Positive Technologies сообщила, что MaxPatrol O2 автоматически закрывает 68% поступающих инцидентов информационной безопасности без участия аналитика. По оценке разработчика, первичная проверка занимает около 15–20 секунд, а более сложные случаи ИИ-агент разбирает менее чем за 15 минут и передает специалисту вместе с объяснением вердикта.
MaxPatrol O2 использует каскад моделей, между которыми распределены разные этапы проверки. Сначала алгоритмы машинного обучения анализируют поступившие данные и отсеивают события, которые система считает ложными срабатываниями. Подозрительные случаи переходят ИИ-агенту для более подробного расследования.
Агент формирует гипотезу о возможных действиях злоумышленника, сопоставляет события из нескольких источников, после чего готовит заключение для аналитика. В отчет входят исходные события безопасности и похожие ранее рассмотренные инциденты с вердиктами. Positive Technologies утверждает, что специалист может проследить выводы модели до исходных данных и проверить решение вручную.
По своему назначению каскад частично берет на себя задачи специалистов первого и второго уровней SOC. Обычно аналитики первой линии разбирают поступающие оповещения и отсеивают ложные срабатывания, а более сложные расследования передают специалистам следующего уровня. Автоматизация в MaxPatrol O2 переносит часть такой первичной проверки на алгоритмы.
Проблема большого количества предупреждений характерна не только для отдельных центров мониторинга. В исследовании 2026 года Vectra AI, основанном на опросе 1450 специалистов и руководителей в области безопасности, организации сообщили в среднем о 2992 предупреждениях безопасности в сутки. Без обработки оставались 63% предупреждений. Важно, что речь в исследовании идет именно об alerts, то есть сигналах и предупреждениях средств защиты, а не обязательно о 3000 подтвержденных инцидентах.
Vectra AI также обнаружила, что ИИ уже участвует в повседневной работе многих центров мониторинга. У 76% опрошенных ИИ-агенты или ассистенты выполняют больше 10% рабочей нагрузки, а 63% специалистов хотели бы передать алгоритмам сортировку предупреждений и часть расследований. При этом авторы исследования не связывают распространение ИИ с автоматическим ростом качества защиты: перегрузка сигналами, разрозненные источники данных и сложности с определением действительно опасных событий сохраняются.
Похожее ограничение возникает и при автоматизации SOC в целом. Даже быстрое закрытие большого числа предупреждений не гарантирует, что система правильно выделяет опасные случаи. Критичным становится качество вердикта, поскольку ошибочно закрытый инцидент способен скрыть начало атаки. Ранее специалисты отдельно разбирали, почему автоматизация SOC требует контроля всего жизненного цикла инцидента, а не только ускорения отдельных операций.
Positive Technologies позволяет задавать уровень автономности MaxPatrol O2. Организация, например, может разрешить автоматическое закрытие только для определенных классов инцидентов, сохранив ручную проверку остальных случаев.
Разработчик планирует сократить долю инцидентов, требующих ручной работы аналитиков, до 10%. Positive Technologies также заявляет, что вердикты MaxPatrol O2 более чем в 98% случаев совпадают с решениями облачного сервиса PT X, которые сверяются с выводами аналитиков. Методика проверки показателей 68% и 98%, размер использованной выборки и распределение инцидентов по типам в предоставленном компанией сообщении не раскрываются, поэтому цифры отражают внутреннюю оценку разработчика.
MaxPatrol O2 доступен в облачном варианте и в редакции для развертывания внутри инфраструктуры организации. Система может получать данные от других средств обнаружения угроз, анализировать связанные события и передавать результаты расследования сотрудникам центра мониторинга.
