznacza, że SecureVisio dostosowuje swoją inteligencję do specyficznego profilu ryzyka każdej organizacji – ucząc się, co jest normalne dla Ciebie, nie tylko tego, co jest statystyczną średnią we wszystkich środowiskach.

Elastyczna obsługa modeli: Lokalne i zewnętrzne AI

SecureVisio 6.0 obsługuje zarówno wewnętrzne (lokalne) modele AI, jak i zewnętrzne usługi AI. Organizacje z rygorystycznymi wymaganiami dotyczącymi miejsca przechowywania danych lub poufności mogą uruchomić własny lokalny serwer AI – zachowując wszystkie dane w obrębie swojej infrastruktury. Dla organizacji preferujących AI w chmurze dostępne są również integracje z zewnętrznymi modelami.

Podczas wysyłania danych do zewnętrznych modeli SecureVisio automatycznie anonimizuje wrażliwe pola przed transmisją, zapewniając, że żadne poufne dane organizacji nie są ujawniane usługom zewnętrznym. Ponadto użytkownicy mogą kontrolować, które pola danych są anonimizowane, co umożliwia elastyczną i konfigurowalną ochronę danych.

Automatyczne budowanie kontekstu: Inteligentniejszy CMDB w wersji 6.0

W SecureVisio 5.0 kontekst zasobów był ograniczony do tego, co można było wywnioskować z reguł polityki bezpieczeństwa. Wersja 6.0 wprowadza automatyczne playbooki do budowania kontekstu – stale wyszukujące i aktualizujące informacje o zasobach bez konieczności ręcznego wprowadzania danych.

Działania takie jak Zmiana wartości parametru zasobu pozwalają playbookom automatycznie klasyfikować i wzbogacać zasoby w czasie. System może samodzielnie potwierdzać atrybuty zasobów – lub prosić operatora o weryfikację – a jeśli nie otrzyma odpowiedzi, przystąpić do własnej oceny. Efektem jest żywy, samoaktualizujący się CMDB, który staje się coraz dokładniejszy z każdym dniem działania systemu.

Skuteczność wykrywania kontekstu w wersji 6.0 to nie stopniowe ulepszenie – to jakościowy skok w zakresie kompletności i automatyzacji rozumienia środowiska przez system.

Samooptymalizacja: Automatyczna redukcja szumu

Jednym z najczęstszych wyzwań w każdym wdrożeniu SIEM jest alert fatigue – polityki generujące zbyt wiele fałszywych alertów dla określonego hosta lub adresu IP. SecureVisio 6.0 rozwiązuje ten problem za pomocą automatycznego triażu i automatycznie tworzonych reguł wykluczających fałszywe alerty.

System monitoruje statystyki i cały system. Jeśli dana polityka generuje nadmierny szum dla określonego adresu IP lub konta użytkownika, automatycznie tworzy regułę wykluczenia – zadanie dostrajające, które wcześniej wymagało ręcznej interwencji operatora. Ta funkcja samooptymalizacji znacznie zmniejsza nakład czasu i wymaganą wiedzę podczas wdrożenia i bieżącej eksploatacji.

Automatyczny dobór parserów i polityk

Wersja 6.0 eliminuje również jeden z najbardziej czasochłonnych etapów wdrożenia SIEM: ręczne przypisywanie parserów i polityk do nowych źródeł logów. Gdy nowy log jest przekazywany do SecureVisio, system automatycznie wybiera najlepiej dopasowany parser i stosuje odpowiednią globalną politykę – bez konieczności jakiejkolwiek ręcznej konfiguracji.

Ta funkcja jest fundamentem dążenia SecureVisio do radykalnego skrócenia czasu wdrożenia – z typowych trzech miesięcy do dwóch tygodni – z docelową wizją systemów, które w dużej mierze same się konfigurują.

Nieograniczona liczba niestandardowych profili w UEBA

Praktyczne, lecz istotne ulepszenie: UEBA w SecureVisio 5.0 była ograniczona do 10 profili. Wersja 6.0 całkowicie znosi to ograniczenie, pozwalając organizacjom definiować dowolną liczbę niestandardowych profili. Profile można również indywidualnie dezaktywować lub wykluczać z uczenia maszynowego – dając administratorom precyzyjną kontrolę nad tym, czego system się uczy i z jakich źródeł.

---

Co to oznacza dla zespołów bezpieczeństwa

Łączny efekt tych ulepszeń AI to platforma, która:

• Redukuje ręczne nakłady pracy w zakresie wykrywania, dochodzenia, reagowania i dostrajania
• Obniża próg dostępu do threat huntingu i analizy logów dzięki zapytaniom wspomaganym przez AI
• Poprawia dokładność wykrywania poprzez wielowarstwową, kontekstową inteligencję
• Automatyzuje pełny cykl życia reagowania na incydenty – od wykrycia anomalii po remedię prowadzoną przez playbook
• Stale się doskonali, ucząc się specyficznych wzorców każdego środowiska

SecureVisio 6.0 nie zastępuje analityków bezpieczeństwa. Wzmacnia ich – przejmując powtarzalną, czasochłonną pracę, aby ludzka wiedza mogła skupić się tam, gdzie jest naprawdę potrzebna.

---

Podsumowanie

SecureVisio 6.0 reprezentuje prawdziwy skok naprzód w zakresie możliwości platformy SIEM/SOAR zasilanej przez AI. Poprzez połączenie uczenia maszynowego, Deep Value Learning, LLM i LRM w jednym, skoordynowanym systemie – oraz głęboką integrację AI z playbookami, budowaniem kontekstu i samooptymalizacją – SecureVisio dostarcza możliwości automatyzacji daleko wykraczające poza alertowanie oparte na regułach.

Dla organizacji borykających się z ograniczeniami zasobów, rosnącą złożonością zagrożeń lub wyzwaniem zarządzania operacjami bezpieczeństwa na dużą skalę, wersja 6.0 oferuje: inteligentną automatyzację bezpieczeństwa, która uczy się, decyduje i działa – z prędkością maszyny.