Sophos verkürzt die Zeit zur Bedrohungsuntersuchung um 96% mit OpenAI Daybreak

Vorausbleiben, während sich das Zeitfenster der Verteidiger verengt

Grenzüberschreitende KI ist im Begriff, die Cybersicherheit auf beiden Seiten zu verändern⁠(öffnet in einem neuen Fenster). Fortschrittliche Modelle können Verteidigern helfen, Bedrohungen schneller zu finden und zu untersuchen. Doch diese Fähigkeiten breiten sich auch auf Modelle mit offenen Gewichten aus, wodurch Angreifern neue Wege eröffnet werden, Schwachstellen zu entdecken und deren Ausnutzung zu beschleunigen.

Sophos⁠(öffnet in einem neuen Fenster) ist eines der Unternehmen, das sich ihnen in den Weg stellt und mehr als 625,000 Organisationen über Branchen und Regionen hinweg schützt. „Wir sehen eine riesige Vielfalt unterschiedlicher Angriffe“, sagt John Peterson, Chief Technology Officer des Unternehmens. „Wir haben in vier Jahrzehnten im Cybersicherheitsgeschäft umfassende Expertise im Umgang mit ihnen aufgebaut.“

Durch OpenAI Daybreakkombiniert Sophos OpenAI-Modelle mit seiner eigenen Bedrohungsintelligenz, seinen Reaktions-Playbooks und seiner Sicherheitsexpertise. Das Ziel ist nicht einfach, Analysten ein weiteres Werkzeug an die Hand zu geben. Es geht darum, die Wirkung der Expertise von Sophos auf jeden geschützten Kunden auszuweiten.

„Sophos bringt die Domänenexpertise und das Know-how mit, um Angriffe im großen Maßstab zu bekämpfen. Programme wie Daybreak und Unternehmen wie OpenAI bringen Spitzenintelligenz mit, die es uns ermöglicht, diese Domänenexpertise zu skalieren und damit alle unsere Kunden zu unterstützen.“

Einblick in den Rollout

Im Mittelpunkt der Arbeit steht Sophos Fusion, das KI-native Cyber-Defense-System von Sophos, zu dem auch Sophos Managed Detection and Response (MDR) gehört. Es vereint Sensordaten aus mehr als 500 Drittanbieter-Integrationen mit den eigenen Produkten von Sophos. Zusammen erzeugen diese Sensoren jeden Tag Billionen von Ereignissen, die Sophos zu etwa 1,000 bis 2,000 Fällen verdichtet, welche von seinen neun Security-Operations-Zentren untersucht werden.

Durch Daybreak aufgebaute Agents haben die Bearbeitung dieser Fälle verändert. Ein Untersuchungs-Agent sammelt den Kundenkontext, Erkennungen, Indikatoren für Kompromittierung (IoCs) und relevante Bedrohungsintelligenz für jeden Fall. Ein Planungsmodell erstellt daraufhin eine Plan–Ausführen–Überprüfen-Schleife: Es erstellt einen Untersuchungsplan, führt die Schritte aus und erstellt eine Zusammenfassung mit empfohlenen Reaktionsmaßnahmen, die Analysten überprüfen. Andere Agents können Teile der Reaktion ausführen.

Vor Daybreak hing die Untersuchung von und Reaktion auf einen Fall in erster Linie von menschlicher Expertise ab. Der bestehende Prozess von Sophos dauerte im Durchschnitt etwa 38 Minuten — eine Leistung, die laut Peterson besser war als die von 96% der professionellen Security-Operations-Zentren.

„Jetzt, dank der Agents, die wir im Rahmen des Daybreak-Programms aufbauen konnten, ist die durchschnittliche Reaktionszeit für Fälle, die diese Agents nutzen, auf etwa 89 Sekunden gesunken. Etwa die Hälfte der von uns bearbeiteten Fälle wird inzwischen von Agents automatisiert, die wir mit den Daybreak-Modellen entwickelt haben.“

Die Entscheidung im Mittelpunkt halten

Sophos hat die Kundenkontrolle über drei Betriebsmodi in seinen MDR-Dienst integriert:

• Notify: Sophos untersucht den Fall und empfiehlt eine Reaktion, aber der Kunde handelt.

• Collaborate: Sophos und der Kunde arbeiten zusammen, bevor Maßnahmen ergriffen werden.

• Authorise: Sophos kann direkt im Namen des Kunden reagieren.

Dieselben Grenzen gelten, unabhängig davon, ob die Arbeit von einer Person oder einem Agent erledigt wird. Sophos nutzt Automatisierung, um schnell zu handeln und die Zeit der Analysten besser zu nutzen, aber potenziell destruktive Aktionen erfordern weiterhin die entsprechende Ebene menschlicher Aufsicht.

„Alles, womit wir einem Agent nicht zutrauen, es zu bearbeiten, wird an die menschliche Beurteilung weitergegeben“, bestätigt Peterson.

Ergebnisse auf einen Blick

• Reduzierte die durchschnittliche Reaktionszeit für Fälle mit Agents von etwa 38 Minuten auf 89 Sekunden.

• Ermöglichte Sophos, 52% der MDR-Fälle mithilfe von KI von Anfang bis Ende zu bearbeiten, innerhalb von von Sophos-Analysten kalibrierten Grenzen.

• Bietet Kunden ein schnelleres und konsistenteres Untersuchungserlebnis.

• Hilft Sophos, Rechenleistung zu skalieren, anstatt sich auf ein gleichwertiges Wachstum bei knappen Fachkräften im Bereich der Cybersicherheit zu verlassen.

• Lenkt die Aufmerksamkeit der Analysten zurück auf die Bedrohungen, Ausnahmen und Entscheidungen, bei denen ihre Expertise am meisten zählt.

Ausblick

Peterson sagt, dass Sophos weiter ausbauen werde, was seine Agents leisten können. „Die Reaktionsfähigkeiten werden weiterhin ausgefeilter werden, und wir werden das Spektrum der Anwendungsfälle erweitern, die wir mit den von uns entwickelten Agents abdecken.“

„Mit Programmen wie Daybreak haben wir die Möglichkeit, der Angreifer-Community einen Schritt voraus zu sein.“

Sein Rat an andere Sicherheitsverantwortliche ist einfach: „Das Einzige, was Sicherheitsverantwortliche morgen tun sollten, ist, sich wirklich wieder auf die Sicherheitsgrundlagen für ihre Organisation zu konzentrieren“, sagt er. „Das umfasst natürlich Patching. Aber Patches werden nur jemals Schwachstellen enthalten, die dem Anbieter bekannt sind.“

Die Antwort besteht darin, „einen mehrschichtigen Sicherheitsansatz“ beizubehalten, der Endpunktschutz, Multifaktor-Authentifizierung (MFA), Netzwerksegmentierung und starke Sicherheitsoperationen umfasst. „Schwachstellen werden in alarmierendem Tempo entdeckt und in einem Ausmaß ausgenutzt, das wir noch nie gesehen haben. Deshalb halte ich es für wichtiger als je zuvor, die Grundlagen gut zu machen.“

Treten Sie in die neue Ära der Arbeit ein