Mantenerse a la vanguardia cuando la ventana del defensor se estrecha
La IA de frontera está transformando la ciberseguridad en ambos lados(se abre en una nueva ventana). Los modelos avanzados pueden ayudar a los defensores a encontrar e investigar amenazas más rápido. Pero esas capacidades también se están extendiendo a modelos de pesos abiertos, lo que brinda a los atacantes nuevas formas de descubrir vulnerabilidades y acelerar su explotación.
Sophos(se abre en una nueva ventana) es una de las empresas que se interponen en su camino, protegiendo a más de 625,000 organizaciones en diversos sectores y regiones. «Vemos una enorme variedad de ataques diferentes», afirma John Peterson, director de tecnología de la empresa. «Hemos cultivado una vasta experiencia en combatirlos a lo largo de cuatro décadas en el negocio de la ciberseguridad.»
A través de OpenAI Daybreak, Sophos combina los modelos de OpenAI con su propia inteligencia de amenazas, manuales de respuesta y experiencia en seguridad. El objetivo no es simplemente dar a los analistas otra herramienta. Es aumentar el impacto de la experiencia de Sophos en cada cliente que protege.
—John Peterson, CTO, Sophos«Sophos aporta la experiencia de dominio y el conocimiento para combatir ataques a escala. Programas como Daybreak, y empresas como OpenAI, aportan inteligencia de frontera que nos permite tomar esa experiencia de dominio y escalarla para dar soporte a todos nuestros clientes.»
Dentro del despliegue
En el centro de este trabajo está Sophos Fusion, el sistema de defensa cibernética nativo de IA de Sophos que incluye Sophos Managed Detection and Response (MDR). Reúne datos de sensores de más de 500 integraciones de terceros junto con los productos propios de Sophos. Juntos, esos sensores generan billones de eventos cada día, que Sophos destila en aproximadamente 1,000 a 2,000 casos para que sus nueve centros de operaciones de seguridad los investiguen.
Los agentes creados a través de Daybreak han cambiado la forma en que se manejan esos casos. Un agente de investigación recopila el contexto del cliente, las detecciones, los indicadores de compromiso (IoC) y la inteligencia de amenazas relevante para cada caso. Un modelo de planificación crea luego un bucle de planificación–ejecución–revisión: elabora un plan de investigación, completa los pasos y produce un resumen con acciones de respuesta recomendadas para que los analistas las revisen. Otros agentes pueden llevar a cabo partes de la respuesta.
Antes de Daybreak, investigar y responder a un caso dependía principalmente de la experiencia humana. El proceso existente de Sophos promediaba alrededor de 38 minutos, un rendimiento que, según Peterson, era mejor que el del 96% de los centros de operaciones de seguridad profesionales.
—John Peterson, CTO, Sophos«Ahora, gracias a los agentes que hemos podido construir a través del programa Daybreak, el tiempo promedio de respuesta de los casos que utilizan esos agentes ha caído a unos 89 segundos. Aproximadamente la mitad de los casos que gestionamos ahora están siendo automatizados por agentes que desarrollamos usando los modelos de Daybreak.»
Mantener el criterio en el centro
Sophos ha incorporado el control del cliente a su servicio de MDR mediante tres modos de operación:
Notify: Sophos investiga el caso y recomienda una respuesta, pero el cliente actúa.
Collaborate: Sophos y el cliente trabajan juntos antes de tomar una medida.
Authorise: Sophos puede responder directamente en nombre del cliente.
Los mismos límites se aplican tanto si el trabajo lo completa una persona como un agente. Sophos utiliza la automatización para actuar con rapidez y aprovechar mejor el tiempo de los analistas, pero las acciones potencialmente destructivas todavía requieren el nivel adecuado de supervisión humana.
«Cualquier cosa con la que no nos sintamos cómodos de que la maneje un agente se transfiere al criterio humano», confirma Peterson.
Resultados de un vistazo
Reducir el tiempo promedio de respuesta en los casos que usan agentes de aproximadamente 38 minutos a 89 segundos.
Permitir que Sophos resuelva de principio a fin el 52% de los casos de MDR con IA, dentro de límites calibrados por los analistas de Sophos.
Ofrecer a los clientes una experiencia de investigación más rápida y consistente.
Ayudar a Sophos a escalar capacidad de cómputo en lugar de depender de un crecimiento equivalente en personal de ciberseguridad, un recurso escaso.
Devolver la atención de los analistas a las amenazas, excepciones y decisiones donde su experiencia importa más.
Próximos pasos
Peterson dice que Sophos seguirá ampliando lo que sus agentes pueden hacer. «Las capacidades de respuesta seguirán volviéndose más sofisticadas, y vamos a ampliar el abanico de casos de uso que abordamos con los agentes que hemos creado».
—John Peterson, CTO de Sophos«Con programas como Daybreak, tenemos la oportunidad de mantenernos un paso adelante de la comunidad de atacantes».
Su consejo para otros líderes de seguridad es simple: «Lo único que los líderes de seguridad deberían hacer mañana es volver realmente a centrarse en los fundamentos de seguridad de su organización», dice. «Eso, por supuesto, incluye la aplicación de parches. Pero los parches solo van a incluir vulnerabilidades conocidas por el proveedor».
La respuesta es mantener «un enfoque de seguridad en capas» que incluya protección de endpoints, autenticación multifactor (MFA), segmentación de red y operaciones de seguridad sólidas. «Las vulnerabilidades se están descubriendo a un ritmo alarmante y explotándose a una escala que nunca habíamos visto. Así que creo que hacer bien los fundamentos es hoy más importante que nunca».